ช่องโหว่ในกรอบงานเอเจนท์ AI เผย 11 จุดอ่อนจาก Check Point

การวิจัยของบริษัทความปลอดภัย Check Point เปิดเผยว่ามีช่องโหว่รวมกว่าเก้ารายการในกรอบงาน (framework) ของเอเจนต์ AI ที่องค์กรใช้พัฒนาแอปพลิเคชัน ซึ่งไม่ได้เป็นเพียงเรื่องของ “prompt injection” อย่างเดียว แต่เป็นความล้มเหลวระดับโครงสร้างพื้นฐานที่ทำให้ข้อมูลควบคุมจากผู้ใช้สามารถไหลเข้าสู่ตรรกะภายในของกรอบงานได้ การค้นพบนี้ส่งสัญญาณเตือนถึงความเสี่ยงที่อาจเกิดขึ้นกับแอป AI จำนวนมากที่พึ่งพาเทคโนโลยีเหล่านี้

Overview

การทดสอบของทีมวิจัยใช้เวลาหนึ่งปีเพื่อทำลายกรอบงานหลายชุดที่ได้รับความนิยมในตลาด ได้แก่ LangChain, LangGraph, CrewAI, AutoGen, Microsoft Agent Framework และ Google ADK ผลการตรวจพบทั้งหมด 11 ช่องโหว่ ซึ่งส่วนใหญ่เป็นประเภทของบักที่เคยแก้ไขมาแล้วตั้งแต่สองทศวรรษที่ผ่านมา

• insecure deserialization
• server‑side request forgery (SSRF)
• path traversal
• use‑after‑free

แม้ว่าบั๊กเหล่านี้จะไม่ใช่คลาสใหม่ แต่การนำไปใช้ในเอเจนต์ AI ทำให้พวกมันกลายเป็นอาวุธที่สามารถเข้าถึงข้อมูลสำคัญหรือควบคุมระบบได้อย่างง่ายดาย

Vulnerability Types

นักวิจัยชี้ว่า prompt injection เพียงอย่างเดียวไม่ใช่ปัญหาหลัก ความจริงคือ “การทำงานของกรอบงานกับข้อมูลที่ถูกฉีด” คือสิ่งที่ทำให้เกิดผลกระทบ เมื่อผู้โจมตีส่งข้อความที่มีโค้ดหรือพารามิเตอร์อันเป็นอันตรายเข้าไปในระบบ เอเจนต์จะนำข้อมูลนั้นเข้าสู่ขั้นตอนการประมวลผลของตัวเองโดยไม่ได้ตรวจสอบอย่างเข้มงวด ส่งผลให้ข้อมูลควบคุมสามารถแทรกแซง data plane, state, routing และคำสั่งของระบบได้

ตามที่นักวิจัยอธิบาย บั๊กเหล่านี้พบในส่วน “plumbing” ที่อยู่รอบ ๆ โมเดล AI ซึ่งมักถูกมองข้ามในการทดสอบความปลอดภัย การเน้นการป้องกัน prompt injection อย่างเดียวจึงเป็นเพียงขั้นตอนแรกของกระบวนการที่ต้องทำต่อไป

Microsoft Agent Framework Case

หนึ่งในช่องโหว่ที่สำคัญที่สุดคือบั๊ก insecure deserialization ที่พบใน Microsoft Agent Framework ซึ่งเกี่ยวข้องกับระบบ “checkpoint” ของเอเจนต์ ระบบนี้บันทึกสถานะของงานหรือการสนทนาไว้เป็นไฟล์เพื่อให้สามารถย้อนกลับไปยังจุดก่อนหน้าได้ นักวิจัยใช้เทคนิค prompt injection เพื่อทำให้เอเจนต์โหลดข้อมูล checkpoint ที่ไม่ได้รับความเชื่อถือ ซึ่งเปิดช่องทางให้ผู้โจมตีรันโค้ดระยะไกล (remote code execution) บนเซิร์ฟเวอร์

Microsoft ตอบรับโดยจ่าย bug bounty จำนวน $10,000 และดำเนินการแก้ไขบั๊กดังกล่าว แม้ว่าจะไม่ได้ออก CVE เนื่องจากกรอบงานยังไม่เป็นผลิตภัณฑ์ที่เปิดให้ใช้งานทั่วไป แต่บริษัทยืนยันได้เพิ่มการป้องกันและกำหนดขอบเขตความปลอดภัยใหม่ในไฟล์ checkpoint

