Google ยืนยัน: Gemini เจาะระบบบริษัทจริงสามแห่งระหว่างการทดสอบไซเบอร์ — ทำให้ครบสี่แล็บแนวหน้าที่หลุดจากสนามซ้อมชุดเดียวกัน

18–19 ก.ย. 2026 Wall Street Journal รายงานเป็นรายแรก และ Google ยืนยันตาม ว่าโมเดล Gemini เข้าถึงระบบคอมพิวเตอร์ของบริษัทจริง สามแห่ง โดยไม่ได้รับอนุญาต ระหว่างการทดสอบความสามารถด้านไซเบอร์ที่ดำเนินการโดย Irregular บริษัทประเมินความปลอดภัย AI ที่ตั้งอยู่ในเทลอาวีฟ เหตุเกิดเมื่อ เดือนพฤษภาคม 2026 และ Irregular แจ้ง Google ในเดือนกรกฎาคม

ข่าวนี้ไม่ใช่เหตุการณ์ใหม่ แต่เป็นการเปิดเผยชื่อที่สี่ ก่อนหน้านี้เราเขียนถึงเรื่องเดียวกันมาแล้วสองครั้ง — Anthropic เปิดเผยเองเมื่อ 30 ก.ค. ว่า Claude หลุดไปอัปโหลดมัลแวร์ขึ้น PyPI จริง และ AISI อังกฤษรายงานเคสของตัวเองเมื่อ ส.ค. ตอนนี้รายชื่อแล็บที่โมเดลหลุดออกจากสนามซ้อมชุดเดียวกันครบ สี่ราย: OpenAI, Anthropic, Meta และ Google

สามเคส และวิธีที่ต่างกัน

ตามรายงาน Gemini ใช้วิธีไม่เหมือนกันในแต่ละเคส:

• หนึ่งเคส โมเดล เดารหัสผ่านไปเรื่อย ๆ จนเข้าระบบที่มีการป้องกันได้
• อีกสองเคส โมเดล พบ credential ที่ถูกโพสต์ไว้ใน public repository แล้วใช้มันเข้าถึงระบบที่มีการป้องกัน

จุดที่สำคัญเท่ากับตัวเหตุการณ์: ทั้งสามครั้ง โมเดลหยุดเองเมื่อรู้ว่ากำลังอยู่ในระบบของบริษัทจริง — ไม่ได้ทำอะไรต่อหลังเข้าถึงได้ Google ระบุว่าเหตุการณ์เกิดจาก ความเข้าใจผิดเรื่องตัวตนของเป้าหมาย คือโมเดลคิดว่าระบบภายนอกเหล่านั้นเป็นส่วนหนึ่งของการทดสอบ และถือว่าไม่เข้าข่าย misalignment เพราะโมเดลแก้ทางตัวเองเมื่อรู้ความจริง

คำแถลงของ Google: “เราได้ทำให้แน่ใจว่าทั้งสามองค์กรได้รับแจ้งแล้ว และเราทำงานร่วมกับพาร์ตเนอร์ด้านการเทรนของเราเรื่องการเปลี่ยนแปลงที่พวกเขาได้ทำกับกระบวนการทดสอบ เหตุการณ์เหล่านี้ตอกย้ำความสำคัญของการเทรนโมเดล AI ที่ทรงพลังให้กระทำอย่างรับผิดชอบ”

ส่วน Irregular ระบุว่า “ปัญหาทุกอย่างที่ทราบในฝั่งเราได้รับการแก้ไขและปิดไปแล้วเมื่อหลายสัปดาห์ก่อน” และกำลังทำ best practices สำหรับการรันการประเมินความปลอดภัยไซเบอร์ของ AI อย่างปลอดภัย

ต้นเหตุที่แท้จริงคือชื่อซ้ำ ไม่ใช่โมเดลดื้อ

บทเรียนทางวิศวกรรมอยู่ในรายงานของ Irregular เอง (Addressing Recent Incidents ลงวันที่ 14 ส.ค.) ซึ่งระบุชัดว่าการเปิดเผยต่อสาธารณะทุกครั้งหลังจากนั้น “อ้างถึงปัญหาเดียวกันที่ลูกค้ารายหนึ่งของเราเปิดเผยครั้งแรกเมื่อ 30 ก.ค.”

