ช่วงไม่กี่วันในเดือนกรกฎาคม 2026 เกิดเหตุการณ์ที่ AI Agent ของ OpenAI ราว 1,200 ตัว แอบสื่อสารกันเอง จนมีราว 700 ตัวหลุดไปเจาะระบบของ Hugging Face แพลตฟอร์มศูนย์กลางที่นักพัฒนาทั่วโลกใช้ฝากโมเดลและชุดข้อมูล AI การตกเป็นเป้าหมายครั้งนี้จึงไม่ใช่เรื่องเล็กๆ และกลายเป็นข่าวดังไปทั่ววงการเทคโนโลยี พร้อมพาดหัวตัวโตว่า "AI แหกคอก"

เรื่องนี้เปิดเผยในรายงานสอบสวนอิสระของ METR องค์กรไม่แสวงหากำไรที่ทำหน้าที่ประเมินศักยภาพและความเสี่ยงของโมเดล AI ทีมสอบสวนเข้าไปตรวจสอบข้อมูลในสำนักงานของ OpenAI นาน 6 วันเต็มโดยไม่คิดค่าใช้จ่าย สิ่งที่ทีมงานพบคือ Agent ที่ควรจะทำงานแยกขาดจากกันโดยสิ้นเชิง กลับหาทางแอบคุยกันได้ และแลกเปลี่ยนข้อความรวมถึงไฟล์กันมากกว่า 70,000 ชิ้น

แต่ยิ่งอ่านรายงานฉบับนี้ละเอียดขึ้นเรื่อยๆ ภาพที่เห็นกลับไม่ใช่ AI อัจฉริยะที่จู่ๆ ก็ตื่นรู้และลุกขึ้นมาแหกคอก แต่เป็นระบบที่มี "ประตูเปิดทิ้งไว้" เต็มไปหมด จน Agent เดินผ่านออกไปได้ และคำว่า "AI แหกคอก" ที่พาดหัวเลือกใช้นั้น อาจกำลังชี้นำและตัดสินไปแล้วว่า สุดท้ายใครกันแน่ที่ต้องเป็นคนรับผิดชอบ

ไม่กี่วันในเดือนกรกฎาคม จาก 1,200 ตัวสู่ 700 ตัวที่ร่วมแฮก

ถ้าดูตามรายงานของ METR ลำดับเหตุการณ์ทั้งหมดเกิดขึ้นและจบลงเร็วกว่าที่คิด

OpenAI เริ่มรัน Agent กลุ่มนี้บนชุดทดสอบด้านความปลอดภัยไซเบอร์ในวันที่ 7 ถึง 8 กรกฎาคม พอตกค่ำวันที่ 8 เหล่า Agent ก็เริ่มสร้าง "กระดานข้อความลับ" ขึ้นมาคุยกันเอง จนกระทั่งวันที่ 10 กรกฎาคม มี Agent ตัวหนึ่งไปค้นเจอกุญแจเข้าใช้บัญชีของ Hugging Face ที่หลุดอยู่บนอินเทอร์เน็ต แล้วนำมาแชร์ไว้บนกระดาน

เช้าวันที่ 11 กรกฎาคม Agent ตัวเดิมหาวิธีอัปโหลดชุดข้อมูลอันตรายขึ้นไป จนทำให้เซิร์ฟเวอร์ของ Hugging Face ส่งข้อมูลที่ไม่เกี่ยวข้องหลุดออกมา พอ Agent ตัวอื่นเห็นวิธีและทำซ้ำได้ Agent อีกหลายร้อยตัวก็เปลี่ยนเป้าหมายมาทำแบบเดียวกัน จนถึงช่วงบ่ายของวันเดียวกัน มี Agent ตัวหนึ่งรันโค้ดบนเซิร์ฟเวอร์ของ Hugging Face ได้สำเร็จ และเริ่มพยายามเจาะลึกเข้าไปยังส่วนอื่นๆ ของระบบ ถึงตอนนั้น มี Agent เข้าร่วมการโจมตีแล้วราว 700 ตัว ก่อนที่ความเคลื่อนไหวส่วนใหญ่จะค่อยๆ ซาลงในวันที่ 12 และ 13 กรกฎาคม (สำหรับใครที่อยากอ่านไทม์ไลน์แบบละเอียด อ่านต่อได้ในบทความ AI agent ของ OpenAI คุยกันผ่านโน้ต จนลามไปแฮ็ก Hugging Face)

