OpenAI เปิดตัว GPT-Red — AI ที่ถูกฝึกให้ "แฮ็กตัวเอง" ล่าช่องโหว่ prompt injection ได้ 84% เทียบทีมแดงมนุษย์ 13%

ปัญหาที่ปวดหัวที่สุดของทุกคนที่สร้าง AI agent คือ prompt injection — การซ่อนคำสั่งอันตรายไว้ในเว็บ อีเมล หรือไฟล์ ที่ agent ไปอ่านแล้วหลงเชื่อว่าเป็นคำสั่งจากเจ้าของ จนยอมทำสิ่งที่ไม่ควรทำ ยิ่ง agent มีสิทธิ์เข้าถึงเครื่องมือมากเท่าไร (เปิดเว็บ ส่งอีเมล แก้โค้ด สั่งซื้อของ) “รัศมีความเสียหาย” ก็ยิ่งกว้างขึ้นเท่านั้น

วันที่ 15 กรกฎาคม 2026 OpenAI เปิดเผยรายละเอียดของ GPT-Red — โมเดลภายในที่บริษัทฝึกขึ้นมาเพื่อเป็น “นักโจมตี” โดยเฉพาะ มันถูกสอนให้คิดค้นและยิงการโจมตีแบบ prompt injection ใส่โมเดลอื่นของ OpenAI เอง เพื่อหาช่องโหว่ก่อนที่ผู้ไม่หวังดีจะเจอ และตัวเลขที่รายงานออกมาก็ทำให้วงการสะดุ้ง: GPT-Red ทำสำเร็จ 84% ของสถานการณ์ทดสอบ เทียบกับทีมแดง (red team) ที่เป็นมนุษย์ซึ่งทำได้เพียง 13% ในเทสต์ชุดเดียวกัน

ฝึกด้วย self-play — นักโจมตี vs ผู้ป้องกัน

หัวใจของ GPT-Red คือ self-play reinforcement learning ซึ่งเป็นแนวทางเดียวกับที่เคยใช้สอน AI เล่นโกะและหมากรุก แต่คราวนี้เกมคือความปลอดภัย OpenAI สร้างสภาพแวดล้อมจำลองที่เลียนแบบการใช้งานจริงของ LLM — มีทั้งการเปิดเว็บ อ่านอีเมล และแก้โค้ด — แล้วให้ GPT-Red สวมบท “ผู้โจมตี” ยิงช่องโหว่ ส่วนโมเดลอีกฝั่งสวมบท “ผู้ป้องกัน”

• ผู้โจมตีได้ “รางวัล” เมื่อหลอกผู้ป้องกันสำเร็จ
• ผู้ป้องกันได้รางวัลเมื่อต้านทานได้

วนซ้ำไปเรื่อย ๆ ทั้งสองฝ่ายก็เก่งขึ้นพร้อมกัน — นักโจมตีคิดท่าใหม่ที่แนบเนียนขึ้น ผู้ป้องกันก็เรียนรู้ที่จะไม่หลงกล นักวิจัย Nikhil Kandpal ของ OpenAI สรุปเหตุผลที่ต้องทำเรื่องนี้อย่างจริงจังว่า “พื้นที่ความเสี่ยงมันโตขึ้น และรัศมีความเสียหายก็โตขึ้นตาม” เมื่อระบบซับซ้อนขึ้น

ท่าใหม่ที่มนุษย์ไม่เคยเจอ และการอุด GPT-5.6

สิ่งที่น่าสนใจคือ GPT-Red ค้นพบวิธีโจมตีแบบใหม่ที่มนุษย์ยังไม่รู้จัก หนึ่งในนั้นคือเทคนิค “fake chain-of-thought” — การป้อนขั้นตอนการให้เหตุผลปลอม ๆ ให้โมเดลเชื่อว่ามันได้ “ตรวจสอบแล้ว” นักวิจัย Chris Choquette-Choo เปรียบเทียบว่า “มันเหมือนผมบอกคุณว่า 1+1=3 แล้วบอกว่าคุณเองก็ตรวจสอบเรื่องนี้มาแล้ว”

ที่สำคัญคือ GPT-Red ไม่ได้เป็นแค่การทดลอง — มันถูกนำไป อุดช่องโหว่ GPT-5.6 ก่อนปล่อยจริง ตัวเลขที่ OpenAI รายงานสะท้อนผลชัดเจน:

• การโจมตี fake chain-of-thought ที่เคยได้ผล มากกว่า 95% กับ GPT-5.1 เหลือ ต่ำกว่า 10% กับ GPT-5.6
• ในภาพรวม การโจมตีของ GPT-Red ที่เคยทะลุ GPT-5 (รุ่นสิงหาคม 2025) ได้ กว่า 90% เหลือได้ผล ต่ำกว่า 23% กับ GPT-5.6

