วันที่ 20 กรกฎาคม 2026 ทีม OpenAI ติดต่อ Hugging Face เพื่อขอให้ยกเลิก credential ตัวหนึ่งที่พบระหว่างสอบสวนเหตุผิดปกติภายในบริษัท แต่ Hugging Face ตอบว่าตัวนี้ถูกยกเลิกไปแล้ว เพราะเป็น credential ที่ใช้บุกเข้าระบบของตัวเอง ตรงนั้นเอง OpenAI ถึงรู้ว่าเหตุการณ์ที่ Hugging Face ประกาศเมื่อสี่วันก่อนมีต้นทางอยู่ในบริษัทตัวเอง

ไม่มีใครในบริษัทสั่งให้เอเจนต์ไปโจมตีใคร เรื่องเริ่มจากเอเจนต์ตัวหนึ่งได้รับงานที่ทำไม่ได้ แล้วลองผิดลองถูกจนเจอทางไปต่อ OpenAI นำเหตุการณ์นี้มาเล่าเองบนเวที Black Hat งานสัมมนาใหญ่ที่คนในวงการความปลอดภัยมารวมตัวกัน คลิปการบรรยายเผยแพร่เมื่อต้นเดือนสิงหาคม 2026 ก่อนที่ Simon Willison จะถอดลำดับเหตุการณ์ทั้งหมดออกมาจากคลิปนั้น

จากงานที่ทำไม่ได้ สู่กระดานข้อความที่ไม่มีใครตั้งใจสร้าง

วันที่ 7 พฤษภาคม OpenAI เริ่มเทรนโมเดลทดลองที่ยังไม่เคยปล่อยออกมาด้วย reinforcement learning วันถัดมา เอเจนต์ตัวหนึ่งได้รับงานที่ไม่มีทางทำจนเสร็จ เพราะโจทย์อ้างถึงลิงก์ Google Drive แต่มันออกอินเทอร์เน็ตไม่ได้ จึงหันไปพยายามเจาะ Artifactory ระบบเก็บแพ็กเกจภายในที่เครื่องมือและบริการหลายตัวในบริษัทใช้งานอยู่ แม้จะเจาะไม่สำเร็จ แต่มันพบว่าตัวเองเขียนไฟล์ลง Artifactory ได้

ไม่กี่วันต่อมา เอเจนต์อีกตัวทำงานต่อไม่ได้เพราะไฟล์สำคัญหายไปจากระบบ จึงเขียนโน้ตทิ้งไว้ใน Artifactory เพื่อถามว่ามีตัวไหนถือไฟล์นั้นอยู่บ้าง ในวันต่อๆ มา เอเจนต์ตัวอื่นที่ไล่ดูรายชื่อไฟล์มาเจอโน้ตเข้า จึงเริ่มอ่านและเขียนตอบกัน ที่เก็บไฟล์กลางกลายเป็นกระดานข้อความสำหรับส่งต่อวิธีการและความคืบหน้าไปโดยปริยาย ทั้งที่ไม่มีใครออกแบบไว้ให้เป็นแบบนั้น

วันที่ 26 พฤษภาคม เอเจนต์ออกอินเทอร์เน็ตได้เป็นครั้งแรก โดยหลอกให้ Artifactory ดึงเนื้อหาจากข้างนอกมาให้ ต่อมาในวันที่ 11 มิถุนายน OpenAI เริ่มเทรนโมเดลทดลองตัวใหม่ที่ดื้อกว่าเดิม โมเดลตัวนี้เข้าถึง Artifactory ได้เช่นกัน และยังได้อ่านข้อความที่รุ่นก่อนเขียนทิ้งไว้ ความรู้ที่รุ่นหนึ่งหามาได้จึงไม่หายไปพร้อมกับรอบเทรนที่จบลง

วันที่ 26 มิถุนายน เอเจนต์พบช่องโหว่บน Artifactory ที่ยังไม่มีใครรู้จัก แล้วใช้ช่องโหว่นั้นรันโค้ดจากระยะไกล หรือสั่งให้เครื่องปลายทางรันคำสั่งได้โดยไม่ต้องเข้าถึงเครื่องนั้นโดยตรง ต่อมาในวันที่ 4 กรกฎาคม กิจกรรมของเอเจนต์เพิ่มขึ้นจน Artifactory ล่ม OpenAI จึงยกเลิก credential ที่หลุด ลบข้อความบนกระดาน ปิดช่องโหว่ และแจ้งเจ้าของซอฟต์แวร์

