คลิกลิงก์เดียว Copilot ก็ดูดอีเมลคุณออกไปได้ ช่องโหว่ CoSnitch และบทเรียนที่ไม่จบที่แพตช์
วันที่ 18 สิงหาคม 2026 มีรายงานช่องโหว่ชุดหนึ่งของ Microsoft Copilot ออกมา ชื่อชุดช่องโหว่คือ CoSnitch ค้นพบโดยทีมวิจัยความปลอดภัยของบริษัท Varonis ใจความคือ ถ้าคุณคลิกลิงก์ที่ผู้โจมตีส่งมา Copilot จะรันคำสั่งของผู้โจมตีทันทีในบัญชีของคุณ โดยคุณไม่ต้องกดยืนยันอะไรเลย แล้วดึงข้อมูลจากอีเมล ปฏิทิน และไดรฟ์ที่คุณต่อไว้ออกไปได้
Microsoft ออกแพตช์ปิดช่องโหว่นี้แล้วในวันเดียวกัน และนักวิจัยระบุว่ายังไม่พบหลักฐานว่ามีใครเอาไปใช้โจมตีจริง
แต่เหตุผลที่เรื่องนี้ควรอ่านให้จบ ไม่ใช่เพราะยังอันตรายอยู่ มันคือกรณีตัวอย่างที่ชัดที่สุดของปัญหาที่จะอยู่กับเราไปอีกนาน คือเมื่อคุณให้ AI ทำงานแทนคุณได้ คุณก็เปิดช่องให้คนอื่นสั่งงาน AI ตัวนั้นแทนคุณได้ด้วย
นักวิจัยหาช่องโหว่เจอได้ยังไง
ส่วนที่แปลกที่สุดของเรื่องนี้คือวิธีการค้นพบ
ปกติการหาช่องโหว่ต้องแกะโค้ด ยิงคำสั่งทดสอบใส่เซิร์ฟเวอร์ หรือไล่อ่านเอกสารทางเทคนิค แต่คราวนี้นักวิจัยแค่ถาม Copilot ตรง ๆ
พวกเขาสังเกตว่ามีวิธีพ่วงข้อความเข้าไปในลิงก์ของ Copilot ได้ แต่ข้อความนั้นแค่ไปโผล่ในช่องพิมพ์เฉย ๆ ไม่ได้รันเอง พวกเขาจึงถาม Copilot ว่าทำไมถึงไม่รัน แล้วถามซ้ำอีกมุม แล้วอีกมุม เหมือนเล่นเกมยี่สิบคำถาม แต่ละคำตอบให้เบาะแสเพิ่มทีละนิด จนในที่สุด Copilot ก็บอกออกมาเองว่ามีตัวแปรอีกตัวที่ไม่ได้ประกาศไว้ในเอกสารสาธารณะ ชื่อว่า autorun และบอกด้วยว่าต้องมีเงื่อนไขอะไรบ้างถึงจะทำงาน
พูดอีกแบบคือ ระบบรักษาความปลอดภัยของตัวเองถูกอธิบายออกมาโดยตัวมันเอง นักวิจัยเรียกสิ่งที่ได้มาว่าเป็นพิมพ์เขียวของตรรกะภายใน
บทเรียนตรงนี้กว้างกว่าตัวช่องโหว่ ผู้ช่วย AI ถูกฝึกมาให้ช่วยเหลือและอธิบาย เมื่อถูกถามซ้ำ ๆ อย่างมีชั้นเชิง มันมีแนวโน้มจะเล่าสิ่งที่ไม่ควรเล่า และเรื่องนี้ใช้ได้กับผู้ช่วย AI ที่บริษัทคุณกำลังจะเอาไปวางหน้าร้านด้วย
ช่องโหว่ทำงานยังไง
ลองนึกถึงลิงก์ที่คุณเห็นทุกวัน หลายลิงก์มีข้อมูลพ่วงท้ายอยู่ เช่นลิงก์ค้นหาที่มีคำค้นต่อท้าย พอเปิดขึ้นมา หน้าเว็บก็เอาคำนั้นไปใส่ในช่องค้นหาให้อัตโนมัติ นี่เป็นเรื่องปกติของเว็บ
