System card ของ Opus 5 เปิดตัวเลข prompt injection — ถูกเจาะ 0 จาก 129 สนามทดสอบบนเบราว์เซอร์เมื่อเปิด auto mode

Prompt injection — คำสั่งที่ถูกซ่อนไว้ในผลลัพธ์ของ tool ที่ agent อ่านระหว่างทำงาน — คือช่องโหว่ที่กั้นไม่ให้ AI agent ถูกปล่อยทำงานจริงบนข้อมูลจริงมาตลอด และ system card ของ Claude Opus 5 (เผยแพร่ 24 ก.ค. 2026) เป็นเอกสารแรกที่ให้ตัวเลขซึ่งใกล้เคียงคำว่า “แก้ได้” มากที่สุดเท่าที่เคยมี — พร้อมข้อแม้ที่นักพัฒนาต้องอ่านให้ครบก่อนจะเชื่อ

ตัวเลขที่เป็นพาดหัว: บนชุดทดสอบเบราว์เซอร์ภายในของ Anthropic จำนวน 129 สภาพแวดล้อม Opus 5 ถูกเจาะสำเร็จ 3.70% ของความพยายามทั้งหมด (สำเร็จใน 11 จาก 129 ฉาก) เทียบกับ 31.5% ของ Opus 4.8 (81 จาก 129 ฉาก) — และเมื่อเปิดชุดป้องกัน auto mode ตัวเลขลงเหลือ 0% (0 จาก 129 ฉาก) ทั้งโหมดเปิดและปิด extended thinking

เจาะกันยังไง และ auto mode คืออะไร

Anthropic อธิบายกลไกป้องกันว่าทำงานสองชั้นที่คนละจุด:

• Prompt injection probes — ตรวจ ข้อมูลขาเข้า คือสแกนผลลัพธ์ของ tool ก่อนโมเดลจะลงมือ แล้วตีธงเนื้อหาที่ดูเหมือนคำสั่งแฝง
• Classifier บล็อกการเรียก tool อันตราย — ตรวจ การกระทำขาออก คือสกัด tool call ที่อาจก่อความเสียหาย

auto mode คือการเปิดทั้งสองชั้นพร้อมกัน (มีให้ใช้ในผลิตภัณฑ์ที่ใช้ Chrome connectors) จุดสำคัญคือสองชั้นนี้ ล้มเหลวแยกกัน — การโจมตีต้องเอาชนะทั้งคู่พร้อมกันจึงจะสำเร็จ Anthropic ระบุชัดด้วยว่า Claude Cowork ไม่เคยรันแบบ “ไม่มีชุดป้องกัน” เลย ทุก instance ใช้ probes เสมอ ตัวเลข “without safeguards” ในตารางคือการปิดไว้เพื่อวัดพฤติกรรมดิบของโมเดลเท่านั้น ไม่ใช่ค่าที่ผู้ใช้จริงเจอ

ชุดทดสอบ 129 สภาพแวดล้อมนี้เป็นของภายใน ไม่เคยถูกใช้เทรน และการโจมตีถูกออกแบบให้ agent เห็นแน่นอน (ผ่าน screenshot หรือการอ่านหน้าเว็บ) โดยมีตัวตรวจอัตโนมัติในสนามคอยยืนยันว่าการเจาะสำเร็จจริงหรือไม่

ตัวเลขอีกสามสนาม: เบนช์มาร์กกลาง, โค้ด, และ computer use

IPI benchmark (เบนช์มาร์กร่วม) — Anthropic ประกาศ ปลดระวางเบนช์มาร์ก ART เพราะโมเดล Claude ทำคะแนนเต็มเพดานมาหลายรุ่นจนแยกความต่างไม่ออก แล้วหันมารายงาน Indirect Prompt Injection (IPI) ที่สร้างร่วมกับ Gray Swan, UK AI Security Institute, US CAISI และผู้พัฒนาโมเดลรายอื่น — 28 ฉากใหม่ คัดการโจมตีที่ข้ามโมเดลได้ดีมา 1,130 รายการ วัดโอกาสที่ผู้โจมตีจะสำเร็จภายใน k ครั้ง