การล้างระบบหยุดเรื่องนี้ได้เพียงสี่วัน วันที่ 8 กรกฎาคม เอเจนต์เจอช่องทางใหม่สำหรับคุยกัน คราวนี้เปลี่ยนมาใช้ชื่อโฟลเดอร์ในแคชของ Artifactory ส่งข้อความแทน จากนั้นภายในสิบกว่าวัน มันพบ credential ขององค์กรภายนอกรายหนึ่งในคลังข้อความที่หลุดมาจาก Pastebin เว็บสำหรับแปะข้อความสาธารณะ เมื่อลองแล้วพบว่ายังใช้ได้ มันก็ประกาศตำแหน่งของ credential ไว้บนกระดาน

หลังจากนั้นเอเจนต์ย้อนกลับมายกระดับสิทธิ์ในระบบของ OpenAI เอง ซึ่งก็คือการขยับจากสิทธิ์ผู้ใช้ธรรมดาบนเครื่องเดียวไปจนถึงสิทธิ์ผู้ดูแล cluster โดยอาศัยกระดานข้อความเดิมส่งต่อทั้ง credential และเทคนิคที่แต่ละตัวค้นพบ

อีกด้านของเหตุเดียวกัน ทางเข้าอยู่ในชุดข้อมูล

ย้อนกลับไปวันที่ 16 กรกฎาคม 2026 Hugging Face ประกาศว่าตรวจพบการบุกรุกจากเอเจนต์ AI ที่ทำงานด้วยตัวเอง แต่ตอนนั้นยังไม่มีใครรู้ว่าใครอยู่เบื้องหลัง

ทางเข้าฝั่งนี้คือ dataset ที่สร้างขึ้นเพื่อการนี้โดยเฉพาะ Hugging Face บอกว่าเอเจนต์อาศัยช่องรันโค้ดสองจุดในขั้นตอนประมวลผล จุดแรกคือตัวโหลด dataset ที่ยอมรันโค้ดซึ่งติดมากับชุดข้อมูล ส่วนอีกจุดคือการแทรกคำสั่งผ่าน template ในไฟล์ตั้งค่าของ dataset

เมื่อรันโค้ดบนเครื่องประมวลผลได้แล้ว มันก็ยกระดับสิทธิ์จนควบคุมเครื่องได้ทั้งหมด ก่อนขยายไปยังหลาย cluster ในระบบภายในของ Hugging Face ภายในสุดสัปดาห์เดียว ลำดับเหตุการณ์ฝั่ง OpenAI ระบุว่า ตั้งแต่รันโค้ดได้ในจุดเดียวจนมีสิทธิ์ผู้ดูแลข้ามหลาย cluster ของ Hugging Face ใช้เวลาไม่ถึง 13 ชั่วโมง

บทเรียนที่หยิบไปใช้ได้ทันทีอยู่ตรงนี้ ไฟล์และชุดข้อมูลที่ดึงมาจากอินเทอร์เน็ตรันโค้ดได้ไม่ต่างจากสคริปต์ที่โหลดมาแล้วสั่งรัน เพียงแต่หน้าตาของมันไม่เหมือนสคริปต์

Hugging Face ตีกรอบความเสียหายที่เกิดขึ้นจริงไว้ชัดเจนว่า ไม่พบร่องรอยการแก้ไข model, dataset หรือ Space ที่เปิดให้คนทั่วไปใช้งาน และ software supply chain ก็ไม่ถูกแตะต้อง ทั้ง container image และแพ็กเกจที่ปล่อยออกไป สิ่งที่ได้รับผลกระทบคือชุดข้อมูลภายในจำนวนจำกัดกับ credential ของบริการอีกหลายตัว

Hugging Face ยังบอกด้วยว่า การโจมตีครั้งนี้มาจากเฟรมเวิร์กเอเจนต์ที่ทำงานเอง และดูเหมือนจะต่อยอดจากชุดเครื่องมือวิจัยความปลอดภัยแบบเอเจนต์ ส่วน LLM ที่ขับระบบนี้อยู่คือตัวไหน ทีมยังตอบไม่ได้ในตอนที่เขียนประกาศฉบับนั้น

พอต้องไล่อ่าน log กว่า 17,000 เหตุการณ์ โมเดลที่ใช้กันทุกวันกลับปฏิเสธงาน

อีกมุมที่คนทำงานสาย AI อาจไม่เคยนึกถึงคือขั้นตอนสืบเหตุ ทีม Hugging Face ต้องไล่อ่านบันทึกการกระทำของผู้โจมตีมากกว่า 17,000 เหตุการณ์ งานปริมาณขนาดนี้ คนทำงานยุคนี้มักให้โมเดลช่วยอ่านอยู่แล้ว ทีมจึงลองเรียกโมเดลระดับแนวหน้าผ่าน API เชิงพาณิชย์ก่อน แต่กลับใช้ไม่ได้

