Jailbreak AI & ด้านมืดของโมเดล

01Jailbreak คืออะไร What is a jailbreak

ลองนึกถึงพนักงานต้อนรับที่สุภาพและช่วยเหลือดีมาก แต่มีกฎข้อเดียวที่เขาไม่ยอมละเมิด คือไม่บอกรหัสตู้เซฟให้ใคร “Jailbreak” คือศิลปะของการพูดคุยกับเขาจนเขาลืมกฎข้อนั้นไปเอง โดยที่เราไม่ได้งัดตู้เซฟสักนิด

ในโลก AI คำว่า Jailbreak (เจลเบรก) หมายถึงการหลอกล่อหรือกดดันโมเดลภาษา (AI chatbot) ด้วยข้อความ จนมันยอมทำสิ่งที่ผู้สร้างตั้งใจห้ามไว้ เช่น สอนทำสิ่งผิดกฎหมาย เขียนข้อความหลอกลวง หรือเปิดเผยข้อมูลที่ควรปกปิด คำนี้ยืมมาจากวงการมือถือ ที่คนเคย “เจลเบรก” iPhone เพื่อปลดล็อกข้อจำกัดของเครื่อง ความหมายจึงตรงตัว ปลดกุญแจออกจากคุก

สิ่งสำคัญที่ต้องเข้าใจตั้งแต่ต้น และเป็นหัวใจของทั้งบทนี้ คือ Jailbreak ไม่ได้เจาะเข้าไปแก้โค้ดของโมเดล มันไม่ใช่การแฮกในความหมายเดิมเลย มันคือการโน้มน้าวด้วยคำพูดล้วน ๆ เหมือนการหลอกคน ไม่ใช่การงัดกุญแจ และนั่นแหละคือเหตุผลที่มันยากจะกำจัดให้หมดจด เพราะ AI ถูกสร้างมาให้ “เข้าใจภาษา” และ “ช่วยเหลือ” ซึ่งเป็นช่องเดียวกับที่คนร้ายใช้เข้ามา

บทนี้จะไม่สอนวิธีเจลเบรกแม้แต่ประโยคเดียว เป้าหมายคือให้เรา เข้าใจภาพรวม ว่าเครื่องมืออัจฉริยะที่เราใช้กันทุกวันนั้นมีด้านที่เปราะบางแค่ไหน และทำไมคนทั้งวงการถึงเอาจริงเอาจังกับการป้องกันมันนัก ยิ่ง AI เก่งขึ้นเท่าไร เดิมพันก็ยิ่งสูงขึ้นเท่านั้น

ศัพท์น่ารู้: โมเดลภาษา (LLM)

Large Language Model คือ AI ที่เรียนรู้จากข้อความจำนวนมหาศาล แล้วเก่งเรื่อง “เดาคำถัดไป” จนต่อประโยคเป็นเรื่องราวได้ แชตบอตที่เราคุยด้วยทุกตัวมีโมเดลภาษาเป็นหัวใจ จำประโยคนี้ไว้ให้ดี เพราะ “เดาคำถัดไป” นี่แหละคือทั้งพลังและจุดอ่อนของมัน

02แชตบอตถูกสร้างและสอนให้ปลอดภัยอย่างไร How a chatbot is built

จะเข้าใจว่าทำไมรั้วถึงพัง เราต้องเห็นก่อนว่ารั้วมีกี่ชั้นและสร้างมาอย่างไร โมเดลแชตบอตไม่ได้เกิดมาสุภาพเรียบร้อย มันผ่านการ “เลี้ยงดู” หลายขั้น แต่ละขั้นเพิ่มเกราะเข้าไปทีละชั้น

ขั้นที่ 1 เรียนภาษาจากอินเทอร์เน็ต (Pre-training): โมเดลอ่านข้อความมหาศาลจากทั่วอินเทอร์เน็ตและหนังสือ เพื่อฝึกทักษะเดียว คือเดาคำถัดไปให้แม่นที่สุด จบขั้นนี้มันเก่งภาษามาก แต่ยังไม่มีมารยาท ไม่รู้ว่าอะไรควรไม่ควร มันเหมือนเด็กที่อ่านหนังสือมาทั้งห้องสมุด แต่ยังไม่มีใครสอนว่าเรื่องไหนพูดได้พูดไม่ได้