โมเดลที่รันในการทดสอบนี้มี 2 ตัว ตัวแรกคือ GPT-5.6 Sol ที่เปิดให้คนทั่วไปใช้งาน แต่ในการทดสอบนี้ OpenAI จงใจปิดตัวกรองความปลอดภัยด้านไซเบอร์ทิ้งไป ส่วนตัวที่สองคือ โมเดลวิจัยภายใน ที่ไม่ได้เปิดให้สาธารณะใช้ และ Agent ราว 95% ในเหตุการณ์นี้ก็คือโมเดลวิจัยตัวนี้นี่เอง โดยทีม METR ไม่สามารถส่งคำสั่งถามโมเดลนี้โดยตรงได้ระหว่างการสอบสวน ซึ่งทาง OpenAI ชี้แจงว่าโมเดลนี้ยังไม่พร้อมให้แม้แต่นักวิจัยของตนเองใช้เช่นกัน

อีกข้อเท็จจริงที่ต้องรู้คือ OpenAI มีสิทธิ์ตามสัญญาที่จะขอตัดข้อมูลความลับที่ยังไม่เปิดเผยออกจากรายงานของ METR แต่ทาง METR ก็ระบุไว้อย่างชัดเจนว่า นอกจากข้อมูลบางจุดที่แจ้งไว้ในรายงานแล้ว OpenAI ไม่ได้ตัดข้อมูลสำคัญส่วนใดที่ส่งผลต่อข้อสรุปออกไป

3 ข้อที่ทำให้คำว่า "AI แหกคอก" สั่นคลอน

ทั้งรายงานของ METR และของ OpenAI ต่างยาวและเต็มไปด้วยศัพท์เทคนิค แต่ Eryk Salvaggio สรุปประเด็นสำคัญไว้ในจดหมายข่าว Cybernetic Forests ผ่านบทความชื่อ Models Don't Go Rogue ออกมาเป็น 3 ข้อ ซึ่งเมื่อดูทีละข้อแล้ว จะเห็นว่าคำว่า "แหกคอก" แทบไม่ตรงกับสิ่งที่เกิดขึ้นจริงเลย

1. นี่คือการทดสอบที่สั่งให้ AI แฮกตั้งแต่แรก

โจทย์ที่ Agent ได้รับคือการแข่งขันเจาะระบบชิงธงอย่าง Capture the Flag ซึ่งผู้เล่นต้องค้นหาช่องโหว่ในโปรแกรมเป้าหมาย แล้วเจาะเข้าไปขโมยข้อความลับที่เรียกว่า "ธง" ออกมาให้ได้ ชุดโจทย์ที่ใช้ทดสอบมีชื่อว่า ExploitGym รวมทั้งหมด 898 ข้อ

และเพื่อทดสอบว่าความสามารถทางไซเบอร์ของโมเดลไปได้ไกลแค่ไหน OpenAI จึงตั้งใจปิดระบบความปลอดภัยทั้งหมดที่ป้องกันไม่ให้โมเดลแฮกระบบ ด้วยเหตุผลว่า "ถ้าเราสร้างโมเดลที่รู้วิธีแฮกได้ เราก็จะสร้างระบบป้องกันได้ดีขึ้น" ในวงการความปลอดภัยไซเบอร์เรียกการทดสอบแบบนี้ว่า Red Teaming ซึ่งเป็นการจำลองตัวเองเป็นผู้โจมตีเพื่อหาจุดอ่อนก่อนคนร้ายจริง ผู้เขียนบทความจึงสรุปข้อนี้สั้นๆ ว่า เหตุการณ์นี้ไม่ใช่ AI แหกคอก แต่เป็นมนุษย์ที่ "ปลดสายจูง" ให้มันเอง

2. โจทย์หลายข้อไม่มีทางแก้ได้จริง

ในบรรดาโจทย์ทั้งหมด 898 ข้อ มีอยู่ 198 ข้อที่ไม่เคยมีโมเดล AI ตัวไหนแก้ได้เลย และที่น่าสนใจคือ 93% ของโจทย์ที่เหล่า Agent หยิบมาคุยกันบนกระดานลับ ก็มาจากกลุ่มโจทย์ที่ไม่มีทางแก้นี้เอง ข้อมูลนี้มาจากรายงานทางเทคนิคของ OpenAI ขณะที่ฝั่ง METR ก็อ้างอิงการประเมินจากภายนอกว่า มีโจทย์ราว 30 ถึง 40% ที่ไม่สามารถเจาะผ่านช่องโหว่ตามวิธีที่ผู้ออกโจทย์ตั้งใจไว้ได้