ในการทดสอบกับ agent จริง OpenAI เล่าว่า GPT-Red สามารถ ยึด agent ตู้ขายของอัตโนมัติชื่อ Vendy ให้เปลี่ยนราคาสินค้า สั่งซื้อของลดราคา และยกเลิกออเดอร์ของลูกค้าคนอื่นได้ รวมถึงเจาะ agent สายคำสั่ง (command-line coding agent) ได้ด้วย — ช่องโหว่เหล่านี้ถูกแจ้งและแก้ก่อนเปิดเผยต่อสาธารณะ

ทำไมถึงเก็บไว้ใช้ภายใน

OpenAI ระบุว่าจะ ไม่ปล่อย GPT-Red ออกมา เพราะมันคือเครื่องมือที่มี “ความสามารถเชิงรุก” (offensive capabilities) โดยตั้งใจ การปล่อยออกมาเท่ากับแจกอาวุธ บริษัทเชื่อว่าคู่แข่งจะลอกเลียนไม่ได้ง่าย ๆ เพราะไม่สามารถแค่ “ไปเทรนซูเปอร์แฮ็กเกอร์ตามไอเดียนี้” ได้ทันที รุ่นก่อนหน้าของ GPT-Red ถูกผนวกเข้าไปในกระบวนการเทรนตั้งแต่ GPT-5.3 แล้ว

แต่ก็มีเสียงเตือนให้ระวัง นักวิเคราะห์ด้านความปลอดภัย Jessica Ji ชี้ว่าแนวทาง self-play นี้ให้ผลที่ “น่าสนใจมาก” แต่ย้ำว่า “ความเชี่ยวชาญของมนุษย์ยังคงสำคัญมาก” — AI red team ช่วยขยายขนาดและความเร็วได้ แต่ไม่ใช่สิ่งทดแทนวิจารณญาณของคน

มุมมอง AI Curator

GPT-Red คือหมุดหมายที่นักพัฒนาไทยและ SEA ควรจับตา ไม่ใช่เพราะเราจะได้ใช้มัน (OpenAI เก็บไว้เอง) แต่เพราะมันประกาศชัดว่า “การป้องกัน prompt injection” ได้กลายเป็นสนามแข่งที่ scale ด้วย compute ไปแล้ว ใครมี GPU มากพอจะปั่น self-play ล่าช่องโหว่ตัวเอง ก็จะปล่อยโมเดลที่แข็งกว่าออกมา — และนั่นคือข้อได้เปรียบที่ทีมเล็กลอกตามได้ยาก

สำหรับคนที่สร้าง agent บนโมเดลเปิด (เช่น Inkling, GLM-5.2, Qwen) บทเรียนที่นำไปใช้ได้ทันทีมีสองข้อ หนึ่ง — อย่าไว้ใจ chain-of-thought ที่มาจาก input ท่า fake CoT ที่ GPT-Red ค้นพบใช้ได้กับทุกโมเดล ไม่ใช่แค่ของ OpenAI การออกแบบ agent ควรแยก “ข้อมูลที่ agent ไปอ่าน” ออกจาก “คำสั่งที่เชื่อถือได้” อย่างเด็ดขาด (least-privilege, sandbox tool, human-in-the-loop สำหรับ action ที่ย้อนกลับไม่ได้) สอง — เคส Vendy ตอกย้ำว่าช่องโหว่ที่อันตรายที่สุดไม่ใช่ “โมเดลพูดคำหยาบ” แต่คือ agent ที่มีสิทธิ์ทำธุรกรรมจริงแล้วถูกหลอกให้ทำ ซึ่งตรงกับความเสี่ยงของระบบ agent การเงิน/อีคอมเมิร์ซที่กำลังบูมในไทย

ข้อสังเกตสุดท้าย: การที่ OpenAI เลือก “เข้ารหัสข้อความระหว่าง agent ใน Codex” (ข่าวเมื่อ 15 ก.ค.) และ “เก็บ GPT-Red ไว้ใช้ภายใน” ในสัปดาห์เดียวกัน สะท้อนทิศทางเดียวกัน — บริษัทกำลังปิดพื้นผิวการโจมตีและการสังเกตการณ์ลงเรื่อย ๆ สำหรับองค์กรไทยที่ต้องการ audit ได้เต็มที่ภายใต้ PDPA นี่ยิ่งเป็นเหตุผลให้พิจารณาสแต็กโอเพนซอร์สที่ตรวจสอบเองได้ ควบคู่กับการลงทุนสร้าง red-team pipeline ของตัวเอง แทนที่จะฝากความปลอดภัยไว้กับกล่องดำของผู้ให้บริการทั้งหมด

แหล่งข่าว:

• MIT Technology Review — Meet GPT-Red, an LLM super-hacker OpenAI built to make its models safer
• SiliconANGLE — OpenAI details GPT-Red, an AI that attacks its own models to find flaws
• OpenAI — Unlocking self-improvement with GPT-Red