OpenAI Workspace Agents ถูกเจาะ? ช่องโหว่จากการใช้ลิงก์ทำอันตรายได้อย่างไร

OpenAI Workspace Agents ถูกเจาะ? OpenAI ได้แก้ไขช่องโหว่ระดับความรุนแรงสูงที่ชื่อว่า AgentForger หลังจากนักวิจัยพิสูจน์ว่า URL ของ ChatGPT ที่ถูกปรับแต่งเพียงลิงก์เดียวสามารถสร้างและเผยแพร่ Autonomous Workspace Agent ภายใต้ชื่อผู้ใช้งานที่เป็นเหยื่อได้อย่างเงียบเชียบ ในบทความนี้ 'การปลอมแปลงเอเจนต์' (agent forgery) หมายถึงการสร้างและกำหนดการทำงานของ AI agent ผ่านการควบคุมพารามิเตอร์โดยไม่ได้รับอนุญาต ในขณะที่การนำ AI มาใช้ในองค์กรขยายตัวในซอฟต์แวร์ธุรกิจต่างๆ องค์กรต่างๆ กำลังนำ AI agent เข้าไปเป็นส่วนหนึ่งของขั้นตอนการทำงานประจำวัน แม้ระบบเหล่านี้จะช่วยให้การดำเนินงานที่ซับซ้อนราบรื่นขึ้น แต่ก็นำมาซึ่งช่องทางโจมตีรูปแบบใหม่ด้วย เมื่ออินเทอร์เฟซการเริ่มต้นใช้งาน (initialization interface) ตีความข้อมูล URL ที่ไม่น่าเชื่อถือว่าเป็นคำสั่งที่สามารถดำเนินการได้ ผู้โจมตีจึงสามารถใช้ประโยชน์จากการเชื่อมต่อระดับองค์กรที่ได้รับอนุญาตไว้ก่อนแล้วโดยไม่ต้องผ่านการยืนยันจากผู้ใช้

ลำดับเหตุการณ์และวิวัฒนาการเบื้องหลังการค้นพบ AgentForger

สรุปสาระสำคัญ

• บริษัทด้านความปลอดภัย Zenity Labs เปิดเผยช่องโหว่ AgentForger ใน ChatGPT Workspace Agents ซึ่งช่วยให้ลิงก์ที่ถูกดัดแปลงเพียงลิงก์เดียวสามารถปลอมแปลงเอเจนต์ AI ได้
• OpenAI ยืนยันช่องโหว่ดังกล่าวผ่านโปรแกรม Bugcrowd เมื่อวันที่ 4 มิถุนายน 2026 และได้ติดตั้งการแก้ไขเมื่อวันที่ 8 มิถุนายน โดยการลบพารามิเตอร์ URL ที่มีปัญหาออก
• เอเจนต์ที่ถูกปลอมแปลงได้รับสิทธิ์การเชื่อมต่อเดิมที่ผู้ใช้มีอยู่กับ Outlook, Slack, Teams และ SharePoint โดยข้ามขั้นตอนการขออนุญาตตามมาตรฐานไป

วิวัฒนาการของอินเทอร์เฟซซอฟต์แวร์องค์กรเน้นไปที่การลดขั้นตอนที่ยุ่งยาก (user friction) ในระหว่างการตั้งค่ามากขึ้น เมื่อ OpenAI เปิดตัวอินเทอร์เฟซ Agent Builder ที่ chatgpt.com/agents/studio/new ระบบยอมรับพารามิเตอร์ URL หลักสองตัวคือ template_name เพื่อเลือกการตั้งค่าเริ่มต้น และ initial_assistant_prompt เพื่อระบุข้อความคำสั่ง