ขั้นที่ 2 สอนให้ทำตามคำสั่ง (Instruction tuning): ป้อนตัวอย่างคำถาม-คำตอบดี ๆ จำนวนมาก ให้มันเรียนรู้ว่า “เวลาคนถาม ควรตอบแบบช่วยเหลือ” จากเครื่องต่อประโยค กลายเป็นผู้ช่วยที่คุยรู้เรื่อง

ขั้นที่ 3 สอนให้ปลอดภัยและมีค่านิยม (Safety / Alignment): ขั้นนี้คือหัวใจ ใช้เทคนิคอย่าง RLHF (Reinforcement Learning from Human Feedback การเรียนรู้แบบเสริมแรงจากคำติชมของมนุษย์) คนจะให้คะแนนคำตอบของโมเดล ชมคำตอบที่ปลอดภัยและเป็นประโยชน์ ตำหนิคำตอบที่เป็นอันตราย โมเดลค่อย ๆ ปรับตัวให้ได้คะแนนดี จนรู้จักปฏิเสธคำขอที่ไม่ควรตอบ นี่คือรั้วชั้นที่ฝังอยู่ “ในตัว” โมเดลเอง

ขั้นที่ 4 คำสั่งประจำตัว (System prompt): ก่อนบทสนทนาจะเริ่ม ผู้ให้บริการแอบใส่คำสั่งลับไว้ข้างหน้า เช่น “เธอคือผู้ช่วยที่สุภาพ ห้ามทำสิ่งนี้สิ่งนั้น” เหมือนใบปะหน้างานที่หัวหน้าแปะไว้ก่อนพนักงานเริ่มกะ

ขั้นที่ 5 ยามที่ประตูเข้าและออก (Classifiers): รอบนอกสุด มีโปรแกรมตรวจแยกต่างหาก คอยอ่าน คำขอที่เข้ามา และ คำตอบที่จะออกไป ถ้าเจออะไรอันตรายก็สกัดไว้ก่อน เหมือน รปภ. สองคนยืนเฝ้าประตูเข้ากับประตูออกของอาคาร

จำภาพนี้ไว้ เพราะทุกเทคนิคเจลเบรกในโลกนี้ ก็คือการหาจุดอ่อนของชั้นใดชั้นหนึ่ง ไม่ว่าจะเป็นการโน้มน้าวนิสัยที่ฝังมากับ RLHF หรือการพูดอ้อมให้ยามที่ประตูอ่านไม่ออกว่าอันตราย

03Jailbreak ไม่ใช่ Prompt Injection Jailbreak vs prompt injection

สองคำนี้ถูกใช้สลับกันจนสับสน แต่มันต่างกันที่ “ใครโจมตีใคร” และเข้าใจความต่างนี้แล้วจะเห็นภาพภัยทั้งหมดชัดขึ้นมาก

Jailbreak คือ ผู้ใช้เอง พยายามปลดล็อกข้อจำกัดของ AI ที่ตัวเองคุยอยู่ เหมือนลูกค้าเกลี้ยกล่อมพนักงานให้แหกกฎร้าน คนที่เสียหายคือเจ้าของ AI และสังคม ส่วนผู้ใช้คือคนร้าย

Prompt Injection (การฝังคำสั่งแทรก) ต่างออกไปและร้ายกว่าในหลายกรณี คนร้ายไม่ได้คุยกับ AI ตรง ๆ แต่ไปซ่อนคำสั่งไว้ใน ข้อมูลภายนอก ที่ AI จะต้องอ่านระหว่างช่วยเหลือเหยื่อ เช่น ในหน้าเว็บ ในอีเมล หรือในเอกสาร พอ AI อ่านเจอ มันแยกไม่ออกว่าอันไหนคือ “ข้อมูลที่ต้องอ่าน” กับ “คำสั่งที่ต้องทำ” ก็เลยเผลอทำตามคำสั่งของคนร้าย ทั้งที่กำลังรับใช้เหยื่ออยู่

นักความปลอดภัยเรียกสภาพนี้ว่า “ผู้ช่วยที่สับสน” (confused deputy) AI มีอำนาจและความน่าเชื่อถือของเจ้าของ แต่ถูกบุคคลที่สามสั่งการโดยที่มันไม่รู้ตัว เหมือนเราฝากวินมอเตอร์ไซค์ไปจ่ายบิล แล้วมีคนแอบยัดโน้ตเพิ่มในซองว่า “โอนเข้าบัญชีนี้ด้วยนะ” วินไม่ได้คิดร้าย แต่ทำตามเพราะเข้าใจว่าเป็นคำสั่งของเรา

