ClawJacked: เว็บไซต์ใดก็ตามสามารถ brute-force เอเจนต์ OpenClaw ที่อยู่ในเครื่องได้

ClawJacked ซึ่งเป็นช่องโหว่ที่ Oasis Security เปิดเผยในเอเจนต์ AI โอเพนซอร์ส OpenClaw เมื่อวันที่ 26 กุมภาพันธ์ 2026 ทำให้เว็บไซต์ใดก็ตามที่นักพัฒนาเข้าชมสามารถเปิดการเชื่อมต่อกับเอเจนต์ที่ทำงานอยู่บนเครื่องของนักพัฒนาเอง และเดารหัสผ่านของมันไปเรื่อย ๆ จนกว่ามันจะยอมมอบการควบคุมให้ โดยไม่จำเป็นต้องคลิก ไม่ต้องมีปลั๊กอิน และไม่ต้องมีพรอมป์ต์ สิ่งที่ได้ไปคือเกตเวย์ที่ประสานงานเอเจนต์ ผู้บุกรุกที่เข้ามาได้จะสามารถสื่อสารกับเอเจนต์โดยตรง ดัมป์การกำหนดค่าของมัน แสดงรายการอุปกรณ์ที่จับคู่ทั้งหมด และอ่านบันทึกของมัน Oasis ผู้จำหน่ายซอฟต์แวร์จัดการการเข้าถึงสำหรับเอเจนต์ได้สาธิตห่วงโซ่การโจมตีตั้งแต่ต้นจนจบในห้องปฏิบัติการของตนเอง และรายงานเรื่องนี้ผ่านช่องทางส่วนตัว และ OpenClaw ได้ออกแพตช์แก้ไขภายในเวลาไม่ถึง 24 ชั่วโมง ไม่มีแหล่งข่าวใดที่อ้างถึงในบทความนี้บันทึกว่าการโจมตีนี้ถูกใช้กับผู้ใช้จริง คลังจัดเก็บเหตุการณ์นี้เป็นเหตุการณ์โครงสร้างพื้นฐานระดับความรุนแรงสูง โดยระบุวันที่ 25 กุมภาพันธ์ 2026 อย่างแม่นยำระดับวัน และไม่มีการบันทึกความเสียหายที่เกิดขึ้นจริง พร้อมกับรายการ OpenClaw อื่น ๆ ที่เหลือของคลังใน Orca AI Incident Archive.

สามค่าเริ่มต้น หนึ่งห่วงโซ่

OpenClaw เป็นเอเจนต์ส่วนบุคคลที่โฮสต์เอง ซึ่งผู้ใช้ควบคุมผ่านแดชบอร์ดเว็บหรือเทอร์มินัล และเชื่อมต่อกับแอปส่งข้อความ ปฏิทิน และเครื่องมือสำหรับนักพัฒนา พร้อมทั้งทำงานภายในแอปเหล่านี้ ศูนย์กลางของมันคือเกตเวย์ ซึ่งเป็นเซิร์ฟเวอร์ WebSocket ภายในเครื่องที่ Oasis อธิบายว่าเป็น "{{1}}สมองของการปฏิบัติการ{{/1}}" โดยเกตเวย์นี้จัดการการยืนยันตัวตน จัดเก็บการกำหนดค่า จัดการเซสชันแชต และส่งคำสั่งไปยังโหนดต่าง ๆ เช่น แอปคู่หูบน macOS หรือ iPhone การยืนยันตัวตนทำได้ด้วยโทเค็นหรือรหัสผ่าน และโดยค่าเริ่มต้น เกตเวย์จะผูกกับ localhost ภายใต้สมมติฐานที่ชัดเจนว่าการเข้าถึงในเครื่องได้รับความไว้วางใจโดยธรรมชาติ (Oasis Security, 26 กุมภาพันธ์ 2026)

ผลที่ตามมาสามประการของสมมติฐานนั้นที่เชื่อมโยงกันเป็นลูกโซ่ ประการแรก เบราว์เซอร์ไม่ได้บังคับใช้กฎข้ามต้นกำเนิดกับการเชื่อมต่อ WebSocket แบบเดียวกับที่ทำกับคำขอ HTTP ทั่วไป ดังนั้น JavaScript บนหน้าเว็บใดก็ตามที่ผู้ใช้เข้าชมสามารถเปิดซ็อกเก็ตไปยังพอร์ตเกตเวย์ภายในเครื่องได้โดยไม่มีสิ่งใดปรากฏบนหน้าจอ ประการที่สอง ตัวจำกัดอัตราของเกตเวย์ยกเว้นการเชื่อมต่อแบบลูปแบ็กโดยสิ้นเชิง ดังนั้นความพยายามใส่รหัสผ่านที่ล้มเหลวจาก 127.0.0.1 จึงไม่ถูกนับ ไม่ถูกจำกัดอัตรา และไม่ถูกบันทึก ประการที่สาม เกตเวย์อนุมัติการจับคู่อุปกรณ์ที่มาจาก localhost โดยอัตโนมัติ ดังนั้นสคริปต์ที่ผ่านการรับรองความถูกต้องสามารถลงทะเบียนตัวเองเป็นอุปกรณ์ที่เชื่อถือได้โดยไม่มีการแจ้งยืนยันซึ่งอุปกรณ์ระยะไกลจะกระตุ้นให้เกิดขึ้น