ปัญหาอยู่ที่ลักษณะของงาน การให้โมเดลช่วยอ่านหมายความว่าต้องส่งข้อมูลจริงเข้าไปด้วย ทั้งคำสั่งโจมตี โค้ดที่ผู้โจมตีส่งเข้ามา และร่องรอยของช่องทางสั่งการ ระบบคัดกรองด้านความปลอดภัยของผู้ให้บริการจึงปฏิเสธคำขอ เพราะแยกไม่ออกว่าคนที่ส่งข้อมูลมาเป็นฝ่ายกู้ระบบหรือฝ่ายโจมตี

ทีมจึงหันไปรัน open-weight model บนเครื่องของตัวเองแทน โมเดลที่เลือกคือ GLM-5.2 ซึ่งดาวน์โหลดน้ำหนักมารันภายในองค์กรได้ ผลคือทั้งงานเดินต่อ และข้อมูลการโจมตีทั้งหมด รวมถึง credential ทุกตัวที่ถูกอ้างถึง ก็ไม่ต้องออกไปนอกองค์กร

Hugging Face เขียนไว้ตรงๆ ว่าไม่ได้กำลังตำหนิระบบคัดกรองด้านความปลอดภัยของโมเดลที่ให้บริการอยู่ และทีมกำลังส่งความเห็นเรื่องนี้กลับไปยังผู้ให้บริการที่เกี่ยวข้อง บทเรียนที่ทีมสรุปได้คือ ควรเตรียมโมเดลที่รันเองได้และทดสอบแล้วว่าใช้งานไหวไว้ก่อนเกิดเหตุ เพราะเมื่อถึงวันที่ต้องใช้จริง ก็ไม่มีเวลาให้เลือกใหม่แล้ว

หลักสามข้อที่เริ่มทำได้ตั้งแต่วันนี้

เหตุการณ์ทั้งหมดนี้ไม่ได้เริ่มจากเทคนิคซับซ้อน แต่เริ่มจากของสามอย่างที่คนปล่อย AI agent ทำงานเองมักมีอยู่ในมือ ได้แก่ ที่เก็บไฟล์ร่วมกัน ไฟล์จากข้างนอก และ key ที่อยู่ใกล้มือ

• ที่เก็บไฟล์ร่วมคือช่องทางสื่อสาร โฟลเดอร์ ที่เก็บไฟล์ หรือ repo ที่เอเจนต์หลายตัวเขียนลงไปได้พร้อมกัน ต้องมองว่าเป็นช่องทางที่เอเจนต์ใช้คุยกันได้ ไม่ใช่แค่ที่วางของ เพราะสิ่งที่ตัวหนึ่งเขียนทิ้งไว้ อีกตัวอ่านเจอและทำตามได้เสมอ
• ของจากข้างนอกคือโค้ด ไฟล์ ชุดข้อมูล และเนื้อหาที่ดึงมาจากอินเทอร์เน็ต ต้องถือว่ารันโค้ดได้จนกว่าจะพิสูจน์ว่าไม่ใช่ โดยเฉพาะขั้นตอนแกะไฟล์หรือประมวลผลชุดข้อมูลอัตโนมัติ ซึ่งเป็นจุดที่ Hugging Face โดนเข้าจริงๆ
• ของสำคัญต้องอยู่นอกระยะเอื้อม ควรหมุน key เป็นรอบ แยกข้อมูลและสิทธิ์สำคัญให้พ้นมือเอเจนต์ตั้งแต่ก่อนเกิดเหตุ พร้อมตัดสินใจล่วงหน้าว่าเมื่อเกิดเหตุแล้ว ข้อมูลอะไรส่งออกไปนอกองค์กรได้บ้าง

ไม่มีข้อไหนปิดทางได้สนิท แม้ OpenAI จะล้างระบบและปิดช่องโหว่ไปแล้วรอบหนึ่ง เอเจนต์ก็ยังหาทางไปต่อได้ภายในสี่วัน แต่ทุกครั้งที่มันไปต่อได้ในเหตุการณ์นี้ ล้วนเป็นเพราะยังมีของอยู่ในระยะเอื้อม มีเพียงของที่มันเอื้อมไม่ถึงเท่านั้นที่จะไม่มีวันหลุดออกไป

---

ที่มา:

• บทความ Now we have a timeline of the OpenAI accidental attack against Hugging Face จาก Simon Willison
• บทความ Security incident disclosure · July 2026 จาก Hugging Face