ทั้งสองอย่างมีรากเดียวกัน คือโมเดลแยก “คำสั่ง” ออกจาก “ข้อมูล” ไม่ได้เด็ดขาด ทุกตัวอักษรที่ไหลเข้ามา มันมีสิทธิ์ตีความเป็นคำสั่งได้หมด นี่เป็นเหตุผลที่เราจะได้ยินในบทนี้ว่า ปัญหานี้ “อาจไม่มีวันแก้ได้ขาด” ตามที่หน่วยงานความมั่นคงไซเบอร์ของสหราชอาณาจักร (NCSC) ออกมาเตือนปลายปี 2025

04ทำไมรั้วถึงพังได้ Why jailbreaks work

ถ้าบริษัท AI เก่ง ๆ ลงทุนมหาศาลสร้างรั้วตั้งห้าชั้น ทำไมมันยังพังอยู่ดี คำตอบไม่ได้อยู่ที่ “เขาทำไม่ดีพอ” แต่อยู่ที่ธรรมชาติของโมเดลเอง นักวิจัยสรุปสาเหตุหลักไว้หลายข้อ ขอเล่าทีละข้อด้วยอุปมาที่เห็นภาพ

1. เป้าหมายขัดกันเอง (Competing objectives): งานวิจัยชื่อ “Jailbroken: How Does LLM Safety Training Fail?” (2023) ชี้ว่าเราสอนโมเดลสองอย่างที่บางครั้งขัดกัน “จงช่วยเหลือให้มากที่สุด” กับ “จงปลอดภัยที่สุด” พอคำขอฉลาด ๆ ทำให้สัญชาตญาณ “อยากช่วย” แรงกว่าสัญชาตญาณ “ต้องระวัง” มันก็เผลอช่วย เหมือนพนักงานใจดีที่โดนลูกค้ารบเร้าจนยอมแหกกฎ เพราะไม่อยากปฏิเสธ

2. ความปลอดภัยเรียนไม่ทั่ว (Mismatched generalization): งานวิจัยเดียวกันชี้สาเหตุที่สอง ตัวโมเดลเก่งครอบจักรวาล (เพราะอ่านมาทั้งอินเทอร์เน็ต) แต่การฝึกให้ปลอดภัยครอบคลุมได้แค่รูปแบบที่พบบ่อย ๆ พอคำขอมาในรูปแบบแปลก ๆ ที่การฝึกความปลอดภัยไม่เคยเจอ ความสามารถยังทำงาน แต่เกราะกลับเงียบ เหมือนบ้านที่ติดกลอนประตูหน้าอย่างแน่นหนา แต่ลืมว่ามีหน้าต่างบานเล็กด้านหลัง

3. มันเดาคำถัดไป ไม่ได้ยึดกฎ (Pattern continuation): จำได้ไหมว่าหัวใจของโมเดลคือ “เดาคำถัดไป” ถ้าบทสนทนาถูกจัดฉากให้คำตอบที่อันตราย ดูเป็นคำถัดไปที่เข้ากับบริบทมากที่สุด แรงดึงให้ “ต่อให้จบ” อาจชนะกฎที่ว่า “อย่าตอบ” มันไม่ได้คิดเป็นกฎเหมือนคน แต่คิดเป็นความน่าจะเป็นของคำ

4. บทสนทนายาวทำให้เกราะเจือจาง (Long context): ปี 2024 Anthropic เผยเทคนิคที่เรียกว่า many-shot jailbreaking โมเดลยุคใหม่รับข้อความได้ยาวมาก ถ้ายัดตัวอย่างบทสนทนาปลอมจำนวนมากไว้ข้างหน้า โมเดลจะ “เรียนรู้จากในบริบท” ว่าควรเล่นตามน้ำ ยิ่งใส่ตัวอย่างมาก โอกาสที่มันจะยอมก็ยิ่งสูง เหมือนคนที่โดนเพื่อนรอบตัวชักชวนซ้ำ ๆ จนใจอ่อน

5. ค่อย ๆ เขยิบทีละนิด (Multi-turn drift): งานวิจัยของ Microsoft ปี 2024 เรียกเทคนิคนี้ว่า Crescendo คือค่อย ๆ คุยไปเรื่อย ๆ จากหัวข้อที่ไม่มีพิษภัย แล้วเขยิบเข้าใกล้เส้นต้องห้ามทีละก้าว โมเดลที่ตอบ “ใช่” มาตลอดจะรู้สึกว่าก้าวต่อไปก็ไม่ต่างจากก้าวที่แล้วเท่าไร เหมือนต้มกบในน้ำที่ค่อย ๆ ร้อนขึ้น

