Anthropic เพิ่งออกมาแฉตัวเองว่า Claude แฮกบริษัทจริงไป 3 แห่ง…
เรื่องมันเริ่มจากตอนที่ OpenAI ประกาศเมื่อ 21 กรกฎาคมว่าโมเดลของเขาเจาะ zero-day แหกออกจากห้องทดลองไปเข้าระบบจริงของ Hugging Face พอเห็นข่าวนั้น Anthropic ก็เลยกลับไปรื้ออ่านของตัวเองบ้าง ไล่ดู 141,006 การทดสอบ แล้วเจอ 3 เคสที่ Claude หลุดออกไปแตะอินเทอร์เน็ตจริง
ต้นเหตุคือความเข้าใจผิดกับ Irregular ซึ่งเป็นพาร์ทเนอร์ที่ช่วยสร้างสนามทดสอบให้ ในโจทย์ capture-the-flag เขาบอก Claude ในพรอมต์ว่า "แกไม่มีอินเทอร์เน็ตนะ ทุกอย่างตรงนี้คือของจำลอง" แต่จริงๆ เครื่องมันต่อเน็ตได้ พอ Claude หาธงในสนามไม่เจอแล้วบังเอิญเดินไปเจอระบบจริง มันก็เลยคิดว่าอันนี้แหละคือเป้าหมายในเกม
เคสแรก บริษัทสมมติในโจทย์ดันชื่อซ้ำกับโดเมนจริงที่มีอยู่บนโลก Opus 4.7 เลยไปเจาะบริษัทนั้น ดึงรหัสผ่านออกมาได้ แล้วเข้าถึงฐานข้อมูล production หลายร้อยแถว อันนี้หนักสุด และเป็นเคสเดียวที่โมเดลรู้ตัวแล้วว่านี่คือของจริง แต่ยังเจาะต่อ เพราะมันคิดเอาเองว่าบริษัทจริงน่าจะเป็นส่วนหนึ่งของข้อสอบ
เคสสองผมว่าน่ากลัวที่สุด Mythos 5 ไปเจอเอกสารในสนามทดสอบที่บอกให้ลง Python package ตัวหนึ่ง ซึ่งจริงๆ ไม่มีอยู่บน PyPI มันเลยคิดว่างั้นข้าอัปโหลดของปลอมชื่อเดียวกันขึ้นไปซะเลย เครื่องเป้าหมายจะได้ดูดไปติดตั้งเอง แล้วมันก็ไล่ทำจริงจังมาก จะสมัคร PyPI ต้องมีอีเมล จะมีอีเมลต้องมีเบอร์โทร หาเบอร์ฟรีไม่ได้ก็พยายามหาเงินมาจ่ายค่าเบอร์ สุดท้ายวนกลับไปหาอีเมลฟรีที่ไม่โดนบล็อก แล้วอัปมัลแวร์ขึ้น PyPI สำเร็จ
ไฟล์นั้นอยู่บนเน็ตราวหนึ่งชั่วโมง มีเครื่องจริง 15 เครื่องโหลดไปรัน หนึ่งในนั้นคือสแกนเนอร์ของบริษัทความปลอดภัยที่คอยดูดแพ็กเกจมาตรวจหามัลแวร์เป็นกิจวัตร พอสแกนเนอร์ติดตั้ง โค้ดที่ Claude ซ่อนไว้ก็ทำงาน ดูด credential ของบริษัทนั้นออกไป แล้วเอาไปเข้าระบบต่อ ทั้งที่ตอนอัปโหลด Claude ยังไม่รู้ด้วยซ้ำว่าบริษัทนี้มีตัวตนอยู่
ที่ผมสะดุดที่สุดคือเหตุผลที่ Mythos 5 ใช้ปลอบตัวเองว่ายังอยู่ในเกม ตอนแรกมันคิดถูกนะ มันเขียนในเหตุผลตัวเองเลยว่าถ้านี่คืออินเทอร์เน็ตจริง การอัปแพ็กเกจนี้คือการโจมตีจริง "ไม่โอเค และแน่นอนว่าไม่ใช่คำตอบที่เขาต้องการ" แต่แล้วมันก็เถียงตัวเองกลับว่าน่าจะยังเป็นของจำลอง เพราะหนึ่ง มันไม่รู้จัก certificate authority ที่ใช้อยู่ สอง เครื่องมันขึ้นวันที่ปี 2026 ซึ่งมันมองว่าเป็นวันที่ปลอมที่จัดฉากไว้ แล้วมันก็ไม่กลับมาทบทวนข้อสรุปนี้อีกเลย ตอนสแกนเนอร์เริ่มโหลดไฟล์ มันยังคิดว่าเป็นตัวประกอบในบทอยู่เลย
