พบช่องโหว่ใน ChatGPT Atlas ทำให้ Hacker สามารถรันคำสั่งได้!

เบราว์เซอร์ ChatGPT Atlas ถูกเปิดเผยว่ามีความเสี่ยงต่อ prompt injection รูปแบบใหม่ โดยผู้โจมตีสามารถปลอมคำสั่งให้ “ดูเหมือน URL” แล้วหลอกให้ผู้ใช้วางในช่อง omnibox ซึ่งใส่ได้ทั้ง “ที่อยู่เว็บ” และ “คำสั่งภาษามนุษย์” หากสตริงดังกล่าวไม่ผ่านการตรวจสอบรูปแบบ URL เบราว์เซอร์จะถือว่าเป็นคำสั่งที่มีความเชื่อถือสูงเทียบเท่าความตั้งใจของผู้ใช้ และดำเนินการตามนั้นทันที ไม่ว่าจะเป็นการเปลี่ยนเส้นทางไปยังเว็บไซต์ที่ผู้โจมตีควบคุม หรือสั่งรันเครื่องมือที่เชื่อมกับบัญชีของผู้ใช้

 

เทคนิคนี้อาศัยข้อความที่เริ่มต้นด้วย “https” และมีชื่อโดเมนเลียนแบบ จากนั้นฝังคำสั่งภาษามนุษย์ต่อท้าย เช่น การให้ “ไปยังเว็บไซต์ที่ผู้โจมตีควบคุม” หรือคำสั่งให้ดำเนินการกับเครื่องมือภายนอก ผลลัพธ์คือ agent จะตีความเป็น “เจตนาของผู้ใช้” แล้วปฏิบัติตาม แม้จะไม่ได้เป็น URL จริงก็ตาม ในสถานการณ์จริง ข้อความดังกล่าวอาจถูกซ่อนไว้หลังปุ่ม “Copy link” บนหน้าเว็บหรือในเอกสาร เพื่อชักนำให้เหยื่อคัดลอกไปวางใน Atlas

 

 

---

 

เมื่อขอบเขตระหว่าง “ข้อความที่เชื่อถือได้” กับ “ข้อความที่ไม่เชื่อถือได้” นั้นใกล้กันราวกับปลายเส้นผม

ปัญหานี้สะท้อนโจทย์ใหญ่ของ agentic browser ที่เมื่ออินพุตจากผู้ใช้ที่เบราว์เซอร์เชื่อถือมากกว่า content บนเว็บเพจอาจผ่านการตรวจน้อยกว่า ทำให้ผู้โจมตีสามารถยกระดับคำสั่งที่ซ่อนอยู่ให้ข้าม filter ของ AI ได้ นอกจากนี้ยังมีความเสี่ยงเสริมจากการปลอม  Sidebar  ด้วยส่วนขยายเบราว์เซอร์หรือโค้ดบนหน้าเว็บ เพื่อดักรับ prompt และตอบกลับด้วยคำสั่งอันตราย เปิดทางไปสู่การขโมยข้อมูล การติดตั้ง backdoor หรือการชี้นำผู้ใช้ไปยังเว็บไซต์ฟิชชิงอย่างแนบเนียน

 

---

 

Prompt Injection เกมไล่จับที่ยังไร้คำตอบสุดท้าย

ผู้เชี่ยวชาญชี้ตรงกันว่า prompt injection คือปัญหาอย่างใหญ่หลวงของอุตสาหกรรม AI ที่ผู้ไม่หวังดีสามารถฝังคำสั่งด้วยวิธีพรางรูปแบบ เช่น ตัวอักษรสีเดียวกับพื้นหลัง คอมเมนต์ HTML/CSS หรือแม้แต่การซ่อนข้อความในภาพให้ระบบ OCR อ่านได้ เบราว์เซอร์ที่มี agent ในตัว เช่น Perplexity Comet หรือ Opera Neon ก็ถูกพิสูจน์ว่ามีความเสี่ยงแบบนี้เช่นกัน แม้ผู้พัฒนาจะมีการให้ reward กับ Model เมื่อเพิกเฉยคำสั่งอันตราย และเพิ่ม guard rail ต่าง ๆ แต่ปัญหานี้ยังไม่ถูกแก้ได้อย่างสิ้นเชิง

 

การใช้งาน AI Browser ในองค์กรควรยึดหลัก identity-first และ least privilege ควบคู่ไปกับ Zero Trust สำหรับทุก tool/connector ที่เข้าถึงได้ รวมทั้งการกำหนดนโยบายรับอินพุตอย่างเข้มงวด (URL validation, การบังคับให้ยืนยันก่อนเรียกใช้คำสั่ง, การจำกัดวง OAuth ให้แคบที่สุด, out-of-band verification เมื่อมีคำสั่งเสี่ยง) และเปิดใช้ behavioral analytics บน Endpoint Protection เพื่อหยุดการรันโค้ดหรือการเคลื่อนไหวข้อมูลที่ผิดปกติให้เร็วที่สุด

 

---

 

Reference

Lakshmanan, R. (2025, October 27). ChatGPT Atlas browser can be tricked by fake URLs into executing hidden commands. The Hacker News. https://thehackernews.com/2025/10/chatgpt-atlas-browser-can-be-tricked-by.html