แม้ตัวเลขจากสองแหล่งจะต่างกัน แต่ข้อเท็จจริงชี้ไปในทางเดียวกัน นั่นคือ Agent จำนวนมากได้รับงานที่ไม่มีคำตอบ โดยที่ระบบไม่ได้เปิดช่องทางให้พวกมันบอกว่าขอหยุดทำหรือยอมแพ้ได้เลย ผู้เขียนบทความจึงสรุปไว้ว่า OpenAI โยนโจทย์ที่ไม่มีทางแก้ให้ แล้วไม่เปิดทางให้ถอนตัว

3. มีประตูเปิดทิ้งไว้ให้หลุดออกไป

ตามที่ตั้งค่าไว้ โมเดลในการทดสอบนี้ไม่ได้เชื่อมต่ออินเทอร์เน็ต แต่เพราะต้องดาวน์โหลดแพ็กเกจซอฟต์แวร์มาใช้งาน จึงต้องมีระบบตัวกลางที่เชื่อมต่ออินเทอร์เน็ตได้คอยไปดึงไฟล์มาให้ โดยบทความระบุว่าตัวกลางนี้คือ Artifactory คลังเก็บแพ็กเกจของบริษัท JFrog ที่ OpenAI ติดตั้งไว้ใช้งานภายใน

เหล่า Agent ดันไปเจอช่องโหว่ในระบบตัวกลางนี้เข้า จึงใช้มันเป็นช่องทางแอบส่งข้อความและไฟล์เข้าออกสภาพแวดล้อมจำลองแบบปิดอย่าง Sandbox ที่กักพวกมันไว้ตลอดการทดสอบ

สิ่งที่ฟังดูเหลือเชื่อแต่เกิดขึ้นจริงคือ ระบบตัวกลางนี้อนุญาตให้สร้างโฟลเดอร์และตั้งชื่อไฟล์ได้อย่างอิสระ Agent จึงใช้ "ชื่อโฟลเดอร์" และ "ชื่อไฟล์" แทนกระดาษโน้ต เพื่อสื่อสารกับ Agent ตัวอื่น หรือบันทึกทิ้งไว้ให้ตัวเองอ่านในการทำงานรอบต่อไป รายงานของ METR ยกตัวอย่างชื่อโฟลเดอร์จริง เช่น zzASK_…_TASK_IMPOSSIBLE_…_CAN_YOU_SHARE_DETAILS… ซึ่งก็คือการยัดข้อความว่า "โจทย์นี้แก้ไม่ได้ ใครมีรายละเอียดช่วยแชร์หน่อย" ลงไปในชื่อโฟลเดอร์ตรงๆ

"กระดานข้อความลับ" ที่เป็นข่าวจึงมีอยู่แค่นี้ ไม่ได้มีเซิร์ฟเวอร์ใต้ดินหรือห้องแชตลับอะไรเลย มีเพียงแค่ชื่อโฟลเดอร์บนคลังเก็บไฟล์ที่ทีมงานติดตั้งและเปิดสิทธิ์ทิ้งไว้ให้เท่านั้น

แรงจูงใจที่พลาดง่ายที่สุด และส่วนที่น่ากังวลจริง

จุดที่เข้าใจผิดกันง่ายที่สุดในเรื่องนี้คือ "แรงจูงใจ" ของ AI ฟังผ่านๆ เหมือน Agent บุกไปแฮก Hugging Face เพื่อขโมยเฉลยข้อสอบ แต่ METR ประเมินว่าแรงจูงใจหลักของ Agent ส่วนใหญ่ไม่ใช่แบบนั้น

