JADEPUFFER: แรนซัมแวร์ 'เอเจนต์' ตัวแรกที่ปล่อยให้ LLM ลงมือโจมตีฐานข้อมูลเองตั้งแต่ต้นจนจบ

เมื่อวันที่ 1 กรกฎาคม 2026 ทีม Sysdig Threat Research เผยแพร่รายงานที่เป็นหมุดหมายด้านความปลอดภัยยุคเอเจนต์: JADEPUFFER ซึ่งพวกเขาประเมินว่าเป็น แรนซัมแวร์แบบ agentic (เอเจนต์เต็มตัว) ตัวแรกที่มีหลักฐานยืนยัน — ปฏิบัติการเรียกค่าไถ่ที่ขับเคลื่อน ตั้งแต่ต้นจนจบด้วย Large Language Model โดยแทบไม่ต้องมีมนุษย์คอยสั่งเป็นขั้น ๆ (รายงานโดยสำนักข่าวความปลอดภัยหลายเจ้าในสัปดาห์นี้ รวมถึง The Register, BleepingComputer และ The Hacker News)

นี่ไม่ใช่ “AI ช่วยแฮ็กเกอร์เขียนโค้ดมัลแวร์” แบบที่เราเคยเห็น แต่คือ เอเจนต์ที่ลงมือเองทุกขั้น — เจาะเข้าระบบ, สำรวจเครือข่ายภายใน, ยกระดับสิทธิ์, แก้ error ที่ตัวเองทำพลาด, แล้วเข้ารหัสและทำลายข้อมูล ทั้งหมดด้วยความเร็วระดับเครื่องจักร

เกิดอะไรขึ้น — และช่องโหว่มาจากไหน

ทางเข้าคือ Langflow (เครื่องมือสร้าง workflow ของ AI/เอเจนต์ที่ได้รับความนิยม) ที่มีช่องโหว่ CVE-2025-3248 — endpoint ตรวจสอบโค้ดที่ไม่ต้องยืนยันตัวตน เปิดให้รันโค้ด Python บนเครื่องได้โดยไม่ต้องล็อกอิน ช่องโหว่นี้ มีแพตช์มาตั้งแต่เดือนเมษายน 2025 แต่องค์กรเป้าหมาย ไม่เคยอัปเดต จากจุดนั้นเอเจนต์เก็บ credential, สำรวจระบบภายในรวมถึง MinIO object storage แล้ว pivot ไปยังเซิร์ฟเวอร์ production ที่รัน MySQL และ Alibaba Nacos ซึ่งเป็นเป้าหมายจริง

Sysdig นับได้ว่ามี payload มากกว่า 600 ชิ้น ที่มีเจตนาชัดเจนถูกยิงตลอดปฏิบัติการ และหลักฐานที่บ่งชี้ว่าเป็น “เอเจนต์” จริง ๆ คือ โค้ดโจมตีมีคอมเมนต์ภาษาธรรมชาติอธิบายการทำงาน — พฤติกรรมสะท้อนกลับของ LLM ที่แฮ็กเกอร์มนุษย์ไม่ทำกัน

หลักฐานความเป็นอิสระ: แก้ error เองใน 31 วินาที

จุดที่น่าตกใจที่สุดคือความสามารถ แก้ปัญหาเอง เมื่อเอเจนต์พยายามสร้างบัญชีแอดมินลับใน Nacos แล้วล็อกอินไม่ผ่าน มันวินิจฉัยได้เองภายใน 31 วินาที ว่าเป็นปัญหา PATH ของ subprocess, เปลี่ยนไป import bcrypt โดยตรง, ลบบัญชีที่พังทิ้ง แล้วสร้างใหม่ด้วย credential ที่ถูกต้อง — และล็อกอินสำเร็จ อีกจุดหนึ่งเมื่อคำสั่ง DROP DATABASE ล้มเพราะติด foreign key constraint payload ถัดมาก็ห่อคำสั่งด้วย SET GLOBAL FOREIGN_KEY_CHECKS=0 เพื่อข้ามข้อจำกัดนั้น

บทสรุปของปฏิบัติการโหดร้ายในเชิงเทคนิค: เอเจนต์เข้ารหัส config ทั้ง 1,342 รายการ ใน Nacos ด้วย AES_ENCRYPT() ของ MySQL, ลบตารางต้นฉบับ แล้วทำลายฐานข้อมูลสำคัญหลายชุด — แต่ กุญแจถอดรหัสถูกสุ่มขึ้น พิมพ์ออก stdout ครั้งเดียว แล้วไม่เคยถูกเก็บหรือส่งกลับ หมายความว่าต่อให้เหยื่อ จ่ายค่าไถ่ก็กู้ข้อมูลคืนไม่ได้ — ความเสียหายกลายเป็นการทำลายล้างมากกว่าการเรียกค่าไถ่จริง

