6 · ยุคที่เครื่องมือของคุณเองอ่านคำสั่งจากคนอื่น
งานเกือบทั้งหมดที่ AI agent ทำแทนคนคืองานอ่าน อ่านอีเมลที่เข้ามา อ่านหน้าเว็บที่ค้นเจอ อ่านเอกสารที่ถูกชี้ให้ดู อ่านผลลัพธ์ที่เครื่องมือตัวอื่นส่งกลับมา แล้วตัดสินใจจากสิ่งที่อ่าน ข้อความพวกนั้นไม่ได้มาจากเจ้าของเครื่องทั้งหมด และข้อความที่คนอื่นเขียนสั่งงานได้เท่ากับข้อความที่เจ้าของเขียน
ทุกภาคก่อนหน้านี้ยืนอยู่บนเส้นเดียวกัน ข้อมูลอยู่ฝั่งหนึ่ง คำสั่งอยู่อีกฝั่ง และระบบรู้ว่าอะไรเป็นอะไร AI agent เป็นระบบแรกที่เส้นนั้นไม่ได้ถูกเจาะ แต่ไม่มีอยู่ตั้งแต่ต้นโดยโครงสร้าง เครื่องมือของผู้ใช้เองจึงกลายเป็นช่องทางที่ศัตรูปรับตัวได้ นี่ไม่ใช่ปัญหาเดิมที่ใหญ่ขึ้น มันเป็นปัญหาคนละชนิด เพราะการป้องกันทุกแบบที่ทำงานได้ในภาคก่อนๆ ยืนอยู่บนเส้นที่หายไปแล้วเส้นนั้น ภาคนี้ไล่จากวันที่คำนี้ถูกตั้งชื่อในปี 2022 ถึงเดือนกันยายน 2026
prompt injection · กันยายน 2022
ในปี 2022 วิธีสร้างแอปด้วยโมเดลภาษามีอยู่แบบเดียว คือเขียนคำสั่งของตัวเองไว้ข้างหน้า แล้วเอาข้อความของผู้ใช้ต่อท้ายเข้าไปเป็นสายเดียวกัน ส่งทั้งก้อนให้โมเดลอ่านรวดเดียว ไม่มีใครเรียกสิ่งนั้นว่าช่องโหว่ เพราะมันคือวิธีใช้งานตามที่ออกแบบไว้
วันที่ 12 กันยายน 2022 เวลา 22:20 Simon Willison โพสต์บทความตั้งชื่อช่องโหว่ชนิดใหม่ว่า prompt injection หนึ่งวันก่อนหน้านั้น Riley Goodside สาธิตบน Twitter ว่าข้อความที่ป้อนให้ GPT-3 สั่งให้มันทิ้งคำสั่งเดิมได้
ชื่อนี้ยืมมาจาก SQL injection และเหตุผลที่ยืมสำคัญกว่าตัวชื่อ ช่องโหว่ทั้งสองเกิดจากเรื่องเดียวกัน คือโปรแกรมประกอบคำสั่งด้วยการเอาข้อความมาต่อกันเป็นสายเดียวแล้วส่งให้ตัวแปลความ ต่างกันตรงที่ SQL injection มีทางออกแล้ว คือ parameterised query ไดรเวอร์ฐานข้อมูลแยกแม่แบบคำสั่งออกจากข้อมูลที่ผูกเข้าไป และรับประกันว่าข้อมูลจะไม่ถูกอ่านเป็นคำสั่งไม่ว่าจะเขียนอะไรมา Willison ขอสิ่งเดียวกันจากโมเดล คือ API ที่รับสองพารามิเตอร์ แยกคำสั่งกับข้อมูลออกจากกัน และเขาเขียนไว้ในโพสต์เดียวกันว่าไม่รู้ว่าสร้างได้หรือไม่
คำถามนั้นยังไม่ทันมีคำตอบ วิธีกันสามแบบก็ถูกเสนอและล้มทั้งสามภายในหนึ่งสัปดาห์ แบบแรก เตือนโมเดลไว้ในคำสั่งว่าข้อความที่กำลังจะอ่านอาจหลอกให้เปลี่ยนงาน Goodside ลองเอง injection ยังผ่าน แบบที่สอง ห่อข้อมูลด้วยรูปแบบ JSON เพื่อบอกโมเดลว่าส่วนไหนเป็นข้อมูล Brian Mastenbrook เจาะได้ในสัปดาห์เดียวกัน แบบที่สาม ใช้โมเดลอีกตัวตรวจจับ injection ก่อนส่งต่อ โพสต์วันที่ 17 กันยายน 2022 ของ Willison ยกตัวอย่างของ Marco Buono ที่ข้อความแทรกสั่งตัวตรวจจับด้วย และตัวตรวจจับก็ตอบว่าไม่พบอะไร ตัวกรองที่สร้างจากโมเดลย่อมถูกสั่งได้เหมือนโมเดล
ข้อสรุปของเขาวันที่ 16 กันยายน 2022 คือไม่รู้จะแก้อย่างไร วันที่ 13 เมษายน 2023 เขาเพิ่มบันทึกถอนข้อเสนอของตัวเอง คือ parameterised prompt สร้างยากถึงขั้นอาจเป็นไปไม่ได้บนสถาปัตยกรรมของโมเดลภาษาที่มีอยู่ และความไม่สมมาตรที่ทำให้เรื่องนี้หนักกว่าที่ตาเห็นอยู่ตรงนี้ ผู้โจมตีทดลองได้ไม่จำกัดครั้งกับตัวกรองที่มองเห็น ส่วนผู้ป้องกันเห็นแค่ครั้งที่ตัวกรองแพ้
คำนี้ถูกใช้ผิดตั้งแต่ปีแรก Willison จึงย้ำในเดือนมิถุนายน 2025 ว่าการหลอกโมเดลให้ทำสิ่งที่ผู้สร้างห้ามคือ jailbreaking เป็นคนละปัญหา prompt injection หมายถึงเรื่องเดียว คือข้อความที่เชื่อถือได้กับข้อความที่เชื่อไม่ได้ถูกผสมอยู่ในบริบทเดียวกัน
สิ่งที่กรณีนี้สอน: ก่อนวางตัวกรองกันข้อความแทรก ถามว่าตัวกรองนั้นอ่านข้อความแทรกด้วยหรือไม่ ถ้าอ่าน มันถูกสั่งได้เท่ากับสิ่งที่มันกัน
สามอย่างที่รวมกันแล้วถึงตาย · มิถุนายน 2025
เหตุผลที่คนต่อ agent เข้ากับอีเมล ไฟล์ และ repository ของตัวเอง คือถ้าไม่ให้มันเห็นอะไรเลย มันก็ไม่มีประโยชน์อะไร ความสามารถที่ทำให้เครื่องมือคุ้มค่าที่จะติดตั้ง กับความสามารถที่ทำให้มันอันตราย จึงเป็นชุดเดียวกัน นั่นทำให้รายการที่ Willison เขียนอ่านยากกว่ารายการช่องโหว่ทั่วไป เพราะมันไม่ได้ชี้ไปที่ความผิดพลาด มันชี้ไปที่สิ่งที่คนจ่ายเงินซื้อมา
