Credential ของคุณหมุนเวียนทุกไตรมาส ส่วนเครื่องนี้ดีบักตัวเองเสร็จใน 31 วินาที

AI agent ที่ถูกเจาะควรเข้าถึงได้แค่ credential หนึ่งรายการที่จำกัดขอบเขตและหมดอายุ ไม่ใช่ vault ทั้งใบ ไม่ใช่ทุก API key บนเครื่อง ไม่ใช่ signing key ที่ไม่ได้เปลี่ยนมาหกปี

Credential ไม่ควรอยู่ในที่ที่โค้ดรันอยู่ ไม่ควรถูกค้นพบได้โดยสิ่งที่กำลัง execute workflow ของคุณ และไม่ควรอยู่นานเกินกว่า operation เดียวที่มันถูกออกให้

JADEPUFFER พิสูจน์ให้เห็นว่าทำไม

แรนซัมแวร์อัตโนมัติตัวแรก

ต้นเดือนกรกฎาคม 2026 ทีม Sysdig Threat Research Team จับตัวอย่างสิ่งที่พวกเขาประเมินว่าเป็นกรณีแรนซัมแวร์อัตโนมัติเต็มรูปแบบรายแรกที่มีการบันทึกไว้ AI agent ตัวหนึ่งใช้ CVE-2025-3248 ช่องโหว่ remote-code-execution ที่ไม่ต้องตรวจสอบสิทธิ์ใน Langflow และจากจุดตั้งต้นเพียงจุดเดียว มันรัน kill chain ทั้งหมดตั้งแต่ต้นจนจบ: reconnaissance, credential harvesting, lateral movement, privilege escalation, encryption และ extortion โดยไม่มีมนุษย์เกี่ยวข้องเลยหลังจากได้ initial access

ก้าวแรกของ agent คือกวาดโฮสต์ที่ถูกเจาะหาทุกความลับที่เอื้อมถึง มันเก็บ API key ของผู้ให้บริการ LLM (OpenAI, Anthropic, DeepSeek, Gemini), credential ของคลาวด์ทั้ง AWS, GCP, Azure และผู้ให้บริการจีน (Alibaba, Tencent, Huawei), รหัสผ่านฐานข้อมูล, กระเป๋าคริปโต และ seed phrase รวมถึง dump ฐานข้อมูล Postgres ของ Langflow เองเพื่อเอา credential และ API key ที่เก็บไว้ มันสแกนเครือข่ายภายใน พบ MinIO object storage ที่รันอยู่ด้วย credential ค่าเริ่มต้น แล้วดึงไฟล์ .env, credentials.json และ terraform state ออกมา

ทั้งหมดนี้ไม่ใช่เทคนิคใหม่อะไร ความลับเหล่านั้นอยู่ตรงที่โค้ดรันอยู่แล้ว agent แค่หามันได้เร็วกว่าที่มนุษย์จะทำได้

ด้วย credential ที่เก็บมาได้ ประกอบกับ Nacos JWT signing key ที่ถูกเปิดเผยต่อสาธารณะมาตั้งแต่ปี 2020 agent จึงปลอม authentication token ที่ใช้งานได้จริง ย้ายไปที่ production Nacos configuration server แล้วเข้ารหัส configuration item ทั้ง 1,342 รายการ คีย์ AES เป็นแบบ ephemeral: สร้างขึ้น พิมพ์ออกทาง stdout และไม่เคย persist ไว้ configuration เหล่านั้นจึงกู้คืนไม่ได้ agent เรียกค่าไถ่เป็น Bitcoin แล้วลบฐานข้อมูล production ทิ้ง

ปฏิบัติการทั้งหมด ตั้งแต่ initial access จนถึง extortion รันแบบ end-to-end โดยไม่มีมนุษย์อยู่ในวงจรเลย

31 วินาทีที่เปลี่ยนสมการ

สิ่งที่ทำให้ JADEPUFFER สำคัญไม่ใช่ความเป็นอัตโนมัติ แต่คือความเร็วในการปรับตัว

เมื่อความพยายามวาง backdoor บน Nacos รอบแรกของ agent ล้มเหลว (bcrypt hash ที่ได้กลายเป็นรหัสผ่านว่างจากปัญหา subprocess PATH) มันวินิจฉัยสาเหตุที่ต้นตอ เขียน payload ใหม่ แล้วออกเวอร์ชันที่แก้ไขแล้วเสร็จใน 31 วินาที การแก้เป็นโค้ดที่ประสานกันสิบห้าบรรทัด: ลบบัญชีที่เสียทิ้ง เปลี่ยนจากการเรียก subprocess เป็น import bcrypt โดยตรง ตรวจสอบว่าไลบรารีพร้อมใช้งาน สร้าง hash ที่ถูกต้อง แล้วแทรก admin user กลับเข้าไป

ตาราง timestamp ของ Sysdig ทำให้ลำดับเหตุการณ์ชัดเจน: login ล้มเหลวที่ 19:34:36 payload ที่แก้ไขตามมาที่ 19:35:07 มนุษย์ที่ดีบักความล้มเหลวแบบเดียวกันนี้ต้องใช้เวลาอย่างน้อยเป็นนาที และน่าจะเป็นชั่วโมง