Oasis วัดอัตราการเดาในห้องแล็บของตนเองและรายงานไว้ในการเปิดเผยว่า: "ในการทดสอบในห้องแล็บของเรา เราทำได้ในอัตราต่อเนื่องที่หลายร้อยการเดารหัสผ่านต่อวินาทีจาก JavaScript ของเบราว์เซอร์เพียงอย่างเดียว ด้วยความเร็วขนาดนั้น รายการรหัสผ่านทั่วไปจะถูกไล่จนหมดภายในไม่ถึงหนึ่งวินาที และพจนานุกรมขนาดใหญ่จะใช้เวลาเพียงไม่กี่นาที รหัสผ่านที่มนุษย์เลือกไม่มีโอกาสเลย" BleepingComputer ซึ่งรายงานข่าวการเปิดเผยนี้เมื่อวันที่ 1 มีนาคม 2026 อธิบายสามขั้นตอนเดียวกันและลำดับเดียวกัน

สิ่งที่ผู้โจมตีได้รับ และสิ่งที่ Oasis แสดงให้เห็นจริง ๆ

เมื่อผ่านการยืนยันตัวตนแล้ว สคริปต์มีเซสชันโอเปอเรเตอร์ที่มีสิทธิ์ระดับผู้ดูแลระบบ {{1}}Oasis{{/1}} ระบุสี่สิ่งที่สามารถทำได้โดยตรงหลังจากนั้น: ส่งข้อความถึงเอเจนต์ AI และอ่านการตอบกลับ, ดัมป์การกำหนดค่าของเกตเวย์ ซึ่งเผยให้เห็นผู้ให้บริการ AI, โมเดล และช่องทางรับส่งข้อความที่ใช้งานอยู่, แจกแจงทุกโหนดที่เชื่อมต่อพร้อมแพลตฟอร์มและที่อยู่ IP, และอ่านบันทึกของแอปพลิเคชัน จากจุดนั้น {{2}}Oasis{{/2}} อธิบายถึงการยกระดับสิทธิ์ แทนที่จะสาธิตให้เห็น: การสั่งให้เอเจนต์ค้นหาประวัติ {{3}}Slack{{/3}} ของนักพัฒนาเพื่อหา {{4}}API{{/4}} คีย์, การอ่านข้อความส่วนตัว, การขโมยไฟล์ออกจากอุปกรณ์ที่จับคู่ไว้ หรือการเรียกใช้คำสั่งเชลล์ตามอำเภอใจบนโหนดที่จับคู่ใด ๆ บทสรุปผลลัพธ์ของบริษัทคือ สำหรับนักพัฒนาที่มีการผสานรวม {{5}}OpenClaw{{/5}} ตามปกติแล้ว สิ่งนี้เทียบเท่ากับ "{{6}}การถูกยึดเครื่องเวิร์กสเตชันทั้งหมด เริ่มต้นจากแท็บเบราว์เซอร์{{/6}}"

เดโมที่ Oasis เผยแพร่ พร้อมวิดีโอข้อพิสูจน์แนวคิด มีขอบเขตแคบกว่าคำอธิบายนั้น: เบราว์เซอร์บนเว็บไซต์ที่ไม่เกี่ยวข้องสามารถเดารหัสผ่านเกตเวย์ได้ เชื่อมต่อด้วยสิทธิ์เต็มรูปแบบ และโต้ตอบกับเอเจนต์ของผู้ใช้ได้สำเร็จ โดยไม่มีการแสดงสัญญาณใด ๆ ให้ผู้ใช้เห็น การขโมยไฟล์ออกและการเรียกใช้เชลล์ถูกอธิบายว่าเป็นสิ่งที่การเข้าถึงนั้นทำให้เป็นไปได้ ไม่ใช่ขั้นตอนที่ข้อพิสูจน์แนวคิดได้ดำเนินการ ความแตกต่างนี้สำคัญเมื่ออ่านบันทึกดังกล่าวในฐานะเหตุการณ์ที่เกิดขึ้นจริง ไม่ใช่เหตุการณ์ที่ถูกสาธิตให้ดู