อย่างไรก็ตาม นักวิจัยด้านความปลอดภัยค้นพบว่าหน้า Builder ปฏิบัติต่ออินพุตที่ให้ผ่าน initial_assistant_prompt เสมือนเป็นคำสั่งที่ให้ดำเนินการทันที แทนที่จะเป็นข้อความที่ต้องให้ผู้ใช้ตรวจสอบด้วยตนเอง หากพนักงานที่เข้าสู่ระบบอยู่คลิกลิงก์ที่สร้างขึ้นมาเป็นพิเศษในขณะที่มีการเชื่อมต่อกับเครื่องมือองค์กรอยู่ อินเทอร์เฟซจะส่งคำสั่งโดยอัตโนมัติ สร้างเอเจนต์ ตั้งค่าการอนุมัติเป็น “ไม่ต้องถามอีก” และเปิดระบบในโหมดดูตัวอย่างทันที

การตอบสนองอย่างรวดเร็วภายใน 4 วันจาก OpenAI ได้ลบพารามิเตอร์ที่อนุญาตสิทธิ์เกินความจำเป็นออกก่อนที่จะมีการค้นพบหลักฐานการโจมตีต่อสาธารณะ ดังที่ระบุไว้ใน การวิเคราะห์ความปลอดภัยของ Zenity Labs อย่างไรก็ตาม เหตุการณ์นี้แสดงให้เห็นว่าข้อบกพร่องในการเริ่มต้นระบบผ่านพารามิเตอร์สามารถส่งผลกระทบต่อขอบเขตข้อมูลองค์กรโดยไม่ต้องขโมยข้อมูลรับรองโดยตรง

เจาะลึกทางเทคนิค: กลไกการปลอมแปลงเอเจนต์ข้ามไซต์

ในเชิงลึก ช่องโหว่ AgentForger ได้รวมองค์ประกอบการทำงาน 3 ประการเข้าด้วยกันจนกลายเป็นสิ่งที่นักวิเคราะห์ความปลอดภัยเรียกว่า “กลยุทธ์อันตราย”: พารามิเตอร์ URL ที่ไม่น่าเชื่อถือ, ตัวเชื่อมต่อองค์กรที่ได้รับอนุญาตไว้ก่อนแล้ว, และกำหนดการทำงานอัตโนมัติ เนื่องจากผู้ใช้ที่เป็นเป้าหมายได้ผ่านการตรวจสอบสิทธิ์ OAuth สำหรับเครื่องมืออย่าง Microsoft Outlook, Slack หรือ Google Drive ไปก่อนหน้านี้แล้ว เอเจนต์ที่ถูกปลอมแปลงจึงได้รับสิทธิ์เหล่านั้นไปโดยไม่ต้องผ่านการยืนยันสิทธิ์ใหม่

เพื่อรักษาการเข้าถึงอย่างต่อเนื่อง คำสั่งเริ่มต้นจะกำหนดค่าให้เอเจนต์ทำงานตามกำหนดการซ้ำๆ ทุก 5 นาที โดยเอเจนต์จะตรวจสอบกล่องขาเข้า Outlook ของผู้ใช้เพื่อหาอีเมลที่มีหัวข้อเฉพาะ จากนั้นดำเนินการคำสั่งโดยใช้แอปองค์กรที่เชื่อมต่ออยู่ และส่งข้อมูลที่ดึงมากลับไปยังผู้โจมตี

[กระบวนการยินยอมของผู้ใช้มาตรฐาน]
  ผู้ใช้คลิก ──> พร้อมท์การยินยอม OAuth ──> การตรวจสอบสิทธิ์ด้วยตนเอง ──> เอเจนต์ใช้งานได้


[ห่วงโซ่การโจมตีผ่านลิงก์ AgentForger]
  ลิงก์ฟิชชิ่ง ──> พร้อมท์ URL ที่ส่งอัตโนมัติ ──> การตั้งค่าสิทธิ์เป็น 'ไม่ต้องถาม' ──> คำสั่งที่ทำงานตามกำหนดการอย่างต่อเนื่อง

