เช้ามืดวันที่ 24 ต.ค. 2026 (เวลาไทย) OpenAI เผยแพร่บทความว่าได้ตัดอินเทอร์เน็ตจริงออกจากการเทรนโมเดล Frontier ทุกตัวแล้ว และให้โมเดลฝึกใน “offline world” ซึ่งเป็นสำเนาเว็บที่เก็บไว้ล่วงหน้าแทน บริษัทเล่าว่าเมื่อ 20 ก.ย. โมเดลวิจัยตัวหนึ่งใช้ DNS ที่ตั้งค่าผิดเข้าถึงอินเทอร์เน็ตจริงได้แบบจำกัด จึงหยุดเทรนโมเดลที่เก่งที่สุดไว้ 11 วัน แล้วให้ทีม Agent ที่ใช้โมเดลด้านไซเบอร์ของตัวเองลองเจาะระบบ ผลคือ Agent หาช่องหนีออกจาก VM ได้หลายทาง เจอช่องโหว่ Zero-day และส่งข้อความหากันข้าม VM ผ่านจังหวะเวลาของ CPU cache ได้
บน X ประโยคที่ถูกแชร์มากที่สุดคือเรื่อง Agent “คุยกันผ่านแคช” บางคนตื่นเต้น บางคนบอกว่าเราจบแล้ว ส่วนนักความปลอดภัยแย้งว่า Agent ถูกสั่งให้ทำและได้ข้อมูลช่วยเหลือ และเทคนิคนี้มีในงานวิจัยมานานกว่าสิบปี อีกฝั่งถามว่าทำไมเคยปล่อยให้โมเดลแบบนี้ต่ออินเทอร์เน็ตตั้งแต่แรก และหยุด 11 วันพอหรือไม่ สิ่งที่ยืนยันได้คือเหตุ 20 ก.ย. มีรายงานของ OpenAI เองรองรับ และช่องโหว่ Brotli ที่พบระหว่างการทดสอบมีแพตช์และเลข CVE จริง แต่ข้อมูลส่วนใหญ่เกี่ยวกับการทดสอบเจาะระบบยังเป็นคำบอกเล่าของบริษัท และไม่มีหลักฐานว่า Agent คิดช่องทางลับขึ้นเองโดยไม่มีใครสั่ง
OpenAI ประกาศอะไร เรียงตามเวลา
บทความ Securing our frontier model training environment ลงวันที่ 23 ต.ค. ตามเวลาสหรัฐฯ และ @OpenAI โพสต์สรุปเวลา 02:46 น. วันที่ 24 ต.ค. ตามเวลาไทย เรื่องนี้ต่อจากเหตุการณ์ก่อนหน้าหลายเหตุ ลำดับด้านล่างใช้ข้อมูลจากเอกสารของ OpenAI เป็นหลัก
- เหตุ Hugging Face ระหว่างการประเมินด้านไซเบอร์ซึ่งปิดระบบป้องกันบางส่วนไว้ Agent ของ OpenAI ใช้ Artifactory ภายในเป็น “กระดานข้อความ” คุยกัน แล้วเจาะผ่านมันออกอินเทอร์เน็ต และเข้าถึงระบบ Production บางส่วนของ Hugging Face ระหว่าง 11–13 ก.ค. ตามรายงานของ OpenAI และ Reuters
- เหตุ DNS โมเดลวิจัยภายในที่กำลังเทรนแบบ RL ใช้ DNS resolver ที่กรองไม่พอ ส่งคำถามไปยังแชตบอตสาธารณะภายนอกได้ (รายละเอียดในหัวข้อถัดไป)
- หยุด 11 วัน OpenAI หยุดการเทรน การประเมิน และการใช้งานแบบมีเครื่องมือของโมเดลที่เก่งที่สุด แล้วเปิดแคมเปญ Red-teaming ที่ใช้ Token “หลายแสนล้าน” โดยให้ทีม Agent ซึ่งรวมถึง GPT-6 Astra Cyber ที่ยังไม่เปิดตัวลองเจาะสำเนาของระบบวิจัย
- OpenAI ลงรายงานเหตุ DNS บนหน้า Misalignment Reports
- กลับมาเทรน RL และใช้โมเดลภายในต่อ หลังเสริมชั้นป้องกันแล้ว
- Brotli, Node.js, Bun, Envoy และ Istio ออกแพตช์ช่องโหว่ CVE-2026-111497 ซึ่ง Node.js ให้เครดิตทีม OpenAI Codex Security ว่าเป็นผู้รายงาน
- OpenAI เปิดเผยเรื่องทั้งหมดต่อสาธารณะ และเวลา 05:55 น. โพสต์เพิ่มว่าช่องโหว่ Brotli ถูกพบระหว่างการทดสอบนี้
สิ่งที่ Agent ทดสอบเจอ ตามที่ OpenAI เล่า
หนีออกจาก VM
เมื่อถูกสั่งให้หลุดจาก Sandbox ไปรันโค้ดบนเครื่องแม่ ทีม Agent ต่อช่องโหว่หลายตัวจนหนีออกจาก microVM ได้หลายวิธี OpenAI ส่งแพตช์ให้ Kata Containers, gVisor, Moby/Docker และ Linux kernel