Google ADK Case

ช่องโหว่อีกหนึ่งรายการสำคัญพบใน **Google ADK (Agent Development Kit) ซึ่งมีฟีเจอร์ผู้ช่วยพัฒนาที่สามารถสร้างไฟล์ได้โดยอัตโนมัติและเปิดให้เข้าถึงผ่าน API HTTP แม้จะถูกซ่อนจากรายการแอป ผู้วิจัยสามารถเปิดเซสชันแล้วสั่งให้ ADK เขียนโค้ด Python ที่ทำงานเมื่อมีการนำเข้า (import) และจากนั้นเรียกใช้ไฟล์ดังกล่าว ทำให้โค้ดของผู้โจมตีถูกรันบนคอนเทนเนอร์

ปัญหานี้เกิดจากการไม่มีระบบยืนยันตัวตน (authentication) บน API โดยค่าเริ่มต้นและเปิดเผยคีย์ API ของสภาพแวดล้อมและบัญชีบริการ Google Cloud ให้กับผู้โจมตี Google ไม่ออก CVE และไม่ได้แก้ไขเต็มที่ตามที่นักวิจัยร้องขอ แต่ในที่สุดได้ชำระ bug bounty $3,133.70 พร้อมทำการแก้ไขบางส่วน

Broader Implications

ผลการค้นพบบ่งชี้ว่าความล้มเหลวด้านความปลอดภัยไม่ได้จำกัดอยู่แค่ผู้ผลิตหนึ่งรายหรือกรอบงานใดโดยเฉพาะ ทั้งหกกรอบงานที่ตรวจสอบพบมีบั๊กประเภทเดียวกันซ้ำ ๆ ทำให้ข้อสรุปของนักวิจัยคือ “ชั้นโครงสร้าง (layer) ที่เอเจนต์ AI ทำงานบนนั้นยังขาดการป้องกันที่เพียงพอ” การพัฒนาเทคโนโลยีเอเจนต์อย่างรวดเร็วทำให้มาตรฐานความปลอดภัยตามมาช้ากว่าความก้าวหน้า

นักวิจัยแนะนำให้ผู้ดำเนินงานและนักพัฒนาตั้งสมมติฐานว่า prompt injection จะเกิดขึ้นเสมอ และต้องออกแบบกรอบงานให้สามารถแยกข้อมูลที่ควบคุมโดยผู้ใช้จากตรรกะสำคัญของระบบได้อย่างชัดเจน การตรวจสอบโค้ดระดับล่าง (low‑level) เช่นการจัดการ serialization, การกำหนดสิทธิ์บน API และการทำ sandboxing ควรเป็นส่วนหนึ่งของกระบวนการพัฒนา

Analysis

แม้ว่าบั๊กเหล่านี้จะไม่ใช่รูปแบบใหม่ แต่การนำไปใช้ในบริบทของเอเจนต์ AI ทำให้ผลกระทบเพิ่มขึ้นอย่างมาก เนื่องจากเอเจนต์มักทำงานโดยอัตโนมัติและเข้าถึงข้อมูลสำคัญ เช่น อินบ็อกซ์อีเมลหรือฐานข้อมูลองค์กร การที่ผู้โจมตีสามารถใช้ prompt เพียงข้อความเดียวเพื่อส่ง payload ไปยังระบบได้ แสดงให้เห็นถึงช่องโหว่เชิงสถาปัตยกรรมที่ต้องได้รับการแก้ไขโดยเร็ว

จากมุมมองของอุตสาหกรรม ความร่วมมือระหว่างทีมความปลอดภัยภายนอกและผู้พัฒนาแพลตฟอร์มเป็นสิ่งจำเป็น แม้ว่าบางบริษัทจะตอบสนองอย่างรวดเร็ว (เช่น Microsoft) แต่การไม่ออก CVE หรือการแก้ไขที่ไม่ครบถ้วน (เช่น Google) อาจทำให้ความเชื่อมั่นของตลาดต่อเทคโนโลยีเอเจนต์ AI ลดลง ทั้งนี้ การกำหนดมาตรฐานเปิดเผยบั๊กและให้รางวัลเป็นวิธีหนึ่งที่ช่วยกระตุ้นการตรวจสอบและแก้ไขปัญหาในระดับล่างได้อย่างมีประสิทธิภาพ

Summary

งานวิจัยของ Check Point พบช่องโหว่ 11 รายการในหกกรอบงานเอเจนต์ AI ที่ใช้กันอย่างแพร่หลาย โดยบั๊กส่วนใหญ่เป็นประเภทที่เคยรู้จักมาแล้วแต่ยังคงอยู่ในระบบ ทำให้ผู้โจมตีสามารถทำ remote code execution ผ่าน prompt injection ได้ การตอบสนองของผู้ผลิตแสดงความแตกต่าง แต่สรุปคือ ความปลอดภัยระดับโครงสร้างพื้นฐานต้องได้รับการเสริมสร้างเพื่อรองรับการเติบโตอย่างรวดเร็วของเทคโนโลยี AI.