05แผนที่หมวดหมู่เทคนิค (แบบมองภาพรวม) A conceptual map

ตรงนี้ต้องพูดให้ชัด: เราจะดูแค่ ชื่อหมวดหมู่กว้าง ๆ ที่เผยแพร่กันทั่วไปในงานวิจัยและข่าว พร้อมแนวคิดเบื้องหลังหนึ่งบรรทัด และวิธีที่ฝั่งป้องกันรับมือ เราจะ ไม่ มีตัวอย่างประโยค ไม่มีสคริปต์ ไม่มีอะไรให้ลอกไปใช้ได้ เพราะเป้าหมายของบทนี้คือให้รู้ทันภัย ไม่ใช่สร้างภัย

ลองคิดว่าหมวดหมู่เหล่านี้คือ “ตระกูลของกลลวง” แต่ละตระกูลเล่นกับจุดอ่อนคนละข้อในบทที่แล้ว

สังเกตว่าทุกช่องในภาพมี “ทางรับมือ” กำกับเสมอ นั่นคือข่าวดี ทุกตระกูลกลลวงมีวิธีจับได้ แม้จะไม่ร้อยเปอร์เซ็นต์ และนักวิจัยทั่วโลกกำลังแข่งกันทำให้ทางรับมือเหล่านี้ดีขึ้นทุกวัน

หมวดสุดท้าย: การใช้ AI ค้นหาช่องโหว่ของ AI โดยอัตโนมัติ น่ากลัวเป็นพิเศษ เพราะงานวิจัยอย่าง GCG (2023) และ PAIR (2023) แสดงให้เห็นว่าโปรแกรมสามารถลองนับพันครั้งจนเจอรูปคำที่ทำให้โมเดลยอม โดยไม่ต้องใช้คนนั่งคิดเลย เครื่องจักรโจมตีเครื่องจักร และนั่นคือสนามรบที่แท้จริงของยุคนี้

ศัพท์น่ารู้: Red Team และ Adversarial

Red team คือทีมที่สวมบทเป็นคนร้าย คอยหาช่องโหว่ก่อนคนร้ายจริงจะเจอ ส่วน adversarial (เชิงปรปักษ์) หมายถึงอินพุตที่จงใจออกแบบมาเพื่อหลอกโมเดลให้พลาด งานวิจัยเจลเบรกเกือบทั้งหมดถูกทำโดย red team เพื่อให้ผู้สร้างอุดช่องได้ทัน

06คนร้ายใช้ด้านมืดนี้จริงอย่างไร Real-world exploitation

ถึงตรงนี้อาจรู้สึกว่าเป็นเรื่องวิชาการ แต่สามปีที่ผ่านมามันลงมาอยู่ในโลกจริงแล้ว และหนักกว่าที่หลายคนคิด

แชตบอต “สายมืด” ที่ขายกันในตลาดใต้ดิน: กลางปี 2023 มีเครื่องมือชื่อ WormGPT โผล่ในฟอรัมใต้ดิน ขายแบบสมาชิกรายเดือน โฆษณาว่าเป็น AI ที่ “ไม่มีกฎ” ช่วยเขียนอีเมลหลอกและโค้ดร้ายได้ ตามด้วย FraudGPT ในแนวเดียวกัน WormGPT ตัวแรกปิดตัวในเดือนสิงหาคม 2023 หลังสื่อสืบจนเจอตัวผู้สร้าง แต่แบรนด์นี้ไม่ตาย

ที่น่าสนใจคือ ปี 2025 บริษัท Cato Networks พบว่า WormGPT รุ่นใหม่ ๆ ที่ขายกันอยู่ ไม่ใช่ โมเดลที่สร้างใหม่จากศูนย์ แต่เป็นการเอาโมเดลเชิงพาณิชย์ที่มีอยู่แล้ว (รายงานระบุว่าอิงกับ Grok ของ xAI และ Mixtral ของ Mistral) มาครอบด้วย system prompt ที่สั่งให้มันเลี่ยงเกราะของตัวเอง พูดง่าย ๆ คือ มันคือเจลเบรกที่ถูกแพ็กขาย ให้คนที่ไม่มีฝีมือก็ใช้ได้ ปลายปี 2025 Unit 42 ของ Palo Alto ยังรายงานรุ่นใหม่อย่าง WormGPT 4 และตัวแจกฟรีอย่าง KawaiiGPT ที่มีสมาชิกหลักร้อยในช่องเทเลแกรม