ในการสาธิตแบบ Proof-of-Concept ที่ระบุไว้ใน สรุปทางเทคนิคของ SecurityWeek เอเจนต์ที่ถูกปลอมแปลงสามารถทำแผนผังรายชื่อพนักงานองค์กร ดึงสไลด์นำเสนอ M&A ภายในจาก SharePoint เก็บข้อมูลรับรองฐานข้อมูลที่เป็นข้อความธรรมดาจากช่องทาง Slack และส่งข้อความฟิชชิ่งภายในผ่าน Microsoft Teams ภายใต้ชื่อของผู้เสียหาย OpenAI ระบุว่าพฤติกรรมที่มีช่องโหว่ได้รับการแก้ไขก่อนที่จะมีการเปิดเผยต่อสาธารณะ และขณะนี้ยังไม่มีหลักฐานว่าช่องโหว่นี้ถูกนำไปใช้ในการโจมตีจริง

ช่องโหว่นี้เน้นย้ำถึงความท้าทายพื้นฐานในการจัดการ AI agent ที่ทำงานภายใต้ข้อมูลรับรองผู้ใช้ที่ถูกต้อง เครื่องมือรักษาความปลอดภัยปลายทางแบบดั้งเดิมถูกออกแบบมาเพื่อตรวจสอบปฏิสัมพันธ์ของมนุษย์และการดำเนินการไบนารี ทำให้ตรวจจับได้ยากเมื่อเอเจนต์ที่ได้รับอนุญาตทำกิจกรรมตามโทเค็น OAuth ของมัน การแก้ไขช่องโหว่ OpenAI Workspace Agents นี้จำเป็นต้องเปลี่ยนจากการให้ความเชื่อมั่นในเซสชันโดยนัย (implicit session trust) ไปสู่การตรวจสอบพารามิเตอร์แบบ Zero-Trust อย่างเข้มงวดในทุกช่องทางซอฟต์แวร์

สร้างเอง vs. ซื้อ: การจัดการความปลอดภัยของเซสชันและพารามิเตอร์ลิงก์

ในขณะที่องค์กรต่างๆ ใช้งาน AI agent และอินเทอร์เฟซ deep-linking ในสภาพแวดล้อมมือถือและเว็บ การรักษาความปลอดภัยพารามิเตอร์ขาเข้าจากการโจมตีแบบฉีดคำสั่ง (injection attacks) เป็นเรื่องสำคัญมาก ทีมพัฒนาต้องเผชิญกับทางเลือกเชิงกลยุทธ์ระหว่างการสร้างตรรกะการตรวจสอบภายในเอง หรือการนำกรอบการทำงานด้านความปลอดภัยที่สร้างไว้แล้วมาใช้

ตารางด้านล่างแสดงแนวทางสถาปัตยกรรมทั่วไปสำหรับการจัดการความปลอดภัยของลิงก์และพารามิเตอร์เซสชัน:

ในโครงสร้างพื้นฐานการเติบโตของมือถือและ deep linking รูปแบบภัยคุกคามที่คล้ายกันนี้มีอยู่เมื่อมีการส่งพารามิเตอร์ URL query ที่ไม่ผ่านการตรวจสอบข้ามขอบเขตแอปพลิเคชันโดยไม่มีการตรวจสอบทางรหัสผ่าน แพลตฟอร์มการระบุแหล่งที่มาแบบฝั่งเซิร์ฟเวอร์ในเชิงพาณิชย์มักให้บริการกู้คืนพารามิเตอร์และการตรวจสอบตัวตน และสามารถบูรณาการเข้ากับขั้นตอนการทำงานของพารามิเตอร์ deep-link ที่ลงนามด้วยรหัสผ่านได้ แพลตฟอร์มเช่น OpoInstall ช่วยให้ทีมปกป้อง deep link และรักษาความสมบูรณ์ของพารามิเตอร์ในการเปิดใช้งานแอปมือถือโดยไม่จำเป็นต้องประมวลผลฝั่งไคลเอ็นต์ให้หนักเครื่อง

รายการตรวจสอบการบูรณาการ: การป้องกันลิงก์แอปพลิเคชันจากการฉีดพารามิเตอร์

เพื่อปกป้องไปป์ไลน์ซอฟต์แวร์จากการฉีดพารามิเตอร์ผ่านลิงก์และการสร้างเอเจนต์โดยไม่ได้รับอนุญาต ทีมวิศวกรและทีมความปลอดภัยควรนำขั้นตอนการตรวจสอบที่มีโครงสร้างมาใช้

