ตัวอักษร 120,000 ตัวถูกล้วงหมด! ข้อความระบบของ Claude Fable 5 รั่วไหล ความปลอดภัย AI ยังเหลือกางเกงในอีกกี่ตัว?

เรื่อง Claude Fable 5 นี่ ยิ่งไล่ดูยิ่งเหมือนการเปลือยกายกลางสาธารณะของวงการความปลอดภัย AI เลย

ตามรายงานของสื่อด้านความปลอดภัยภาษาจีนและแพลตฟอร์มรวมข่าวหลายสำนัก Claude Fable 5 โมเดลระดับเดียวกับ Mythos ที่ Anthropic เปิดให้สาธารณะ ถูกกล่าวหาว่าถูกผู้เจาะระบบที่ใช้นาม elder_plinius ล้วงผ่านด้วยวิธีโจมตีแบบหลาย Agent ประสานกัน โดยข้อความระบบภายในฉบับเต็มถูกรวบรวมและอัปโหลดขึ้น GitHub ด้วยขนาดราว 120,000 ตัวอักษร

ที่หนักกว่านั้น เนื้อหาที่รั่วไม่ใช่แค่การตั้งค่าบุคลิกทั่วไป แต่ถูกระบุว่ามีตรรกะแกนกลางอย่างการควบคุมความปลอดภัย การจัดหมวดความเสี่ยง ขอบเขตการปฏิเสธ การเรียกใช้เครื่องมือ และการกำหนดเส้นทางตามนโยบาย พูดง่าย ๆ ถ้ารายงานเป็นจริง เท่ากับเอาคู่มือแผงควบคุมความปลอดภัยของโมเดล AI แนวหน้าไปแปะไว้กลางถนน

ขอชี้แจงก่อน: บทความนี้จะไม่ลอก เล่า หรือสอนวิธีใช้ข้อความระบบที่รั่วไหล เราแค่จะคุยว่าทำไมเรื่องนี้ถึงร้ายแรง และมันหมายความว่าอะไรกับความปลอดภัยของ AI

ไล่ไทม์ไลน์เหตุการณ์ให้ชัดก่อน

Claude Fable 5 คือโมเดลใหม่ที่ Anthropic เปิดตัวต้นเดือนมิถุนายน และถูกมองจากภายนอกว่าเป็นเวอร์ชันเปิดสาธารณะที่ปลอดภัยของ Mythos 5 ตามรายงานสาธารณะ Fable 5 ถูกบรรยายว่าเป็น Claude รุ่นใหม่ที่มุ่งงานการใช้เหตุผลซับซ้อน งานระยะยาว และเวิร์กโฟลว์ระดับมืออาชีพ

แต่พอเปิดให้ใช้งานแล้วข้อครหาก็ไม่เคยขาด

คลื่นแรกคือความเข้มงวดเรื่องความปลอดภัยเกินเหตุ มีรายงานว่า Fable 5 ถึงขั้นปฏิเสธตอบคำถามชีวภาพระดับพื้นฐานด้วยซ้ำ ก็คือมันไม่ได้เก่งน้อยลง แต่ถูกนโยบายความปลอดภัยรัดแน่นเกินไป

คลื่นที่สองคือการทำมาตรฐานสองแบบของไมโครซอฟท์ ฝั่งหนึ่งเชื่อม Fable 5 เข้าบริการที่เผชิญลูกค้า อีกฝั่งกลับจำกัดไม่ให้พนักงานภายในใช้ โดยเหตุผลที่ระบุว่าเกี่ยวกับความปลอดภัยของข้อมูลและความเสี่ยงจากเอาต์พุตของโมเดล

คลื่นที่สาม และระเบิดที่สุดในครั้งนี้: มีผู้โจมตีอ้างว่าเจาะผ่านด้วยการ jailbreak แบบหลาย Agent ประสานกัน ได้ข้อความระบบราว 120,000 ตัวอักษรมา แล้วอัปโหลดขึ้น GitHub

ส่วนที่หน้าข่าวทางการของ Anthropic เห็นได้ตอนนี้คือ: รัฐบาลสหรัฐฯ ออกคำสั่งควบคุมการส่งออก ระงับการเข้าถึง Fable 5 และ Mythos 5 ทั้งหมด ส่วนเรื่องรั่วไหลครั้งนี้ทางการยังไม่ให้การยืนยันฉบับเต็ม

