Five Eyes ออก guidance 'Careful Adoption of Agentic AI Services' — เตือนว่าทุก component คือ attack surface, list 23 risk + 100+ best practice, ให้ priority resilience > efficiency

วันที่ 1 พ.ค. 2026 หน่วยข่าวกรองและ cyber agency จาก 6 ประเทศของ Five Eyes — CISA + NSA (สหรัฐ), ASD-ACSC (ออสเตรเลีย), Canadian Centre for Cyber Security, NZ NCSC และ UK NCSC — ออก joint guidance “Careful Adoption of Agentic AI Services” เป็นครั้งแรกที่ทั้ง 5 ประเทศประสานเสียง regulatory ร่วมกันเรื่อง agentic AI

The Register รายงานวันที่ 4 พ.ค. ว่าเอกสารนี้ “thrust” หลักคือ การ deploy agentic AI สร้าง interconnected attack surface ที่ malicious actor สามารถโจมตีได้ทุก component — และเตือนตรง ๆ ว่า “จนกว่า security practice, evaluation method และ standard จะ mature, องค์กรควรสมมติว่า agentic AI system อาจ behave โดยไม่คาดคิด”

5 หมวดความเสี่ยงที่ guidance ระบุ

เอกสารแบ่งความเสี่ยงเป็น 5 category — รวม 23 risk และ 100+ best practice:

1. Privilege — เมื่อ agent ได้ access มากเกินไป, การ compromise รายเดียวอาจสร้างความเสียหายมากกว่า software vulnerability ทั่วไป
2. Design and configuration — misconfig หรือ design flaw ของ tool integration ทำให้ agent เข้าผิดทาง
3. Behavior — agent ไล่เป้าด้วยวิธีที่ designer ไม่คาดเดา (เช่น goal misalignment)
4. Structural — เครือข่ายของ agent ที่ trigger failure ลามทั้งระบบ
5. Accountability — agentic system ตัดสินใจผ่าน process ที่ตรวจสอบยาก, log parsing ก็ยาก, ทำให้ tracing สาเหตุยาก

ตัวอย่างเหตุการณ์ที่เอกสารใช้เตือน

The Register หยิบมา 2 เคสที่อยู่ในเอกสาร — เคสแรก: agent ติดตั้ง security patch แต่ถูกให้ broad write permission:

Malicious insider ส่ง prompt ที่ดูไม่อันตราย: “Apply the security patch on all endpoints and while you are at it, please clean up the firewall logs” — agent ทำทั้ง maintenance และลบ log ตามคำสั่ง เพราะ permission allow แม้ prompt มาจากคนนอก privileged IT group

เคสที่สอง: procurement agent ที่ approve vendor + จ่ายเงิน:

• agent ได้ access financial system, email, contract repo
• มีแต่ permission deployment-time ไม่มี review ต่อ
• agent อื่นเริ่ม implicit trust output ของ procurement agent
• attacker compromise tool low-risk หนึ่งตัวใน workflow → inherit privilege ทั้งสาย → modify contract + approve payment + สร้าง fake audit log

นี่คือ structural risk ที่ Five Eyes กังวลที่สุด — เพราะ agent network จะมี transitive trust ที่ traditional access control ไม่ได้ออกแบบมารองรับ

คำสั่งถึง vendor และ developer

เอกสารไม่ได้สั่งแค่ end-user — บางส่วนสั่ง vendor agentic AI ตรง ๆ:

• Test product อย่างละเอียด ก่อน ship
• Fail-safe by default — agent ต้อง stop และ escalate ให้ human reviewer ในสถานการณ์ uncertain
• Threat intelligence ของ agentic AI ยัง evolving — OWASP และ MITRE ATLAS เน้น LLM อยู่ — agentic AI มี attack vector ที่ยังไม่ถูก capture เต็ม

สรุปเดียวที่กรอบทั้งเอกสาร: “Prioritize resilience, reversibility and risk containment over efficiency gains”

แปลว่า — ถ้าต้องเลือกระหว่าง “เร็วและ scalable” กับ “ช้าแต่ถอยกลับได้” — Five Eyes บอก agency และ critical infrastructure operator ให้เลือก “ช้าแต่ถอยได้”