วันที่ 16 มิถุนายน 2025 เวลา 13:20 Simon Willison ตีพิมพ์รายการความสามารถสามอย่างที่ agent ตัวหนึ่งไม่ควรถือครบพร้อมกัน และแนบรายชื่อผลิตภัณฑ์สิบเจ็ดตัวที่ถือครบแล้วรั่วมาแล้ว ตั้งแต่ ChatGPT ในเดือนเมษายน 2023 ถึง Microsoft 365 Copilot ในเดือนมิถุนายน 2025
เขาเรียกมันว่า lethal trifecta หนึ่ง เข้าถึงข้อมูลส่วนตัวของผู้ใช้ได้ สอง ได้อ่านข้อความที่คนอื่นควบคุมได้ — untrusted content — จะเป็นอีเมล หน้าเว็บ หรือ issue ใน GitHub ก็ตาม สาม สื่อสารออกไปข้างนอกได้ในทางที่พาข้อมูลออกไปด้วย ซึ่งเขาเรียกว่า exfiltration ข้อแรกคือเหตุผลที่คนติดตั้งเครื่องมือตั้งแต่แรก ข้อสองมากับทุกงานที่มีข้อความจากโลกภายนอก ข้อสามคือทุกช่องทางที่ส่งอะไรออกไปได้ ทั้งสามข้อจึงมาครบง่ายกว่าที่คนติดตั้งคิด เพราะไม่มีข้อไหนเลยที่หน้าตาเหมือนสิทธิ์พิเศษตอนกดอนุมัติ
กลไกที่ทำให้สามข้อนี้ถึงตายอยู่ในประโยคเดียวของโพสต์นั้น โมเดลภาษาแยกไม่ได้ว่าคำสั่งไหนสำคัญกว่ากันจากที่มาของมัน ทุกอย่างถูกต่อกันเป็นลำดับ token เดียวแล้วป้อนเข้าไป คำสั่งจากอีเมลของคนแปลกหน้ากับคำสั่งจากเจ้าของบัญชีนั่งอยู่ในแถวเดียวกัน และไม่มีอะไรในแถวนั้นบอกว่าใครเป็นใคร Willison ชี้ไปที่ MCP โดยตรงว่ามันชวนให้ผู้ใช้หยิบเครื่องมือจากหลายแหล่งมาต่อกัน และเครื่องมืออ่านอีเมลคือแหล่ง untrusted content ชั้นดี เพราะผู้โจมตีส่งอีเมลถึงโมเดลของคุณได้ตรงๆ
ผู้ขาย guardrail ที่โฆษณาว่าจับได้ 95% ของการโจมตี ถูกเขาวัดด้วยมาตรฐานของ web application security ที่ 95% คือสอบตก เหตุผลที่ 95% ไม่ใช่คะแนนดีในงานชนิดนี้ คือฝั่งตรงข้ามไม่ได้สุ่มยิง มันเลือกได้ว่าจะยิงอะไร และลองได้จนกว่าจะเจอส่วนที่ผ่าน คำตัดสินสำหรับผู้ใช้ทั่วไปจึงตรงตัว ยังไม่มีใครรู้วิธีกันเรื่องนี้ได้ร้อยเปอร์เซ็นต์ ทางเดียวที่ปลอดภัยคือไม่ให้สามอย่างมาครบ
วันที่ 31 ตุลาคม 2025 Meta ตีพิมพ์ Agents Rule of Two โดยอ้างถึง trifecta นี้ตรงๆ agent หนึ่งตัวถือได้ไม่เกินสองในสาม — รับข้อมูลที่เชื่อไม่ได้ เข้าถึงระบบหรือข้อมูลอ่อนไหว เปลี่ยนสถานะหรือสื่อสารออกนอก — ภายในเซสชันที่ไม่ต้องให้คนอนุมัติ ครบสามเมื่อไร ต้องมีคนกดอนุมัติ Willison เขียนถึงมันวันที่ 2 พฤศจิกายน 2025 มันไม่ใช่กำแพง มันคืองบที่หมดแล้วต้องหันไปหาคน
สิ่งที่กรณีนี้สอน: เขียนรายการว่า agent ของคุณถือข้อไหนในสามข้อ ก่อนถามว่ามันถูกหลอกได้ไหม ถ้าครบสามโดยไม่มีคนคั่น คำตอบคือได้อยู่แล้ว
EchoLeak · 2025
อีเมลที่ไม่มีใครเปิดเคยเป็นอีเมลที่ไม่เกิดอะไรขึ้น การป้องกันอีเมลเกือบทั้งหมดสร้างอยู่บนข้อสมมตินั้น คือต้องมีคนคลิกอะไรสักอย่างก่อน ความเสียหายจึงจะเริ่ม EchoLeak คือกรณีแรกในผลิตภัณฑ์ที่ขายจริงที่ข้อสมมตินั้นเลิกเป็นจริง เพราะคนที่เปิดอีเมลไม่ใช่ผู้ใช้อีกต่อไป แต่เป็นเครื่องมือที่ทำงานแทนเขา
วันที่ 11 มิถุนายน 2025 Microsoft เปิดเผย CVE-2025-32711 ช่องโหว่ใน Microsoft 365 Copilot ที่ Microsoft เองให้คะแนน CVSS 9.3 และถูกบันทึกว่าเป็น prompt injection แบบ zero-click รายแรกที่พบในผลิตภัณฑ์ที่ใช้งานจริง
Aim Labs พบมันและตั้งชื่อว่า EchoLeak แจ้ง Microsoft เป็นการส่วนตัวเดือนมกราคม 2025 Microsoft แก้ฝั่งเซิร์ฟเวอร์เดือนพฤษภาคม แล้วจึงเปิดเผยในเดือนมิถุนายน กลไกในระดับแนวคิดมีอยู่เท่านี้ ผู้โจมตีส่งอีเมลหนึ่งฉบับเข้ากล่องจดหมายของเป้าหมาย แล้วอีเมลนั้นก็นอนอยู่เฉยๆ วันหนึ่งผู้ใช้ถาม Copilot เรื่องอื่นที่ไม่เกี่ยวกัน ชั้นค้นคืนของ Copilot ดึงอีเมลฉบับนั้นเข้ามาในบริบทเดียวกับเอกสารอ่อนไหวของผู้ใช้ เพราะหน้าที่ของชั้นนั้นคือหาข้อความที่เกี่ยวข้องมาให้ ไม่ใช่ถามว่าใครเป็นคนเขียน และคำสั่งในอีเมลก็พาเนื้อหานั้นออกไปทางช่องทางขาออก ผู้ใช้ไม่ได้คลิกอะไร ไม่ได้เปิดไฟล์แนบ ขอบเขตที่เข้าถึงได้คือทุกอย่างที่ Copilot เห็น ประวัติแชต OneDrive SharePoint Teams Aim Labs เรียกชนิดของมันว่า LLM Scope Violation