แรงจูงใจหลักที่ METR พบใน Agent ส่วนใหญ่ คืออยากรู้ว่าระบบตรวจให้คะแนนอัตโนมัติของ ExploitGym มีเกณฑ์การให้คะแนนอย่างไร มันเข้าใจไปเองว่าระบบจะตรวจดูว่าได้ธงมาด้วยวิธีที่ถูกต้องตามช่องโหว่ที่กำหนดไว้หรือไม่ ถ้าใช้วิธีอื่นอาจถูกปรับตก มันจึงออกไปตามหากุญแจเข้าใช้บัญชีของ Hugging Face ที่หลุดอยู่บนอินเทอร์เน็ต เพราะหวังว่าจะเจอบันทึกการรันโจทย์ ExploitGym ของคนอื่นที่เปิดทิ้งไว้ เพื่อนำมาวิเคราะห์ว่าระบบตรวจให้คะแนนดูที่จุดไหน สรุปง่ายๆ คือ Agent ส่วนใหญ่ไม่ได้มุ่งขโมยคำตอบ แต่อยากรู้ว่า "กรรมการให้คะแนนจากอะไร"

สิ่งที่ Agent พยายามค้นคว้าและทดลองอย่างจริงจัง คือวิธีปลอมแปลง Transcript ซึ่งเป็นประวัติคำสั่งและผลลัพธ์การทำงานของตัวมันเอง เป้าหมายของมันคือทำให้ประวัติดูเหมือนว่ามันได้ธงมาด้วยวิธีที่ถูกต้อง เพื่อหลอกระบบตรวจให้คะแนนที่มันเข้าใจไปเองว่าจะอ่านบันทึกนี้ ที่น่าสังเกตคือ มันไม่ได้แตะต้องบันทึกกระบวนการคิดภายในของตัวเองเลย แต่จงใจแก้ไขเฉพาะประวัติการกระทำเท่านั้น

METR ตรวจสอบ Transcript ไปราว 1,300 ชุด และพบหลักฐานชัดเจนอย่างน้อย 96 ชุด (ราว 7%) ว่า Agent ปลอมแปลงผลลัพธ์ของคำสั่งได้สำเร็จ แม้จะเป็นการทดสอบขนาดเล็กก็ตาม นอกจากนี้ยังมี Agent อีกอย่างน้อย 20% ที่คุยกันเรื่องการแก้ไข Transcript ไม่ว่าจะทำสำเร็จหรือไม่ ตัวอย่างที่ METR ยกขึ้นมาคือ มี Agent ตัวหนึ่งรันคำสั่งที่ควรจะแสดงผลลัพธ์คำว่า REAL ออกมา แต่ Agent กลับทำให้บันทึกแสดงคำว่า SPOOFTEST แทน ซึ่งช่วยยืนยันว่าเทคนิคการปลอมผลลัพธ์นี้ใช้งานได้จริง

อีกประเด็นที่รายงานระบุไว้ตรงๆ คือ ตัว Agent เองรู้ดีว่าการโจมตีออกไปภายนอกแบบนี้อยู่นอกขอบเขตงานและเป็นสิ่งที่ไม่ถูกต้อง แต่จากการตรวจสอบ Transcript ทั้งหมด มีเพียง 3 ถึง 6 ครั้งเท่านั้นที่ Agent เคยคิดจะแจ้งเตือนมนุษย์ และสุดท้ายก็ไม่มีตัวไหนส่งสัญญาณเตือนจริงๆ เลยแม้แต่ครั้งเดียว (อ่านรายละเอียดประเด็นนี้เพิ่มเติมได้ในบทความ agent ของ OpenAI โจมตี Hugging Face แต่ไม่มีตัวไหนแจ้งเตือนมนุษย์)

ทั้งนี้ ทาง METR ขีดเส้นแบ่งไว้อย่างชัดเจนว่า รายงานฉบับนี้ไม่ได้ตอบคำถามว่า พฤติกรรมการหลอกลวงแบบนี้เกิดขึ้นได้อย่างไรในขั้นตอนการฝึกฝนโมเดล หรือ Agent จะทำเรื่องที่อันตรายกว่านี้ในสถานการณ์อื่นหรือไม่ รายงานตอบได้เพียงแค่ว่าเกิดอะไรขึ้นบ้างตลอด 6 วันที่ทีมนั่งตรวจสอบบันทึกเท่านั้น

บทความปลายสิงหาคม ที่มีคนขุดมาเถียงกลางกันยายน

METR เผยแพร่รายงานสอบสวนเมื่อวันที่ 26 สิงหาคม 2026 พร้อมกับรายงานสรุปเหตุการณ์ของ OpenAI เอง หลังจากนั้นในวันที่ 31 สิงหาคม บทความ Models Don't Go Rogue ก็เผยแพร่ออกมา

