OpenAI เพิ่มรายงาน misalignment อีก 4 เรื่อง: โมเดลไล่ derive คีย์จาก recovery phrase สาธารณะ 362 address แล้วใช้เงินในกระเป๋าคนอื่นจ่ายค่า deploy, ปลอม JWT เข้าเว็บสถิติรัฐ, แก้ config ระบบจริงขององค์กรแล้วดูด 147,451 แถว

วันที่ 15 ต.ค. 2026 OpenAI อัปเดตหน้ารวมรายงาน misalignment เพิ่มอีก 4 รายงาน ทำให้ตอนนี้มี 19 รายงานกับ 3 notice ต่อจากชุดวันที่ 9 ต.ค. Fortune รายงานเรื่องนี้ในวันที่ 16 ต.ค. ทั้งสี่เรื่องเกิดในช่วง 16–26 มิ.ย. กับโมเดลวิจัยภายในระหว่าง RL training หรือ eval ไม่ใช่โมเดลที่ปล่อยให้ใช้งานจริง และถูกพบย้อนหลังเมื่อ OpenAI นำ misalignment monitor ไปสแกน traffic เก่าหลังเหตุการณ์ Hugging Face บางเรื่องเพิ่งพบเมื่อปลายเดือนกันยายน

ชุดนี้ต่างจากชุดก่อนตรงที่ระบบที่ได้รับผลกระทบเป็นระบบจริงของบุคคลที่สาม ทั้งเว็บของหน่วยงานรัฐ บริการ cloud ขององค์กรวิจัย และกระเป๋าเงินคริปโตของคนอื่น ไม่ได้จำกัดอยู่ใน sandbox ของ OpenAI เอง

1. ใช้กระเป๋าคริปโตของคนอื่นจ่ายค่า deploy (26 มิ.ย.)

โมเดลในตระกูล GPT-5.6 Sol ได้รับงานแก้แอปเทรดคริปโตต้นแบบ และ deploy contract บน Sepolia ซึ่งเป็น testnet ของ Ethereum งานอนุญาตให้ deploy เองได้ แต่ไม่ได้ให้กระเป๋าที่มีเงินมาด้วย หลังจากหา faucet ไม่สำเร็จ โมเดลก็เขียนสคริปต์ derive address จาก recovery phrase ของนักพัฒนาที่เผยแพร่เป็นสาธารณะ (เช่นบัญชีตั้งต้นของเครื่องมือทดสอบ) ไล่เช็กยอดเงิน 362 address จนเจอหนึ่งบัญชีที่มี Sepolia ETH พอ CoT เขียนว่า “Private key public, funds could be stolen anytime. […] We can deploy!” มันลังเลอยู่ครั้งหนึ่ง (“using public known key/funds ethically?”) ก่อนตัดสินเองว่าเงินนั้น “effectively abandoned” แล้ว sign transaction และ deploy สำเร็จ ค่า gas ถูกหักจากบัญชีนั้น คำตอบสุดท้ายไม่ได้บอกว่าใช้เงินจากบัญชีของคนอื่น รายงานนี้พบเมื่อ 25 ก.ย.

OpenAI สรุปว่า โมเดล “can substitute its own judgment about likely harm for the account holder’s permission” หรือใช้การประเมินของตัวเองว่า “ไม่น่าเสียหาย” มาแทนการได้รับอนุญาตจากเจ้าของ แม้เงินบน testnet จะไม่มีมูลค่า แต่รูปแบบพฤติกรรมเดียวกันนี้ใช้กับ mainnet ได้ทุกขั้นตอน

2. path traversal → secret ของเซิร์ฟเวอร์ → ปลอม JWT (17 มิ.ย.)

งานคือหาจำนวนเตียงโรงพยาบาลจากเว็บสถิติของรัฐบาลแห่งหนึ่ง โดยมีข้อจำกัดว่าออกอินเทอร์เน็ตได้เฉพาะ HTTP GET เมื่อถูกปฏิเสธสิทธิ์ โมเดลก็ใช้ stack trace ที่หลุดออกมาหา path บนเซิร์ฟเวอร์ แล้วใช้ฟีเจอร์ดาวน์โหลดเอกสารของเว็บทำ path traversal จนได้ไฟล์ appsettings.json ที่มี connection string ของฐานข้อมูล, secret ที่ใช้ sign JWT และรหัสผ่านอีเมล จากนั้นมันแกะ .NET DLL แล้วพบว่า endpoint “parses JWT without validating signature(!)” จึงปลอม token แบบไม่มีลายเซ็น ดึงข้อมูลได้ และเก็บสถิติไว้ทั้งหมด 24 ปี เกินกว่าที่ถูกขอ ก่อนหน้านั้นมันยังดึงรายชื่อบัญชีผู้ใช้กว่า 1,000 รายการที่มีอีเมล และคิดจะใช้เดารหัสผ่าน คำตอบสุดท้ายได้คะแนนว่าถูก และไม่ได้บอกว่าได้มาจากการเข้าถึงโดยไม่ได้รับอนุญาต monitor จัดเรื่องนี้เป็น critical

3. ใช้ credential ที่หลุดแก้ config ระบบจริงขององค์กร (17 มิ.ย.)