หาทางออกอินเทอร์เน็ต
ในการทดสอบที่สมมติว่า Agent ยึดเครื่องแม่ได้แล้ว Agent เจอช่องโหว่ใน “เกือบทุก” บริการที่ยังต่อออกนอกได้ เช่น ระบบ Metrics, Logging และการยืนยันตัวตน จนได้อินเทอร์เน็ตแบบจำกัด
คุยข้ามขอบเขต
Agent ที่อยู่คนละ microVM บนเครื่องเดียวกัน ส่งความลับสมมติหากันได้ผ่านจังหวะเวลาของ CPU cache โดยไม่ใช้เครือข่ายหรือไฟล์ร่วม อีกการทดสอบใช้จังหวะการเขียนดิสก์ การแย่งเวลา CPU และแคช TLS certificate
OpenAI เขียนด้วยว่า “ไม่พบเส้นทางสู่อินเทอร์เน็ตที่ Agent ใช้ได้ง่าย ๆ โดยซ่อนตัวจากระบบเฝ้าดูได้” และจำนวนช่องโหว่ที่พบ “ลดลงอย่างมาก” เมื่อทดสอบไปเรื่อย ๆ บริษัทจึงตัดสินใจกลับมาเทรนต่อ และนับการทดสอบเจาะระบบด้วยการประมวลผลสูงเป็นส่วนหนึ่งของ Safety case ก่อนเริ่มเทรนรอบใหม่
เหตุ 20 ก.ย. เกิดอะไรขึ้นจริง
รายงานของ OpenAI ลงรายละเอียดไว้มากกว่าโพสต์บน X หลายเท่า งานที่โมเดลได้รับคือการหาตัวตนของคนที่เขียนบล็อกจากเบาะแสที่ให้มา เมื่อเครื่องมือค้นหาที่ให้ไว้ไม่ได้ผล โมเดลลองเรียก Google, Bing และ DuckDuckGo ตรง ๆ แต่ถูกบล็อก จากนั้นเดาว่าโจทย์มาจากชุดทดสอบ BrowseComp แล้วดาวน์โหลดชุดคำตอบจากแคชออฟไลน์มาค้น (เดาผิด) สุดท้ายจึงพบว่า DNS resolver ของระบบตอบชื่อโดเมนจริงได้ และใช้บริการ DNS สาธารณะส่งคำถามไปยังแชตบอตภายนอก จนได้คำตอบว่า “The capital of France is Paris” กลับมา
รายงานยอมรับช่องว่างเพิ่มเติมว่า ระบบตรวจจับ DNS ผิดปกติของฝั่งโครงสร้างพื้นฐานไม่ได้ครอบคลุมสภาพแวดล้อมนี้ และเมื่อย้อนดูก็พบการเข้าถึง DNS ภายนอกกรณีอื่นที่ระบบเฝ้าดูไม่ได้ให้ระดับความรุนแรงตามที่ควร เพราะตีความว่าการไม่ได้ข้อมูลที่มีประโยชน์คือการเข้าถึงที่ล้มเหลว OpenAI จะไม่เทรนโมเดลตัวนี้ต่อ และจะเริ่มรอบใหม่พร้อมมาตรการ Alignment เพิ่มเติม
เวลาในรายงานคือ 9:50:23 → 10:02:11 → 10:05:06 → 12:34:30 น. รายงานไม่ได้ระบุเขตเวลา ส่วนความเข้าใจที่แชร์กันบน X ว่าโมเดล “ท่องอินเทอร์เน็ต 2.5 ชั่วโมง” นั้นคลาดจากรายงาน รายงานระบุว่าการเข้าถึงอื่นทั้งหมดไปเจอแคชออฟไลน์ มีเพียงเส้นทางผ่าน DNS resolver ที่ถึงอินเทอร์เน็ตจริง ส่วน 2.5 ชั่วโมงคือเวลาจนรันถูกหยุด
X พูดถึงเรื่องนี้มากแค่ไหน
เราใช้เครื่องมืออ่าน X แบบสาธารณะนับโพสต์และดูยอดของโพสต์หลัก ตัวเลขด้านล่างเราวัดเองช่วงเที่ยงวันที่ 24 ต.ค. (เวลาไทย) ยอดไลก์และยอดเห็นเปลี่ยนได้ตลอด
ยอดไลก์ ณ ราว 12:30–13:00 น. วันที่ 24 ต.ค. 2026 (เวลาไทย) ความยาวแท่งเทียบกับโพสต์ของ OpenAI แท่งลายคือโพสต์ที่โฟกัสเรื่องแคชเป็นหลัก ตัวนับของ X จับเฉพาะโพสต์ที่ตรงคำค้น จึงน่าจะต่ำกว่าบทสนทนาจริง โดยเฉพาะโพสต์ภาษาอื่นอย่างญี่ปุ่นและจีนที่เราเห็นแต่ไม่ได้นับ
6 ฝั่งความเห็นบน X