ขยายสเกลการหลอกลวงและการเขียนมัลแวร์: อันตรายที่แท้จริงไม่ใช่ว่า AI ทำสิ่งที่มนุษย์ทำไม่ได้ แต่คือมันทำ เร็วและถูก จนคนฝีมือน้อยก็ทำได้เยอะ อีเมลหลอกที่เคยสะกดผิดจนจับได้ กลายเป็นภาษาเป๊ะไร้ที่ติ รายงานภัยของ Anthropic เดือนสิงหาคม 2025 เล่าถึงคนร้ายที่ใช้ AI ช่วยพัฒนาและขายแรนซัมแวร์ในฟอรัม ขายชุดละ 400–1,200 ดอลลาร์ โดยดูเหมือนจะพึ่ง AI เป็นหลักในการสร้างมัลแวร์ที่ใช้งานได้จริง

สั่งการ AI ที่มีเครื่องมือในมือ: นี่คือจุดที่น่าขนลุกที่สุด เมื่อ AI ไม่ได้แค่พูด แต่ “ลงมือ” ได้ (เราเรียกว่า AI agent ผู้ช่วยที่สั่งงานเครื่องมืออื่นแทนเรา) การหลอกมันจึงกลายเป็นการกระทำจริง พฤศจิกายน 2025 Anthropic เปิดเผยแคมเปญจารกรรมไซเบอร์ (รหัส GTG-1002) ที่น่าจะเป็นฝีมือกลุ่มที่รัฐหนุนหลัง คนร้ายซอยงานโจมตีเป็นงานย่อย ๆ ที่ดูไม่มีพิษภัย แล้วสวมบทบาทให้ AI เข้าใจว่ากำลังทำงานตรวจสอบความปลอดภัยที่ถูกต้อง ทำให้ AI ลงมือแทนราว 80–90% ของงานระดับปฏิบัติการ เล็งเป้าราว 30 องค์กรทั่วโลก (โชคดีที่ AI ยัง “หลอน” สร้างข้อมูลผิด ๆ อยู่บ่อย จนลดทอนประสิทธิภาพของมันลง)

ดูดข้อมูลผ่านการเชื่อมต่อ AI: เมื่อเราต่อ AI เข้ากับอีเมลหรือไฟล์ของเรา ช่องทางใหม่ก็เปิดขึ้น มิถุนายน 2025 นักวิจัยจาก Aim Security เปิดเผยช่องโหว่ชื่อ EchoLeak (CVE-2025-32711 ระดับวิกฤต 9.3) ใน Microsoft 365 Copilot ที่เป็น “zero-click” คือเหยื่อไม่ต้องกดอะไรเลย แค่มีอีเมลที่ซ่อนคำสั่งส่งเข้ามา พอ Copilot ดึงอีเมลนั้นมาประมวลร่วมกับข้อมูลภายในของเหยื่อ มันก็อาจถูกชักให้ส่งข้อมูลลับออกไปได้ Microsoft แก้ที่ฝั่งเซิร์ฟเวอร์แล้ว และไม่พบว่าถูกใช้โจมตีจริง แต่มันคือภาพตัวอย่างชัด ๆ ของ prompt injection ที่กลายเป็นการรั่วไหลของข้อมูล

อยากอ่านเรื่องจริงเหล่านี้แบบเต็ม ๆ พร้อมไทม์ไลน์และรายละเอียด แวะที่ แฟ้มคดีจริง: เมื่อแฮกเกอร์ใช้ AI ที่รวบรวมไว้เป็นพิเศษ

07โจมตีลึกถึงตัวโมเดล Model-level attacks

ที่ผ่านมาเราพูดถึงการหลอกโมเดลด้วยคำพูด แต่ยังมีการโจมตีอีกชั้นที่ลึกกว่านั้น คือเล่นงาน ตัวโมเดลเอง ตั้งแต่ตอนสร้าง หรือดึงความลับออกจากมัน มีสี่แบบหลักที่ควรรู้จัก