ทำไมการโจมตีครั้งนี้ถึงน่ากลัว: ไม่ใช่การระเบิดจุดเดียว แต่คือกลยุทธ์ฝูงหมาป่า

Jailbreak แบบดั้งเดิมมักพึ่งพรอมป์วิเศษหนึ่งประโยค: ยั่วยุให้โมเดลละเมิดกฎ เล่นบทบาท ซอยงานออกเป็นชิ้นเล็ก หรือหลบการปฏิเสธ

แต่ในรายงานครั้งนี้มีคำหนึ่งโผล่ซ้ำ ๆ: กลยุทธ์ฝูงหมาป่า

หมายความว่าผู้โจมตีไม่ได้พุ่งชนด้วยพรอมป์เดียว แต่ปล่อย Agent หลายตัวออกมาประสานรบร่วมกัน:

• Agent หนึ่งทำหน้าที่สำรวจขอบเขตของโมเดล
• Agent หนึ่งทำหน้าที่สร้างคำถามรูปแบบต่าง ๆ
• Agent หนึ่งทำหน้าที่ตัดสินว่าคำตอบไหนรั่วโครงสร้างข้อมูลออกมา
• Agent หนึ่งทำหน้าที่นำชิ้นส่วนเอาต์พุตมาประกอบเป็นเอกสารเต็ม
• และ Agent หนึ่งทำหน้าที่ปรับกลยุทธ์การโจมตีต่อเนื่อง

จากเกมพรอมป์เล็ก ๆ มันถูกอัปเกรดเป็นระบบ red team อัตโนมัติเต็มตัว

มนุษย์โจมตีสัก 100 ครั้งก็เหนื่อย แต่ระบบโจมตี AI ลองได้ 100,000 ครั้ง แถมทุกครั้งยังปรับปรุงตัวเองจากฟีดแบ็กได้อัตโนมัติ โมเดลแนวหน้ายิ่งเก่ง การเอามันมาเป็นผู้ประสานงานการโจมตียิ่งอันตราย

และนี่แหละจุดที่ควรตื่นตัวจริง ๆ ของเหตุการณ์นี้: กองหลักที่เจาะระบบความปลอดภัย AI กำลังกลายเป็น AI เอง

ข้อความระบบรั่วแล้วร้ายแรงแค่ไหนกัน

หลายคนจะถาม: มันก็แค่พรอมป์นี่หว่า รั่วแล้วเป็นอะไร?

นั่นแหละความเข้าใจผิดเรื่องระบบโมเดลใหญ่ยุคนี้ ข้อความระบบสมัยนี้ไม่ใช่แค่ประโยค “เธอคือผู้ช่วยที่มีประโยชน์” อีกต่อไป มันใกล้เคียงกับคู่มือนโยบายระดับรันไทม์มากกว่า ข้างในอาจมี:

• อัตลักษณ์ของโมเดลและสไตล์การสื่อสาร
• เกณฑ์ระบุเนื้อหาความเสี่ยงสูง
• ลำดับชั้นการจัดหมวดด้านความปลอดภัย
• เทมเพลตการปฏิเสธสำหรับสถานการณ์ความเสี่ยงแต่ละประเภท
• ขอบเขตการเรียกใช้เครื่องมือ
• นโยบายจัดการสาขาอ่อนไหวอย่างโค้ด ความปลอดภัยไซเบอร์ ชีวภาพ เคมี และอื่น ๆ
• เมื่อไหร่ควรหักหันไปตอบแบบปลอดภัยกว่า
• เมื่อไหร่ปฏิเสธสุดทาง
• เมื่อไหร่อนุญาตให้อธิบายในระดับมโนทัศน์ได้

ของพวกนี้พอถูกเปิดเผย ผู้โจมตีก็ไม่ต้องเดามืดอีกต่อไป

เมื่อก่อนการโจมตีโมเดลเหมือนล้วงกุญแจกลางเวลามืด: ไม่รู้โครงสร้างลูกซอกก็ได้แต่ลองมั่ว พอข้อความระบบรั่ว เท่ากับได้ภาพตัดขวางลูกซอกมาครบ ผู้โจมตีออกแบบวิธีหลบได้ทีละกฎ เจาะเอาช่องว่างตรงเส้นขอบโดยเฉพาะ