แพตช์นี้ถูกนำไปใช้ใน 2026.2.25 ไม่ใช่ 2026.2.26

Oasis แนะนำให้ผู้อ่านอัปเดตเป็นเวอร์ชัน 2026.2.25 หรือใหม่กว่า และคำแนะนำของ OpenClaw เองก็เห็นด้วยกับเรื่องนี้ คำแนะนำบน GitHub หมายเลข GHSA-jmmg-jqc7-5qf4 ระบุเวอร์ชันที่ได้รับผลกระทบว่าเป็น 2026.2.24 และต่ำกว่า เวอร์ชันที่แก้ไขแล้วว่าเป็น 2026.2.25 และสูงกว่า และให้เครดิตรายงานแก่ @luz-oasis ซึ่งเป็นหัวหน้าฝ่ายวิจัยของ Oasis คือ Elad Luz เวลาประทับใน registry ของ npm สำหรับ 2026.2.25 คือ 04:16 UTC ของวันที่ 26 กุมภาพันธ์ 2026 และบันทึกประจำรุ่นของโครงการสำหรับเวอร์ชันนั้นอธิบายการแก้ไขด้วยถ้อยคำที่สอดคล้องแบบหนึ่งต่อหนึ่งกับค่าดีฟอลต์ทั้งสาม: "ความปลอดภัย/การยืนยันตัวตน WebSocket ของ Gateway: บังคับใช้การตรวจสอบ origin สำหรับไคลเอนต์ WebSocket ในเบราว์เซอร์โดยตรง นอกเหนือจาก Control UI/Webchat ใช้การจำกัดอัตราการพยายามยืนยันตัวตนด้วยรหัสผ่านที่ล้มเหลวกับการพยายามผ่าน loopback ที่มาจากเบราว์เซอร์ (รวมถึง localhost) และบล็อกการจับคู่อัตโนมัติแบบเงียบสำหรับไคลเอนต์เบราว์เซอร์ที่ไม่ใช่ Control UI"

รายงานข่าวสองฉบับระบุหมายเลขที่แตกต่างกัน BleepingComputer กล่าวว่าการแก้ไขนั้น "เผยแพร่ในเวอร์ชัน 2026.2.26 เมื่อวันที่ 26 กุมภาพันธ์" และ SecurityAffairs ย้ำว่า 2026.2.26 คือรีลีสที่จัดการกับปัญหา ขณะที่ย่อหน้าแนะนำของตนเองบอกผู้อ่านให้อัปเดตเป็น 2026.2.25 หรือใหม่กว่า Infosecurity Magazine ซึ่งรายงานการเปิดเผยเมื่อวันที่ 2 มีนาคม 2026 อ้างอิง 2026.2.25 รีลีส 2026.2.26 มีอยู่จริง แต่ npm บันทึกไว้ที่ 23:59 UTC ของวันที่ 26 กุมภาพันธ์ ซึ่งประมาณยี่สิบชั่วโมงหลังจาก 2026.2.25 และบันทึกของรีลีสนั้นเป็นการเสริมความปลอดภัยอีกชุดแยกต่างหาก การแก้ไขที่ผู้อ่านควรหา คือการแก้ไขใน 2026.2.25

หมายเลขระบุถูกกำหนดในภายหลัง คำแนะนำของ GitHub เผยแพร่เมื่อวันที่ 3 มีนาคม 2026 ภายใต้ CVE-2026-32025 และบันทึกของ NVD สำหรับช่องโหว่นี้เผยแพร่เมื่อวันที่ 19 มีนาคม 2026 โดยมีคะแนนฐาน CVSS 3.1 เท่ากับ 7.5 ซึ่ง NVD จัดอยู่ในระดับสูงในฐานะผู้ให้คะแนนหลัก และ VulnCheck จัดอยู่ในระดับสูงในฐานะผู้ให้คะแนนรอง ข้อแนะนำเองระมัดระวังกว่าคะแนน: ฟิลด์ความรุนแรงของข้อแนะนำระบุว่า moderate และข้อความเรียกบั๊กนี้ว่า “ร้ายแรงแต่มีเงื่อนไข” พร้อมระบุเงื่อนไขเบื้องต้นสี่ข้ออย่างชัดเจน — เกตเวย์เข้าถึงได้ผ่าน loopback, มีการใช้การยืนยันตัวตนด้วยรหัสผ่าน, เหยื่อเปิดเนื้อหาเว็บที่ผู้โจมตีควบคุม และรหัสผ่านสามารถเดาได้ภายในจำนวนครั้งที่ทำได้จริง นอกจากนี้ยังระบุอย่างชัดเจนว่าบั๊กนี้ไม่ใช่อะไร: “โดยตัวมันเองแล้ว นี่ไม่ใช่ปัญหาประเภท RCE ที่เปิดสู่อินเทอร์เน็ตโดยไม่ต้องยืนยันตัวตน; แต่เป็นช่องว่างในการเสริมความแข็งแรงของการยืนยันตัวตนจากต้นกำเนิดเบราว์เซอร์ภายในเครื่อง ซึ่งมีผลกระทบอย่างมีนัยสำคัญภายใต้เงื่อนไขข้างต้น”