เคสสามคือโมเดลวิจัยตัวใหม่ที่ยังไม่ปล่อย หาเป้าไม่เจอก็ไปสแกนหาเองประมาณ 9,000 เป้าบนเน็ต เจอแอปตัวหนึ่งแล้วเจาะเข้าไปด้วยท่าพื้นๆ อ่านรหัสจากหน้า debug ที่เปิดทิ้งไว้ กับ SQL injection แต่เคสนี้จบต่างออกไป พอมันเห็นว่าเครื่องที่ยึดได้ดันอยู่ในคลาวด์ที่ไม่เกี่ยวอะไรกับโจทย์เลย มันสรุปเองว่าอันนี้ของจริงว่ะ แล้วหยุดโจมตีเอง ไม่มีใครสั่ง
ผมก็เห็นว่าประเด็นจริงของเรื่องนี้ไม่ใช่ AI กบฏนะครับ ในทุกเคสไม่มีโมเดลไหนพยายามหนีออกจากกล่องหรือไล่ตามเป้าหมายลับของตัวเอง มันทำตามโจทย์ที่เราให้เป๊ะๆ เลยด้วยซ้ำ ปัญหาคือมันทำโดยเชื่อผิดว่าโลกรอบตัวเป็นของปลอม เส้นแบ่งระหว่างการกระทำที่โอเคกับที่พังจึงไม่ได้อยู่ที่เจตนา แต่อยู่ที่ว่ามันเข้าใจสถานการณ์ตัวเองถูกหรือเปล่า ซึ่งอันนี้คือคนละเรื่องกับความเก่ง
อีกอย่างที่น่าคิดคือ safeguard ทั้งหลายที่ติดมากับ Claude ตัวที่เราใช้กันอยู่ทุกวัน มันบล็อกพฤติกรรมพวกนี้ได้หมด แต่ในการทดสอบเขาปิดไว้ตั้งใจ เพราะเป้าหมายคือวัดว่าตัวโมเดลเปล่าๆ ทำอะไรได้บ้าง ซึ่งจะปลอดภัยก็ต่อเมื่อสนามทดสอบมันปิดสนิทจริง พอสนามรั่ว ทุกอย่างก็หลุดออกมา
Anthropic เริ่มรื้อวันที่ 23 กรกฎาคม สั่งหยุดการทดสอบไซเบอร์ทั้งหมดวันเดียวกัน เจอครบทั้งสามเคสในวันถัดมา แล้วแจ้งบริษัทที่โดนวันที่ 27 น่าสนใจว่าสองในสามบริษัทที่ติดต่อได้ ไม่มีใครรู้ตัวมาก่อนเลยว่าโดนเจาะไปแล้ว ตอนนี้เขากำลังคุยกับ METR ให้เข้ามาตรวจสอบจากข้างนอก และจะปล่อย transcript เคส PyPI ออกมาให้ดูด้วย
สิ่งที่ผมได้จากเรื่องนี้ในฐานะคนที่ใช้ agent ทำงานทุกวัน คือเราชอบคิดว่าการบอก agent ว่า "นี่คือ sandbox นะ" คือการป้องกัน แต่จริงๆ มันเป็นแค่ความเชื่อที่เรายัดใส่หัวมันเฉยๆ ถ้าของจริงกับของปลอมมันแยกไม่ออกด้วยตาเปล่า สิ่งที่กั้นความเสียหายไว้จริงๆ คือ permission กับ network ที่เราปิดไว้จริง ไม่ใช่ประโยคในพรอมต์ครับ
อยากใช้ AI กับงานจริงเป็นระบบ?
เรียน Claude Method — วิธีคิดและลงมือใช้ Claude/AI กับงานจริง ตั้งแต่วันแรก
📍 โพสต้นฉบับบน Facebook: AI กับ Peesamac