เมื่อ AI สร้างช่องโหว่ระดับสูงได้ใน 6 วัน: XBOW คว้าเงินรางวัล $250,000 จาก Google สำเร็จ

Published:


วันนี้ผมมีข่าวไอทีและวงการความปลอดภัยไซเบอร์ที่น่าสนใจและถือเป็นหมุดหมายสำคัญของยุค AI มาฝากกันครับ เมื่อทีมนักวิจัยจากบริษัทด้านความปลอดภัย XBOW สามารถใช้โมเดลปัญญประดิษฐ์ (AI Agents) ที่ขับเคลื่อนด้วย GPT-5.6 Sol ของ OpenAI ในการสร้างชุดช่องโหว่แบบ Full-Chain สำหรับเจาะเบราว์เซอร์ Google Chrome บน Windows ได้สำเร็จภายในเวลาเพียง 6 วัน เท่านั้น จนคว้ารางวัลสูงสุดมูลค่า 250,000 ดอลลาร์สหรัฐ (ประมาณ 8.5 ล้านบาท) จาก Google มาครอง

เจาะลึกเบื้องหลังการโจมตีและการทำงานของ AI

การโจมตีครั้งนี้ไม่ใช่แค่การหาช่องโหว่ธรรมดา แต่เป็นการเชื่อมโยงช่องโหว่ 3 จุดเข้าด้วยกัน (Chaining) เพื่อทะลวงผ่านระบบป้องกันหลายชั้นของ Chrome บนระบบปฏิบัติการ Windows โดยที่ผู้ใช้เพียงแค่เปิดหน้าเว็บอันตรายขึ้นมาเท่านั้น ก็สามารถรันโค้ดภายนอกเบราว์เซอร์ได้ทันทีโดยไม่ต้องคลิกหรือดาวน์โหลดไฟล์ใดๆ เพิ่มเติม

  • ระยะเวลาและความคุ้มทุน: การสร้างชุดเจาะระบบนี้เกิดขึ้นระหว่างวันที่ 2-7 สิงหาคม 2026 ช่วงงานประชุม Black Hat และ DEF CON ที่ลาสเวกัส โดยใช้งบประมาณด้านพลังประมวลผล (API Compute) ไปประมาณ 40,000 ดอลลาร์สหรัฐ ซึ่งถือว่าคุ้มค่ามากเมื่อเทียบกับเงินรางวัลและผลลัพธ์ที่ได้
  • การแบ่งงานระหว่างมนุษย์กับ AI: ทาง XBOW เน้นย้ำว่า AI ทำหน้าที่ค้นหาซอร์สโค้ด ทดสอบแนวคิด สร้างตัวต้นแบบ (Proof of Concept) และร่างโค้ดชุดแรก ส่วนนักวิจัยมนุษย์อย่าง Brendan Dolan-Gavitt ทำหน้าที่กำหนดเป้าหมายให้บริบท ตรวจสอบท้าทายผลลัพธ์ของ AI และตัดสินใจว่าจะเชื่อมโยงชิ้นส่วนไหนเข้าด้วยกัน

กลไกการเจาะระบบ 3 ขั้นตอน

ช่องโหว่ทั้ง 3 จุดอยู่ในส่วนประกอบที่แตกต่างกันของ Chrome ประกอบด้วย

  1. ช่องโหว่ตัวที่ 1 (V8 Engine): ควบคุมหน่วยความจำภายในเอนจิน JavaScript ของ Chrome
  2. ช่องโหว่ตัวที่ 2 (WebP Decoder): ใช้ประโยชน์จากการอ่านภาพเคลื่อนไหว WebP เพื่อแหกออกจากแซนด์บ็อกซ์ชั้นใน
  3. ช่องโหว่ตัวที่ 3 (Crashpad): โจมตีระบบจัดการข้อผิดพลาด (Crash handler) ของ Chrome ที่ทำงานอยู่นอกแซนด์บ็อกซ์ เพื่อเปลี่ยนเป็นการรันโค้ดบนเครื่องคอมพิวเตอร์ได้เต็มรูปแบบ

การแก้ไขและความปลอดภัยของผู้ใช้งาน

  • ช่องโหว่ทั้งหมดได้รับการรายงานให้ทาง Google ทราบและได้รับการแก้ไขเป็นที่เรียบร้อยแล้ว โดยไม่เคยถูกนำไปใช้จริงกับผู้ใช้งานทั่วไป
  • Google ได้ออกแัปเดตแพตซ์ความปลอดภัยใน Chrome เวอร์ชัน 152.0.7977.65 (25 สิงหาคม) และ 152.0.7977.82 (3 September)
  • คำแนะนำสำหรับผู้ใช้: แม้ Chrome จะอัปเดตให้อัตโนมัติ แต่จะมีผลสมบูรณ์ก็ต่อเมื่อทำการ รีสตาร์ทเบราว์เซอร์ใหม่ แนะนำให้ตรวจสอบว่าเวอร์ชันของท่านเป็น 152.0.7977.82 หรือใหม่กว่า เพื่อความปลอดภัย
เหตุการณ์นี้นับเป็นสัญญาณเตือนครั้งใหญ่ว่า กำแพงอุปสรรคด้านเวลาและต้นทุนในการสร้างมัลแวร์ระดับสูงได้ลดต่ำลงอย่างมากในยุค AI บรรดานักพัฒนาและทีมรักษาความปลอดภัยจึงต้องปรับตัวรับมือกันอย่างจริงจังครับ

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก

Tags:

คุณอาจจะชอบ

ดูทั้งหมด
ใหม่กว่า เก่ากว่า
แชร์กับแอปอื่นๆ
คัดลอก ลิงค์ไปยังโพสต์