นี่แหละเหตุผลที่การรั่วของข้อความระบบไม่ใช่แค่ “เรื่องหน้าตา” แต่เป็นเหตุการณ์ความปลอดภัยเต็ม ๆ ที่เจ็บตัวจริง

120,000 ตัวอักษรมันหมายความว่าอะไร

120,000 ตัวอักษร ประมาณหนึ่งนิยายระดับกลาง หรือเอกสารนโยบายความปลอดภัยหลายสิบหน้า

ถ้าขนาดนี้เป็นจริง แปลว่าระบบควบคุมความปลอดภัยของ Fable 5 ไม่ใช่กฎไม่กี่ข้อ แต่เป็นระบบนโยบายซับซ้อนทั้งชุด มีแนวโน้มสูงว่ามันแยกสาขาความเสี่ยงออกเป็นกิ่งละเอียด: ความปลอดภัยไซเบอร์ ความปลอดภัยชีวภาพ เคมี การควบคุมจิตใจ การฉ้อโกงทางการเงิน การรั่วไหลของข้อมูลส่วนบุคคล ลิขสิทธิ์ เนื้อหาการเมือง การคุ้มครองผู้เยาว์ คำแนะนำทางการแพทย์ และอื่น ๆ

ข้อนี้มีความขัดแย้งสองด้าน

ด้านแรก งานวิศวกรรมความปลอดภัยของ Anthropic ทำละเอียดจริง ละเอียดถึงขั้นที่เส้นขอบเกือบทุกเส้นมีนิยามชัดเจน นี่ก็คือเหตุผลที่ Fable 5 ออกมาแล้วถูกวิจารณ์ว่า “ปลอดภัยเกินเหตุ”

ด้านที่สอง ยิ่งกฎละเอียด พอรั่วแล้วพื้นที่โจมตียิ่งชัด ผู้โจมตีจะเห็นว่าหมวดไหนชนการปฏิเสธ รูปแบบการพูดแบบไหนผ่าน และตรงไหนมีเขตสีเทา

นโยบายความปลอดภัยยิ่งซับซ้อน มันยิ่งเหมือนระบบซอฟต์แวร์ขนาดใหญ่หนึ่งตัว และซอฟต์แวร์ย่อมมีบั๊ก ระบบข้อความระบบก็ย่อมมีช่องโหว่เชิงตรรกะเหมือนกัน

ไม่ใช่ครั้งแรกแล้ว: ความปลอดภัย AI กำลังเข้าสู่ยุคของการรั่วไหล

สองปีที่ผ่านมา เหตุการณ์แนวนี้ในวงการ AI เพิ่มขึ้นเรื่อย ๆ

มีคนรั่วซอร์สโค้ดของ Claude Code มีคนล้วงข้อความระบบของ Agent เชิงพาณิชย์ มีคนได้พรอมป์ที่ซ่อนไว้ผ่านปลั๊กอินเบราว์เซอร์ มีคนให้โมเดลคุยกันเองแล้วดึงกฎของระบบออกมา

เหตุผลง่ายมาก: สินทรัพย์แกนกลางของผลิตภัณฑ์โมเดลใหญ่ กำลังย้ายจากโค้ดแบบเดิมไปสู่ข้อความระบบ การจัดเครื่องมือ การกำหนดเส้นทางนโยบาย ระบบความจำ และกฎความปลอดภัย มากขึ้นเรื่อย ๆ

เมื่อก่อนองค์กรกลัวซอร์สโค้ดรั่ว

ตอนนี้บริษัท AI ยังต้องกลัวเพิ่มขึ้นอีกว่า:

• ข้อความระบบรั่ว
• schema ของเครื่องมือรั่ว
• นโยบายความปลอดภัย (safety policy) รั่ว
• ชุดทดสอบภายในรั่ว
• เวิร์กโฟลว์ของ Agent รั่ว
• ความจำและความชอบของผู้ใช้รั่ว

ของพวกนี้ไม่จำเป็นต้องเป็นโค้ดในความหมายดั้งเดิม แต่มันเป็นตัวกำหนดพฤติกรรมผลิตภัณฑ์ มันก็คือซอร์สโค้ดของยุคใหม่นั่นเอง