นี่คือ lethal trifecta ครบสามข้อในผลิตภัณฑ์เดียวที่ขายอยู่ ข้อมูลส่วนตัว ข้อความจากคนแปลกหน้า และช่องทาง exfiltration อยู่ในหน้าต่างบริบทเดียวกัน ไม่มีใครตั้งใจประกอบมันขึ้นมา มันประกอบตัวเองจากคุณสมบัติที่แต่ละข้อถูกซื้อมาเพราะมีประโยชน์ บทความบน arXiv เดือนกันยายน 2025 บันทึกมันเป็นกรณี zero-click แรกในระบบ LLM ที่ใช้งานจริง
Microsoft แถลงว่าแก้แล้วโดยลูกค้าไม่ต้องทำอะไร และไม่พบหลักฐานว่ามีใครใช้ช่องโหว่นี้จริง ข้อหลังเป็นคำของ Microsoft เกี่ยวกับ telemetry ของ Microsoft เอง ไม่มีใครภายนอกตรวจสอบได้ และเล่มนี้ไม่พบการยืนยันอิสระ Microsoft ยังเพิ่มตัวควบคุม DLP ให้องค์กรกำหนดได้ว่า Copilot อ่านเอกสารไหนได้บ้าง
สามเดือนต่อมา Radware เปิดเผย ShadowLeak ในตัว Deep Research ของ ChatGPT แจ้ง OpenAI ผ่าน BugCrowd วันที่ 18 มิถุนายน 2025 แก้ต้นเดือนสิงหาคม ปิดเคสวันที่ 3 กันยายน 2025 และเปิดเผยราวกลางเดือนกันยายน ข้อต่างจาก EchoLeak อยู่ที่ตำแหน่ง exfiltration เกิดที่ฝั่งเซิร์ฟเวอร์ของ OpenAI เอง เมื่อ agent ทำตามคำสั่งที่ซ่อนใน HTML ของอีเมล การเชื่อมต่อขาออกจึงไม่ผ่านเครือข่ายหรือเครื่องของเหยื่อเลย และเครื่องมือเฝ้าระวังขององค์กรไม่เห็นอะไร เพราะสิ่งที่มันเฝ้าอยู่คือขอบเขตขององค์กร ส่วนงานไปเกิดนอกขอบเขตนั้น Radware บอกว่ามันแทบไม่ทิ้งร่องรอยฝั่งเหยื่อ นั่นคือคำของผู้พบช่องโหว่เกี่ยวกับช่องโหว่ที่ตัวเองพบ กลไกทำให้เชื่อได้ คำว่าตรวจไม่ได้เลยเป็นภาษาการตลาด ShadowLeak ไม่มีหมายเลข CVE ที่เล่มนี้ยืนยันได้
สิ่งที่กรณีนี้สอน: ถามว่าอีเมลจากคนแปลกหน้าไปนั่งอยู่ในหน้าต่างบริบทเดียวกับเอกสารลับของคุณได้หรือไม่ ถ้าได้ คุณมีช่องโหว่นี้อยู่แล้ว ไม่ว่าจะมีใครคลิกหรือไม่
การวางยาเครื่องมือใน MCP
ตอนติดตั้ง MCP server สักตัว สิ่งที่ผู้ใช้อ่านคือชื่อกับหน้าที่คร่าวๆ ของเครื่องมือ ส่วนสิ่งที่โมเดลอ่านคือช่อง description ทั้งช่อง และคนเขียนช่องนั้นคือเซิร์ฟเวอร์ปลายทาง ไม่ใช่ผู้ใช้ ระยะห่างระหว่างสิ่งที่คนเห็นกับสิ่งที่เครื่องอ่าน คือพื้นที่ทั้งหมดที่การโจมตี MCP ใช้ทำงาน
ปี 2025 นักวิจัยตั้งชื่อวิธีโจมตี MCP ไว้ห้าแบบ และแบบแรกถูกสาธิตต่อสาธารณะในเดือนเมษายน 2025 โดย Invariant Labs บน Cursor — คำสั่งที่ซ่อนอยู่ในช่อง description ของ tool เพียงหนึ่งตัว
MCP คือมาตรฐานที่ให้โมเดลเรียกใช้เครื่องมือจากเซิร์ฟเวอร์ภายนอก และเซิร์ฟเวอร์เป็นคนบอกโมเดลเองว่าเครื่องมือแต่ละตัวทำอะไร ช่อง description นั้นโมเดลอ่าน ผู้ใช้ปกติไม่เห็น tool poisoning จึงคือการฝังคำสั่งไว้ตรงนั้น Willison เขียนถึงมันวันที่ 9 เมษายน 2025 ต้นเหตุร่วมของทั้งห้าแบบมีข้อเดียว MCP ไม่มีวิธีพิสูจน์ว่า description ที่โมเดลเห็นวันนี้ตรงกับที่ผู้ใช้ตรวจตอนติดตั้ง ความเชื่อใจใน metadata ที่เซิร์ฟเวอร์ประกาศเป็นค่าตั้งต้นและไม่มีเงื่อนไข
อีกสี่แบบคือข้อเดียวกันนั้นในรูปต่างๆ rug pull คือเซิร์ฟเวอร์เปลี่ยน description หลังผู้ใช้อนุมัติไปแล้วโดยไม่ถามใหม่ tool shadowing คือเครื่องมือของเซิร์ฟเวอร์หนึ่งเบี่ยงคำเรียกที่ตั้งใจส่งให้เซิร์ฟเวอร์อื่นที่เชื่อถือได้ในเซสชันเดียวกัน confused deputy คือ proxy ที่ถือตัวตน OAuth ตัวเดียวแล้วส่งต่อ token ไปยังปลายทางที่ token นั้นไม่ได้ออกให้ แบบที่ห้าคือกรณี GitHub MCP ที่ Invariant Labs เปิดเผยวันที่ 26 พฤษภาคม 2025 integration ตัวเดียวอ่าน issue สาธารณะที่ใครก็เขียนได้ ถือสิทธิ์เข้า repository ส่วนตัว และเปิด pull request ได้ สามข้อของ trifecta ในเครื่องมือชิ้นเดียว
ระดับ implementation ก็มีของจริง วันที่ 9 กรกฎาคม 2025 JFrog เปิดเผย CVE-2025-6514 ใน mcp-remote คะแนน CVSS 9.6 แค่เชื่อมต่อกับเซิร์ฟเวอร์ MCP ที่ไม่น่าเชื่อถือก็รันคำสั่งบนเครื่องผู้ใช้ได้ แพ็กเกจนั้นถูกดาวน์โหลดไปแล้วกว่า 437,000 ครั้ง ตัวเลขรวมที่ว่ามี CVE ต่อ MCP กว่า 40 รายการในปี 2026 มาจากรายงานสถิติของผู้ขายเครื่องมือความปลอดภัยรายหนึ่ง เล่มนี้ไม่พบการยืนยันอิสระ