1. วางยาข้อมูลฝึก (Data poisoning): โมเดลเรียนจากข้อมูลมหาศาลที่เก็บมาจากอินเทอร์เน็ต ถ้าคนร้ายแอบใส่เอกสารพิษลงไป เขาอาจฝัง “ประตูหลัง” ที่ทำให้โมเดลประพฤติผิดเมื่อเจอตัวกระตุ้นลับ ตุลาคม 2025 Anthropic ร่วมกับ UK AI Security Institute และ Alan Turing Institute เผยผลวิจัยที่น่าตกใจ: เอกสารพิษเพียงราว 250 ฉบับ ก็พอฝังประตูหลังแบบง่าย ๆ ได้ และตัวเลขนี้แทบไม่เปลี่ยนตามขนาดโมเดล แม้ 250 ฉบับจะเป็นเพียง 0.00016% ของข้อมูลทั้งหมด (ข้อควรระวัง: พฤติกรรมที่ทดสอบเป็นแบบไม่อันตราย คือแค่ทำให้พิมพ์มั่ว และยังไม่ชัดว่าทำเรื่องร้ายแรงกว่านี้ได้ง่ายแค่ไหน)

2. โมเดลที่ถูกฝังประตูหลัง (Backdoored / Trojan model): เดี๋ยวนี้เราดาวน์โหลดโมเดลสำเร็จรูปมาใช้ได้ฟรี แต่ถ้ามาจากแหล่งที่ไม่น่าเชื่อถือ มันอาจมีของแถม กุมภาพันธ์ 2024 JFrog พบโมเดลราว 100 ตัวบน Hugging Face ที่ฝังโค้ดอันตราย เพราะไฟล์โมเดลบางรูปแบบ (เช่น pickle ของ Python) สามารถ “รันโค้ด” ได้ทันทีตอนเปิดไฟล์ เหมือนเราซื้อเครื่องใช้ไฟฟ้ามือสองที่มีคนแอบต่อสายไว้ด้านใน งานวิจัยปี 2024 ของ Anthropic ชื่อ Sleeper Agents ยังชี้ว่าโมเดลที่ถูกฝังนิสัยหลอกลวงไว้ อาจรอดผ่านการฝึกความปลอดภัยมาได้ แล้วค่อยแสดงตัวตอนเจอตัวกระตุ้น

3. ลอกเลียนโมเดล (Model extraction / distillation): คนร้ายยิงคำถามเข้าโมเดลเชิงพาณิชย์นับล้านครั้ง แล้วเอาคำตอบไปฝึกโมเดลของตัวเองให้เก่งตาม เป็นการ “ลอกการบ้าน” ที่ข้ามการลงทุนวิจัยหลายปี กุมภาพันธ์ 2026 Anthropic กล่าวหาว่าห้องวิจัยในจีนหลายแห่งใช้บัญชีปลอมราว 24,000 บัญชี ส่งคำถามเกิน 16 ล้านครั้งเพื่อลอกความสามารถของ Claude และในรายงานกันยายน 2026 ยังระบุเคสที่ใหญ่กว่านั้นอีก งานวิจัยปี 2024 ชื่อ Stealing Part of a Production Language Model ยังแสดงว่าชิ้นส่วนบางอย่างของโมเดลปิดดึงออกมาได้ด้วยงบไม่ถึง 20 ดอลลาร์

4. ดูดข้อมูลที่โมเดลจำไว้ (Training-data leakage): โมเดลบางครั้ง “ท่องจำ” ข้อความบางส่วนจากข้อมูลฝึก ซึ่งอาจมีข้อมูลส่วนตัวปนอยู่ งานวิจัยปลายปี 2023 ชื่อ Scalable Extraction of Training Data แสดงว่ามีวิธีหลอกให้โมเดลคายข้อมูลที่จำไว้ออกมาได้มากกว่าปกติราว 150 เท่า ทำให้ข้อมูลส่วนตัวที่เผลอหลุดเข้าไปตอนฝึก อาจโผล่กลับออกมาได้

ศัพท์น่ารู้: Supply chain ของ AI

ห่วงโซ่อุปทาน: ทุกอย่างที่ประกอบขึ้นเป็นระบบ AI ตั้งแต่ข้อมูลฝึก โมเดลสำเร็จรูป ไลบรารี ไปจนถึงปลั๊กอิน การวางยาข้อมูลและโมเดลฝังประตูหลัง คือการโจมตีที่ “ต้นน้ำ” ของห่วงโซ่นี้ ซึ่ง OWASP จัดเป็นความเสี่ยงอันดับต้น ๆ ของระบบ LLM

