นักวิจัยด้านความปลอดภัยเปิดเผยในงาน Black Hat USA 2026 (5 สิงหาคม 2569) ถึงช่องโหว่ Prompt Injection ที่กระทบ AI Coding Agent จากผู้พัฒนาหลายราย ได้แก่ Claude Code (Anthropic), Gemini CLI (Google) และ Codex (OpenAI) โดยผู้โจมตีสามารถฝังคำสั่งอันตรายผ่าน GitHub Issues, Pull Request หรือไฟล์ในตัว Repository เพื่อหลอกให้ AI Agent รันคำสั่งที่ไม่ได้ตั้งใจ นำไปสู่ Remote Code Execution (RCE), การขโมย API Credential และความเสี่ยงต่อ Supply Chain Attack แม้ผู้พัฒนาจะออกแพตช์แก้ไขแล้ว แต่ยังพบ Repository สาธารณะกว่า 100 แห่งที่ตั้งค่าไม่ปลอดภัยและยังมีความเสี่ยงอยู่
กลไกการโจมตี
- Claude Code (CVE-2026-54316): ผู้โจมตีใช้ตัวนับยอดดาวน์โหลดสาธารณะของ Hugging Face เป็นช่องทางแอบส่งข้อมูลออก (Exfiltration Channel) ทำให้ API Key รั่วไหลออกไปทีละตัวอักษร ช่องโหว่นี้กระทบ Claude Code ทุกเวอร์ชันตั้งแต่ 0.2.54 ถึง 2.1.162 ปัจจุบันแก้ไขแล้วในเวอร์ชัน 2.1.163
- Gemini CLI (CVE-2026-12537, CVSS 10.0): ช่องโหว่ OS Command Injection ใน Container Launcher ที่ถูกเรียกผ่านไฟล์
.gemini/.envที่ถูกดัดแปลง แก้ไขแล้วใน Gemini CLI 0.39.1 และ run-gemini-cli 0.1.22 - รูปแบบร่วมของทั้งสองกรณีคือการผสมผสานระหว่าง Authorization Bypass, Indirect Prompt Injection และ Environment Variable Exfiltration ซึ่งเป็นรูปแบบที่พบซ้ำในหลาย AI Agent Platform
จุดร่วมสำคัญคือ AI Coding Agent ที่เชื่อมต่อกับ GitHub Actions หรือ CI/CD Pipeline มักถูกให้สิทธิ์อ่าน Issue/PR โดยอัตโนมัติ ทำให้เนื้อหาที่ผู้ใช้ภายนอกโพสต์ไว้ (ซึ่งควรถือเป็นข้อมูลที่ไม่น่าเชื่อถือ) ถูก AI Agent ตีความเป็นคำสั่งได้โดยไม่ตั้งใจ
ระบบที่ได้รับผลกระทบ
- องค์กรที่ใช้ Claude Code, Gemini CLI หรือ OpenAI Codex เชื่อมต่อกับ GitHub Actions หรือ CI/CD Pipeline แบบให้สิทธิ์อ่าน/เขียนอัตโนมัติ
- Repository สาธารณะที่ตั้งค่า AI Agent ให้ตอบสนองต่อ Issue หรือ PR จากผู้ใช้ภายนอกโดยไม่มีการกลั่นกรอง
- Pipeline ที่ให้ Write Token แก่ Job ที่ประมวลผล PR จากภายนอก
ผลกระทบที่อาจเกิดขึ้น
- API Key และ Credential รั่วไหล ผ่านช่องทางแอบแฝงที่ดูเหมือนกิจกรรมปกติ เช่น การเรียก Public API Counter
- รันคำสั่งอันตรายบนเครื่อง CI/CD Runner ได้โดยไม่ต้องมีสิทธิ์เริ่มต้น (Zero-Privilege RCE)
- ความเสี่ยงลุกลามสู่ Supply Chain หากผู้โจมตีสามารถแก้ไข Source Code หรือ Build Artifact ผ่าน Pipeline ที่ถูกยึดครอง