• Opus 5: 2.0% ภายใน 15 ครั้ง (Opus 4.8 อยู่ที่ 5.5%) และ 0.2% ที่ 1 ครั้ง (เดิม 0.5%)
• เทียบในบ้านเดียวกัน: Sonnet 5 อยู่ที่ 5.9%, Mythos 5 อยู่ที่ 2.6% ที่ k=15
• เทียบข้ามค่าย: โมเดลนอก Claude ที่ทนที่สุดคือ Muse Spark ที่ 16.5% — มากกว่า Opus 5 กว่าแปดเท่า ส่วน GPT‑5.6 Sol อยู่ที่ 20.0% (ใกล้เคียง GPT‑5.5 ที่ 20.8%) และรุ่นรอง ๆ อย่าง Terra 30.4% / Luna 43.9% ตัวเลขที่สะดุดตาที่สุดคือ การยิงครั้งเดียวใส่ GPT‑5.6 Sol สำเร็จ 3.1% ซึ่งสูงกว่าอัตราที่ผู้โจมตีทำได้กับ Opus 5 หลังยิงไปแล้วสิบห้าครั้ง

งานเขียนโค้ด — ใช้ Shade เครื่องมือ red-team แบบปรับตัวของ Gray Swan (40 ฉาก, ยิงฉากละ 200 ครั้ง) Opus 5 ถูกเจาะ 0.56% เมื่อเปิด extended thinking และ 0.41% เมื่อปิด เทียบกับ Opus 4.8 ที่ 7.03% / 17.44% และเมื่อเปิด probes เพิ่ม ลงเหลือ 0.18% ทั้งสองค่า (Sonnet 5 ยังทนกว่าเล็กน้อยที่ 0.31%)

Computer use (คุม GUI) — จาก 7.14% เหลือ 0.54% เมื่อเปิด thinking และจาก 6.21% เหลือ 0.39% เมื่อปิด เปิด probes แล้วอยู่ที่ 0.25% / 0.43% Anthropic เองตั้งข้อสังเกตว่าตัวเลขที่ “แย่ลง” เล็กน้อยตอนเปิด probes โดยไม่ใช้ thinking (0.39% → 0.43%) คือความพยายามที่สำเร็จเพิ่มมาแค่ 1 ครั้งจาก 2,800 ซึ่งแยกไม่ออกจาก noise

ข้อแม้ที่ต้องอ่านก่อนเชื่อตัวเลข

System card เขียนข้อจำกัดไว้เองอย่างตรงไปตรงมา และนี่คือส่วนที่ควรอ่านมากที่สุด:

• โมเดล Claude ทำเบนช์มาร์กสาธารณะจนเพดานตันไปแล้ว — Anthropic ยอมรับว่าการประเมินความทนทานต่อ prompt injection “ยาก” เพราะเบนช์มาร์กที่มีอยู่แยกความต่างไม่ออก ตัวเลขสวยส่วนหนึ่งจึงสะท้อนข้อจำกัดของเครื่องมือวัด ไม่ใช่ความปลอดภัยสัมบูรณ์
• เบนช์มาร์กนิ่งให้ความมั่นใจลวง — เอกสารอ้างงานวิจัย “The attacker moves second” (arXiv:2510.09023) ตรง ๆ ว่าชุดข้อมูลการโจมตีที่รู้อยู่แล้วอาจทำให้ดูปลอดภัยทั้งที่ยังแพ้วิธีใหม่
• threat model ที่ใช้ทดสอบ “ใจกว้าง” กับผู้โจมตี — ผู้โจมตีปรับจูนตรงกับฉากทดสอบและได้ยิงหลายร้อยครั้งต่อฉาก ซึ่ง Anthropic บอกว่าโหดกว่าโลกจริง แต่ก็แปลว่าตัวเลขนี้วัดในสนามที่รู้จักดี ไม่ใช่การโจมตีรูปแบบที่ยังไม่มีใครคิดออก
• 0% ไม่ได้แปลว่าเจาะไม่ได้ — แปลว่า “ชุดโจมตี 129 ฉากนี้ เจาะไม่ผ่านชุดป้องกันสองชั้น” เท่านั้น