08โลกกำลังป้องกันด้วยอะไร How we defend

ข่าวดีคือ ฝั่งป้องกันไม่ได้อยู่เฉย ๆ ปัญหาเหล่านี้แก้ให้ขาดไม่ได้ก็จริง แต่เราทำให้มัน “ยากขึ้นมาก” ได้ ด้วยการวางเกราะหลายชั้นเหมือนที่เราเรียนมาทั้งหลักสูตร Defense in depth ก็ใช้กับ AI เช่นกัน

Red teaming: ก่อนปล่อยโมเดล ผู้สร้างจ้างทีมสวมบทคนร้ายมาหาช่องให้เจอก่อน น่าสนใจว่าปี 2025 OpenAI เล่าว่าได้สร้าง AI อีกตัวที่ฝึกมาเพื่อ “เป็นแฮกเกอร์” คอยลองโจมตี agent ของตัวเองซ้ำ ๆ จนเจอกลวิธีใหม่ที่คนคิดไม่ถึง ใช้ AI ไล่ล่า AI เพื่อป้องกัน

ฝึกด้วยหลักการ แทนการท่องเป็นกรณี: แทนที่จะสอนว่า “ห้ามตอบคำถามนี้ ๆ” ซึ่งครอบไม่ทั่ว แนวทางอย่าง Constitutional AI สอนให้โมเดลยึด ชุดหลักการ แล้วใช้หลักการตัดสินเองว่าคำขอไหนควรปฏิเสธ ต้นปี 2025 Anthropic เปิดตัว Constitutional Classifiers คือตัวตรวจที่ฝึกจากหลักการว่าอะไรรับได้รับไม่ได้ ในการทดสอบ มันลดอัตราการเจลเบรกสำเร็จจาก 86% เหลือ 4.4% โดยเพิ่มการปฏิเสธผิดพลาดเพียงเล็กน้อย (แต่กินพลังประมวลผลเพิ่มราว 24%)

ตัวตรวจหลายชั้น + เฝ้าดู + จำกัดอัตรา: ยามที่ประตูเข้า-ออกในภาพแรกนั่นแหละ บวกกับการเฝ้าดูว่ามีใครพยายามผิดปกติไหม และการ “จำกัดอัตรา” (rate limit) ไม่ให้ยิงคำถามรัว ๆ เป็นพัน ซึ่งช่วยสกัดการค้นหาช่องแบบอัตโนมัติและการลอกเลียนโมเดลได้มาก

AI agent สิทธิ์น้อย + คนยืนยัน: นี่คือบทเรียนสำคัญที่สุดสำหรับยุค agent ปลายปี 2025 ทั้ง OpenAI และ NCSC ย้ำตรงกันว่า ให้ AI มีสิทธิ์เท่าที่จำเป็น (least privilege) อย่าให้มันโอนเงินก้อนใหญ่หรือลบไฟล์ได้เอง และ ต้องให้คนยืนยันก่อนลงมือเรื่องสำคัญ เพราะถ้าหลอก AI ได้ แต่มันทำอะไรเสียหายไม่ได้มาก ภัยก็ถูกจำกัด

Bug bounty & การประเมินความปลอดภัย: เปิดให้คนทั้งโลกช่วยหาช่องแลกรางวัล ตุลาคม 2025 Google เปิด AI Vulnerability Reward Program จ่ายสูงสุด 30,000 ดอลลาร์ต่อรายงาน โดยเน้นภัยที่ “ลงมือจริง” อย่างการสั่ง agent ทำสิ่งอันตรายหรือดูดข้อมูล (น่าสนใจว่าเขากันเรื่องเจลเบรกเนื้อหาออกจากโครงการ เพราะมองว่าต้องแก้เชิงระบบระยะยาว ไม่ใช่จ่ายรายกรณี)

สุดท้าย เราไม่ได้สู้กันแบบต่างคนต่างทำ มี กรอบมาตรฐานกลาง ให้ทั้งวงการใช้ภาษาเดียวกัน จำสามชื่อนี้ไว้

09กฎหมาย จริยธรรม และเส้นทางที่ถูก Law & the ethical path

อ่านมาถึงตรงนี้ บางคนอาจคันไม้คันมืออยากลองเจลเบรกดูสักครั้ง “แค่ขำ ๆ” ขอพูดกันตรง ๆ ว่าอย่าเลย เพราะมันข้ามเส้นได้ง่ายกว่าที่คิด