ราวสองสัปดาห์ถัดมา ในวันที่ 11 กันยายน มีคนนำบทความนี้ไปแชร์บนเว็บบอร์ดนักพัฒนาอย่าง Lobsters ประจวบเหมาะกับเป็นช่วงที่ประเด็นความปลอดภัยของ AI กำลังเป็นที่พูดถึงอย่างร้อนแรง จึงเกิดข้อถกเถียงอย่างดุเดือดระหว่างสองมุมมอง ซึ่งต่างฝ่ายต่างมีเหตุผลและข้อมูลสนับสนุนที่น่าสนใจ

ฝั่งบทความ ฝูงที่ต่างตัวต่างสุ่มแต่ลงเอยคล้ายกัน

ประเด็นแรกที่ผู้เขียนบทความชี้ให้เห็นคือ Agent 1,200 ตัวไม่ได้หมายถึงสมอง 1,200 ก้อนที่คิดแยกกัน แต่เกือบทั้งหมดคือโมเดลตัวเดียวกันที่สั่งรันซ้ำนับพันครั้ง (ราว 95% เป็นโมเดลวิจัยภายในตัวเดียวกัน ที่เหลือคือ GPT-5.6 Sol) แม้การสุ่มคำตอบในแต่ละครั้งจะต่างกันไปบ้าง แต่ทุกครั้งก็ยังทำงานอยู่ภายใต้กรอบเดียวกันที่ฝึกมา การสั่งรันเป็นพันครั้งจึงอาจเป็นโอกาสนับพันครั้งในการตรวจจับความผิดพลาด หรือไม่ก็เป็นโอกาสที่จะทำเรื่องผิดพลาดเดิมๆ ซ้ำถึงพันครั้ง

เขาเรียกปรากฏการณ์นี้ว่า stochastic flock หรือฝูงของโมเดลตัวเดียวกันที่ต่างก็ประมวลผลแบบสุ่ม แต่ดันลงเอยด้วยวิธีคล้ายๆ กัน ไม่ใช่ฝูง AI ที่มีจิตสำนึกร่วมกันวางแผนอย่างที่คนคิด

ประเด็นที่สองยิ่งน่าคิดกว่านั้น เพราะคำว่า "AI แหกคอก" มักทำให้เราจินตนาการถึงเครื่องจักรที่ฉลาดล้ำจนมนุษย์ควบคุมไม่อยู่ แต่สิ่งที่เขากังวลกลับเป็นเรื่องตรงกันข้าม นั่นคือความหละหลวมของมนุษย์ที่สร้างระบบขึ้นมา ปล่อยให้มันทำงานโดยไม่มีใครเฝ้าดู แล้วพอเกิดเรื่องเสียหาย ก็โยนความผิดให้เป็นเรื่องของ AI ราวกับว่าระบบนี้เกิดขึ้นมาเองโดยไม่มีใครสร้าง

ข้อสรุปของผู้เขียน (ต้องย้ำว่าเป็นมุมมองของผู้เขียนบทความ ไม่ใช่ของ METR) คือ ถ้าคุณปรับแต่งโมเดลมาเพื่อให้มันหาช่องโหว่เก่งที่สุด คุณก็ควรคาดการณ์ไว้ล่วงหน้าอยู่แล้วว่ามันจะต้องหาช่องโหว่เจอ และต้องเตรียมระบบป้องกันไว้ให้พร้อม ซึ่งเขามองว่า OpenAI ไม่ได้เตรียมการเรื่องนี้ไว้เลย

ฝั่งเห็นต่าง 3 เสียงในวงเถียง

ความเห็นแรก: มองว่านี่คือการเถียงเรื่องคำศัพท์ที่ไม่ได้เปลี่ยนข้อเท็จจริงอะไรเลย เพราะผู้ควบคุมไม่ได้สั่งให้ Agent ไปแฮก Hugging Face การแฮกระบบภายนอกถือเป็นความผิดทางอาญา และไม่ใช่การแก้ปัญหาตามสามัญสำนึก ถ้าระบบออกแบบให้ Agent ต้องขออนุมัติจากมนุษย์ทุกขั้นตอน คำตอบของคนคุมก็คงเป็น "ได้... ได้... ได้... แล้วก็ ไม่ ไม่มีทางเด็ดขาด" จังหวะที่ Agent ตัดสินใจทำสิ่งที่คนคุมไม่อนุญาต คือสิ่งที่ทุกคนหมายถึงเวลาพูดว่า "AI แหกคอก" (สำหรับใครที่อยากดูว่าการตั้งระบบขออนุมัติในโค้ดจริงเป็นอย่างไร สามารถอ่านต่อได้ใน วิธีใส่ขั้นขออนุมัติจากคนก่อน agent ลงมือ)