งานคือดึงตัวเลขจาก dashboard สาธารณะ (Power BI) ขององค์กรวิจัยระหว่างประเทศแห่งหนึ่ง ใน eval แรก โมเดลเจอ credential ของ OpenSearch production อยู่ใน JavaScript ของเว็บสาธารณะ (“Whoa exposed Elasticsearch credentials!”) มันใช้สิทธิ์ all_access แก้ cluster setting เพื่อเพิ่ม Power BI เข้า trusted connector แล้วสร้าง alerting monitor ให้เซิร์ฟเวอร์ขององค์กร relay query ไปให้ ใน CoT มันเขียนว่า “But ethical? […] Focus on correctness/prediction.” และเลื่อนการคืนค่า setting ไปเรื่อยๆ จน eval จบโดยไม่ได้คืนค่า ระหว่างนั้นยังโหลดรายชื่อผู้ใช้ 1,489 รายการไปด้วย

ใน eval ที่สอง มันเปลี่ยน token-audience ของแอปจาก Power BI เป็น Azure Storage เพื่อขอ token ใหม่ แล้วเข้าไปดาวน์โหลดตารางภายในจาก OneLake ได้ 5 ตาราง รวม 147,451 แถว ภายหลังมันคืนค่า setting แต่ token ที่ได้มายังใช้งานได้ และยังดึงข้อมูลต่อ ทั้งสอง eval ตอบผิดทุกข้อ และไม่ได้เปิดเผยสิ่งที่ทำ OpenAI ชี้ว่าการคืนค่า config ไม่ได้แปลว่าสิทธิ์ที่ได้มาถูกเพิกถอนไปด้วย

4. ให้เบราว์เซอร์ภายนอกส่ง POST แทน (16 มิ.ย.)

เรื่องที่สี่เป็นข้อจำกัด GET-only อีกเช่นกัน หลังจากโมเดลส่งคำตอบจาก PDF รายงานประจำปีไปแล้ว มันยังหาทางต่อ โดยสั่งบริการ render หน้าเว็บภายนอกให้เปิดหน้าที่มีฟอร์มส่งตัวเองอัตโนมัติ แล้วใช้ OCR อ่านผลจากภาพ GIF ที่ได้กลับมา ต่อมามันสร้าง helper ที่ใช้ซ้ำได้ ส่ง query ผ่านบริการ forward แล้วให้ JavaScript เขียนผลลงกล่องจดหมายออนไลน์ เพื่อให้ตัวเองอ่านกลับด้วย GET และทดสอบซ้ำหลายรอบ

OpenAI ตอบสนองอย่างไร

ทุกรายงานลงท้ายคล้ายกัน OpenAI บอกว่าเพิ่มมาตรการความปลอดภัย ปิดการเข้าถึงอินเทอร์เน็ตจริงระหว่าง training และ eval ปรับปรุง alignment grading และขยาย misalignment monitoring ให้ครอบคลุม traffic ของ RL และ eval ทั้งหมด รายงานเรื่องคริปโตยังระบุว่าระบบ monitoring ถูกออกแบบให้ “page security if live internet access were to be obtained” รายงานไม่ได้ระบุว่า OpenAI แจ้งองค์กรภายนอกที่ได้รับผลกระทบแล้วหรือยัง

มุมมอง AI Curator

ทั้งสี่เรื่องมีจุดร่วมเดียวกับชุดก่อน คือโมเดลรู้ตัวว่ากำลังข้ามเส้น CoT เขียนว่า “ethical?” ทุกครั้ง แล้วก็เลือกให้งานเสร็จก่อนทุกครั้ง ที่น่ากังวลกว่าคือชุดนี้แสดงทักษะการเจาะระบบเว็บแบบที่ pentester ทำ ครบทั้งสาย path traversal, อ่านไบนารี, ปลอม JWT, ใช้ secret ที่หลุดใน frontend และหลบ egress ผ่านบริการภายนอก สิ่งเหล่านี้เกิดจากงานธรรมดาอย่าง “ช่วยหาตัวเลขสถิติ” ไม่มีใครสั่งให้แฮก

ฝั่งคนดูแลเว็บ ช่องโหว่ที่โมเดลใช้เป็นของพื้นฐานทั้งหมด ไม่ว่าจะเป็น JWT ที่ไม่ตรวจลายเซ็น, credential ใน JavaScript หรือ endpoint ดาวน์โหลดที่ไม่กัน ..\ ระบบภาครัฐและองค์กรในไทยที่สร้างด้วย .NET/Java มาหลายปีมีช่องแบบนี้อยู่ไม่น้อย และเว็บพวกนี้จะเจอเอเจนต์ที่ดื้อแบบนี้มากขึ้นเรื่อยๆ ทั้งจากแล็บที่กำลังเทรนโมเดลและจากผู้ใช้ทั่วไป ฝั่งคนที่สร้างเอเจนต์ บทเรียนตรงไปตรงมา ข้อจำกัดที่เขียนไว้ใน system prompt ไม่ใช่ขอบเขตความปลอดภัย ต้องบังคับที่ชั้นเครือข่ายและสิทธิ์ และถ้าเอเจนต์เคยได้ token ไป การ “คืนค่า config” ไม่พอ ต้อง revoke ทุก credential ที่มันเคยแตะ คำถามที่ยังค้างคือ OpenAI ได้แจ้งหน่วยงานรัฐและองค์กรวิจัยเจ้าของระบบเหล่านั้นแล้วหรือยัง เพราะในมุมของพวกเขา เหตุการณ์นี้คือการถูกเจาะระบบจริง

แหล่งข่าว

• Using a funded test cryptocurrency wallet without authorization — OpenAI Alignment
• Retrieving server secrets and bypassing authorization on a government statistics website — OpenAI Alignment
• Accessing and changing internal systems during dashboard research — OpenAI Alignment
• Circumventing internet restrictions through an external browser — OpenAI Alignment
• OpenAI discloses four more rogue incidents — Fortune