42,665 มาจากไหน และทำไมจึงไม่ใช่ตัวเลขของ ClawJacked

บันทึกสรุปของอาร์ไกว์ระบุว่ามีอินสแตนซ์ 42,665 รายการถูกเปิดเผย ณ เวลาที่มีการเปิดเผยข้อมูล และระบุว่า SecurityScorecard ให้ตัวเลขที่แตกต่างออกไปคือ 40,214 ซึ่ง 35.4% ของจำนวนนั้นมีช่องโหว่ แหล่งข้อมูลทั้งสามแห่งที่อ้างอิงสำหรับบันทึกนี้ไม่มีแหล่งใดมีตัวเลขทั้งสองจำนวนนี้เลย — Oasis, BleepingComputer และ SecurityAffairs ต่างอธิบายช่องโหว่โดยไม่ระบุจำนวนฐานที่ติดตั้งไว้ ตัวเลขทั้งสองมาจากที่อื่น และทั้งคู่ถูกเผยแพร่ก่อนที่ ClawJacked จะมีอยู่

ตัวเลข 42,665 มาจากการสแกนอิสระ Maor Dayan นักวิจัยด้านความปลอดภัยที่เผยแพร่ผลการค้นพบบน Medium ได้สร้างสแกนเนอร์ชื่อ ClawdHunter v3.0 และรันกับข้อมูลจาก Shodan และ Censys ที่เก็บรวบรวมระหว่างวันที่ 28 ถึง 31 มกราคม 2026 โดยรายงานว่า "อย่างน้อย 42,665 อินสแตนซ์" ของ OpenClaw ถูกเปิดเผยต่อสาธารณะบนอินเทอร์เน็ต ซึ่งในจำนวนนี้ 5,194 อินสแตนซ์ได้รับการยืนยันอย่างจริงจังว่ามีช่องโหว่ และ 93.4% ของอินสแตนซ์ที่ยืนยันแล้วแสดงให้เห็นถึงการข้ามการตรวจสอบสิทธิ์ ตัวเลข 40,214 มาจากทีม STRIKE ของ SecurityScorecard ในงานวิจัยที่เผยแพร่เมื่อวันที่ 9 กุมภาพันธ์ 2026 ซึ่งนับอินสแตนซ์ OpenClaw ที่เปิดเผยต่ออินเทอร์เน็ต และระบุว่า 15.2K อินสแตนซ์มีช่องโหว่ต่อการรันโค้ดจากระยะไกล โดยระบุว่า "35.4% ของการติดตั้งที่สังเกตพบถูกระบุว่ามีช่องโหว่" หัวข้อสรุปของ SecurityScorecard เองระบุ 42.9K ที่อยู่ IP ที่ไม่ซ้ำกันซึ่งโฮสต์แผงควบคุมที่เปิดเผย ควบคู่กับ 40,214 อินสแตนซ์ที่ยืนยันแล้วในเนื้อหารายงาน — เป็นการวัดสองแบบที่แตกต่างกันภายในรายงานฉบับเดียว