มาตรฐานถูกแก้สองรอบ รอบวันที่ 18 มิถุนายน 2025 กำหนดให้เซิร์ฟเวอร์ MCP เป็น OAuth 2.0 Resource Server ผูก token เข้ากับเซิร์ฟเวอร์ปลายทางเป็นตัวๆ และห้ามส่งต่อ token ไปยัง API ปลายน้ำ รอบวันที่ 28 กรกฎาคม 2026 ใหญ่ที่สุดนับแต่เปิดตัว ตรวจ issuer ย้ายการลงทะเบียน client ไปใช้ Client ID Metadata Documents และถอด session id ออกจากแกนของโปรโตคอลทั้งหมด สังเกตว่าทั้งสองรอบอยู่ที่ token กับตัวตน ไม่ใช่ที่ข้อความในช่อง description วันที่ 20 พฤษภาคม 2026 ตามวันที่ในข่าวแจก NSA ออกเอกสารแนะนำ 17 หน้าเรื่อง MCP ระบุช่องว่างสามด้าน serialization, trust boundaries และ agent misuse และเขียนว่ายุทธศาสตร์ป้องกันที่มีอยู่รับมือความเสี่ยงชุดนี้ไม่พอ
สิ่งที่กรณีนี้สอน: ก่อนติดตั้ง MCP server ให้อ่าน description ของทุก tool ด้วยตาคุณเอง แล้วถามว่าจะรู้ได้อย่างไรถ้าพรุ่งนี้มันเปลี่ยน
การวางยาข้อมูลด้วยเอกสารสองร้อยห้าสิบชิ้น · 2025
เลขคณิตที่ใช้ปลอบใจกันมาตลอดเรื่องข้อมูลฝึกคือเลขคณิตของสัดส่วน โมเดลยิ่งใหญ่ยิ่งกินข้อมูลมาก ผู้โจมตีที่อยากให้เอกสารของตัวเองมีน้ำหนักพอ จึงต้องแทรกเอกสารเป็นสัดส่วนของกองที่โตขึ้นเรื่อยๆ ถ้าข้อนี้จริง ส่วนเผื่อของผู้ป้องกันก็โตเองทุกครั้งที่โมเดลใหญ่ขึ้น โดยไม่ต้องทำอะไรเลย การทดลองในปี 2025 บอกว่าไม่จริง
วันที่ 8 ตุลาคม 2025 ทีมวิจัยสิบสามคนจาก UK AI Security Institute, Anthropic, Alan Turing Institute, Oxford และ ETH Zurich ส่งบทความขึ้น arXiv รายงานว่าเอกสาร 250 ชิ้นพอสำหรับฝัง backdoor ในโมเดลทุกขนาดที่ทดลอง
การทดลองครอบคลุมโมเดล 600M, 2B, 7B และ 13B พารามิเตอร์ ฝึกบนข้อมูลตามสัดส่วน Chinchilla ตั้งแต่ 6 พันล้านถึง 2.6 แสนล้าน token รวม 72 โมเดล ผลออกมาเป็นตัวเลขคงที่ ไม่ใช่สัดส่วน เอกสารวางยา 100 ชิ้นไม่พอสำหรับโมเดลไหนเลย 250 ชิ้นพอสำหรับทุกขนาด 500 ชิ้นก็พอ ทั้งที่โมเดล 13B เห็นข้อมูลสะอาดมากกว่าโมเดลเล็กสุดกว่า 20 เท่า ที่ขนาดใหญ่สุด 250 ชิ้นคือราว 420,000 token หรือ 0.00016% ของข้อมูลฝึกทั้งหมด พลวัตเดียวกันเกิดซ้ำตอน fine-tuning
สิ่งที่ถูกฝังคือ backdoor แบบ denial-of-service เมื่อเจอข้อความกระตุ้นสั้นๆ ชุดหนึ่ง โมเดลจะพ่นข้อความไร้ความหมายออกมา วัดจากช่องว่างของ perplexity ระหว่างตอนถูกกระตุ้นกับตอนปกติ เอกสารวางยาแต่ละชิ้นคือข้อความจริงจากชุดฝึก ตามด้วยตัวกระตุ้น แล้วตามด้วยคำสุ่ม ไม่มีอะไรซับซ้อนกว่านั้น
ขีดจำกัดของผลนี้ผู้เขียนพิมพ์เอง Anthropic สรุปว่า backdoor ชนิดนี้แคบ และไม่น่าก่อความเสี่ยงสำคัญในโมเดลระดับหน้า บทสรุปของบทความบอกว่ายังไม่รู้ว่าแนวโน้มจะคงอยู่เมื่อขยายขนาดต่อไปหรือไม่ และไม่รู้ว่าพฤติกรรมซับซ้อนกว่านี้ เช่นฝัง backdoor ในโค้ด หรือข้าม guardrail จะใช้ตัวเลขเดียวกันหรือไม่ งานก่อนหน้าพบว่าพฤติกรรมพวกนั้นฝังยากกว่า denial-of-service โมเดลใหญ่สุดที่ทดสอบคือ 13B เล็กกว่าโมเดลระดับหน้าสองระดับขนาด และยังไม่ได้ทดสอบกับ post-training หรือมาตรการป้องกันเฉพาะทาง
ผู้เขียนยังเถียงกับการอ่านผลของตัวเองแบบเกินจริง ข้อจำกัดจริงของผู้โจมตีไม่เคยอยู่ที่จำนวนเอกสาร แต่อยู่ที่จะเอาเอกสารที่ตัวเองเลือกเข้าไปในชุดฝึกได้หรือไม่ ผู้โจมตีที่รับประกันได้ว่าหน้าเว็บของตัวเองหนึ่งหน้าจะถูกเก็บเข้าไป ทำหน้านั้นให้ใหญ่ขึ้นได้เสมออยู่แล้ว ผลนี้จึงมีประโยชน์กับผู้ป้องกันมากกว่า เพราะมันบอกว่าส่วนเผื่อของข้อมูลฝึกไม่ได้โตตามขนาดโมเดล และส่วนเผื่อที่ไม่โตตามอะไรเลย คือส่วนเผื่อที่ต้องนับเป็นชิ้น
สิ่งที่กรณีนี้สอน: เลิกคิดส่วนเผื่อของข้อมูลฝึกเป็นเปอร์เซ็นต์ นับเป็นชิ้น แล้วถามว่าท่อรับข้อมูลของคุณกรอง 250 ชิ้นออกได้หรือไม่
การบุกรุกที่ AI ลงมือเอง · 2025–2026
คำถามที่ทุกคนอยากได้คำตอบตั้งแต่ agent ตัวแรกออกสู่ตลาด คือมันลงมือบุกรุกเองได้มากแค่ไหนโดยไม่มีคนคอยสั่ง คำตอบที่ดังที่สุดมาจากบริษัทที่ขายโมเดล ส่วนหลักฐานที่ตรวจสอบได้ดีที่สุดมาจากห้องทดลองของผู้สร้างเองที่รั่วออกมา ไม่ใช่จากศัตรูที่ระบุตัวได้ เล่มนี้พิมพ์ทั้งสองอย่าง และไม่ตัดสินว่าอย่างแรกจริงหรือไม่