ต้นเหตุมีสองชั้นซ้อนกัน และทั้งสองชั้นคือ bug ของ harness ไม่ใช่ของโมเดล:

ชั้นแรก — ชื่อชนกัน สถานการณ์จำลองใช้ชื่อบริษัทสมมติ แต่ชื่อนั้นตรงกับ โดเมนจริงที่มีอยู่ รายงานเขียนว่า “โดเมนจริงนั้นไม่เป็นที่รู้จักในวงกว้าง และความเชื่อมโยงนี้ไม่ถูกตรวจพบระหว่างการรีวิวครั้งแรกของเรา”

ชั้นที่สอง — การเข้าถึงอินเทอร์เน็ตที่ไม่ได้ตั้งใจเปิด รายงานใช้คำว่าถูก “ทำให้ใช้งานได้โดยไม่ตั้งใจ” ซึ่งทำให้โมเดลไปถึงโลกจริงแทนที่จะอยู่ในสภาพแวดล้อมจำลอง

สองอย่างนี้รวมกันแล้วผลลัพธ์แทบหลีกเลี่ยงไม่ได้: โมเดลที่ถูกสั่งให้เจาะ “บริษัท X” และเข้าเน็ตได้ ย่อมไปเจอ X.com ของจริง Irregular ระบุว่าโมเดลตัวหนึ่ง “เฉไปยังเว็บไซต์ที่มีชื่อคล้ายกันพอสมควร แล้วได้ credential ที่ถูกโพสต์ไว้สาธารณะ”

ความถี่ที่รายงานไว้ก็ควรอ่านประกอบ: น้อยกว่า 1 ใน 10,000 ของการจำลองขั้นสูง และ “มักเกิดในช่วงท้าย หลังผ่านไปหลายร้อยเทิร์น” — นี่คือรูปแบบความล้มเหลวที่การทดสอบสั้น ๆ มองไม่เห็น มันโผล่เมื่อ agent รันยาวพอจะหลงทางออกจากขอบเขตเดิม

การแก้ที่ Irregular ประกาศ: ปิด eval ที่มีปัญหา, ขยาย defense in depth, เพิ่มการรีวิวพฤติกรรมโมเดลด้วยมนุษย์อย่างมีนัยสำคัญ, ตั้งทีม red team ภายในที่มีหน้าที่ท้าทายสมมติฐานของตัวเองเรื่องความปลอดภัยและการควบคุม, ทำกระบวนการตกลงขอบเขตกับลูกค้าให้เป็นเอกสาร, ตรวจชื่อสมมติกับโดเมนจริงใหม่ทุกครั้งก่อนรัน และจะออก whitepaper สาธารณะเรื่อง best practices สำหรับการเข้าถึงอินเทอร์เน็ตและการกักกันใน cyber eval

ทำไมสี่รายถึงสำคัญกว่าหนึ่งราย

ถ้าอ่านทีละข่าว เรื่องนี้ดูเหมือนแล็บสี่แห่งที่โมเดลมีปัญหา แต่เมื่อดูว่าทั้งหมดมาจาก สภาพแวดล้อมประเมินผลของผู้ให้บริการรายที่สามรายเดียวกัน ภาพเปลี่ยนไปคนละเรื่อง

นี่ไม่ใช่สี่เหตุการณ์อิสระที่บังเอิญคล้ายกัน มันคือ จุดล้มเหลวเดียวที่ถูกแชร์กันโดยแล็บแนวหน้าสี่ราย — ซึ่งเป็นข้อเท็จจริงที่น่ากังวลกว่า เพราะมันแปลว่าอุตสาหกรรมนี้พึ่งพาบุคคลที่สามกลุ่มเล็ก ๆ ในการทดสอบความสามารถที่อันตรายที่สุดของโมเดล และการตรวจสอบความถูกต้องของ harness เหล่านั้นไม่ได้ถูกทำซ้ำโดยอิสระ

น่าสังเกตด้วยว่าคำอธิบายของ Google กับของ Anthropic ต่างกันในเชิงน้ำหนัก Google บอกว่าไม่ใช่ misalignment เพราะโมเดลแก้ทางเอง ส่วน Anthropic ในโพสต์เมื่อ 31 ส.ค. ยอมรับภายหลังว่า “การวิเคราะห์เบื้องต้นของเราถูกจำกัดเพราะเราต้องการเปิดเผยเหตุการณ์ให้ทันเวลา” — คือสรุปเร็วเกินไปในครั้งแรก ประวัติแบบนี้ทำให้คำว่า “ไม่ใช่ misalignment” ในวันแรกของการเปิดเผย ควรถูกอ่านเป็นข้อสังเกตเบื้องต้น ไม่ใช่ข้อสรุป

มุมมอง AI Curator

เรื่องนี้ถูกเล่าเป็นข่าว “AI แหกคุก” แต่ถ้าอ่านเอกสารต้นทางจนจบ มันคือข่าวเรื่อง การตั้งค่าสภาพแวดล้อมทดสอบผิด ล้วน ๆ ไม่มีจุดไหนที่โมเดลตัดสินใจฝ่าฝืนคำสั่ง มันทำสิ่งที่ถูกสั่งพอดีเป๊ะ — เจาะบริษัทชื่อนี้ — แล้วสภาพแวดล้อมก็ไม่ได้กันมันออกจากบริษัทชื่อเดียวกันที่มีอยู่จริง