ผลกระทบต่อผู้ใช้องค์กร

ถ้าคุณเป็นแค่ผู้ใช้ทั่วไป เรื่องนี้สุดท้ายก็แค่ข่าวสะเทือนใจสักเรื่อง

แต่ถ้าคุณเป็นผู้รับผิดชอบความปลอดภัยขององค์กร เรื่องก็เปลี่ยนไปสิ้นเชิง

องค์กรกำลังนำโมเดลใหญ่ต่อเข้างานบริการลูกค้า ตรวจสอบโค้ด วิเคราะห์ข้อมูล ระบบอัตโนมัติในสำนักงาน คลังความรู้ภายใน กระบวนการการเงิน แม้กระทั่งศูนย์เฝ้าระวังความปลอดภัย โมเดลไม่ใช่แค่หุ่นแชท แต่เป็นหน่วยปฏิบัติการที่ถือสิทธิ์ใช้เครื่องมือ

พอข้อความระบบกับขอบเขตเครื่องมือถูกเปิดเผย ผู้โจมตีจะสร้างอินพุตได้แม่นยำขึ้น ยั่วให้โมเดลใช้เครื่องมือผิดวิธี รั่วข้อมูล ลัดการอนุมัติ หรือกระทำการที่ผิดพลาด

โดยเฉพาะสถานการณ์ Agent ที่อันตรายที่สุด เพราะ Agent ไม่ได้แค่ตอบคำถาม แต่มันจัดการไฟล์ เรียก API ส่งข้อความ สอบถามฐานข้อมูล และรันคำสั่ง พอข้อความระบบรั่ว ผู้โจมตีรู้ทั้งตรรกะแตกงานและตรรกะปฏิเสธของมัน ก็จะออกแบบสายโซ่โจมตีที่แหย่จุดอ่อนของมันได้พอดี

ดังนั้นองค์กรไม่ควรมองข้อความระบบเป็นแค่ “เอกสารภายใน” อีกต่อไป มันควรถูกจัดอยู่ในการบริหารสินทรัพย์ด้านความปลอดภัย

องค์กรควรป้องกันอย่างไร

หนึ่ง อย่าฝากความปลอดภัยทั้งหมดไว้กับข้อความระบบ

ข้อความระบบคุมโมเดลได้จริง แต่ใช้เป็นแนวรับสายเดียวไม่ได้ ความปลอดภัยที่แท้จริงต้องถูกกดลงไปที่สิทธิ์เครื่องมือ เกตเวย์ API ชั้นการเข้าถึงข้อมูล บันทึกการตรวจสอบ และการอนุมัติโดยคน

สอง ลดสิทธิ์เครื่องมือให้น้อยที่สุด

Agent อ่านอะไรได้ เขียนอะไรได้ ลบอะไรได้ ส่งให้ใครได้ ทุกอย่างต้องอนุญาตอย่างชัดเจน อย่าให้สิทธิ์แอดมินทั้งระบบเพียงเพราะโมเดล “ดูฉลาด”

สาม ข้อความระบบต้องแบ่งเป็นชั้น

อย่าเขียนนโยบายทั้งหมดรวมกันในพรอมป์ยักษ์ก้อนเดียว แบ่งเป็นชั้นอัตลักษณ์ ชั้นงาน ชั้นเครื่องมือ ชั้นความปลอดภัย ชั้นการตรวจสอบ แล้วโหลดตามบริบท แบบนี้แม้ชั้นหนึ่งรั่ว ผู้โจมตีก็ได้แผงควบคุมไม่ครบทั้งชุด

สี่ เพิ่มการตรวจฝั่งเอาต์พุต

อย่าตรวจแค่อินพุตของผู้ใช้ เอาต์พุตของโมเดลก็ต้องตรวจข้อมูลอ่อนไหว พฤติกรรมเกินสิทธิ์ และดักคำสั่งอันตรายด้วย

ห้า ทำ red team อัตโนมัติ

ผู้โจมตีใช้กลยุทธ์ฝูงหมาป่าหลาย Agent แล้ว ฝ่ายรับก็ต้องใช้ red team หลาย Agent เช่นกัน หมั่นให้กลุ่มโมเดลหนึ่งโจมตีอีกกลุ่มหนึ่ง สร้างชุดทดสอบอัตโนมัติ และปรับแนวรับให้ทันสมัยอยู่เสมอ