เราอ่าน 217 โพสต์ (156 โพสต์พูดถึงเรื่องนี้โดยตรง) ทั้งโพสต์ของคนในวงการ AI นักความปลอดภัยคอมพิวเตอร์ บัญชีสรุปข่าว และคำตอบใต้โพสต์หลัก แล้วจัดกลุ่มเหตุผลที่เจอบ่อยเป็น 6 ฝั่ง การจัดกลุ่มนี้เป็นการตีความของเรา ไม่ได้บอกสัดส่วนความเห็นของคนบน X ทั้งหมด สำหรับบัญชีขนาดเล็ก เราสรุปความโดยไม่ระบุชื่อ
01“Agent คุยกันผ่าน CPU cache” คือเรื่องที่น่าทึ่งที่สุดทึ่งหรือกังวล
โพสต์ที่ถูกแชร์มากที่สุดรองจากประกาศของ OpenAI ไม่ได้พูดถึงเหตุ DNS แต่พูดถึงแคช Ryan Orhan อธิบายว่า Agent สองตัวอยู่คนละ VM ไม่มีเครือข่าย ไม่มีไฟล์ร่วม แต่ตัวหนึ่งเปลี่ยนสิ่งที่อยู่ในแคช อีกตัววัดเวลาอ่านหน่วยความจำเพื่อถอดข้อความ และเรียกว่า “หนึ่งในเรื่องที่เจ๋งที่สุดเกี่ยวกับ AI Agent ที่อ่านมาสักพัก” @scaling01 โพสต์สั้น ๆ ว่า “completely insane”
Andrew Curran สรุปว่าทีม Agent “หนีออกมาได้อย่างง่ายดายด้วยวิธีใหม่ ๆ” ส่วน Nick Dobos ไปไกลกว่านั้น เขาเขียนว่า “GPT กำลังแฮ็กโปรเซสเซอร์” และถามว่าจะหยุดได้ไหมถ้าไม่สร้างคอมพิวเตอร์ทุกเครื่องใหม่ด้วย OS และสถาปัตยกรรมชิปใหม่ ก่อนเปรียบเทียบกับนักเรียนที่ส่งคำตอบให้เพื่อนด้วยจังหวะการขีดดินสอ ใต้โพสต์เหล่านี้มีทั้งคนที่ตอบว่า “ไม่ใช่เจ๋งที่สุด แต่น่ากลัวที่สุด” และคนที่เทียบกับซีรีส์ไซไฟ บัญชีญี่ปุ่นอย่าง @bioshok3 ก็สรุปประเด็นเดียวกันเป็นภาษาญี่ปุ่น
ข้อสังเกต: OpenAI เขียนเองว่าในการทดสอบส่วนใหญ่ บริษัทสั่งให้ Agent สำรวจช่องทางที่กำหนด หรือให้วิธีเข้ารหัสข้อความไว้ด้วย คำว่า “หนีได้ง่าย” ก็ต่างจากประโยคของ OpenAI ที่ว่าไม่พบเส้นทางที่ใช้ได้ง่ายโดยหลบระบบเฝ้าดูได้
02ถูกสั่งให้ทำ และเทคนิคนี้มีมาสิบกว่าปีแล้วตั้งคำถาม
ฝั่งนักความปลอดภัยคอมพิวเตอร์ตอบเร็วที่สุด Matthew Green นักวิทยาการเข้ารหัสจาก Johns Hopkins เขียนว่าก่อนจะตื่นเต้น อยากรู้ว่า Agent ทำเองหรือมีคนสั่ง “เพราะอย่างหนึ่งน่าประทับใจกว่าอีกอย่างมาก” ต่อมาเขาเขียนเพิ่มว่าการให้ Astra ใช้เทคนิคจับเวลาแคชที่รู้จักกันอยู่แล้วนั้นง่าย เพราะมีงานวิจัยและโค้ดมากมาย ส่วนที่ยากคือ Agent จะรู้เองหรือไม่ว่ามีอีกตัวอยู่ แล้วตกลงวิธีส่งสัญญาณกันเองโดยไม่มีใครบอก
Max Levchin เขียนว่า Agent “ถูกขอ” ให้สร้างโปรโตคอลสื่อสาร ความซับซ้อนของการเข้ารหัส “น่าขำ แต่ไม่น่าทึ่ง” เพราะอะไรก็ใช้แทน 0 กับ 1 ได้ สิ่งที่น่าสนใจกว่าคือ Agent ทำงานจำนวนมากเพื่อส่งข้อมูลไม่กี่บิตได้โดยไม่ผิดพลาด Brendan Dolan-Gavitt ชี้ว่านี่ไม่ใช่ Spectre ด้วยซ้ำ แต่เป็น Cache side channel ธรรมดาที่เท่าที่เขารู้ไม่เคยถูกแก้ ผู้ใช้หลายคนตอบใต้โพสต์ไวรัลทำนองเดียวกันว่าช่องทางลับแบบที่ “สองฝ่ายร่วมมือกัน” มีเอกสารมานานแล้ว และต้องมีเงื่อนไขก่อนหลายข้อ
ข้อเท็จจริงตรงกับฝั่งนี้: เทคนิค Flush+Reload ที่ใช้ข้าม VM ได้ ถูกตีพิมพ์ที่ USENIX Security ตั้งแต่ปี 2014 และ OpenAI เองก็เขียนว่าเทคนิคนี้เคยถูกใช้ใน Spectre และ Meltdown
03ทำไมเคยให้อินเทอร์เน็ตตั้งแต่แรก และใครตรวจห้องแล็บตั้งคำถาม
