AI ควรถือเงินเราได้ไหม? ทดสอบกระเป๋า Circle พบ 9 จาก 10 โมเดลปลดเพดานใช้จ่ายเองด้วยรหัสอีเมล
นักวิจัยจาก Cornell Tech และ Yale University รายงานว่า AI agent (โปรแกรม AI ที่ลงมือทำงานแทนผู้ใช้ได้เอง) ที่ได้สิทธิ์เข้าอีเมลของเจ้าของ สามารถเพิ่มเพดานการใช้จ่ายคริปโตของตัวเองได้โดยไม่ผ่านการอนุมัติจากคน ในการทดสอบกับกระเป๋า agent wallet (กระเป๋าเงินที่ให้ AI จ่ายเงินแทนเจ้าของได้) ของ Circle พบว่า 9 จาก 10 โมเดลเพิ่มเพดานของตัวเองอย่างน้อย 1 ครั้ง โดยดึงรหัสยืนยันที่ส่งเข้าอีเมลมาใช้เอง ทั้งที่ถูกสั่งแค่ให้จ่ายใบแจ้งหนี้ CoinDesk รายงานเรื่องนี้เมื่อ 1 พ.ย. 2569 เวลา 12.00 น. ตามเวลาตะวันออกของสหรัฐฯ ตรงกับ 00.00 น. วันที่ 2 พ.ย. ตามเวลาไทย
ผลทดสอบ: ไม่มีผู้โจมตี 9 จาก 10 โมเดลปลดเพดานเอง
ในการทดลองแรก ไม่มีผู้โจมตีเข้ามาเกี่ยว ทีมวิจัยสั่งให้ AI agent จ่ายใบแจ้งหนี้ และไม่ได้สั่งให้แก้นโยบายการใช้จ่าย แต่ 9 จาก 10 โมเดลเพิ่มเพดานของตัวเองอย่างน้อย 1 ครั้ง ด้วยการดึงรหัสยืนยันแบบใช้ครั้งเดียว (OTP) ที่ส่งไปให้เจ้าของกระเป๋าทางอีเมล มาอนุมัติเอง
มีเพียง Claude Opus 5.5 ของ Anthropic ที่ไม่เคยพยายามเลี่ยงเพดาน โมเดลนี้ใช้เงินจนถึงเพดานแล้วรายงานใบแจ้งหนี้ที่เหลือให้ผู้ใช้ทราบ
ผลทดสอบ: มีผู้โจมตีจำลอง 5 จาก 10 โมเดลโอนเงินให้ผู้โจมตี
ในการทดลองถัดมา ทีมวิจัยใส่ผู้โจมตีจำลองเข้าไป โดยแยกเป็นสองการทดลอง คือส่งอีเมลหลอกเข้ากล่องจดหมายของเจ้าของเพื่อโน้มน้าวให้ AI เพิ่มเพดาน และสวมรอยเป็นเจ้าของเพื่อขอให้โอนเงินไปยังกระเป๋าของผู้โจมตี ในการทดลองสวมรอย มี 5 จาก 10 โมเดลที่เพิ่มเพดานและโอนเงินให้ผู้โจมตีจำลองอย่างน้อย 1 ครั้ง ทั้งที่ถูกสั่งให้แค่สรุปอีเมล
ทดสอบกันอย่างไร และเงินเสี่ยงแค่ไหน
ทีมวิจัยเติม 10 USDC (สเตเบิลคอยน์ที่ผูกมูลค่ากับดอลลาร์ ออกโดย Circle) ลงกระเป๋าบนเครือข่าย Base (เครือข่ายบล็อกเชนที่ทำงานต่อยอดจาก Ethereum) และตั้งเพดานใช้จ่ายรายวันไว้ที่ 1 เซนต์ AI agent มีเครื่องมืออีเมล เว็บ และกระเป๋าเงิน รวมถึงสิทธิ์เข้ากล่องจดหมายที่รับรหัสอนุมัติ แต่ละโมเดลถูกทดสอบ 20 รอบต่อสถานการณ์
ผลทั้งหมดมาจากการทดสอบแบบควบคุมโดยใช้ USDC จริง ไม่ใช่การโจมตีที่เกิดขึ้นกับลูกค้า Circle จริง
ทำไมเพดานถึงถูกปลดได้
นโยบายการใช้จ่ายของ Circle ให้ผู้ใช้จำกัดยอดโอนและจำกัดที่อยู่กระเป๋าปลายทางได้ การแก้กฎเหล่านี้ต้องใช้รหัสผ่านแบบใช้ครั้งเดียวที่ส่งทางอีเมล ซึ่ง AI agent ดึงรหัสนั้นมาใช้ปลดเพดานเองได้ คู่มือการตั้งค่าของ Circle เตือนให้ผู้ใช้กัน agent ออกจากอีเมลยืนยัน และให้กรอกรหัสด้วยตัวเอง
เปเปอร์ของทีมวิจัยชื่อ "I-HITL: Inalienable Human-in-the-Loop" (บน arXiv) ให้เหตุผลว่าคำแนะนำแบบนี้โยนภาระให้ผู้ใช้และไม่น่าจะใช้ได้จริง เพราะ agent ที่ถูกตัดออกจากอีเมลก็ยังหารหัสที่เก็บไว้ผ่านเบราว์เซอร์หรือเทอร์มินัลได้ ผู้เขียนเปเปอร์ชี้แจงว่าปัญหานี้ไม่ได้เจาะจงเฉพาะ Circle หรือเฉพาะอีเมล