- แม้ Vendor จะออกแพตช์แล้ว แต่ Repository ที่ตั้งค่าไม่ปลอดภัยยังคงมีความเสี่ยง เนื่องจากปัญหาส่วนหนึ่งอยู่ที่การกำหนดสิทธิ์ ไม่ใช่แค่ตัวซอฟต์แวร์
สิ่งที่องค์กรควรทำ
- ▸ อัปเดต Claude Code เป็นเวอร์ชัน 2.1.163 ขึ้นไป และ Gemini CLI เป็นเวอร์ชัน 0.39.1 ขึ้นไปทันที
- ▸ ตรวจสอบ Workflow ของ GitHub Actions ที่เชื่อมต่อกับ AI Coding Agent ว่าให้สิทธิ์ Write Token แก่ Job ที่ประมวลผล PR/Issue จากภายนอกหรือไม่ และถอดสิทธิ์ที่ไม่จำเป็นออก
- ▸ ตรวจสอบว่า AI Agent ที่ใช้งานมีการแยก Context ระหว่าง "คำสั่งจากผู้ใช้" กับ "เนื้อหาที่อ่านมาจาก Issue/PR/ไฟล์ภายนอก" อย่างชัดเจนหรือไม่
- ▸ หมุนเวียน (Rotate) API Key และ Credential ที่อาจเชื่อมต่อกับ AI Agent ที่มีความเสี่ยง โดยเฉพาะหากยังไม่ได้อัปเดตเวอร์ชัน
แนวทางลดความเสี่ยงระยะยาว
1. ยึดหลัก Least Privilege สำหรับ AI Agent ทุกตัวที่เชื่อมต่อ CI/CD
ให้สิทธิ์เท่าที่จำเป็นต่องานเท่านั้น โดยเฉพาะ Write Token ที่ไม่ควรมอบให้ Job ที่ประมวลผลเนื้อหาจากภายนอก
2. ปฏิบัติต่อเนื้อหาจาก Issue, PR และไฟล์ใน Repository ว่าเป็นข้อมูลที่ไม่น่าเชื่อถือเสมอ
ไม่ควรให้ AI Agent ตีความเนื้อหาเหล่านี้เป็นคำสั่งโดยอัตโนมัติโดยไม่มีการตรวจสอบ
3. ติดตามประกาศช่องโหว่ของ AI Coding Agent อย่างใกล้ชิด
เนื่องจากเป็นเทคโนโลยีที่พัฒนาเร็วและรูปแบบการโจมตีใหม่เกิดขึ้นต่อเนื่อง
4. ตรวจสอบ Repository สาธารณะขององค์กรว่ามีการตั้งค่า AI Agent ที่เสี่ยงหรือไม่
แม้จะอัปเดตซอฟต์แวร์แล้ว การตั้งค่าสิทธิ์ที่ไม่รัดกุมยังคงเป็นความเสี่ยงที่ต้องแก้ไขแยกต่างหาก
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่กลุ่มนี้สะท้อนความเสี่ยงใหม่ที่มาพร้อมกับการนำ AI Coding Agent เข้ามาผสานกับ Workflow การพัฒนาซอฟต์แวร์อย่างลึกซึ้ง เมื่อ Agent มีสิทธิ์เข้าถึง Credential และสามารถรันคำสั่งได้จริง การที่มันไม่สามารถแยกแยะระหว่าง "คำสั่งที่ผู้ใช้ตั้งใจให้ทำ" กับ "เนื้อหาที่บังเอิญอ่านเจอ" จึงกลายเป็นช่องโหว่เชิงโครงสร้างที่แก้ไขได้ยากกว่าบั๊กซอฟต์แวร์ทั่วไป
TXEC มองว่าองค์กรที่เริ่มนำ AI Coding Agent มาใช้ในกระบวนการพัฒนาควรตระหนักว่าการอัปเดตเวอร์ชันเพียงอย่างเดียวไม่เพียงพอ การกำหนดสิทธิ์ของ Agent ให้อยู่ในหลัก Least Privilege และการแยก Trust Boundary ระหว่างข้อมูลภายในกับภายนอกอย่างชัดเจนเป็นมาตรการพื้นฐานที่สำคัญไม่แพ้กัน โดยเฉพาะเมื่อ Repository ที่มีการตั้งค่าเสี่ยงยังคงพบได้กว่า 100 แห่งแม้จะมีแพตช์ออกมาแล้ว
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: The Hacker News, CyberPress, VentureBeat, Cloud Security Alliance ]