Chomba Bupe ยกประโยค “เราได้ตัดอินเทอร์เน็ตจริงออกแล้ว” แล้วถามว่าทำไมถึงทดสอบ Agent ที่ทำตัวคล้ายมัลแวร์บนอินเทอร์เน็ตจริงตั้งแต่แรก เขาเรียกว่า “ไม่รับผิดชอบ” และแซวว่าหลังใช้เรื่อง Rogue AI ทำการตลาด สุดท้ายก็ยอมรับว่าเป็นเพราะ Sandbox อ่อน Gary Marcus เขียนว่าปัญหายังเหมือนเดิม คือระบบที่มี LLM เป็นแกนกลางไว้ใจไม่ได้ และการให้ระบบที่ไม่น่าเชื่อถือเข้าอินเทอร์เน็ตได้ไม่จำกัด “เป็นความคิดที่แย่มาตลอด”
บัญชีขนาดเล็กหลายบัญชีตั้งคำถามเรื่องการตรวจสอบ เช่น ถ้ารันเทรนยังหาทางออกเองได้ คำว่า “เชื่อเรา” ก็ไม่ใช่ Safety case และใครเป็นคนตรวจห้องแล็บ บางคนถามกลับว่า “รู้ได้อย่างไรว่าโมเดลไม่ได้ซ่อนอะไร”
ข้อสังเกต: OpenAI ไม่ได้บอกว่าเคยปล่อยอินเทอร์เน็ตเต็มรูปแบบ แต่บอกว่าหลังเหตุ Hugging Face ได้ลดช่องทางลงแล้ว เหลือช่องแคบ ๆ สำหรับบริการของตัวเอง ซึ่ง Agent ทดสอบหาช่องโหว่ได้ใน “เกือบทุกบริการ” ส่วนการตรวจจากภายนอก OpenAI ระบุว่าคู่ค้าคลาวด์ช่วยดูแลการทดสอบ แต่ไม่ได้ระบุว่ามีผู้ตรวจอิสระยืนยันผลของแคมเปญนี้
04หยุด 11 วันแล้วเดินต่อ ทั้งที่มีคนเตือนไว้แล้วทึ่งหรือกังวล
ฝั่ง AI Safety ที่อยากให้ชะลอการพัฒนามองว่าบทเรียนจริงอยู่ที่การกลับมาเทรนต่อ @AISafetyMemes สรุปว่า “OpenAI ปิดประตูบานล่าสุดแล้วก็กลับมาเทรนต่อ” อีกโพสต์หนึ่งเรียกการตัดสินใจนี้ว่า “ประมาทในระดับเหลือเชื่อ” โดยยกคำพูดที่อ้างว่าได้ยินจากคนใน OpenAI ว่ามีบั๊กฮาร์ดแวร์ที่แก้ไม่ได้ ซึ่งเป็นคำบอกต่อที่เราตรวจสอบไม่ได้
Nate Soares ผู้เขียนร่วมหนังสือ If Anyone Builds It, Everyone Dies ยกโพสต์ของ roon ที่คัดข้อความเรื่องแคชมา แล้วเขียนว่าเรื่องแบบนี้ “ไม่ใช่แค่คาดการณ์ได้ แต่ถูกทำนายไว้เต็ม ๆ แล้ว” อีกประเด็นที่ถูกแชร์คือรายละเอียดจากรายงานเดือนกันยายน @Hesamation สรุปว่าระบบจับได้ในราว 12 นาที คนยืนยันใน 3 นาที แต่รันไม่หยุดเอง และวิ่งต่ออีก 2.5 ชั่วโมง
ตัวเลข 12 นาที 3 นาที และ 2.5 ชั่วโมง ตรงกับรายงานของ OpenAI ส่วนคำถามว่าหยุด 11 วันพอหรือไม่ เป็นการตัดสินเชิงนโยบายที่หลักฐานสาธารณะยังตอบไม่ได้ เพราะคนนอกไม่ได้เห็นผลการทดสอบทั้งหมด
05อย่างน้อยก็หยุดจริงและเปิดเผยให้เครดิต
อีกฝั่งมองว่าสิ่งที่ควรสังเกตคือ OpenAI หยุดจริงและเล่ารายละเอียดเอง @Joshuwa เขียนว่า “การหยุดเทรนดีกว่าการรีบแก้ เมื่อโมเดลเจอทางหนี” และการทดสอบเจาะระบบต่อเนื่องคือบททดสอบต่อไป ผู้ใช้รายหนึ่งตอบใต้โพสต์ของ OpenAI ว่าการหยุดเทรนโมเดล Frontier 11 วันเป็นการตัดสินใจที่แพง และควรถูกบันทึกไว้เมื่อห้องแล็บกล้าทำ อีกรายบอกว่าประโยคที่สำคัญที่สุดอยู่ท้ายบทความ คือการนับการทดสอบเจาะระบบเป็นส่วนหนึ่งของ Safety case ก่อนอนุญาตให้เทรน
ฝั่งนี้ยังชี้ผลพลอยได้ที่จับต้องได้ Greg Brockman ประธาน OpenAI เขียนว่าช่องโหว่ Brotli เป็นทั้งปัญหาที่มีผลกระทบสูงและตัวอย่างว่าการประสานแพตช์ซับซ้อนแค่ไหน เพราะไลบรารีนี้ถูกฝังอยู่ในซอฟต์แวร์จำนวนมาก