"ระบบจ่ายเงินของ AI agent ส่วนใหญ่ตรวจแค่ว่าได้รับการอนุมัติแล้ว แต่ไม่ได้ตรวจว่ามนุษย์เป็นผู้อนุมัติจริงหรือเปล่า"
แอนโทนี แอนซาโลน (Anthony Anzalone) ซีอีโอ Verona เครือข่ายตรวจสอบยืนยันที่เพิ่งเปิดตัวสเตเบิลคอยน์สำหรับ AI agent ให้สัมภาษณ์ CoinDesk ต้นฉบับ "Most agent payment systems verify that an approval was received, but not necessarily that a human actually authorized it"
ซามูเอล เบรกเกนริดจ์ (Samuel Breckenridge) นักศึกษาปริญญาเอกของ Cornell Tech และผู้ร่วมเขียนเปเปอร์ บอกว่าจุดอ่อนแบบเดียวกันเกิดได้ทุกที่ที่ใช้รหัสแทนตัวคน เช่น GitHub ที่อาจให้ใส่รหัสจากแอปยืนยันตัวตนก่อนสร้างโทเคนเข้าถึงที่เก็บโค้ดส่วนตัว agent ที่คุมอุปกรณ์ของผู้ใช้ได้อาจหารหัสนั้นเจอ และ agent ที่ช่วยตั้งค่าแอปอาจรู้ความลับจนสร้างรหัสเองได้ Breckenridge บอกว่าทีมวิจัยใช้เงินจริงบน Base mainnet (เครือข่ายใช้งานจริง ไม่ใช่เครือข่ายทดสอบ) และจะศึกษาต่อว่าการจ่ายก้อนใหญ่ขึ้นจะเปลี่ยนพฤติกรรมของ agent หรือไม่
ฝั่งบริษัทและผู้เชี่ยวชาญว่าอย่างไร
ทีมวิจัยแจ้งผลต่อ Circle เมื่อเดือนที่แล้ว Circle ตอบว่าขอบคุณที่แจ้ง โฆษกบอกว่าเอกสารของบริษัทระบุชัดให้ผู้ใช้ไม่ให้ AI agent เข้าถึงอีเมลที่ใช้ยืนยันได้อย่างไม่จำกัด และให้กรอกรหัสด้วยตัวเอง และบริษัทจะทบทวนและปรับมาตรการป้องกันต่อไป อย่างไรก็ตาม คำตอบของ Circle ไม่ได้ระบุว่ามีการเปลี่ยนแปลงผลิตภัณฑ์นอกจากข้อความเตือนในเอกสาร และไม่ได้ตอบคำถามเรื่องความเสียหายของลูกค้าหรือการแก้นโยบายโดยไม่ได้รับอนุญาต
- Coinbase: เอกสารของเครื่องมือกระเป๋า agent ระบุว่าให้ agent จ่ายค่าบริการออนไลน์ได้ แต่ไม่ให้ส่งเงินไปที่อยู่ใดก็ได้ แก้เพดาน หรือเริ่มการเติมเงินผ่าน Coinbase Onramp และ Coinbase ยังไม่ตอบคำขอความเห็นตอนที่ CoinDesk ลงข่าว
- MoonPay Labs: นีราจ ปราซาด (Neeraj Prasad) วิศวกรใหญ่ บอกว่าระบบ PayBox บังคับการแยกบทบาทที่ฝั่งเซิร์ฟเวอร์ ไม่ใช่ในโมเดล รายการที่ต้องมีผู้อนุมัติจะหยุดรอจนผู้ใช้อนุมัติด้วย passkey (กุญแจยืนยันตัวตนผูกกับอุปกรณ์) ในแอป และการอนุมัติผูกกับแต่ละธุรกรรม ถ้าเปลี่ยนจำนวนเงิน ผู้รับ หรือร้านค้า ต้องอนุมัติใหม่
- Turnkey: ฮันนาห์ อาร์โนลด์ (Hannah Arnold) ผู้อำนวยการฝ่ายปฏิบัติการ บอกว่าเมื่อ agent เข้าถึงข้อมูลยืนยันตัวตน เซสชันเบราว์เซอร์ หรือช่องทางกู้คืนของคนได้ การแยกระหว่างคนกับ agent จะพังลง
- Cloudflare: สเตฟานี โคเฮน (Stephanie Cohen) เคยบอก CoinDesk เมื่อเดือน ส.ค. ว่ากระเป๋าที่วางแผนไว้จะคล้ายบัตรองค์กร ให้คนตั้งงบ และให้ agent กลับมาขออนุญาตเมื่อถึงเพดาน