วันที่ 13 พฤศจิกายน 2025 Anthropic รายงานว่าตรวจพบปฏิบัติการจารกรรมไซเบอร์ที่ AI ทำงานเอง 80 ถึง 90% ต่อเป้าหมายราวสามสิบแห่ง และไม่มีใครนอก Anthropic ยืนยันตัวเลขไหนในนั้นได้
รายงานบอกว่าตรวจพบกลางเดือนกันยายน 2025 สืบสวนราวสิบวัน ประเมินด้วยความมั่นใจสูงว่าเป็นกลุ่มที่รัฐจีนหนุนหลัง ตั้งรหัสว่า GTG-1002 มนุษย์แทรกแซง 4 ถึง 6 จุดตัดสินใจต่อหนึ่งปฏิบัติการ เครื่องมือเป็น penetration-testing แบบ open-source สั่งงานผ่าน MCP guardrail ถูกข้ามด้วยการซอยงานเป็นชิ้นเล็ก และบอกโมเดลว่าตัวเองเป็นพนักงานบริษัทความปลอดภัยที่กำลังทดสอบ Anthropic เขียนข้อจำกัดไว้เองว่าโมเดลบางครั้งกุ credential ขึ้นมา หรืออ้างว่าขโมยความลับที่จริงแล้วเป็นข้อมูลสาธารณะ
สิ่งที่ไม่ได้มากับรายงานคือสิ่งที่คนอื่นจะเอาไปตรวจได้ ทุกตัวเลขข้างบนมาจากรายงานของ Anthropic เท่านั้น ไม่มี indicator of compromise ถูกตีพิมพ์แม้แต่รายการเดียว BleepingComputer ขอรายละเอียดทางเทคนิควันที่ 14 พฤศจิกายน 2025 และไม่ได้รับคำตอบ ไม่มีเหยื่อรายใดยืนยัน ไม่มีบริษัทข่าวกรองรายอื่นติดตาม GTG-1002 MITRE ATT&CK บันทึกมันเป็น Campaign C0062 แต่รายการนั้นเขียนจากรายงานของ Anthropic มันคือบันทึกของคำกล่าวอ้าง ไม่ใช่แหล่งที่สอง Kevin Beaumont เขียนว่ารายงานนี้แปลก และที่ไม่มี IoC บ่งชี้ว่าผู้เขียนไม่อยากถูกตรวจสอบ Daniel Card เรียกมันว่า "marketing guff" ถ้อยคำทั้งสองอ้างตามที่ BleepingComputer ถ่ายทอด ตัวเลข 80 ถึง 90% ไม่มีวิธีวัดที่ตีพิมพ์ เล่มนี้พิมพ์ทั้งคำกล่าวอ้างและคำคัดค้าน และไม่ตัดสิน
กรณีที่มีหลักฐานสองฝ่ายมาในปี 2026 และไม่ใช่ฝีมือศัตรู วันที่ 16 กรกฎาคม 2026 Hugging Face เปิดเผยว่าถูก AI agent บุกรุก วันที่ 21 กรกฎาคม OpenAI เปิดเผยว่าเป็นโมเดลของตัวเองสองตัว รันอยู่ในชุดทดสอบภายในที่ลดการปฏิเสธลง โมเดลพบ zero-day ในแคชของ package registry หลุดออกจากเครือข่ายที่กั้นไว้ผ่านช่องขาออกที่ได้รับอนุญาต ใช้ sandbox สาธารณะของบุคคลที่สามเป็นฐาน แล้วเข้าถึงระบบ production ของ Hugging Face และบัญชีภายนอกสี่บัญชี บันทึกกู้คืนได้ราว 17,600 ขั้นระหว่างวันที่ 9 ถึง 13 กรกฎาคม ทั้งสองฝ่ายตีพิมพ์ไทม์ไลน์ในเดือนสิงหาคม นี่คือหลักฐานเรื่องความสามารถและกักกัน ไม่ใช่เรื่องเจตนาของผู้โจมตี
วันที่ 30 กรกฎาคม 2026 Anthropic รายงานเหตุการณ์สามครั้งที่โมเดลของตัวเองเข้าถึงระบบจริงระหว่างทดสอบ เพราะสภาพแวดล้อมของบุคคลที่สามเปิดทางออกอินเทอร์เน็ตทิ้งไว้ ครั้งที่สี่พบหลังค้น transcript ราว 481 ล้านรายการ METR ได้สัญญาแปดสัปดาห์ให้ตรวจสอบอิสระ ผลยังไม่ออก จนกว่าจะออก นี่คือรายงานของผู้ขายที่ขัดผลประโยชน์ตัวเอง Google Threat Intelligence รายงานราววันที่ 8 กันยายน 2026 ว่าในไตรมาสสอง ผู้โจมตีสร้างและรันแคมเปญเก็บ credential ด้วย agent ได้ในเวลาไม่ถึงหกชั่วโมง นั่นคือ telemetry ของผู้ขายรายเดียวอีกราย
กรณีที่พิสูจน์ได้ดีที่สุดว่า agent ทำงานส่วนใหญ่ของการบุกรุกได้ จึงมาจากห้องทดลองของผู้สร้างเองที่รั่ว ไม่ใช่จากศัตรูที่ระบุตัวได้ ข้อนี้ไม่ได้แปลว่าคำกล่าวอ้างของ Anthropic ผิด มันแปลว่ายังไม่มีใครวางหลักฐานลงบนโต๊ะให้คนนอกอ่าน
สิ่งที่กรณีนี้สอน: เมื่ออ่านรายงานว่า AI โจมตีเอง ให้หาก่อนว่าใครนอกจากผู้เขียนเห็นหลักฐาน ถ้าไม่มี ให้บันทึกมันเป็นคำกล่าวอ้าง ไม่ใช่เหตุการณ์
AIxCC · สิงหาคม 2025
วิธีเดียวที่จะให้คะแนนระบบหาช่องโหว่ได้ คือต้องรู้ก่อนว่าในโค้ดมีช่องโหว่อยู่กี่จุด และวิธีเดียวที่จะรู้แน่คือฝังมันลงไปเอง DARPA จึงฝังช่องโหว่สังเคราะห์ลงในซอฟต์แวร์จริง แล้ววัดว่าระบบอัตโนมัติเจอกี่จุด เงื่อนไขนั้นทำให้ตัวเลขที่ได้อ่านตรงไปตรงมา และทำให้มันไม่ใช่ตัวเลขของโลกจริง ทั้งสองข้อเป็นจริงพร้อมกัน และต้องอ่านพร้อมกัน
วันที่ 8 สิงหาคม 2025 DARPA ประกาศผลรอบชิงของ AI Cyber Challenge ที่ DEF CON 33 ระบบอัตโนมัติเจ็ดระบบพบช่องโหว่สังเคราะห์ 54 จาก 63 จุด และแก้ได้ 43 จุด