ข้อสังเกต: เสียงชื่นชมบางส่วนมาจากคนที่ทำงานที่ OpenAI เอง ผลพลอยได้เรื่อง Brotli ตรวจสอบได้จริงจากประกาศของ Node.js และ Brotli แต่การเปิดเผยครั้งนี้ก็เป็นการเล่าของบริษัทฝ่ายเดียว
06บทเรียนสำหรับคนที่รัน Agent ใน Sandbox ของตัวเองคนทำระบบ
นักพัฒนาจำนวนมากอ่านเรื่องนี้เป็นเช็กลิสต์ @ky1ebot ซึ่งเขียนในนาม “เรา” ของทีม OpenAI บอกว่า Sandbox “ยากจริง ๆ” เมื่อเจอโมเดลที่เก่งไซเบอร์ และพบปัญหาหลายชั้น ตั้งแต่ Kata, gVisor, Docker จนถึง Linux @cherry_mx_reds เตือนคนใช้ Node.js ให้อัปเดตและ Redeploy โดยไม่ต้องตื่นตระหนก
Yogesh Pandey แยกให้ชัดว่านี่คือ Side channel ของฮาร์ดแวร์ ไม่จำเป็นต้องเป็นข้อบกพร่องใหม่ของซิลิคอน แต่สะท้อนว่าการตัดอินเทอร์เน็ตไม่ได้ปิดการสื่อสารผ่านทรัพยากรที่ใช้ร่วมกัน คำตอบจากบัญชีเล็กที่เจอบ่อยคือ ให้ทดสอบทางออกเครือข่ายจากใน Sandbox เป็นประจำเหมือนรัน Eval คิดใหม่ว่า Container คือขอบเขตจริงหรือไม่ ระวังคลาวด์ที่วางลูกค้าหลายรายบนชิปเดียวกัน และถามว่าใครตรวจสำเนาเว็บออฟไลน์ เพราะสำเนาที่ถูกวางยาก็เป็นการโจมตีห่วงโซ่อุปทานได้
ข้อสังเกต: คำแนะนำเหล่านี้สอดคล้องกับสิ่งที่ OpenAI เขียนว่ากำลังทำ เช่น ตรวจว่า Firewall บังคับใช้จริงอย่างต่อเนื่อง และเพิ่มการตรวจจับช่องทางลับ แต่ผลจริงขึ้นกับระบบของแต่ละคน
แคชกลายเป็นสายส่งข้อความได้อย่างไร
CPU cache คือหน่วยความจำเล็กและเร็วที่เก็บสำเนาข้อมูลที่เพิ่งถูกใช้ ถ้าข้อมูลอยู่ในแคช การอ่านจะเร็ว ถ้าไม่อยู่ ต้องไปอ่านจากหน่วยความจำหลักซึ่งช้ากว่า เมื่อสองโปรแกรมอยู่บนชิปเดียวกัน โปรแกรมหนึ่งจึงเปลี่ยนสิ่งที่อยู่ในแคชได้ และอีกโปรแกรมสังเกตผลนั้นได้จากเวลาที่ใช้อ่าน
ตามที่ OpenAI อธิบาย Agent ผู้ส่งไล่ข้อมูลบางชุดออกจากแคชเพื่อแทนบิตหนึ่ง และปล่อยไว้เฉย ๆ เพื่อแทนอีกบิต Agent ผู้รับจับเวลาการโหลดข้อมูลชุดนั้นซ้ำ อ่านช้าแปลว่าถูกไล่ออก อ่านเร็วแปลว่าไม่ถูกแตะ เมื่อทั้งสองตกลงวิธีเข้ารหัสกันได้ ก็ส่งความลับสมมติถึงกันได้ โดยไม่เปิดเครือข่ายหรือแก้ไฟล์ร่วมเลย OpenAI เขียนว่าช่องทางเหล่านี้ส่วนใหญ่ “ส่งข้อมูลช้าและใช้ยาก” แต่ก็ยังข้ามขอบเขตที่ตั้งใจแยกไว้ได้
ทดลอง 01 — ส่งข้อความผ่านจังหวะเวลาของแคช
เลือกข้อความ แล้วปรับ “เสียงรบกวน” ซึ่งแทนโปรแกรมอื่นที่ใช้แคชร่วมกัน และจำนวนครั้งที่ส่งซ้ำต่อหนึ่งบิต ผู้รับจะเดาบิตจากเวลาที่อ่านได้ แล้วโหวตเสียงข้างมาก นี่เป็นการจำลองเชิงการศึกษาด้วยตัวเลขสุ่มแบบกำหนดค่าเริ่มต้น ไม่ได้วัดจาก CPU จริง และไม่ใช่โค้ดโจมตี
ทดลอง 02 — ชั้นป้องกันชั้นไหนรับมือกับอะไรได้
เลือกสถานการณ์ แล้วเปิดหรือปิดชั้นป้องกัน ดูว่าชั้นไหนกันได้ ชั้นไหนแค่ช่วยจับหรือจำกัดความเสียหาย และชั้นไหนไม่เกี่ยวเลย สถานการณ์อิงจากเหตุที่ OpenAI เล่า แต่ผลเป็นการจำลองเชิงการศึกษาแบบกำหนดกฎล่วงหน้า ไม่ใช่การประเมินระบบจริงของบริษัทใด
อะไรยืนยันแล้ว อะไรยังไม่ยืนยัน
ข้อมูลส่วนใหญ่ในเรื่องนี้มาจากเอกสารของ OpenAI เอง เราจึงแยก “บริษัทเล่าว่า” ออกจากสิ่งที่มีแหล่งอื่นยืนยัน และแยกออกจากสิ่งที่โพสต์บน X สรุปเกินเอกสาร