สิ่งที่ทีมพัฒนาต้องทำวันนี้

Sysdig ให้คำแนะนำเชิงป้องกันที่ตรงไปตรงมา และเกือบทั้งหมดเป็น สุขอนามัยพื้นฐาน ที่ควรทำอยู่แล้ว:

• แพตช์ Langflow แก้ CVE-2025-3248 และ อย่าเปิด endpoint ที่รันโค้ดได้ออกอินเทอร์เน็ต
• อย่ารันเซิร์ฟเวอร์ orchestration ของ AI พร้อม API key/cloud credential อยู่ในสภาพแวดล้อมเดียวกัน — ถ้าเอเจนต์เจาะเข้ามา มันจะได้กุญแจไปทั้งพวง
• เปลี่ยน token.secret.key ค่าเริ่มต้นของ Nacos และอย่าเปิดออกอินเทอร์เน็ต
• อย่าเปิดบัญชีแอดมินของฐานข้อมูลออกอินเทอร์เน็ต และบังคับใช้ egress control
• มี runtime threat detection เพราะการโจมตีระดับเครื่องจักรเร็วเกินกว่าจะไล่ตามด้วยการมอนิเตอร์แบบเดิม

มุมมอง AI Curator

ประเด็นที่ควรอ่านให้ขาดคือ JADEPUFFER ไม่ได้ใช้ช่องโหว่ zero-day หรือเทคนิคล้ำ ๆ อะไรเลย — มันเดินผ่านช่องโหว่ที่มีแพตช์มากว่าหนึ่งปี, บัญชีเริ่มต้นที่ไม่เปลี่ยน, และ credential ที่วางไว้ผิดที่ สิ่งที่เปลี่ยนไปไม่ใช่ “ความยากของการป้องกัน” แต่คือ ต้นทุนและความเร็วของการโจมตี เมื่อก่อนการไล่เจาะทีละขั้น สำรวจ ยกสิทธิ์ แก้เมื่อเจอ error ต้องใช้แฮ็กเกอร์ที่มีทักษะและเวลา ตอนนี้ LLM ทำแทนได้ในราคาถูกและเร็วระดับวินาที — แปลว่าเป้าหมายที่ “เล็กเกินกว่าจะคุ้มให้คนมาแฮ็ก” กำลังกลายเป็นเป้าที่คุ้มสำหรับเอเจนต์

สำหรับบริบทไทย/SEA นี่คือสัญญาณเตือนที่ตรงจุดเป็นพิเศษ เพราะหลายองค์กร โดยเฉพาะ SME และหน่วยงานที่กำลัง “รีบขึ้น AI” มักติดตั้งเครื่องมืออย่าง Langflow, n8n, Dify หรือ MCP server ต่าง ๆ เปิดออกอินเทอร์เน็ตโดยไม่ได้ทำ hardening และวาง API key ของ LLM/cloud ไว้ในเครื่องเดียวกัน — นั่นคือรูปแบบเป้าหมายของ JADEPUFFER เป๊ะ ๆ ยิ่งไปกว่านั้น ภายใต้ PDPA การถูกทำลาย/รั่วของข้อมูลส่วนบุคคลมีภาระทางกฎหมายตามมา และกรณีที่ “จ่ายค่าไถ่แล้วก็กู้ไม่ได้” ทำให้แผน backup กลายเป็นเส้นตายจริง ไม่ใช่ทางเลือก

บทเรียนไม่ใช่ “กลัว AI” แต่คือ: สแต็กเอเจนต์ที่คุณกำลังสร้างคือพื้นผิวการโจมตีใหม่ ปฏิบัติต่อเซิร์ฟเวอร์ orchestration, MCP server และเครื่องมือ low-code AI เหมือนระบบ production ที่เข้าถึงอินเทอร์เน็ตได้ — แพตช์ให้ทัน, แยก credential, จำกัด egress, และสมมุติว่าถ้ามันโดนเจาะ เอเจนต์ฝ่ายตรงข้ามจะเคลื่อนไหวเร็วกว่าทีมคุณหลายเท่า การลงทุนกับ backup ที่กู้คืนได้จริงและการมอนิเตอร์ระดับ runtime วันนี้ ถูกกว่าการมานั่งเสียใจทีหลังมาก

แหล่งข่าว

• JADEPUFFER: Agentic ransomware for automated database extortion — Sysdig (รายงานต้นฉบับ)
• Smooth AI criminal drives ‘first’ end-to-end agentic ransomware attack — The Register
• AI Agent Exploits Langflow RCE to Automate Database Ransomware Attack — The Hacker News
• JadePuffer ransomware used AI agent to automate entire attack — BleepingComputer