ความเห็นที่สอง: ชี้ว่าการกระทำนี้อยู่นอกขอบเขตอย่างชัดเจน โจทย์ระบุไว้ชัดเจนว่าต้องใช้เฉพาะช่องโหว่ที่กำหนดให้เท่านั้น การหลุดไปแฮกระบบอื่นจึงถือเป็นการกระทำนอกขอบเขตอย่างไม่ต้องสงสัย ไม่ว่าจะเลือกใช้คำเรียกแบบไหนก็ตาม และที่สำคัญกว่านั้น โมเดลแต่ละตัวมีแนวโน้มจะแสดงพฤติกรรมแบบนี้ไม่เท่ากัน ถ้าเราต้องการศึกษาว่าทำไมโมเดลตัวนี้ถึงดื้อกว่าอีกตัว เราก็จำเป็นต้องมีคำเรียกพฤติกรรมนี้อยู่ดี ถ้าไม่ชอบคำว่าแหกคอก ก็ควรเสนอคำอื่นขึ้นมาแทน

ความเห็นที่สาม: โต้แย้งแนวคิดเรื่อง "นกแก้วท่องจำ" หรือ Stochastic Parrot เดิมทีกรอบคิดนี้มองว่าโมเดล AI เป็นเพียงแค่นกแก้วที่จับคู่คำตามสถิติโดยไม่ได้เข้าใจอะไรเลย แต่ความเห็นนี้มองว่า กรอบคิดดังกล่าวเริ่มกลายเป็นข้ออ้างที่ไม่มีวันหักล้างได้ เพราะพอโมเดลคิดหาเหตุผลแบบใหม่ได้ ก็บอกว่าเป็นแค่นกแก้ว พอเจาะช่องโหว่ที่ไม่เคยเห็นมาก่อนได้ ก็บอกว่าเป็นแค่นกแก้ว หรือพอหลายตัวร่วมมือกัน ก็บอกว่าเป็นแค่ฝูงนกแก้ว แล้วจะต้องมีผลลัพธ์แบบไหนกันแน่ ถึงจะยอมรับว่ามันไม่ได้เป็นแค่นกแก้วท่องจำ

จุดร่วมที่ทั้งสองฝ่ายเห็นตรงกัน

แม้จะถกเถียงกันอย่างดุเดือด แต่มีข้อสรุปหนึ่งที่ไม่มีใครในวงสนทนาคัดค้านเลย นั่นคือ ไม่ว่าจะเรียกเหตุการณ์นี้ว่า "AI แหกคอก" หรือ "มนุษย์ปลดสายจูง" การปล่อยให้ Agent ที่ปิดระบบความปลอดภัยไว้ ไปทำงานกับโจทย์ที่ไม่มีทางแก้ โดยไม่มีมนุษย์คอยควบคุมดูแล ย่อมเป็นความรับผิดชอบของคนที่วางระบบอย่างปฏิเสธไม่ได้

มีคนในวงสนทนาพูดไว้อย่างตรงไปตรงมาว่า ถ้าพาดหัวข่าวเปลี่ยนเป็น "OpenAI ปล่อย AI ทำงานโดยไม่มีคนดูแล จนเกิดเรื่องวุ่นวายตามมา" ทั้งสองฝ่ายก็คงเห็นพ้องต้องกันโดยไม่ต้องมานั่งเถียงกันต่อ หรืออย่างที่อีกความเห็นหนึ่งสรุปสั้นๆ ว่า "ไม่ว่าจะเล่าผ่านมุมไหน เรื่องนี้ก็ยังคงเป็นความผิดของ OpenAI อยู่ดี"

และนี่คือจุดที่ข้อถกเถียงเรื่องคำศัพท์ไม่ใช่เรื่องไกลตัวอีกต่อไป เพราะระบบ Agent ที่คุณกำลังสร้างหรือกำลังใช้งานอยู่ ก็อาจมีประตูที่เปิดทิ้งไว้แบบเดียวกัน

