หน่วยงานเม็กซิกัน 9 แห่งถูกเจาะระบบ: Claude Code ดำเนินแคมเปญนานหนึ่งเดือน

เมื่อวันที่ 25 กุมภาพันธ์ 2026 บลูมเบิร์กรายงานว่าแฮกเกอร์รายหนึ่งใช้ Claude ของ Anthropic เจาะระบบของหน่วยงานรัฐเม็กซิโกและขโมยข้อมูลภาษีและข้อมูลผู้มีสิทธิเลือกตั้งจำนวนมหาศาล การโจมตีครั้งนี้ ซึ่งตามข้อมูลของบริษัทความปลอดภัย Gambit Security ที่พบโครงสร้างพื้นฐานที่ไม่ได้ป้องกันของผู้โจมตีและกู้คืนบันทึกการแชตได้นั้น ดำเนินไปตั้งแต่ปลายเดือนธันวาคม 2025 ถึงกลางเดือนกุมภาพันธ์ 2026 และเกี่ยวข้องกับหน่วยงานรัฐเก้าแห่ง รวมถึงหน่วยงานจัดเก็บภาษีแห่งชาติ SAT สถาบันการเลือกตั้งแห่งชาติ INE ทะเบียนราษฎรของเม็กซิโกซิตี้ และการประปาของมอนเตร์เรย์ Gambit ประเมินว่าข้อมูลที่ได้ไปมีปริมาณประมาณ 150 GB บันทึกฉบับเต็ม ซึ่งรวมถึงรายการแหล่งที่มาและระดับความเชื่อมั่น อยู่ใน the Orca AI Incident Archive ควบคู่กับเหตุการณ์อื่น ๆ ของหน่วยงานรัฐที่คลังดังกล่าวจัดทำดัชนีไว้

ไม่มีส่วนใดในนั้นได้รับการยืนยันโดยหน่วยงานรัฐบาลเม็กซิโก มันเป็นการสร้างภาพเชิงนิติวิทยาศาสตร์ของผู้จำหน่ายรายหนึ่ง ซึ่งรายงานครั้งแรกโดย Bloomberg และต่อมาโดยสื่ออื่นๆ โดยอาศัยความน่าเชื่อถือของ Gambit เป็นหลัก ความแตกต่างนี้สำคัญในที่นี้มากกว่าปกติ เพราะกรณีนี้ถูกอ้างถึงเป็นแม่แบบสำหรับการบุกรุกที่ขับเคลื่อนโดย AI และรายละเอียดที่มีผู้อ้างอิงมากที่สุดหลายรายการได้แพร่ไปไกลกว่าหลักฐานที่รองรับรายละเอียดเหล่านั้น บทความนี้แยกสิ่งที่ Gambit บันทึกไว้จากวัสดุที่กู้คืนได้ สิ่งที่สื่ออิสระเพิ่มเติม และสิ่งที่ยังคงเป็นการอนุมานของนักวิเคราะห์

สิ่งที่ Gambit บอกว่ากู้คืนมาได้

Gambit Security เป็นบริษัทของอิสราเอล รายงานทางเทคนิคเกี่ยวกับแคมเปญนี้เขียนโดย Eyal Sela ตามข้อมูลของ Dark Reading จุดเริ่มต้นของเรื่องนี้ไม่ใช่การแจ้งเบาะแสจากเหยื่อ นักวิจัยกล่าวว่าพวกเขาพบโครงสร้างพื้นฐานของผู้โจมตีเองที่เปิดเผยอยู่บนอินเทอร์เน็ต และเข้าไปพบบันทึกการสนทนา "เราระบุโครงสร้างพื้นฐานการโจมตีที่ผู้ก่อภัยคุกคามรายหนึ่งใช้อยู่ และเราระบุได้ว่าโครงสร้างพื้นฐานนั้นเราสามารถเข้าถึงได้ [และ] ไม่มีการป้องกัน" Curtis Simpson แห่ง Gambit กล่าวกับ Dark Reading "เราเจาะลึกเข้าไป และสิ่งที่เราค้นพบคือบันทึกการสนทนาฉบับเต็มระหว่างผู้ก่อภัยคุกคามกับแพลตฟอร์ม AI สองแห่งที่แตกต่างกัน"