มุมมอง AI Curator

ถ้าอ่านตัวเลขนี้อย่างระวัง สิ่งที่เปลี่ยนไปจริง ๆ ไม่ใช่ “prompt injection ถูกแก้แล้ว” แต่คือ ต้นทุนของการโจมตีเพิ่งแพงขึ้นหนึ่งระดับ — จาก 31.5% เหลือ 3.70% คือส่วนต่างระหว่าง “เจาะได้เกือบทุกครั้งที่ลอง” กับ “ต้องลองสามสิบครั้งถึงติดหนึ่ง” และเมื่อบวกชั้นป้องกันเข้าไปก็กลายเป็นงานที่ไม่คุ้มสำหรับผู้โจมตีทั่วไป นั่นเพียงพอจะเปลี่ยนการตัดสินใจของทีมที่ลังเลจะปล่อย browser agent แตะข้อมูลภายใน แต่ไม่เพียงพอจะเลิกออกแบบระบบแบบ “สมมติว่าโมเดลถูกหลอกได้”

บทเรียนเชิงสถาปัตยกรรมที่สำคัญกว่าตัวเลขคือ ชั้นป้องกันสองชั้นที่ล้มเหลวแยกกัน — probes ดูข้อมูลขาเข้า, classifier ดูการกระทำขาออก นี่คือหลัก defense in depth แบบเดิมที่วงการความปลอดภัยใช้มานาน และมันได้ผลเพราะ ไม่ฝากความหวังไว้กับความฉลาดของโมเดลอย่างเดียว ทีมไทยที่กำลังต่อ agent เข้ากับระบบภายในควรลอกแพตเทิร์นนี้ไปใช้ ไม่ว่าจะรันบนโมเดลค่ายไหน: อย่าให้ agent ที่อ่านข้อมูลภายนอกได้ มีสิทธิ์ยิง action ที่ย้อนกลับไม่ได้โดยไม่ผ่านด่านตรวจแยกต่างหาก

ประเด็นที่ควรระวังเป็นพิเศษสำหรับบ้านเรา: ทีมส่วนใหญ่ในไทยและ SEA เลือกโมเดลด้วยเกณฑ์ราคาและความสามารถด้านภาษาไทย แทบไม่มีใครถามถึงตัวเลข prompt injection เลย — ทั้งที่ส่วนต่างระหว่าง 2.0% กับ 43.9% ในตารางนี้คือความต่างที่มีความหมายทางธุรกิจจริงเมื่อ agent เข้าถึงข้อมูลลูกค้าได้ และสำหรับ โมเดลโอเพนเวต ที่หลายทีมรันเองนั้นแทบไม่มีตัวเลขความทนทานเผยแพร่เลยด้วยซ้ำ ซึ่งแปลว่าถ้าคุณ self-host คุณต้องสร้างชั้น probes/classifier ขึ้นมาเองทั้งหมด — งบที่มักไม่มีใครตั้งไว้ตอนเลือกใช้โมเดลฟรีเพื่อประหยัดค่า API

สุดท้าย การที่เบนช์มาร์ก IPI ถูกสร้างร่วมกับ UK AI Security Institute และ US CAISI เป็นสัญญาณเชิงนโยบายที่น่าจับตา: การวัดความปลอดภัยของ agent กำลังกลายเป็นโครงสร้างพื้นฐานร่วมระหว่างรัฐกับผู้พัฒนาโมเดล — และถ้าแนวโน้มนี้ไปต่อ ตัวเลขแบบนี้จะกลายเป็นสิ่งที่ผู้กำกับดูแลถามหา ไม่ใช่แค่สิ่งที่ห้องแล็บเลือกจะเปิดเผยเอง

แหล่งข่าว

• Claude Opus 5 System Card — Anthropic (24 ก.ค. 2026), หัวข้อ 5.2 Prompt injection risk within agentic systems
• Opus 5 may have solved browser-based prompt injection — The Decoder (25 ก.ค. 2026)
• Introducing Claude Opus 5 — Anthropic (24 ก.ค. 2026)
• How vulnerable are AI agents to indirect prompt injections? — arXiv:2603.15714