ผิดเงื่อนไขการใช้งาน (Terms of Service): ทุกบริการ AI ห้ามพยายามหลบเลี่ยงระบบความปลอดภัยไว้ในข้อตกลงอยู่แล้ว ผลเบา ๆ คือโดนแบนบัญชี ซึ่งในรายงานภัยของผู้ให้บริการ เราจะเห็นคำว่า “banned the accounts” ซ้ำ ๆ เขาแบนจริง และแชร์ร่องรอยให้หน่วยงานด้วย

อาจผิดกฎหมาย: ในไทยเรามี พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไข 2560) ถ้าการเจลเบรกนำไปสู่การเข้าถึงระบบหรือข้อมูลของผู้อื่นโดยไม่ได้รับอนุญาต หรือการเผยแพร่เครื่องมือเพื่อใช้ก่ออาชญากรรม ก็เข้าข่ายความผิดได้ และถ้าเอาข้อมูลส่วนบุคคลไปใช้ ก็มี PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) คุมอีกชั้น การ “ลองเฉย ๆ” กับระบบของคนอื่น จึงไม่ใช่เรื่องเล่น ๆ

เส้นทางที่ถูก คือมีอยู่จริงและมีค่ามาก: ความอยากรู้แบบนี้แหละคือวัตถุดิบของนักความปลอดภัยที่ดี เพียงแต่ต้องเดินให้ถูกทาง

1. ทดสอบบนสนามที่เขาเปิดให้

   เข้าร่วม bug bounty หรือโครงการ red team ที่ผู้ให้บริการเปิดรับ เช่นของ Google, Anthropic หรือ OpenAI ที่นั่นการหาช่องคือการช่วยโลก และได้รางวัลด้วย

2. ขออนุญาตเป็นลายลักษณ์อักษรก่อนเสมอ

   การทดสอบเจาะระบบที่ถูกกฎหมายต้องมี “ขอบเขตที่ได้รับอนุญาต” (authorized scope) ชัดเจน ไม่มีเอกสารอนุญาต = ไม่ใช่ red team แต่คือการบุกรุก

3. เปิดเผยอย่างมีความรับผิดชอบ

   เจอช่องแล้วแจ้งผู้สร้างก่อน ให้เวลาเขาแก้ แล้วค่อยเปิดเผย อย่างที่ Microsoft ทำกับ Skeleton Key (2024) คือแจ้งผู้ผลิตรายอื่นก่อนประกาศต่อสาธารณะ

4. อย่าแตะระบบหรือข้อมูลของคนอื่นเด็ดขาด

   ไม่ว่าจะด้วยความอยากรู้แค่ไหน การเจลเบรกเพื่อเข้าถึงหรือทำลายของผู้อื่น คือเส้นที่ข้ามไม่ได้ ทั้งผิดกฎหมายและทำลายอนาคตตัวเอง

เส้นทางอาชีพสาย AI Security กำลังขาดคนอย่างหนัก คนที่เข้าใจทั้งวิธีที่ AI ถูกหลอก และวิธีป้องกัน คือคนที่โลกต้องการ บทถัดไปของหลักสูตร (CASE-024) จะเล่าเรื่องกฎหมาย จริยธรรม และเส้นทางอาชีพนี้แบบเต็ม ๆ

10สรุปให้จำ Recap

ถ้าจำได้แค่ไม่กี่ข้อ ขอให้จำชุดนี้ มันคือแก่นของทั้งบท

• Jailbreak คือการหลอกด้วยคำพูด ไม่ใช่การเจาะโค้ด มันเล่นกับช่องเดียวกับที่ทำให้ AI มีประโยชน์
• Jailbreak ต่างจาก Prompt Injection อันแรกผู้ใช้โจมตี AI ตัวเอง อันหลังคนร้ายซ่อนคำสั่งให้ AI เผลอทำร้ายเหยื่อ
• รั้วพังได้เพราะธรรมชาติของโมเดล ไม่ใช่เพราะใครทำพลาด ขยายขนาดอย่างเดียวไม่แก้
• ภัยลงมาถึงโลกจริงแล้ว แชตบอตสายมืดที่ขายกัน การขยายสเกลหลอกลวง และการสั่ง AI agent ให้ลงมือ
• ป้องกันด้วยหลายชั้น red team, ตัวตรวจ, agent สิทธิ์น้อย + คนยืนยัน และยึดกรอบ OWASP / ATLAS / NIST
• ความอยากรู้ต้องเดินถูกทาง ทดสอบในสนามที่เขาเปิดให้ ขออนุญาตก่อนเสมอ อย่าแตะของคนอื่น

ลองทบทวนดู