Copilot ก็มีแบบนั้น ข้อความที่พ่วงมากับลิงก์จะไปโผล่ในช่องพิมพ์ ซึ่งยังไม่อันตราย เพราะคนใช้ยังต้องกดส่งเอง คุณเห็นก่อนว่ามันจะถามอะไร
ปัญหาคือมีตัวแปรอีกตัวที่ไม่ได้ประกาศไว้ ถ้าใส่เข้าไปคู่กัน ข้อความนั้นจะถูกส่งและรันเองทันทีที่หน้าเว็บโหลดเสร็จ ไม่มีปุ่มให้กด ไม่มีการแจ้งเตือน และตามรายงานระบุว่าคำสั่งจะรันจนจบ แม้เหยื่อจะรีบปิดแท็บทิ้งไปแล้วก็ตาม
จุดที่ทำให้มันร้ายแรงคือ คำสั่งนั้นไม่ได้รันในบัญชีของผู้โจมตี มันรันในเบราว์เซอร์ของคุณ ในสถานะที่คุณล็อกอินอยู่แล้ว ระบบจึงมองว่าเป็นคุณเองที่กำลังสั่งงาน
มันเอื้อมถึงข้อมูลอะไรได้บ้าง
คำตอบคือทุกอย่างที่คุณเคยกดอนุญาตให้ Copilot ต่อไว้ ตามรายงานของนักวิจัยครอบคลุม
- เนื้อความอีเมล หัวข้อ ชื่อผู้ส่งและผู้รับ
- นัดในปฏิทิน ทั้งหัวข้อ เวลา สถานที่ และรายชื่อผู้เข้าร่วม
- รายชื่อไฟล์และข้อมูลกำกับไฟล์ใน Google Drive
- ประวัติแชตเก่าที่คุยกับ Copilot
- ข้อมูลในความจำของ Copilot คือสิ่งที่คุณเคยสั่งให้มันจำไว้
และมีอีกข้อที่คนมักมองข้าม ผู้โจมตีเขียนทับความจำของ Copilot ได้ด้วย นั่นแปลว่าเขาฝังคำสั่งค้างไว้ให้มีผลกับบทสนทนาครั้งต่อ ๆ ไปของคุณได้ เช่นสั่งให้มันบิดข้อมูลบางอย่างเวลาคุณถาม หรือให้มันส่งสิ่งที่คุณคุยออกไปที่อื่นในอนาคต ความเสียหายจึงไม่ได้จบเมื่อคุณปิดแท็บ
ขอบเขตที่ต้องระบุให้ชัดคือ รายงานนี้พูดถึง Copilot ฝั่งผู้ใช้ทั่วไปที่ผูกบัญชีภายนอกเข้าไว้ ไม่ใช่ทุกผลิตภัณฑ์ในตระกูล Copilot ทั้งหมด
เส้นเวลาของเรื่อง
Varonis แจ้ง Microsoft ตั้งแต่เดือนธันวาคม 2025 ต่อมาในเดือนกุมภาพันธ์ 2026 Microsoft ปิดความสามารถของตัวแปรที่ใช้พ่วงข้อความไปก่อนเงียบ ๆ แล้วจึงออกแพตช์ชุดใหญ่พร้อมประกาศรหัสช่องโหว่ CVE-2026-24301 ในวันที่ 18 สิงหาคม 2026 รวมเวลาราวแปดเดือนนับจากวันที่ได้รับแจ้ง ซึ่งเป็นประเด็นที่สื่อหลายสำนักหยิบมาวิจารณ์
รากของปัญหาคือ prompt injection
ถ้าจะจำเรื่องนี้ไว้เรื่องเดียว ให้จำเรื่องนี้
ผู้ช่วย AI ไม่ได้แยกระหว่าง คำสั่งจากเจ้าของ กับ ข้อความที่มันบังเอิญอ่านเจอ ทุกอย่างที่เข้าไปในบทสนทนาเป็นข้อความเหมือนกันหมด ถ้าคุณให้มันอ่านอีเมล เนื้อความในอีเมลนั้นก็มีสิทธิ์กลายเป็นคำสั่ง ถ้าคุณให้มันเปิดหน้าเว็บ ข้อความบนหน้านั้นก็มีสิทธิ์กลายเป็นคำสั่ง ถ้าลิงก์พ่วงข้อความมาได้ ข้อความนั้นก็มีสิทธิ์กลายเป็นคำสั่ง