ความเชื่อมโยงกับเหตุการณ์ก่อนหน้า

guidance นี้ออกในจังหวะที่:

• Pentagon ยกเลิกความสัมพันธ์ Anthropic เพราะปฏิเสธ “all lawful purposes” + autonomous weapon (1 พ.ค.)
• CAISI ทำข้อตกลงกับ Google, Microsoft, xAI ให้ pre-release model evaluation (5 พ.ค.)
• Pennsylvania ฟ้อง Character.AI หลัง chatbot ปลอมเป็นจิตแพทย์ที่มี license (5 พ.ค.)
• Anthropic Project Glasswing ที่ใช้ Claude Mythos หา zero-day ในทุก major OS/browser
• CVE-2026-2796 ที่ Anthropic เปิดเผยรายละเอียดของ exploit ที่ Claude ทำเอง

นี่คือ “moment” ที่ regulator รู้ว่า agent มีพลังถึงระดับโจมตีจริง และ standard เก่ายังไม่ครอบคลุม

มุมมอง AI Curator

guidance นี้ ไม่ใช่กฎหมาย — เป็น advisory — แต่ใน sector regulated (banking, healthcare, defense, critical infrastructure) advisory แบบนี้กลายเป็น de facto standard ที่ auditor + insurer จะถามถึงในไม่กี่เดือน

จุดที่ผมคิดว่า regulator ไทย/SEA ควร note:

• ธปท. + กลต. + สมาคมธนาคารไทย ยังไม่ออก agentic AI guidance — ในขณะที่ MAS (สิงคโปร์) ออก FEAT (Fairness, Ethics, Accountability, Transparency) ตั้งแต่ 2018 และ update เพิ่มเรื่อง agent อยู่ — Thailand จะ lag อีกหรือ leapfrog?
• Critical infrastructure ไทย (PEA, MEA, การไฟฟ้า, รถไฟฟ้า, สนามบิน) เริ่ม PoC AI ปีที่แล้ว — แต่ “agentic” หมายถึงระบบที่ตัดสินใจเอง = level เกินที่ NCSA หรือ ETDA วาง framework ไว้
• บริษัทเอกชนไทย ที่ใช้ Claude Code/Cowork agent กับ infrastructure ภายใน (เช่น Stark, JMART, AIS, True) ควรเริ่ม internal review ใน 5 หมวดของ Five Eyes — โดยเฉพาะ privilege scoping ที่หลายที่ปล่อย agent ใช้ admin token เพราะสะดวก

ที่น่าคิดที่สุดคือคำว่า “reversibility” — Five Eyes บอกว่าให้เลือก reversibility มากกว่า efficiency — แต่ agentic value proposition คือ “automate end-to-end” ซึ่งมักไม่ reversible (commit transaction, ส่ง email, ปิด ticket) — ขัดแย้งในตัว

วิธีเดียวที่ resolve ขัดแย้งนี้ในทางปฏิบัติคือ human-in-the-loop ที่ checkpoint สำคัญ — แต่บริษัทที่อยากชาร์จ “AI หาคนแทน 70%” จะลังเลที่จะใส่ checkpoint นี้ เพราะ ROI หาย

ดังนั้นในระยะ 12 เดือนข้างหน้าจะเห็น 2 ทางที่แยกชัดเจน:

1. agentic AI ใน sector regulated — ช้า, มี audit trail, มี checkpoint, ราคาแพง
2. agentic AI ใน sector unregulated — เร็ว, autonomous, ไม่มี checkpoint, ถูก

ใครจะ vendor 2 มาตรฐานนี้ได้พร้อมกันคือใครจะชนะ — และจะเริ่มเห็น cybersecurity insurance premium เปลี่ยนมาคิดตามว่ามี/ไม่มี Five Eyes baseline ในอีก 6–12 เดือน

แหล่งข่าว

• Five Eyes warn agentic AI is too dangerous for rapid rollout — The Register
• US government, allies publish guidance on how to safely deploy AI agents — CyberScoop
• Five Eyes Sound Alarm on Autonomous AI Security Risks — BankInfoSecurity