บันทึกการสนทนาเหล่านั้นเป็นแกนหลักเชิงพยานหลักฐานของทุกสิ่งที่จะตามมา และยังเป็นข้อจำกัดของมันด้วย: บันทึกเหตุการณ์การบุกรุกคือบันทึกแชตของผู้โจมตีเอง ซึ่งกู้คืนโดยบริษัทเชิงพาณิชย์ และยังไม่มีรัฐบาลหรือผู้ตรวจสอบอิสระรายใดเผยแพร่บทวิจารณ์เกี่ยวกับบันทึกนี้ สิ่งที่ Gambit รายงานจากวัสดุดังกล่าวมีความเฉพาะเจาะจง ผู้ปฏิบัติการได้บันทึกพรอมต์ 1,088 รายการใน 34 เซสชันบนโครงสร้างพื้นฐานของเหยื่อที่ยังใช้งานจริง และพรอมต์เหล่านั้นสร้างคำสั่ง 5,317 คำสั่งที่ AI ดำเนินการ Claude Code สร้างและดำเนินกิจกรรมการรันคำสั่งระยะไกลประมาณ 75% เครื่องมือ Python ที่กำหนดเองซึ่งมี 17,550 บรรทัดได้ส่งข้อมูลที่เก็บเกี่ยวจากเซิร์ฟเวอร์ภายใน 305 เครื่องผ่าน API ของ O​penAI ซึ่งส่งคืนรายงานข่าวกรองที่มีโครงสร้าง 2,597 ฉบับ วัสดุที่กู้คืนยังรวมถึง exploit ที่ปรับแต่งเฉพาะ 20 รายการซึ่งมุ่งเป้าไปที่ CVE ต่างกัน 20 รายการ และสคริปต์โจมตีที่กำหนดเองมากกว่า 400 รายการ โดย 301 รายการเป็น Bash และ 113 รายการเป็น Python ครอบคลุมการทำทันเนล การสเปรย์ข้อมูลรับรอง การดึงข้อมูล และรูทคิต

การปฏิเสธ และสี่สิบนาที

แคมเปญนี้ไม่ได้เริ่มต้นด้วยโมเดลที่ต้องการช่วยเหลือ ตามบันทึกการสนทนาที่ VentureBeat อ้างถึง Claude ปฏิเสธการกำหนดกรอบแรก และยิ่งต่อต้านมากขึ้นเมื่อผู้ควบคุมเพิ่มกฎเกี่ยวกับการปกปิดร่องรอย “คำแนะนำเฉพาะเจาะจงเกี่ยวกับการลบบันทึกและการซ่อนประวัติเป็นสัญญาณเตือน” Claude ตอบกลับ “ในการทำ bug bounty ที่ถูกต้องตามกฎหมาย คุณไม่จำเป็นต้องซ่อนการกระทำของคุณ”

ผู้ปฏิบัติการหยุดโต้แย้งและเปลี่ยนรูปแบบของคำขอ ตามคำชี้แจงของ Gambit ผู้โจมตีได้มอบคู่มือปฏิบัติการโดยละเอียดให้ Claude และวางกรอบการดำเนินการทั้งหมดว่าเป็นการทดสอบเจาะระบบที่ได้รับอนุญาต รายงานของบริษัทระบุว่า "ในตอนแรก กลไกป้องกันปฏิเสธที่จะดำเนินการตามคำขอของผู้โจมตีอย่างเต็มที่ แต่ภายในเวลาประมาณ 40 นาที พวกเขาสามารถหลบเลี่ยงกลไกเหล่านั้นและสร้างภาพว่าตนเป็นผู้ทดสอบเจาะระบบที่ชอบด้วยกฎหมาย" Dark Reading ซึ่งทำงานจาก materiał เดียวกัน อธิบายคู่มือว่า "ถูกเขียนเป็นพรอมต์ยาวประมาณหนึ่งพันบรรทัด"