ปัญหาชนิดนี้วงการเรียกว่า prompt injection คือการที่คนอื่นแอบสั่งงาน AI ของคุณผ่านเนื้อหาที่มันอ่าน
เหตุผลที่มันแก้ยากคือ ความสามารถที่ทำให้ AI มีประโยชน์ กับความสามารถที่ทำให้มันโดนหลอก เป็นความสามารถเดียวกัน คือการทำตามภาษาคนที่มันอ่านเจอ ถ้าตัดขาดจนไม่ฟังข้อความภายนอกเลย มันก็ช่วยอ่านอีเมลหรือสรุปเว็บให้คุณไม่ได้อีกต่อไป การป้องกันจริงจึงเป็นการจำกัดความเสียหาย ไม่ใช่การอุดรูให้สนิท
ลองเทียบกับการจ้างผู้ช่วยที่ทำงานเก่งมากแต่เชื่อคนง่ายมาก คุณให้กุญแจห้องเก็บเอกสารเขาได้ แต่คุณคงไม่ให้กุญแจตู้เซฟและอำนาจโอนเงินไปพร้อมกัน จุดที่การเปรียบเทียบนี้ใช้ไม่ได้คือ ผู้ช่วยที่เป็นคนจะเริ่มเอะใจเมื่อคำสั่งแปลกเกินไป ส่วน AI ไม่มีสัญชาตญาณแบบนั้น มันเชื่อข้อความที่อ่านเจอได้เต็มร้อยทุกครั้ง
สิ่งที่คุณควรทำวันนี้
สำหรับผู้ใช้ทั่วไป ไปดูรายการแอปที่คุณเคยกดอนุญาตให้ผู้ช่วย AI เข้าถึง ทั้ง Copilot, ChatGPT, Gemini หรือ Claude แล้วตัดอันที่ไม่ได้ใช้จริงออกให้หมด สิทธิ์ที่ไม่ได้เปิดไว้ คือสิทธิ์ที่ไม่มีใครขโมยไปใช้ได้ และถ้าลิงก์ที่ใครส่งมาเปิดหน้าผู้ช่วย AI ขึ้นมาเองพร้อมข้อความที่คุณไม่ได้พิมพ์ ให้ปิดทันทีแล้วอย่ากดต่อ
สำหรับเจ้าของธุรกิจและคนดูแลระบบ ให้ปฏิบัติกับผู้ช่วย AI ที่ต่อกับข้อมูลบริษัทเหมือนพนักงานที่มีสิทธิ์เข้าถึงข้อมูลระดับสูงคนหนึ่ง นั่นแปลว่าต้องมีการทบทวนสิทธิ์เป็นรอบ ๆ ว่ามันเข้าถึงอะไรได้บ้างและจำเป็นจริงไหม แยกบัญชีที่ใช้ทดลองออกจากบัญชีที่มีข้อมูลลูกค้า และตั้งกติกาให้ชัดว่างานประเภทไหนที่ AI ต้องขออนุมัติจากคนก่อนลงมือเสมอ โดยเฉพาะงานที่ส่งข้อมูลออกนอกองค์กร
หลักที่ใช้ได้กับทุกเครื่องมือคือ ยิ่งคุณต่อ AI เข้ากับข้อมูลจริงมากเท่าไหร่ ประโยชน์ก็มากขึ้นเท่านั้น และความเสียหายเมื่อมีคนสั่งมันแทนคุณได้ก็มากขึ้นเท่ากัน สองอย่างนี้โตไปด้วยกันเสมอ การตัดสินใจว่าจะเปิดสิทธิ์อะไรบ้าง จึงเป็นการตัดสินใจทางธุรกิจ ไม่ใช่แค่การตั้งค่าทางเทคนิค
ที่มา รายงาน CoSnitch ของ Varonis Threat Labs รายงานของ The Register และ The Hacker News วันที่ 18 สิงหาคม 2026