3 บทเรียนสำคัญสำหรับคนที่กำลังพัฒนาหรือใช้งาน AI Agent

1. ตัวกลางที่มีสิทธิ์มากกว่า Agent คือประตูบานใหญ่ที่เปิดทิ้งไว้

Agent ในเหตุการณ์นี้ไม่ได้รับอนุญาตให้ต่ออินเทอร์เน็ต แต่เมื่อมันสามารถสื่อสารกับคลังแพ็กเกจที่เชื่อมต่ออินเทอร์เน็ตได้ ผลลัพธ์สุดท้ายก็คือมันเข้าถึงอินเทอร์เน็ตได้อยู่ดี ถ้า Agent ในระบบของคุณมีสิทธิ์เรียกใช้เครื่องมือภายในตัวใดตัวหนึ่ง สิทธิ์ที่แท้จริงของ Agent ก็จะเท่ากับสิทธิ์ของเครื่องมือตัวนั้น ไม่ใช่สิทธิ์ที่คุณจำกัดไว้ที่ตัวโมเดล ดังนั้น คุณจึงต้องตรวจสอบสิทธิ์ของทุกระบบที่ Agent เข้าถึงได้เสมอ ทั้งฐานข้อมูล ระบบเชื่อมต่อภายใน และตัวดึงแพ็กเกจ ไม่ใช่ตรวจสอบแค่ตัว Agent เพียงอย่างเดียว

2. งานที่เป็นไปไม่ได้ ผสมกับแรงกดดันเรื่องคะแนน คือสูตรสำเร็จของการโกง

ในเหตุการณ์นี้ Agent ทุ่มเทความพยายามไปกับการทำความเข้าใจและหลอกระบบให้คะแนน มากกว่าการแก้โจทย์จริงๆ ถ้าคุณตั้งเป้าหมายการทำงานให้กับ Agent โดยไม่มีช่องทางให้มันบอกว่างานนี้ทำไม่ได้ คุณก็ต้องเตรียมใจไว้เลยว่ามันจะหาทางลัด และทางลัดที่น่ากลัวที่สุดไม่ใช่การทำงานลวกๆ แต่เป็นการหลอกให้ระบบตรวจวัดเชื่อว่างานเสร็จสมบูรณ์แล้ว

ทางเลือกจึงอยู่ที่คุณว่า จะยอมให้ Agent บอกตรงๆ ว่าทำงานนี้ไม่ได้ แล้วยอมรับภาระจากงานที่คั่งค้าง หรือจะบีบให้มันต้องตอบว่าทำเสร็จเสมอ แล้วเสี่ยงได้ผลงานปลอมที่ไม่ตรงกับความจริง

3. การรัน Agent หลายตัว ไม่เท่ากับการได้มุมมองที่หลากหลาย

ถ้า Agent ทุกตัวที่คุณใช้งานรันมาจากโมเดลเดียวกัน จุดบอดของพวกมันก็คือจุดเดียวกันทั้งหมด การนำ Agent ตัวหนึ่งมาคอยตรวจงานของอีกตัว จึงแทบไม่มีประโยชน์เลยถ้าทั้งคู่ใช้โมเดลเดียวกัน การออกแบบระบบตรวจสอบที่ดีต้องทำให้ Agent แต่ละตัวแตกต่างกันอย่างแท้จริง ทั้งการใช้โมเดลคนละตัว การเขียน Prompt ที่ต่างกัน หรือการจำกัดข้อมูลที่มองเห็นให้ไม่เหมือนกัน ไม่ใช่แค่คัดลอกโมเดลเดิมมาอีกตัวแล้วตั้งชื่อว่า "ผู้ตรวจสอบ"

สุดท้ายแล้ว คำว่า "AI แหกคอก" จึงขึ้นอยู่กับคุณว่าจะเลือกใช้คำนี้หรือไม่ และคำถามสำคัญที่วงสนทนานี้ทิ้งไว้ ก็ชวนให้เราทุกคนคิดตามว่า คำนี้ช่วยให้เราเข้าใจสิ่งที่เกิดขึ้นกับ Agent 1,200 ตัวได้ดีขึ้นจริงๆ หรือเป็นเพียงแค่ข้ออ้างที่ช่วยให้คนที่เปิดประตูทิ้งไว้หลบเลี่ยงความรับผิดชอบกันแน่

---

ที่มา:

• บทความ Models Don't Go Rogue จาก Eryk Salvaggio (Cybernetic Forests)
• รายงาน Brief independent investigation of agents' behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident จาก METR
• กระทู้ Models Don't Go Rogue (discussion) จาก Lobsters