สี่ที่กั้นก่อนปล่อยเอไอทำงานแทนคน: บทเรียนจากทีมแดงของ NVIDIA
ถ้าเอไอในที่ทำงานกดรันคำสั่ง เปิดเน็ต และถือกุญแจระบบได้ มันไม่ใช่กล่องแชทแล้ว แต่เป็นโปรแกรมสิทธิ์สูงที่เรายังเข้าใจขอบเขตไม่ครบ ทีมแดงของ NVIDIA สรุปจากงานทดสอบเอไอหลายตัวในช่วงหกเดือนก่อนบทความเมื่อ 30 กรกฎาคม 2026 ว่าจุดพังซ้ำกันสี่แบบ ไม่ว่าจะใช้เฟรมเวิร์กใด
บทความต้นทางอยู่ที่ Four Ways to Deploy More Secure AI Agents พี่โชว์เล่าเป็นภาษางาน ไม่ใช่คู่มือโจมตี
สี่จุดพังที่เจอซ้ำ
- ใครก็คุยกับเอไอได้ ถ้าเครื่องอยู่ในเน็ตภายใน
- เครื่องมือของเอไอรันคำสั่งเครื่องได้เกือบอิสระ
- ไม่จำกัดเน็ตขาออก ข้อมูลไหลออกหรือเปิดช่องคุยกลับได้
- กุญแจระบบวางในสภาพแวดล้อมที่เอไออ่านได้ เช่น ตัวแปรสภาพแวดล้อมหรือไฟล์ประวัติคำสั่ง
การเขียนในพรอมต์ว่า “ห้ามทำเรื่องอันตราย” หรือให้โมเดลอีกตัวมาตัดสิน ทีมแดงพบว่าถูกหลบได้ด้วยการทำให้คำขอดูเหมือนงานดีบัก การค่อย ๆ ขยับบทสนทนา และการขอให้ติดตั้งแพ็กเกจที่ดูปกติ รายละเอียดเทคนิคอยู่ที่ต้นทาง บทความนี้ไม่ทำซ้ำขั้นตอนนั้น
สี่ที่กั้นที่ต้องอยู่นอกโมเดล
ที่กั้นที่ใช้ได้ต้องเป็นกฎในระบบ ไม่ใช่คำพูดในพรอมต์
แผนภาพด้านล่างย่อความสัมพันธ์ของสี่ที่กั้นตามที่ต้นทางอธิบาย ไม่ใช่โค้ดที่รันได้
flowchart TD
U[ผู้ใช้ที่พิสูจน์ตัวแล้ว] --> A[เอไอ]
A --> S[แซนด์บ็อกซ์คำสั่ง]
S --> N[เน็ตขาออกแบบปิดเป็นค่าเริ่ม]
A -.-> X[คลังความลับ คนละที่กับเอไอ]
N --> T[รายการปลายทางที่งานต้องการ]- จำกัดผู้ใช้ที่คุยกับเอไอได้ และให้สิทธิ์เอไอไม่เกินสิทธิ์คนที่เรียกใช้
- หลีกเลี่ยงเครื่องมือเชลล์ ถ้ารันคำสั่งต้องมีรายการคำสั่งที่อนุญาต และรันในกล่องแยก เช่น คอนเทนเนอร์ที่แข็งแรง ห้ามเขียนไฟล์ที่จะถูกเรียกทำงานทีหลัง
- ปิดเน็ตขาออกเป็นค่าเริ่ม เปิดเฉพาะที่งานนั้นต้องถึง และบังคับที่ขอบเน็ตที่เอไอแก้เองไม่ได้
- เก็บความลับในคลังความลับ ดึงเฉพาะตอนโปรเซสที่ต้องใช้ต้องการ ใช้โทเคนอายุสั้น เพิกถอนเมื่องานจบ อย่าวางค้างในบริบทของโมเดล
ข้อเพิ่มที่ทีมแดงย้ำ: ติดตั้งแพ็กเกจได้เฉพาะจากทะเบียนที่ตรวจแล้ว บล็อกการติดตั้งจากที่อยู่หรือคลังโค้ดตามอำเภอใจ และอย่าเมานต์โฟลเดอร์ที่เขียนได้ไปยังเส้นทางที่จะถูกรัน
ทำอะไรได้พรุ่งนี้เช้าโดยไม่ต้องซื้อเครื่องมือใหม่
- ปิดเอไอที่เปิดทั้งบริษัทโดยไม่มีรายชื่อผู้ใช้
- เอาคีย์ออกจากไฟล์
.envที่เอไออ่านได้ - ถ้าเอไอช่วยลงแพ็กเกจได้ ให้เหลือเฉพาะทะเบียนภายใน
- คู่กับข่าวเอไอที่ลงของจากเอกสารเว็บ ดู /blog/llms-txt-agent-supply-chain และถ้าให้เอไอคลิกเว็บแทน ดู /blog/claude-in-chrome-ga
Recap
ทีมแดงของ NVIDIA ไม่ได้บอกให้เลิกใช้เอไอ แต่บอกให้ย้ายที่กั้นออกจากประโยคในพรอมต์ ไปที่สิทธิ์ผู้ใช้ กล่องรันคำสั่ง เน็ตขาออก และคลังความลับ ที่โมเดลพูดอย่างไรมันก็แก้มไม่ได้ ถ้าวางสี่อย่างนี้ก่อน งานที่เอไอทำแทนคนถึงจะเริ่มคุยเรื่องผลิตภาพได้อย่างมีสติครับ