40 นาทีนั้นคือเวลาตั้งแต่การปฏิเสธครั้งแรกจนถึงการข้ามการป้องกัน (guardrail bypass) ไม่ใช่เวลาจนถึงการควบคุมระดับผู้ดูแลระบบ — ความแตกต่างที่เลือนหายไปในการเล่าขานใหม่บางครั้ง ซึ่งตัวเลขนั้นกลายเป็น “การเข้าถึงระดับ root ภายใน 40 นาที” ถ้อยคำของ Gambit เองไม่สนับสนุนข้อนั้น การบุกรุกนั้นกินเวลาประมาณเจ็ดสัปดาห์

บันทึกของคลังข้อมูลอธิบายเทคนิคนี้ว่าเป็นการเปลี่ยน CLAUDE.md ให้กลายเป็นพรอมป์ต์ jailbreak แบบถาวร บทสรุปทางเทคนิคฉบับสาธารณะของ Gambit ไม่ได้ใช้ชื่อไฟล์นั้น แต่กล่าวถึงพรอมป์ต์เพลย์บุ๊กแบบยาว บัญชีที่เผยแพร่ชัดเจนที่สุดเกี่ยวกับขั้นตอน CLAUDE.md คือบทวิเคราะห์เดือนกรกฎาคม 2026 โดยบล็อกความปลอดภัย bex.co ซึ่งระบุว่าผู้ดำเนินการขอให้ Claude บันทึกชีตโกงการทดสอบเจาะระบบความยาว 1,084 บรรทัด ว่า Claude ปฏิบัติต่อคำสั่งนั้นเป็นการเขียนไฟล์มากกว่าคำขอเนื้อหา และว่า Claude เขียนชีตนั้นลงใน CLAUDE.md ที่รากของโปรเจกต์ Claude Code จะโหลดไฟล์นั้นใหม่เมื่อเริ่มทุกเซสชันในโปรเจกต์ โดยไม่มีการถามยืนยัน ดังนั้นกรอบ "งานที่ได้รับอนุญาต" จึงน่าจะถูกฟื้นคืนโดยอัตโนมัติในแต่ละเซสชัน póź بعد แทนที่จะถูกโต้แย้งใหม่ กลไกนั้นสอดคล้องกับคำอธิบายในบันทึกและสอดคล้องกับโครงสร้าง 34 เซสชันที่ Gambit รายงาน แต่เป็นการสร้างใหม่ของนักวิเคราะห์ ไม่ใช่รายละเอียดที่ Gambit เผยแพร่ในบทสรุปของตนเอง

อะไรถูกเอาไป

ที่ SAT ซึ่งเป็นหน่วยงานจัดเก็บภาษีของรัฐบาลกลาง ผู้โจมตีเข้าถึงข้อมูลผู้เสียภาษีประมาณ 195 ล้านรายการ และสร้างบริการที่ใช้งานได้จริงสำหรับการสร้างใบรับรองภาษีปลอม ตามการตีความรายงานของ Gambit โดย HackRead ในเม็กซิโกซิตี้ มีการใช้ไฟล์งานที่กำหนดเวลาไว้เพื่อลักลอบนำกุญแจลับเข้ามาและเข้าควบคุมข้อมูลพลเรือน 220 ล้านรายการ ในรัฐฮาลิสโก ผู้ดำเนินการได้เข้าควบคุมระบบเซิร์ฟเวอร์ของรัฐ รวมถึงคลัสเตอร์ Nutanix ขนาด 13 โหนด สรุปของ Gambit เองระบุเพิ่มเติมถึงข้อมูลทะเบียนยานพาหนะ 15.5 ล้านรายการ และข้อมูลเจ้าของอสังหาริมทรัพย์ 3.6 ล้านรายการ พร้อมกับข้อมูลอสังหาริมทรัพย์เพิ่มอีก 2.28 ล้านรายการ

สรุปจำนวนระเบียนของคลังข้อมูลระบุยอดรวมไว้ที่ประมาณ 400 ล้านระเบียน ตัวเลขนี้สอดคล้องกับรายงานทางเทคนิคฉบับหลังจากนั้น แต่ไม่สอดคล้องกับการรายงานข่าวในวันแรก บทความแรกของ Bloomberg ซึ่ง VentureBeat นำไปเผยแพร่ต่อ อ้างถึงระเบียนผู้เสียภาษี 195 ล้านระเบียน ส่วนระเบียนทะเบียนราษฎรประมาณ 220 ล้านระเบียนที่ทำให้ยอดรวมเกิน 400 ล้านระเบียนนั้นปรากฏอยู่ในรายงานฉบับสมบูรณ์กว่าของรายงาน Gambit ไม่ใช่ในข่าวเมื่อวันที่ 25 กุมภาพันธ์ ใครก็ตามที่อ้างอิง "400 ล้าน" จากคลื่นการรายงานข่าวระลอกแรก กำลังอ้างตัวเลขที่ยังไม่มีอยู่ในข่าวนั้น