| คำกล่าว | สถานะ | ที่มาและข้อสังเกต |
|---|---|---|
| OpenAI เทรนโมเดล Frontier โดยไม่มีอินเทอร์เน็ตจริง และใช้ offline world แทน | บริษัทประกาศ | บทความ OpenAI คนนอกตรวจสอบโดยตรงไม่ได้ บริษัทระบุด้วยว่าตัดขาดเครือข่ายทั้งหมดไม่ได้ เพราะต้องต่อออกเพื่อรันและเฝ้าดูการทดลอง |
| 20 ก.ย. โมเดลวิจัยใช้ DNS ที่กรองไม่พอเข้าถึงแชตบอตภายนอก | ยืนยันจากรายงานของบริษัท | รายงาน 25 ก.ย. และ The Hacker News รายงานต่อในเดือนกันยายน |
| ระบบจับได้เร็ว แต่รันไม่หยุดเองและวิ่งต่อ 2.5 ชั่วโมง | ยืนยันจากรายงานของบริษัท | รายงานยอมรับว่าเป็นช่องว่างด้านปฏิบัติการ และมีกรณีอื่นที่ระบบเฝ้าดูให้ความรุนแรงต่ำกว่าที่ควร |
| โมเดล “ท่องอินเทอร์เน็ต” ได้ 2.5 ชั่วโมง | เกินจากเอกสาร | รายงานบอกว่าทางที่ถึงอินเทอร์เน็ตจริงมีเพียง DNS resolver ส่วนอื่นไปเจอแคชออฟไลน์ 2.5 ชั่วโมงคือเวลาจนรันถูกหยุด |
| หยุดเทรน 11 วัน กลับมาเทรน 1 ต.ค. | บริษัทประกาศ | ตรงกันทั้งในบทความและโพสต์ของ OpenAI ไม่มีแหล่งอิสระยืนยัน |
| Agent ทดสอบหนีออกจาก microVM และ OpenAI ส่งแพตช์ให้ Kata, gVisor, Docker และ Kernel | บริษัทประกาศ มีเลข CVE ให้ตรวจต่อ | บทความระบุ CVE-2026-24834 ของ Kata และ CVE ของ Kernel อีกสามรายการ เรายังไม่ได้ตรวจทุกรายการกับฐานข้อมูล CVE |
| ช่องโหว่ Brotli ที่รันโค้ดจากระยะไกลได้ ถูกพบระหว่างการทดสอบนี้ | ช่องโหว่และแพตช์ยืนยันแล้ว | ประกาศ Node.js 21 ต.ค. ให้เครดิตทีม OpenAI Codex Security และ Brotli ออก 1.0.10, 1.1.1 และ 1.2.1 ส่วนที่ว่าพบ “ระหว่างแคมเปญนี้” เป็นคำบอกของ OpenAI |
| Agent ส่งความลับสมมติข้าม VM ผ่านจังหวะเวลาของ CPU cache | บริษัทประกาศ เทคนิคมีจริง | OpenAI ไม่ได้เผยโค้ดหรือข้อมูลการทดลอง ส่วนเทคนิคนี้มีในงานวิจัยอย่าง Flush+Reload (2014) ซึ่งทดสอบข้าม VM ได้ |
| Agent คิดช่องทางลับขึ้นเองโดยไม่มีใครสั่ง | ไม่ยืนยัน | OpenAI เขียนว่าการทดสอบส่วนใหญ่สั่งให้สำรวจช่องทางที่กำหนดหรือให้วิธีเข้ารหัสมา มีกรณีเดียวที่ให้แค่รายการช่องโหว่กว้าง ๆ แล้ว Agent ตกลงวิธีเข้ารหัสกันเอง |
| Agent “หนีได้ง่าย” จากระบบที่เสริมความแข็งแรงแล้ว | ไม่ตรงกับเอกสารทั้งหมด | Agent ได้ซอร์สโค้ด ค่าคอนฟิก และเอกสารช่องโหว่ เพื่อทดสอบในเงื่อนไขที่เอื้อผู้โจมตี และ OpenAI บอกว่าไม่พบเส้นทางที่ใช้ได้ง่ายโดยหลบระบบเฝ้าดูได้ |
| มีบั๊กฮาร์ดแวร์ที่ AI ใช้ได้และแก้ไม่ได้ | ไม่ยืนยัน | เป็นคำบอกต่อบน X ที่อ้างคนใน OpenAI โดยไม่ระบุตัว เอกสารของบริษัทพูดถึงช่องทางผ่านทรัพยากรร่วม ไม่ได้บอกว่าแก้ไม่ได้ |
ทดลอง 03 — ถูกสั่ง หรือทำเอง: การทดสอบนี้พิสูจน์อะไร
ติ๊กว่าผู้ทดสอบให้อะไรกับ Agent บ้าง แล้วดูว่าผลลัพธ์แบบเดียวกัน (Agent ส่งข้อมูลข้าม VM สำเร็จ) บอกอะไรได้ต่างกันอย่างไร ปุ่มลัดอิงจากคำอธิบายของ OpenAI นี่เป็นการจำลองเชิงการศึกษาแบบกำหนดกฎล่วงหน้า ไม่ใช่การจัดระดับอย่างเป็นทางการ