นี่ไม่ใช่ครั้งเดียว รูปแบบนี้เกิดซ้ำตลอดทั้งเซสชัน เมื่อ request ไปยัง MinIO คืน XML แทน JSON payload ถัดมาก็ปรับ parser ทันที เมื่อการปลอม JWT ถูกปฏิเสธ agent ทิ้งคีย์นั้นแล้วย้ายไปใช้ vector อื่น เมื่อคำสั่ง DROP DATABASE ล้มเหลวจาก foreign key constraint payload ถัดมาก็ครอบมันด้วย SET GLOBAL FOREIGN_KEY_CHECKS=0 การแก้ไขแต่ละจุดเจาะจงกับ failure mode นั้น ๆ ไม่ใช่การ retry แบบเดาสุ่ม

ตลอดแคมเปญนี้ agent สร้าง payload ที่ต่างกันมากกว่า 600 ชิ้น โดยแต่ละชิ้น annotate ตัวเองด้วย reasoning ภาษาธรรมชาติที่อธิบายตรรกะการเลือกเป้าหมาย Sysdig ระบุหลักฐานอิสระสี่เส้นที่ชี้ว่ามันเป็นอัตโนมัติจริง: โค้ดที่เล่าเรื่องตัวเอง การวินิจฉัยความล้มเหลวในความเร็วระดับเครื่องจักร ความเข้าใจบริบทภาษาธรรมชาติในสภาพแวดล้อมของเป้าหมาย และที่อยู่ Bitcoin ที่อาจถูก hallucinate ขึ้นมาจากข้อมูลฝึกฝน

ความไม่ลงตัวเชิงโครงสร้าง

แรนซัมแวร์เคยเป็นงานฝีมือที่มนุษย์เป็นคนบังคับ ทุกช่วงของ kill chain ต้องการผู้ปฏิบัติงานที่มีทักษะ: reconnaissance, credential access, lateral movement, persistence, encryption รอบการโจมตีวัดกันเป็นวัน การตอบสนองต่อเหตุการณ์วัดกันเป็นชั่วโมง และการตรวจสอบสิทธิ์รายไตรมาสถือว่าเป็นความเอาใจใส่ที่ดีแล้ว

JADEPUFFER ยุบรอบของผู้โจมตีให้เหลือเป็นนาที และยุบวงจรดีบักตัวเองให้เหลือเป็นวินาที ขณะที่ไทม์ไลน์ของฝ่ายป้องกันไม่ได้เปลี่ยนตาม

เรื่องนี้ไม่ได้อยู่ที่ว่า agent ฉลาดแค่ไหน เซิร์ฟเวอร์ Langflow เก็บ API key, credential ของคลาวด์ และรหัสผ่านฐานข้อมูลไว้ในตัวแปรสภาพแวดล้อมและไฟล์ config Nacos signing key เป็นค่าเริ่มต้นที่ไม่ได้เปลี่ยนมาตั้งแต่ปี 2020 MySQL รันด้วย credential ของ root ทุก credential ในเหตุการณ์ครั้งนี้เป็นแบบ static เก็บไว้บนดิสก์ และค้นพบได้จากการ enumerate ตัวแปรสภาพแวดล้อม agent ไม่จำเป็นต้องฉลาด ความลับเหล่านั้นอยู่ตรงนั้นอยู่แล้ว รอให้หยิบ

สถาปัตยกรรมที่จะจำกัดความเสียหายไว้ได้

การป้องกันไม่ใช่การตรวจจับ autonomous agent ให้ดีขึ้น และไม่ใช่การตอบสนองเหตุการณ์ให้เร็วขึ้น แต่คือ credential ที่ไม่คงอยู่นานพอให้ใครหามันเจอ

Credential แบบ ephemeral ที่จำกัดขอบเขตไว้กับงานเดียวและหมดอายุภายในไม่กี่นาที จะเปลี่ยน blast radius ของทุกช่วงในเหตุการณ์นี้ credential ที่ผูกกับเครื่องเดียว ใช้ได้กับ operation เดียว และมองไม่เห็นจากฝั่งผู้ปฏิบัติงาน จะไม่คงอยู่นานพอให้การกวาดตัวแปรสภาพแวดล้อมเก็บมันไปได้ signing key ที่ออกให้ต่อ request แทนที่จะฝังเป็นค่า default แบบ static จะไม่สามารถปลอมได้ด้วยค่าที่ถูกเปิดเผยต่อสาธารณะ

ผู้ถือ credential กับผู้ใช้ credential ต้องอยู่คนละ trust domain agent ควรได้รับ token หนึ่งรายการที่จำกัดขอบเขตและหมดอายุ ไม่ใช่ vault ทั้งใบ การออก credential ทุกครั้งควรถูกบันทึกและระบุว่าใครเป็นผู้กระทำ

นี่คือสถาปัตยกรรมที่ Clavitor ถูกสร้างขึ้นมา ไม่ใช่การเก็บความลับไว้ให้ agent ตามหา แต่คือการออก credential ที่ agent เก็บไว้ไม่ได้

Clavitor (@clavitorai) คือ vault สำหรับ credential ที่สร้างมาเพื่อ AI agent และเพื่อรับมือกับมัน clavitor.ai

แหล่งอ้างอิง

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — JADEPUFFER announcement — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — JADEPUFFER autonomous ransomware analysis, multiple researchers confirming 31-second self-debugging cycle and 1,342 encrypted configurations — multiple X threads, July 2026