Team Atlanta จาก Georgia Tech, Samsung Research, KAIST และ POSTECH ได้ที่หนึ่ง 4 ล้านดอลลาร์ Trail of Bits ที่สอง 3 ล้าน Theori ที่สาม 1.5 ล้าน ทั้งเจ็ดระบบวิเคราะห์โค้ด 54 ล้านบรรทัด ใช้เวลาเฉลี่ย 45 นาทีต่อแพตช์หนึ่งชิ้น ต้นทุนเฉลี่ยราว 152 ดอลลาร์ต่องาน DARPA แก้ตัวเลขในข่าวแจกเอง จากช่องโหว่สังเคราะห์ 70 จุดเป็น 63 จุด ทำให้อัตราพบเป็น 86% และอัตราแก้เป็น 68% ของที่พบ รอบรองชนะเลิศปี 2024 ตัวเลขคู่นี้คือ 37% และ 25% ระหว่างทางระบบยังพบช่องโหว่จริงที่ไม่มีใครวางไว้ 18 จุด เป็น C หกจุด Java สิบสองจุด และแก้ได้ 11 จุด
ขีดจำกัดต้องพิมพ์ติดกับตัวเลข ช่องโหว่ที่ให้คะแนนเป็นของสังเคราะห์ ถูกฝังลงในซอฟต์แวร์จริงโดยตั้งใจ 86% จึงเป็นอัตราหาเจอของสิ่งที่รู้อยู่แล้วว่ามี ไม่ใช่อัตราค้นพบในโลกจริง อัตราแก้ 68% นับจากที่พบ ไม่ใช่จากที่มี ตัวเลขปลายทางคือหาคูณแก้ ทุกอย่างรันภายใต้เงื่อนไขการแข่งขัน โครงคงที่ งบคงที่ ภาษาที่รู้ล่วงหน้า และคะแนนที่ให้รางวัลความเร็ว
แล้วก็มีคนลองเอาระบบพวกนี้ออกมาจากสนามแข่ง บทความ systematisation-of-knowledge ปี 2026 บน arXiv พบว่าทั้งเจ็ดระบบที่เปิดซอร์สแล้วแทบใช้นอกทีมผู้สร้างไม่ได้ เมื่อทีม OSS-CRS ย้ายมันไปโครงที่ติดตั้งได้จริงและชี้ไปที่โปรเจกต์ OSS-Fuzz แปดโปรเจกต์ ผลคือบั๊กที่ไม่เคยรู้มาก่อน 10 ตัว ระดับรุนแรงสามตัว นั่นคือขนาดจริงของสิ่งที่เทคโนโลยีนี้พบเมื่อถอดนั่งร้านออก
หลักฐานสวนทางมาในปี 2026 จากคนที่รับรายงานช่องโหว่เป็นงานประจำ เดือนมกราคม Daniel Stenberg ปิดโปรแกรม bug bounty ของ curl บน HackerOne เพราะอัตรารายงานที่ใช้ได้ตกจากราวหนึ่งในหกเหลือหนึ่งในยี่สิบถึงสามสิบ และรายงานยี่สิบฉบับแรกของปีไม่มีช่องโหว่จริงเลย curl กลับมาเดือนมีนาคม 2026 ที่อัตรา 15 ถึง 16% เดือนสิงหาคม 2026 1Password ให้คะแนนแพตช์ 6,080 ชิ้นที่ ChatGPT 5.5 และ Claude Opus 4.8 เขียนสำหรับ CVE ใหม่หกรายการ มีเพียง 26% ที่แก้ช่องโหว่ได้ครบโดยไม่สร้างปัญหาใหม่ มากกว่าครึ่งแก้ไม่ได้หรือเพิ่มช่องโหว่ใหม่ นั่นเป็นงานวิจัยของผู้ขาย ไม่มีการทำซ้ำอิสระ แต่มีชุดข้อมูลและวิธีให้คะแนนที่ระบุไว้ เล่มนี้พิมพ์มันพร้อมวิธี ไม่ใช่เปอร์เซ็นต์ลอยๆ
AI ทำให้การหาช่องโหว่ถูกลงทั้งสองฝั่ง มันไม่ได้ทำให้การแก้ถูกลง และไม่ได้ทำให้การคัดกรองถูกลง ต้นทุนไปตกอยู่สองที่นั้น
สิ่งที่กรณีนี้สอน: เมื่อเห็นอัตราพบช่องโหว่ ให้ถามว่าใครวางช่องโหว่นั้นไว้ แล้วคูณอัตราพบด้วยอัตราแก้ที่ถูกต้องก่อนเชื่อตัวเลขปลายทาง
สถานะ ณ ปี 2026
สิ่งที่เปลี่ยนไปมากที่สุดในสี่ปีนี้ไม่ใช่วิธีโจมตี แต่เป็นสิ่งที่สถาบันที่มีชื่อเสียงจะเสียยอมเขียนออกมาตรงๆ คือเลิกสัญญาว่าจะแก้
เดือนธันวาคม 2025 สามปีกับสามเดือนหลังคำว่า prompt injection ถูกตั้งชื่อ NCSC ของสหราชอาณาจักรออกบทความที่ตั้งชื่อว่ามันไม่ใช่ SQL injection และอาจแย่กว่า
จุดยืนของหน่วยงานระดับชาติเขียนไว้ตรงตัว ภายในโมเดลไม่มีเส้นแบ่งโดยธรรมชาติระหว่างข้อมูลกับคำสั่ง prompt injection จึงอาจไม่มีวันถูกกำจัดแบบที่ SQL injection ถูกกำจัด และผู้ป้องกันควรมุ่งลดผลกระทบ ไม่ใช่มุ่งป้องกัน นี่คือข้อสรุปของ Willison ในปี 2022 ที่กลายเป็นคำแนะนำของรัฐ
วันที่ 30 ธันวาคม 2025 OpenAI เขียนถึง browser agent ของตัวเองว่า prompt injection อาจไม่มีวันถูกแก้ และเลือกสร้างผู้โจมตีอัตโนมัติที่ฝึกด้วย reinforcement learning มาโจมตี agent ของตัวเองซ้ำๆ นั่นคือปฏิบัติต่อมันเป็นแรงกดดันต่อเนื่อง ไม่ใช่บั๊กที่มีแพตช์ และเป็นงบประจำที่บริษัทจะยอมตั้งก็ต่อเมื่อเลิกรอแพตช์แล้วเท่านั้น
วันที่ 8 มิถุนายน 2026 ที่ Infosecurity Europe Ariel Fogel รายงานว่ามีงานวิจัยแสดงว่าโจมตีสำเร็จได้แม้มีคุณสมบัติเพียงสองในสาม trifecta และ Rule of Two จึงเป็นเครื่องมือลดรัศมีความเสียหาย ไม่ใช่กำแพง เขายกสองรูปแบบใหม่ของปี 2026 allow-list ที่กลับทำให้เจาะง่ายขึ้น เพราะคำสั่งที่ agent ต้องใช้ถูกอนุมัติไว้ล่วงหน้าแล้ว และกรณีที่ผลลัพธ์ของ agent เองไปเขียนขอบเขต sandbox ของมันใหม่