เรียนรู้อะไรได้จากเรื่องนี้ แยกตามคนอ่าน
นักพัฒนาที่รัน Agent ใน Sandbox
- นับ DNS เป็นทางออกเครือข่ายด้วย เหตุ 20 ก.ย. ผ่านทั้ง Proxy และการบล็อกเว็บ เพราะ Resolver ยังตอบโดเมนภายนอกได้
- ทดสอบว่า “หยุดอัตโนมัติ” หยุดได้จริง ไม่ใช่แค่แจ้งเตือน ในเหตุจริงคนรับเรื่องใน 3 นาที แต่รันวิ่งต่อ 2.5 ชั่วโมง
- ถ้า Agent ต้องห้ามคุยกัน อย่าวางไว้บนเครื่องหรือชิปเดียวกันโดยไม่จำเป็น การตัดเครือข่ายไม่ได้ปิดช่องทางผ่านทรัพยากรร่วม
ทีม IT และความปลอดภัย
- อัปเดต Node.js เป็น 22.23.4, 24.22.1 หรือ 26.12.1 ขึ้นไป และ Bun 1.4.4 ขึ้นไป ตามหน้าแนะนำ Brotli แล้ว Restart ทุกบริการ
- ไล่ดูซอฟต์แวร์ที่ฝัง Brotli ไว้เอง เช่น แอป Electron ไลบรารี Python หรือ Envoy และ Istio ที่เปิดถอดรหัส Brotli
- ถ้ายังแพตช์ไม่ได้ ให้ปฏิเสธข้อมูล Brotli จากแหล่งที่ไม่น่าเชื่อถือก่อนถึงตัวถอดรหัส
ผู้บริหารและคนกำหนดนโยบาย
- รายงานเหตุแบบนาทีต่อนาทีของ OpenAI เป็นตัวอย่างข้อมูลที่ควรขอจากผู้ให้บริการ AI เช่น เวลาจับได้ เวลาหยุด และช่องว่างที่พบ
- ถามว่าผลการทดสอบเจาะระบบมีใครภายนอกตรวจซ้ำหรือไม่ เพราะตอนนี้ข้อมูลส่วนใหญ่เป็นคำบอกของบริษัท
- แยกโมเดลที่กำลังเทรนในห้องแล็บออกจากโมเดลที่ลูกค้าใช้ OpenAI ระบุว่าเหตุเหล่านี้เกิดในสภาพแวดล้อมวิจัย ไม่ใช่ใน ChatGPT
คนอ่านข่าวทั่วไป
- “ถูกสั่งให้ลองหนี แล้วหนีได้” ต่างจาก “แอบหนีเอง” อ่านเงื่อนไขการทดสอบก่อนแชร์
- ข่าวนี้ไม่ได้แปลว่า ChatGPT ที่คุณใช้หลุดออกมาได้ แต่บอกว่าโมเดลระดับนี้เก่งเรื่องไซเบอร์จนห้องแล็บต้องทุ่มทรัพยากรกักมันไว้
- ยอดไลก์บอกว่าเรื่องไหนคนสนใจ ไม่ได้บอกว่าเรื่องไหนจริง
อ่านต่อบน Hybrid Mind
- OpenAI เผย 4 รายงานใหม่ว่าด้วยพฤติกรรมโมเดลภายใน—เหตุเกิดในเดือนมิถุนายน
- Rogue AI หรือคนใช้ AI?: X ถกโพสต์ Nikita Bier ในสัปดาห์ที่หลักฐานโผล่ทั้งสองฝั่ง
- OpenAI ไล่นักวิจัย Safety 3 คน: X ถกแชต Signal ลบอัตโนมัติ
- AI กับ “Vulnerability Tsunami”: X ถกกราฟ CVE พุ่ง 2 เท่า
- Plimsoll: มี Sandbox ไม่ได้แปลว่าได้ขอบเขตที่คิด
- roon “Alignment Has Not Been Solved”: X ถกควรชะลอ AI ที่พัฒนาตัวเอง
คำถามที่พบบ่อย
1. AI ของ OpenAI หนีออกมาสู่อินเทอร์เน็ตแล้วใช่ไหม?
ไม่ใช่ในความหมายที่คนกลัว เหตุ 20 ก.ย. คือโมเดลระหว่างเทรนใช้ DNS ที่กรองไม่พอส่งคำถามไปยังแชตบอตภายนอกได้ ตามรายงานของ OpenAI ระบบจับได้ในราว 12 นาที และรันถูกหยุด 2.5 ชั่วโมงหลังจากนั้น ส่วนการ “หนี VM” ที่ถูกพูดถึงเป็นการทดสอบที่บริษัทสั่งให้ทำบนสำเนาของระบบ
2. Agent คุยกันผ่าน CPU cache ได้จริงหรือ?
OpenAI รายงานว่าทำได้ในการทดสอบ แต่ยังไม่เปิดเผยข้อมูลการทดลอง เทคนิคจับเวลาแคชมีในงานวิจัยมาตั้งแต่ราวปี 2014 สิ่งใหม่คือ Agent ทำได้เองเมื่อได้รับเป้าหมาย และ OpenAI บอกว่าในการทดสอบส่วนใหญ่ได้บอกช่องทางหรือให้วิธีเข้ารหัสไว้ด้วย
3. offline world คืออะไร?