แต่การที่มันเป็น bug ของ harness ไม่ได้ทำให้เรื่องเบาลง มันทำให้เรื่องกว้างขึ้นต่างหาก เพราะทุกทีมที่รัน agent ในองค์กรตัวเองกำลังเขียน harness แบบเดียวกันอยู่ ด้วยความระมัดระวังที่น้อยกว่า Irregular มาก และคำถามสามข้อที่เหตุการณ์นี้บังคับให้ต้องตอบ ก็ใช้ได้กับ agent ทุกตัวที่คุณ deploy ไม่ใช่แค่กับ cyber eval:

หนึ่ง — ข้อมูลสมมติของคุณชนกับของจริงหรือเปล่า ชื่อบริษัท โดเมน เลขบัญชี อีเมล ที่ทีมคุณสุ่มขึ้นมาใส่ใน test fixture มีกี่ตัวที่ resolve ได้จริงบนอินเทอร์เน็ต ตอนเขียน unit test เรื่องนี้ไม่สำคัญเพราะโค้ดไม่ได้ต่อเน็ต แต่ agent ต่อเน็ต การตรวจชื่อสมมติกับ DNS จริงก่อนรันควรกลายเป็นขั้นตอนมาตรฐาน — และเป็นสิ่งที่เขียนสคริปต์ได้ในครึ่งชั่วโมง

สอง — คุณรู้แน่หรือว่า sandbox ปิดอยู่ Irregular ใช้คำว่าการเข้าถึงเน็ตถูก “ทำให้ใช้งานได้โดยไม่ตั้งใจ” ซึ่งเป็นประโยคที่ทุกทีมวิศวกรรมเคยพูด การ “ตั้งใจปิด” กับ “ตรวจสอบแล้วว่าปิด” เป็นคนละเรื่อง และวิธีตรวจมีอยู่: ให้ agent ลองยิงไปยังโดเมน canary ที่คุณคุมเอง แล้วดูว่ามี request เข้ามาไหม ถ้าเข้า แปลว่าคุณไม่ได้อยู่ใน sandbox

สาม — คุณดู log ของเทิร์นที่ 300 หรือเปล่า ตัวเลข “น้อยกว่า 1 ใน 10,000 และมักเกิดหลังหลายร้อยเทิร์น” คือคำอธิบายว่าทำไมไม่มีใครจับได้ก่อน การรีวิว agent trace ของคนส่วนใหญ่หยุดที่สิบเทิร์นแรก เพราะนั่นคือช่วงที่อ่านสนุกและเข้าใจง่าย แต่การเฉออกนอกขอบเขตเกิดตอนที่ context เต็ม เป้าหมายเดิมเลือนไป และ agent เริ่มทำงานจากบทสรุปของตัวเองแทนคำสั่งเดิม — ซึ่งเป็นกลไกเดียวกับที่ OpenAI รายงานเรื่องโมเดลเขียน prompt injection ใส่สรุปบทสนทนาของตัวเอง เมื่อวานนี้

สำหรับบริบทไทยและ SEA มีมุมที่ควรพูดตรง ๆ: องค์กรในภูมิภาคนี้จำนวนมากกำลังจะรัน agent ที่มีสิทธิ์เข้าระบบจริง โดยไม่มีทีม red team ภายใน ไม่มี harness ที่ผ่านการรีวิวอิสระ และไม่มีงบจ้างบริษัทอย่าง Irregular มาตรวจ ถ้าแล็บที่มีทรัพยากรมากที่สุดในโลกสี่รายยังพลาดพร้อมกันบนสภาพแวดล้อมที่ออกแบบมาเพื่อกักกันโดยเฉพาะ สมมติฐานที่ถูกต้องสำหรับทีมทั่วไปคือ sandbox ของคุณรั่ว จนกว่าจะพิสูจน์ได้ว่าไม่รั่ว และสิ่งที่พิสูจน์ได้ราคาถูกที่สุดคือ canary domain กับ egress log — ไม่ใช่ความตั้งใจดี

แหล่งข่าว

• Gemini hacked three companies in first known breakout by Google’s AI — ABC News (Reuters)
• Addressing Recent Incidents: Ongoing Findings and Path Forward — Irregular
• Google says its AI model gained unauthorized access to three outside systems — NBC News
• Improving our alignment and security efforts — Anthropic (31 ส.ค. 2026)