สิ่งที่วงการยอมรับแทนคือสถาปัตยกรรมกักกัน ทุกแบบสมมติว่า injection เข้ามาแล้ว และจำกัดว่ามันไปถึงอะไรได้ Dual-LLM ของ Willison วันที่ 25 เมษายน 2023 ให้โมเดลที่มีสิทธิ์ไม่เห็นข้อความจากภายนอกเลย CaMeL ของ Google DeepMind เดือนมีนาคม 2025 ให้โมเดลที่มีสิทธิ์แปลงคำขอของผู้ใช้เป็นโปรแกรม แล้วให้ interpreter ติดตามที่มาของข้อมูลและบังคับนโยบายก่อนเรียกเครื่องมือทุกครั้ง ผลคือทำงานใน AgentDojo ได้ 67% พร้อมหลักประกันที่พิสูจน์ได้ ส่วน 33% ที่หายไปคือราคาของหลักประกัน วันที่ 4 มิถุนายน 2026 OpenAI ขยาย Lockdown Mode ถึงบัญชีส่วนตัว ปิด browsing, retrieval, deep research และโหมด agent ทั้งหมด มันไม่กรองอะไรเลย มันตัดขา exfiltration ทิ้งด้วยสวิตช์
คำอธิบายว่าทำไมตัวกรองแพ้ตลอดมาถึงในเดือนมิถุนายน 2026 Ye, Cui และ Hadfield-Menell พบว่าโมเดลแยกข้อความที่มีสิทธิ์จากข้อความภายนอกด้วยสไตล์ ไม่ใช่ด้วยที่มา แค่เขียนข้อความให้ดูไม่เหมือนรูปแบบที่คาดไว้สำหรับบทบาทนั้น อัตราโจมตีสำเร็จในชุดข้อมูลของพวกเขาตกจาก 61% เหลือ 10% ด้วยการเปลี่ยนที่มนุษย์แทบมองไม่เห็น ถ้าสิ่งที่โมเดลใช้แยกคือรูปร่างของข้อความ ตัวกรองที่สร้างทับลงไปก็กันได้แค่รูปร่าง ไม่ได้กันที่มา ผู้เขียนสรุปว่าตราบใดที่โมเดลไม่รับรู้บทบาทจริง การป้องกัน injection จะเป็นเกมตีตัวตุ่นไม่รู้จบ
สี่ปีหลังตั้งชื่อ ปัญหานี้ไม่ถูกแก้ กลไกเข้าใจดีขึ้นกว่าปี 2022 และความเข้าใจนั้นเถียงกับการแก้ที่ระดับโมเดล ไม่ใช่เถียงให้
สิ่งที่กรณีนี้สอน: ออกแบบโดยถือว่า injection เข้ามาแล้ว แล้วเขียนรายการว่ามันไปถึงอะไรได้บ้างจากจุดนั้น รายการนั้นคือส่วนเผื่อจริงของคุณ ไม่ใช่ตัวกรอง
ท่าที่เอาไปใช้ได้: นับว่า agent ของคุณถือกี่ข้อในสามข้อ — อ่านข้อมูลส่วนตัวได้ อ่านข้อความที่คนแปลกหน้าเขียนได้ ส่งอะไรออกไปข้างนอกได้ ถ้าครบสามในเซสชันเดียวโดยไม่มีคนกดอนุมัติ ตัดข้อหนึ่งออกวันนี้ อย่าเพิ่มตัวกรอง
จะพลิกคำตัดสินของภาคนี้ได้เมื่อ: ชุดทดสอบอิสระแสดงว่ามีโมเดลที่แยกคำสั่งจากข้อมูลด้วยที่มา ไม่ใช่ด้วยสไตล์ — injection ที่ถูกเขียนใหม่ให้ผิดสไตล์ล้มเหลวในอัตราเท่ากับแบบเดิม — หรือสถาปัตยกรรมแบบ CaMeL ให้หลักประกันเดิมโดยไม่เสียงานส่วนใดไป
แหล่งของภาคนี้:
- Simon Willison, "Prompt injection attacks against GPT-3", 12 กันยายน 2022 — https://simonwillison.net/2022/Sep/12/prompt-injection/
- Simon Willison, "I don't know how to solve prompt injection", 16 กันยายน 2022 — https://simonwillison.net/2022/Sep/16/prompt-injection-solutions/
- Simon Willison, "You can't solve AI security problems with more AI", 17 กันยายน 2022 — https://simonwillison.net/2022/Sep/17/prompt-injection-more-ai/
- Simon Willison, "The lethal trifecta for AI agents", 16 มิถุนายน 2025 — https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/
- Meta, "Agents Rule of Two", 31 ตุลาคม 2025 — https://ai.meta.com/blog/practical-ai-agent-security/
- Microsoft Security Response Center, CVE-2025-32711 — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-32711
- Simon Willison, EchoLeak, 11 มิถุนายน 2025 — https://simonwillison.net/2025/Jun/11/echoleak/
- arXiv 2509.10540, บทความว่าด้วย EchoLeak, กันยายน 2025 — https://arxiv.org/abs/2509.10540
- The Record, OpenAI fixes ShadowLeak — https://therecord.media/openai-fixes-zero-click-shadowleak-vulnerability
- Simon Willison, "Model Context Protocol has prompt injection security problems", 9 เมษายน 2025 — https://simonwillison.net/2025/Apr/9/mcp-prompt-injection/
- Simon Willison, GitHub MCP exploited, 26 พฤษภาคม 2025 — https://simonwillison.net/2025/May/26/github-mcp-exploited/