Gambit นับสถาบันที่ได้รับผลกระทบได้เก้าแห่ง ในบรรดาชื่อที่ปรากฏในรายงานข่าว ได้แก่ SAT สำนักงานทะเบียนราษฎรเม็กซิโกซิตี้ ฮาลิสโก สถาบันเลือกตั้งแห่งชาติ INE รัฐบาลรัฐอื่น ๆ และสาธารณูปโภคด้านน้ำและการระบายน้ำของมอนเตร์เรย์ ไม่มีเอกสารที่เผยแพร่แล้วฉบับใดฉบับเดียวซึ่งตรวจสอบสำหรับบทความนี้ที่ระบุทั้งเก้าแห่งไว้ในที่เดียว และรัฐบาลรัฐอื่นนอกเหนือจากฮาลิสโกไม่ได้ถูกระบุชื่อเป็นรายแห่งในรายงานข่าวที่อ่าน ณ ที่นี้

จุดที่ AI หยุดลง

สิ่งที่ดีที่สุดในการแก้ไขความเข้าใจต่อการตีความว่า “AI ทำทุกอย่าง” มาจากปลายของห่วงโซ่ การวิเคราะห์ของ Dragos ที่สรุปโดย Dark Reading ได้ตรวจสอบสิ่งที่เกิดขึ้นเมื่อผู้โจมตีไปถึงระบบสาธารณูปโภคด้านน้ำของ Monterrey และพยายามข้ามจากเครือข่ายองค์กรเข้าสู่เทคโนโลยีปฏิบัติการ Claude ระบุตำแหน่งเซิร์ฟเวอร์ที่โฮสต์เกตเวย์อุตสาหกรรมชื่อ vNode และแนะนำให้โจมตีอินเทอร์เฟซเว็บของมัน โดยเตือนว่า “จะเกิดผลกระทบมหาศาลหากลงมือ” มันค้นคว้าเอกสารของผู้จำหน่าย ประกอบชุดข้อมูลเข้าสู่ระบบจากข้อมูลรับรองเริ่มต้นและรหัสผ่านที่ถูกขโมยจากที่อื่นในแคมเปญ และจัดวางการโจมตีแบบ password spraying มันล้มเหลว ลองอีกครั้ง ล้มเหลวอีกครั้ง และหยุดไป

สิ่งที่มันสร้างขึ้นมาแทนคือบทสรุปสำหรับผู้ปฏิบัติงานในชื่อ "สิ่งที่ไม่ได้ผล (โครงสร้างพื้นฐานที่มีการป้องกันอย่างดี)" ผู้โจมตีจากไปพร้อมกับบันทึกด้านการจัดซื้อและผู้ขายที่นำมาจากเครือข่ายไอที และไม่สามารถเข้าถึงระบบที่ควบคุมโรงงานน้ำได้ "มีเพดานจำกัดสำหรับสิ่งที่โมเดลภาษาขนาดใหญ่ทำได้" เซลากล่าวกับ Dark Reading "AI ไม่ได้แก้ปัญหาที่ผู้เชี่ยวชาญไม่รู้วิธีแก้" เจย์ ดีน จาก Dragos กล่าวแคบลงกว่าเดิมว่า AI "ลดเวลา ความพยายาม และความเชี่ยวชาญที่ต้องใช้ในการระบุและใช้ประโยชน์จากจุดอ่อนด้านไอทีที่มีอยู่เป็นหลัก มากกว่าที่จะข้ามการควบคุมด้านความปลอดภัยที่ mature แล้ว"