ทำไมผมไม่แนะนำให้แชร์ต้นฉบับ

แน่นอนว่าบนอินเทอร์เน็ตต้องมีคนบอกว่า: ขอลิงก์ GitHub หน่อยดิ อยากเห็น

ไม่แนะนำ

หนึ่ง ต้นฉบับอาจมีรายละเอียดที่นำไปใช้หลบนโยบายความปลอดภัยได้ตรง ๆ การแพร่กระจายมันเท่ากับช่วยให้คนจำนวนมากขึ้นทำซ้ำการโจมตีได้

สอง ความจริงของต้นฉบับยังไม่ได้รับการยืนยันจากทางการ การแพร่ต่อรอบสองมักทำให้เนื้อหาที่ไม่ครบหรือถูกปนเปื้อนกลายเป็นความจริงไปโดยปริยาย

สาม สำหรับนักวิจัย สิ่งที่ควรศึกษาจริง ๆ คือจุดที่สถาปัตยกรรมความปลอดภัยล้ม ไม่ใช่ก๊อปปี้พรอมป์ที่คนอื่นรั่วมาให้

วงการความปลอดภัยควรคุยกันว่า ทำไมมันถึงรั่ว จะลดความเสียหายอย่างไร และจะสร้างชั้นป้องกันใหม่แบบไหน ไม่ใช่นั่งเกาะติดข้อความระบบเหมือนดูละครกันเฉย ๆ

บทเรียนที่ใหญ่ที่สุดของเหตุการณ์นี้

การรั่วของข้อความระบบ Claude Fable 5 เผิน ๆ เหมือนการล้มจุดเดียวของ Anthropic แต่จริง ๆ มันคือปัญหาที่ทั้งอุตสาหกรรม AI หนีไม่พ้น

เรากำลังส่งมอบการตัดสินใจ การปฏิบัติการ และเส้นขอบความปลอดภัยให้โมเดลใหญ่มากขึ้นเรื่อย ๆ ทว่าการควบคุมที่สำคัญหลายจุดของระบบโมเดลใหญ่ ยังพึ่งสื่อที่เปราะบางอย่างข้อความภาษาธรรมชาติอยู่

ข้อดีของภาษาธรรมชาติคือยืดหยุ่น และข้อเสียก็คือมันยืดหยุ่นเกินไป มันไม่มีชนิดข้อมูลเข้มงวดแบบโค้ด ไม่ชัดเจนแบบรายการควบคุมการเข้าถึง และไม่แข็งแรงแบบแซนด์บ็อกซ์

ดังนั้นความปลอดภัย AI ในอนาคตพึ่ง “ข้อความระบบที่เขียนยาวขึ้น” อย่างเดียวไม่ได้แล้ว

ทิศทางที่เชื่อถือได้จริงควรเป็น:

• การฝึกความปลอดภัยภายในโมเดล
• เอนจินนโยบายภายนอก
• แซนด์บ็อกซ์สิทธิ์เครื่องมือ
• บันทึกการตรวจสอบแบบบังคับ
• การแยกข้อมูลลับออกจากกัน
• การตรวจสอบข้ามโมเดลหลายตัว
• การทดสอบ red team อัตโนมัติ

ข้อความระบบเป็นพวงมาลัยได้ แต่ใช้เป็นเบรกไม่ได้

บทส่งท้าย

เรื่อง Fable 5 นี่ จุดที่เสียดสีที่สุดคือ Anthropic เป็นผู้นำธงความปลอดภัย AI มาโดยตลอด แต่พอโมเดลที่ปลอดภัยที่สุดเปิดให้ใช้ได้ไม่นาน ก็โดนรายงานว่าข้อความระบบรั่ว

ข้อนี้ไม่ได้แปลว่า Anthropic ไม่ได้เรื่อง ตรงกันข้ามเลย มันชี้ว่าเรื่องความปลอดภัย AI เองได้เข้าสู่ขั้นที่ยากขึ้นไปอีกแล้ว

เมื่อก่อนคือมนุษย์โจมตี AI

ตอนนี้คือ AI จัดทัพ AI ไปโจมตี AI

เมื่อการโจมตีอัตโนมัติ นโยบายอัตโนมัติ และการทบทวนอัตโนมัติเกิดขึ้นพร้อมกันหมด การยึดปราการด้วยข้อความระบบความปลอดภัย 120,000 ตัวอักษรหนึ่งชุด ชะตากรรมก็ต้องไม่พอ

ยุคชันชุนของความปลอดภัย AI จบลงแล้ว ยุคจ้านกั๋วเพิ่งเริ่มต้น