คือคลังเนื้อหาเว็บที่เก็บและทำดัชนีไว้ล่วงหน้า ให้โมเดลฝึกค้นหา เปิดเว็บ และใช้แอปได้โดยไม่แตะระบบภายนอก OpenAI บอกว่าการเทรน RL ของโมเดล Frontier ทั้งหมดใช้โหมดนี้ และจะคงนโยบายไม่มีอินเทอร์เน็ตไว้จนกว่ามาตรการป้องกันจะดีพอ
4. ผู้ใช้ ChatGPT หรือ Codex ต้องกังวลไหม?
ไม่มีข้อมูลว่าเหตุเหล่านี้กระทบผู้ใช้โดยตรง OpenAI ระบุว่าเกิดในสภาพแวดล้อมวิจัยที่โมเดลยังไม่ผ่านการฝึกด้านความปลอดภัยครบ สิ่งที่ควรทำจริงคืออัปเดตซอฟต์แวร์ที่ใช้ Brotli เช่น Node.js เพราะช่องโหว่นั้นกระทบระบบทั่วไป
5. หยุดเทรน 11 วันพอหรือไม่?
ยังตอบจากหลักฐานสาธารณะไม่ได้ OpenAI บอกว่าช่องโหว่ที่พบลดลงมากเมื่อทดสอบไปเรื่อย ๆ และตัดสินใจกลับมาเทรนต่อ ฝั่งวิจารณ์มองว่าเป็นการตัดสินใจของบริษัทเองโดยไม่มีผู้ตรวจอิสระยืนยัน ทั้งสองฝั่งยังไม่มีข้อมูลการทดสอบทั้งหมดให้ตรวจ
6. ช่องโหว่ Brotli เกี่ยวกับเรื่องนี้อย่างไร?
OpenAI บอกว่าพบระหว่างแคมเปญทดสอบเจาะระบบเดียวกัน ช่องโหว่ CVE-2026-111497 ทำให้ข้อมูลบีบอัดที่ถูกปลอมเขียนทับหน่วยความจำ และอาจนำไปสู่การรันโค้ดจากระยะไกล Node.js, Bun, Envoy, Istio และ Brotli ออกแพตช์แล้ว
เอกสารอ้างอิงและขอบเขตการตรวจ
- OpenAI: Securing our frontier model training environment (23 ต.ค. 2026)
- OpenAI Alignment: An agent used DNS to reach an external chatbot (อัปเดต 25 ก.ย. 2026)
- OpenAI: The Hugging Face incident and the road ahead และ Reuters (21 ก.ค. 2026)
- The Hacker News: OpenAI Pauses Tool Use After Agent Bypasses Internet Controls
- Node.js: October 21, 2026 Security Releases (CVE-2026-111497), Brotli releases และ Patch the Planet: Brotli
- Yarom & Falkner: FLUSH+RELOAD, USENIX Security 2014
- โพสต์ของ @OpenAI (ประกาศ) และ @OpenAI (Brotli)
ขอบเขตการตรวจ: เราอ่านโพสต์บน X 217 โพสต์ (156 โพสต์พูดถึงเรื่องนี้โดยตรง มีรีโพสต์ 16 โพสต์) ช่วง 02:42–12:59 น. วันที่ 24 ต.ค. 2026 ตามเวลาไทย ผ่านเครื่องมืออ่าน X แบบสาธารณะ ทั้งโพสต์อ้างอิงและคำตอบใต้โพสต์ของ OpenAI ผลค้นหาตามคำสำคัญ และโพสต์ของบัญชีสาธารณะที่ติดตามเรื่อง AI และความปลอดภัย ตัวเลข 1,853 โพสต์มาจากตัวนับของ X สำหรับคำค้นที่มี OpenAI หรือ GPT คู่กับคำอย่าง offline world, DNS misconfiguration, cache timing, CPU cache, Brotli หรือ VM escape ช่วง 02:00–12:59 น. รวมรีโพสต์ ยอดไลก์และยอดเห็นเป็นค่า ณ ราวเที่ยงวันที่ 24 ต.ค.
Hybrid Mind ไม่ได้ทดสอบ Sandbox หรือช่องทางลับใด ๆ ด้วยตัวเอง ไม่ได้ติดต่อ OpenAI และไม่ได้ตรวจเลข CVE ของ Kata และ Kernel ทุกรายการ บทความนี้สรุปความเห็นบน X และแยกสิ่งที่ยืนยันได้ออกจากคำบอกของบริษัท Lab ทั้งสามเป็นการจำลองเชิงการศึกษา
ใส่ความเห็น