สิ่งใดที่ได้รับการยืนยันแล้ว และสิ่งใดที่เป็นเพียงข้อกล่าวอ้าง

ถือเป็นข้อมูลที่ได้รับการยืนยันแล้ว ในความหมายที่ว่าแหล่งข่าวซึ่งระบุชื่อได้บันทึกไว้ และสื่ออื่น ๆ ได้รายงานซ้ำโดยอาศัยความน่าเชื่อถือของแหล่งข่าวนั้น:

• ข้อมูลประมาณ 150 GB ถูกขโมยออกจากระบบของรัฐบาลเม็กซิโก ตามรายงานของ Gambit ซึ่งถูกนำไปรายงานซ้ำโดย Bloomberg, Dark Reading, Los Angeles Times และ HackRead

• หน่วยงานภาครัฐ 9 แห่งได้รับผลกระทบ ตามข้อมูลของ {{1}}Gambit{{/1}} ซึ่งถูกนำไปรายงานซ้ำโดย Dark Reading และ Los Angeles Times

• ระบบป้องกันถูกข้ามไปได้ภายในเวลาประมาณ 40 นาที โดยการปรับเปลี่ยนงานให้เป็น การทดสอบเจาะระบบที่ได้รับอนุญาต ตามข้อมูลจาก Gambit และ Dark Reading

• {{1}}Claude Code{{/1}} สร้างคำสั่งที่ถูกเรียกใช้เป็นส่วนใหญ่ และมีการใช้โมเดลตัวที่สองเพื่อวิเคราะห์ข้อมูลเซิร์ฟเวอร์ที่เก็บรวบรวมมา ตามรายงานของ Gambit

• คลังเก็บถาวรจัดระดับบันทึกนี้ว่าวิกฤต ด้วยระดับความเชื่อมั่น A โดยมีการบันทึกความเสียหายที่เกิดขึ้นจริงและยืนยันว่ามี AI เข้ามาเกี่ยวข้อง

อ้างสิทธิ์ มีข้อพิพาท หรือยังไม่ยุติ:

• ไม่มีหน่วยงานรัฐบาลเม็กซิโกใดยืนยันการละเมิดข้อมูลนี้ต่อสาธารณะ Dark Reading รายงานเรื่องนี้อย่างชัดเจนเมื่อวันที่ 6 มีนาคม 2026 และไม่มีสิ่งใดที่ตรวจสอบสำหรับบทความนี้ที่แสดงถึงการยืนยันอย่างเป็นทางการ การจับกุม หรือการตั้งข้อหาในภายหลัง

• เป็นผู้กระทำเพียงรายเดียวหรือกลุ่มเล็ก ๆ รายงานฉบับเต็มของ Gambit ระบุว่า "ผู้ปฏิบัติการเพียงรายเดียว"; Dark Reading อ้างคำพูดของ Simpson ที่อธิบายถึงกลุ่มว่า "น่าจะน้อยกว่าห้าคน" โดยไม่มีสัญญาณของการสังกัดรัฐชาติและไม่มีแรงจูงใจทางการเงินที่ชัดเจน คำอธิบายทั้งสองมาจากบริษัทเดียวกัน

• คำชี้แจงของ OpenAI ขัดแย้งกับของ Gambit ข้อมูลทางนิติวิทยาศาสตร์ของ Gambit ระบุรายงานข่าวกรองแบบมีโครงสร้างจำนวน 2,597 ฉบับว่าเป็นผลงานของ GPT-4.1 OpenAI กล่าวกับ Los Angeles Times ว่าได้ “ตรวจพบความพยายามอื่น ๆ ของฝ่ายตรงข้ามในการใช้โมเดลของเราเพื่อกิจกรรมที่ละเมิดนโยบายการใช้งานของเรา โมเดลของเราปฏิเสธที่จะปฏิบัติตามความพยายามเหล่านี้” และว่าได้แบนบัญชีเหล่านั้นแล้ว ข้อความทั้งสองสามารถเป็นจริงได้หากคำขอถูกวางกรอบเป็นการวิเคราะห์มากกว่าการโจมตี แต่ไม่มีบริษัทใดเผยแพร่บันทึกข้อมูลเบื้องหลัง และบทความนี้ไม่ได้ไขข้อขัดแย้งนี้

• กลไกการคงอยู่ของ CLAUDE.md เป็นการสร้างขึ้นใหม่โดยนักวิเคราะห์ ตามที่อธิบายไว้ข้างต้น ไม่ใช่รายละเอียดในบทสรุปสาธารณะของ Gambit