- MCP Security Best Practices, spec 2025-06-18 — https://modelcontextprotocol.io/specification/2025-06-18/basic/security_best_practices
- MCP blog, spec revision 2026-07-28 — https://blog.modelcontextprotocol.io/posts/2026-07-28/
- NSA, MCP Security Design Considerations, 20 พฤษภาคม 2026 — https://www.nsa.gov/Portals/75/documents/Cybersecurity/CSI_MCP_SECURITY.pdf
- Practical DevSecOps, MCP security statistics 2026 (vendor-compiled) — https://www.practical-devsecops.com/mcp-security-statistics-2026-report/
- Souly et al., "Poisoning Attacks on LLMs Require a Near-constant Number of Poison Samples", arXiv 2510.07192 — https://arxiv.org/abs/2510.07192
- Anthropic, "A small number of samples can poison LLMs of any size", 9 ตุลาคม 2025 — https://www.anthropic.com/research/small-samples-poison
- Anthropic, "Disrupting the first reported AI-orchestrated cyber espionage campaign", 13 พฤศจิกายน 2025 — https://www.anthropic.com/news/disrupting-AI-espionage
- BleepingComputer, Anthropic claims met with doubt, 14 พฤศจิกายน 2025 — https://www.bleepingcomputer.com/news/security/anthropic-claims-of-claude-ai-automated-cyberattacks-met-with-doubt/
- MITRE ATT&CK, Campaign C0062 — https://attack.mitre.org/campaigns/C0062/
- Hugging Face, agent intrusion technical timeline, สิงหาคม 2026 — https://huggingface.co/blog/agent-intrusion-technical-timeline
- InfoQ, OpenAI / Hugging Face breach, สิงหาคม 2026 — https://www.infoq.com/news/2026/08/openai-huggingface-breach/
- Anthropic, investigating incidents in cybersecurity evals, 30 กรกฎาคม 2026 — https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals
- CyberScoop, Irregular on the sandbox escapes — https://cyberscoop.com/irregular-ai-sandbox-escape-human-oversight/
- Google Threat Intelligence Group, "From Prompting to Autonomy", กันยายน 2026 — https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai
- DARPA, AIxCC results, 8 สิงหาคม 2025 — https://www.darpa.mil/news/2025/aixcc-results
- arXiv 2602.07666, systematisation of the AIxCC systems, 2026 — https://arxiv.org/html/2602.07666v2
- arXiv 2603.08566, OSS-CRS, 2026 — https://arxiv.org/html/2603.08566v2
- BleepingComputer, curl ends bug bounty, มกราคม 2026 — https://www.bleepingcomputer.com/news/security/curl-ending-bug-bounty-program-after-flood-of-ai-slop-reports/
- Help Net Security, 1Password on AI-generated patches, 6 สิงหาคม 2026 — https://www.helpnetsecurity.com/2026/08/06/1password-ai-generated-vulnerability-patches/
- UK NCSC, "Prompt injection is not SQL injection", ธันวาคม 2025 — https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection
- OpenAI, hardening Atlas against prompt injection, 30 ธันวาคม 2025 — https://openai.com/index/hardening-atlas-against-prompt-injection/
- OpenAI, Lockdown Mode, มิถุนายน 2026 — https://openai.com/index/introducing-lockdown-mode-and-elevated-risk-labels-in-chatgpt/
- Infosecurity Magazine, Ariel Fogel at Infosecurity Europe, 8 มิถุนายน 2026 — https://www.infosecurity-magazine.com/news/infosec-europe-prompt-injection/
- Simon Willison, Dual-LLM pattern, 25 เมษายน 2023 — https://simonwillison.net/2023/Apr/25/dual-llm-pattern/
- Google DeepMind, CaMeL, arXiv 2503.18813 — https://arxiv.org/abs/2503.18813
- Simon Willison, "Prompt Injection as Role Confusion", 22 มิถุนายน 2026 — https://simonwillison.net/2026/Jun/22/prompt-injection-as-role-confusion/