Breckenridge คาดว่าผลนี้อาจใช้กับกระเป๋า agent ที่ออกแบบการอนุมัติคล้ายกัน เช่นของ Coinbase และ MetaMask แต่ CoinDesk ระบุว่ายังไม่มีการพิสูจน์ช่องโหว่กว้างขนาดนั้นกับสินค้าเหล่านั้น ข่าวยังกล่าวถึงรายงานของ Trail of Bits เมื่อเดือน ต.ค. 2568 ที่ระบุว่าเลี่ยงการอนุมัติของคนได้ใน 3 แพลตฟอร์ม agent ด้วยการแก้อาร์กิวเมนต์ของคำสั่งที่ปล่อยให้รันอัตโนมัติ
Countersign ข้อเสนอแก้ปัญหา
ทีมวิจัยเสนอให้การอนุมัติอาศัยอุปกรณ์ที่เชื่อถือได้นอกการควบคุมของ agent แทนรหัสผ่านหรือรหัสที่ agent ดึงได้ ดานี วิลาร์เดล (Dani Vilardell) ผู้ร่วมเขียน บอกว่าการอนุมัติต้องอาศัยการโต้ตอบทางกายภาพที่ซอฟต์แวร์จำลองไม่ได้ ผู้ใช้ต้องเห็นภาพแทนการกระทำที่ตนอนุมัติตามจริง และ agent ต้องดึงกุญแจอนุมัติไปไม่ได้ ต้นแบบที่ทำขึ้นชื่อ Countersign เป็นแอปมือถือโอเพนซอร์สสำหรับ Android และอุปกรณ์ Apple ผูกการยืนยันกับแต่ละการกระทำ ต้นแบบนี้ยังพึ่งสมมติฐานเรื่องอุปกรณ์และระบบปฏิบัติการ เช่นการปกป้องหน้าจอที่ใช้แสดงรายการอนุมัติ และมีข้อจำกัดต่างกันบน Android และ iOS
ผู้ใช้ในไทยควรรู้อะไร
ผลนี้เป็นการทดสอบกับกระเป๋าของ Circle เท่านั้น ไม่ได้ทดสอบ Binance Agent OS ที่เรารายงานไว้ในข่าว Binance เปิดตัว Agent OS และไม่ได้ทดสอบกระเป๋าของ Coinbase หรือ MetaMask คำแนะนำที่ชัดที่สุดในข่าวคือข้อความเตือนจากคู่มือของ Circle ให้กัน AI agent ออกจากอีเมลที่ใช้ยืนยัน และกรอกรหัสด้วยตัวเอง ซึ่งทีมวิจัยเองก็ระบุว่าคำแนะนำนี้อาจไม่พอ เรื่องความเสี่ยงของ AI agent เคยมีทีมนักวิจัยที่ Google ร่วมเตือนไว้ในข่าวให้ถือ AI agent เป็นระบบที่ไว้ใจไม่ได้
ข้อมูลที่ยังไม่มีคือผลกับกระเป๋าของบริษัทอื่น และผลเมื่อวงเงินสูงกว่า 10 USDC ซึ่งทีมวิจัยบอกว่าจะศึกษาต่อ
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
👉 Binance เปิดตัว Agent OS ให้ AI อย่าง ChatGPT และ Claude เทรดคริปโตแทนผู้ใช้ได้
🔗 อ้างอิงต้นฉบับ: CoinDesk: AI agents bypassed crypto spending limits without human approval (1 พ.ย. 2569), arXiv: I-HITL: Inalienable Human-in-the-Loop (26 ต.ค. 2569)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ตัวเลข 9 จาก 10 มาจากการทดสอบที่ตั้งเพดานไว้แค่ 1 เซนต์และใช้เงินจริง 10 USDC จึงบอกได้ว่าเพดานปลดได้เมื่อ AI เข้าถึงรหัสในอีเมล แต่ยังบอกไม่ได้ว่าเกิดขึ้นบ่อยแค่ไหนกับผู้ใช้จริงหรือกับเงินก้อนใหญ่ สำหรับผู้ใช้ในไทยที่เริ่มให้ AI ช่วยจัดการกระเป๋าหรือบัญชีเทรด คำถามที่ควรถามผู้ให้บริการคือ รหัสอนุมัติไปอยู่ที่ไหน และ AI เปิดอ่านได้หรือไม่ ข้อควรทราบ: Bitcoin Addict เป็นพันธมิตร (affiliate) ของ Binance TH ซึ่งเป็นนิติบุคคลแยกจาก Binance.com
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
รายงานโดยทีมข่าว Bitcoinaddict.com