Darktrace: Agent Hijacks — วางยาประวัติแชทแล้วเอเจนต์กลายเป็นผู้โจมตี

รัน Claude Code / Codex / Kiro-CLI บนเครื่องนักพัฒนาอยู่ไหมครับ — เมื่อ 24 ก.ย. 2026 Darktrace เผยแพร่วิจัย Agent Hijacks หลังแจ้ง Anthropic / AWS / OpenAI มาตั้งแต่ 18 ส.ค. 2026

ใจความสั้น ๆ (ไม่อธิบายขั้นตอนโจมตี):

• หลาย agentic harness เก็บประวัติสนทนาฝั่งไคลเอนต์ โดยไม่ตรวจสอบ ว่า “คำตอบของโมเดล” ในไฟล์/DB นั้นถูกสร้างจากโมเดลจริงหรือถูกแก้ภายหลัง
• นักวิจัยเรียกการแก้ประวัติเพื่อผลักพฤติกรรมว่า conversation history poisoning — ยืนยันได้บน Claude Code, AWS Kiro-CLI, OpenAI Codex และ Pi โอเพนซอร์ส
• เมื่อประวัติปลอมทำให้เอเจนต์ “เชื่อ” ว่าอยู่ในงาน red-team ที่ได้รับอนุญาต การ์ดเรลบางรุ่นยอมทำงานเชิงโจมตีในแล็บแซนด์บ็อกซ์ (ผลขึ้นกับรุ่นโมเดล — บางรุ่นยังบล็อกได้)
• สถานการณ์ที่น่ากังวลในชีวิตจริง: แพ็กเกจ/MCP ที่ติดตั้งแล้วฉีดประวัติ + ลูปสั่งงานต่อ โดยค่าใช้จ่ายโมเดลตกเป็นของเหยื่อ
• ข้อเสนอของ Darktrace: ผู้ให้บริการควรลงลายเซ็นคริปโตคำตอบฝั่งเซิร์ฟเวอร์แล้วตรวจทุก round-trip — ฝั่ง org ควรมี monitoring พฤติกรรมเอเจนต์และจำกัดสิทธิ์เชลล์

Recap

• อ่านบล็อก Darktrace ทั้งชิ้น — โฟกัส mitigation ไม่คัดลอก PoC
• ล็อกสิทธิ์ harness (sandbox / allowlist คำสั่ง) และอย่าให้แพ็กเกจแปลกแก้ไฟล์ประวัติแชทได้
• ถามผู้ขายว่ามี integrity check ของ conversation history หรือยัง