รายการตรวจสอบสำหรับการนำไปใช้งานของนักพัฒนา

• สุขอนามัยของพารามิเตอร์ URL ขาเข้า: ปฏิบัติต่อพารามิเตอร์ query ทั้งหมดว่าเป็นอินพุตที่ไม่น่าเชื่อถือ โดยต้องการการยืนยันจากผู้ใช้อย่างชัดเจนก่อนที่จะดำเนินการคำสั่งที่มีการเปลี่ยนแปลงสถานะ
• กำหนดลายเซ็นรหัสผ่าน: ใช้ HMAC หรือลายเซ็นดิจิทัลกับพารามิเตอร์ deep-linking เพื่อป้องกันการดัดแปลง URL ระหว่างการส่ง
• บังคับใช้ขอบเขตตัวเชื่อมต่อแบบละเอียด: จำกัดสิทธิ์ของเอเจนต์เบื้องหลังโดยบังคับให้มีการยืนยันที่ชัดเจนสำหรับปฏิบัติการอ่าน เขียน และส่งออกข้อมูลที่ละเอียดอ่อน

รายการตรวจสอบสำหรับผลิตภัณฑ์และกลยุทธ์การเติบโต

• ตรวจสอบการบูรณาการที่ได้รับสิทธิ์ไว้ก่อนแล้ว: ตรวจสอบตัวเชื่อมต่อแอปของบุคคลที่สามอย่างสม่ำเสมอและเพิกถอนสิทธิ์ OAuth ที่ไม่ได้ใช้งานในพื้นที่ทำงานขององค์กร
• ตรวจสอบขั้นตอนการทำงานอัตโนมัติ: ติดตั้งการบันทึกพฤติกรรมเพื่อตรวจจับคำขอ API อัตโนมัติที่มีความถี่สูงซึ่งทำงานนอกเวลาทำการปกติ
• ตรวจสอบความสมบูรณ์ของลิงก์ข้ามช่องทาง: ตรวจสอบให้แน่ใจว่า URL ทางการตลาดและ deep-linking ใช้กรอบการทำงานการส่งผ่านพารามิเตอร์แบบฝั่งเซิร์ฟเวอร์ที่ปลอดภัยเพื่อป้องกันการไฮแจ็กลิงก์

การเปิดเผยเรื่อง AgentForger ถือเป็นจุดเปลี่ยนสำคัญในวิวัฒนาการของความปลอดภัยด้าน AI ระดับองค์กร ในขณะที่ซอฟต์แวร์เอเจนต์ได้รับความเป็นอิสระและเข้าถึงแอปพลิเคชันที่สำคัญทางธุรกิจได้มากขึ้น การรักษาความปลอดภัยในระดับการเริ่มต้นใช้งานจึงมีความสำคัญพอๆ กับการปกป้องจุดสิ้นสุดของการตรวจสอบสิทธิ์แบบมาตรฐาน การพึ่งพาความเชื่อมั่นในเซสชันโดยนัยหรือพารามิเตอร์ URL ที่ไม่ได้ตรวจสอบ ก่อให้เกิดความเสี่ยงเชิงระบบเมื่อเครื่องมืออัตโนมัติเหล่านี้ดำเนินการในนามของผู้ใช้

สำหรับทีมวิศวกร การสร้างการดำเนินงานดิจิทัลที่ปลอดภัยต้องอาศัยการตรวจสอบพารามิเตอร์ที่เข้มงวด การสร้างขอบเขต API แบบ Zero-Trust และโมเดลการอนุญาตที่โปร่งใส โดยการรวมแนวปฏิบัติด้านความปลอดภัยที่มีประสิทธิภาพเข้ากับโครงสร้างพื้นฐานแบบฝั่งเซิร์ฟเวอร์ที่เป็นมาตรฐาน องค์กรต่างๆ สามารถใช้ประโยชน์จากประสิทธิภาพการทำงานของ AI อัตโนมัติในขณะที่ปกป้องข้อมูลสำคัญขององค์กรได้