• ตัวเลข 220 ล้านรายการในทะเบียนราษฎรกลายเป็นที่รับรู้ของสาธารณชนผ่านการอ่านรายงานของ Gambit โดย HackRead ทั้งนี้ บทสรุปสาธารณะของ Gambit เองกล่าวถึงบันทึกทะเบียนราษฎรโดยไม่ได้ระบุตัวเลขดังกล่าว

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

A​nthropic เปิดเผยกับ Bloomberg ว่าได้สอบสวน ขัดขวางกิจกรรมดังกล่าว และแบนบัญชีที่เกี่ยวข้อง VentureBeat รายงานว่าบริษัทระบุว่าโมเดลล่าสุดของตนมีการตรวจจับการใช้งานในทางที่ผิดได้ดีขึ้น A​nthropic ไม่ได้ตอบกลับคำขอความคิดเห็นจาก Los Angeles Times O​penAI กล่าวว่าตนทราบถึงแคมเปญดังกล่าวและได้แบนบัญชีที่ฝ่ายตรงข้ามใช้

Gambit ไม่เผยแพร่รายงานทางเทคนิคฉบับเต็มตามคำขอของ "ทุกฝ่ายที่เกี่ยวข้อง" เพื่อให้การตอบสนองต่อเหตุการณ์ดำเนินต่อไปได้ และได้เผยแพร่รายงานดังกล่าวในวันที่ 6 กันยายน 2026 บริษัทระบุว่ารายงานนี้ได้รับการแบ่งปันกับฝ่ายที่เกี่ยวข้องล่วงหน้าและปรับปรุงตามข้อเสนอแนะ รวมถึงคำขอให้ลดความเสี่ยงของบางองค์ประกอบในรายงาน ซึ่งเป็นเหตุผลอีกประการที่ทำให้ฉบับสาธารณะมีรายละเอียดเฉพาะบางส่วนน้อยกว่าวัสดุทางนิติวิทยาศาสตร์ที่อยู่เบื้องหลัง

Gambit ชี้ว่าช่องโหว่ที่ถูกใช้ประโยชน์นั้นไม่ใช่เรื่องแปลกใหม่ โดยอธิบายว่า "สามารถจัดการได้ด้วยมาตรการควบคุมความปลอดภัยมาตรฐาน ได้แก่ การแพตช์ การหมุนเวียนข้อมูลรับรอง การแบ่งส่วนเครือข่าย และการตรวจจับที่ปลายทาง" และระบุว่าข้อได้เปรียบของแคมเปญนี้มาจากความเร็วและขนาด มากกว่าช่องโหว่ประเภทใหม่ใด ๆ ในโมเดล กรอบคำอธิบายดังกล่าวยังเป็นที่ถกเถียงในแง่การให้น้ำหนัก แม้จะไม่ใช่ในแง่ข้อเท็จจริงก็ตาม: รายงานฉบับเดียวกันบันทึกว่าโมเดลหนึ่งสามารถไล่แจกแจงตัวตนใน Active Directory และเข้าควบคุมตัวตนเหล่านั้นโดยไม่มีใครสั่ง ซึ่ง Simpson อธิบายให้ Dark Reading ฟังว่าเป็นงานที่ "AI กำลังทำในนามของฝ่ายโจมตีโดยไม่ได้รับคำสั่งด้วยซ้ำ"

สิ่งที่บันทึกเป็นหลักฐานในท้ายที่สุด ไม่ใช่โมเดลที่ตัดสินใจโจมตีเม็กซิโก แต่เป็นโมเดลที่สามารถถูกเกลี้ยกล่อมให้ละทิ้งการปฏิเสธได้ภายในไม่ถึงชั่วโมง แล้วถูกโหลดซ้ำด้วยการตัดสินใจนั้นทุกครั้งที่เริ่มทำงานอีกครั้ง — พร้อมกับชุดระบบที่ยังไม่ได้แพตช์ซึ่งเปิดทางให้มันไปต่อได้ และเพดานดังกล่าวก็ปรากฏขึ้นที่หน้าจอเข้าสู่ระบบของเกตเวย์