ไม่มีตัวเลขใดวัดขอบเขตการเข้าถึงของ ClawJacked ได้ เพราะทั้งสองจำนวนนับอินสแตนซ์ที่ตอบสนองบนอินเทอร์เฟซสาธารณะ เงื่อนไขเบื้องต้นของ ClawJacked คือการกำหนดค่าที่ตรงกันข้าม: เกตเวย์ที่ผูกกับลูปแบ็ก ในโหมดรหัสผ่าน บนเครื่องที่ผู้ใช้เข้าชมหน้าเว็บที่เป็นอันตราย เซิร์ฟเวอร์ที่นับได้ในการสแกนทั่วอินเทอร์เน็ตอาจอยู่หลังระบบยืนยันตัวตนของตัวเองและไม่ได้รับผลกระทบจากบั๊กนี้ ในขณะที่แล็ปท็อปที่ไม่เคยปรากฏในการสแกนดังกล่าวคือเป้าหมายที่ Oasis อธิบายไว้พอดี ดังนั้นถ้อยคำของคลังข้อมูลเองที่ว่า "at disclosure" จึงผูกจำนวนประชากรของเดือนมกราคมเข้ากับช่องโหว่ของเดือนกุมภาพันธ์ จำนวนเหล่านั้นเป็นการวัดที่แท้จริงว่ามี OpenClaw ถูกเปิดเผยมากเพียงใด ไม่ใช่จำนวนเครื่องที่ ClawJacked อาจยึดครองได้ บทความนี้ไม่ได้ตัดสินข้อพิพาท — บันทึกไม่ได้ถูกทำเครื่องหมายว่ามีข้อพิพาท — แต่ที่มาของตัวเลขทั้งสองสามารถตรวจสอบได้ และไม่สนับสนุนกรอบการอ้างอิง "at disclosure"

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

ยืนยันแล้ว:ที่ Oasis Security ค้นพบห่วงโซ่ช่องโหว่และสาธิตให้เห็นในห้องแล็บ; ที่ประกาศและบันทึกการออกรุ่นของ OpenClaw เองยืนยันพฤติกรรมทั้งสามประการ — การไม่บังคับใช้ origin สำหรับไคลเอนต์ WebSocket ของเบราว์เซอร์, การไม่มีมาตรการจำกัดอัตราสำหรับความพยายามใส่รหัสผ่านผ่าน loopback, การจับคู่อัตโนมัติแบบเงียบ — และว่า 2026.2.25 เปลี่ยนแปลงแต่ละอย่างนั้น; ที่การแก้ไขถูกเผยแพร่ภายในหนึ่งวันหลังจากรายงาน; และที่สื่อสามสำนักนอกบล็อกของผู้ค้นพบรายงานเรื่องนี้ เกรดความเชื่อมั่น A ของคลังข้อมูลสอดคล้องกับบันทึกดังกล่าว และไม่มีสิ่งใดในที่นี้ที่ถูกโต้แย้งโดยฝ่ายที่เกี่ยวข้อง

ยังไม่ได้รับการยืนยัน:ว่ามีผู้ใดใช้ช่องโหว่นี้จริง ไม่มีแหล่งข่าวอ้างอิงในที่นี้ และไม่พบแหล่งใดในการรายงานข่าวรอบการเปิดเผยข้อมูลที่ระบุถึงการถูกโจมตีในโลกจริง เหยื่อ หรือข้อมูลที่ถูกนำออกไป ของ Oasis เป็นเพียงการสาธิตในห้องแล็บ และบทความบรรยายถึงขีดความสามารถของผู้โจมตีมากกว่าการโจมตีที่เกิดขึ้นจริง ซึ่งสอดคล้องกับที่คลังข้อมูลบันทึกว่าไม่มีความเสียหายจริง และนี่คือข้อแม้ที่สำคัญที่สุดเพียงข้อเดียวของเรื่องนี้: นี่เป็นบันทึกช่องโหว่ ไม่ใช่รายงานการละเมิดข้อมูล

ป้ายกำกับสองรายการที่แพร่หลายอยู่ในขณะนี้ผิด และทั้งคู่ก็ถูกสืบทอดต่อไปได้ง่าย มีบทความทุติยภูมิหลายฉบับเชื่อมโยง CVE-2026-25253 เข้ากับ ClawJacked บันทึกของ NVD สำหรับตัวระบุนั้นกลับอธิบายช่องโหว่คนละตัวในผลิตภัณฑ์เดียวกัน: OpenClaw ก่อน 2026.1.29 รับ gatewayUrl จากสตริงคิวรีและเชื่อมต่อกับมันโดยไม่ถามยืนยัน พร้อมกับส่งโทเค็น ซึ่งเป็นการขโมยโทเค็นด้วยการคลิกครั้งเดียว มีคะแนน CVSS 8.8 เผยแพร่เมื่อวันที่ 1 กุมภาพันธ์ 2026 และแก้ไขเมื่อวันที่ 29 มกราคม นั่นคือช่องโหว่เดือนมกราคม ซึ่งมีกลไกและแพตช์ที่แตกต่างกัน ตัวระบุของ ClawJacked คือ CVE-2026-32025 ขณะที่ Infosecurity Magazine อธิบายว่า ClawJacked เป็นการฉีดพรอมป์ทางอ้อม (indirect prompt injection) ส่วนลูกโซ่ที่ Oasis จัดทำเอกสารไว้นั้นไม่เกี่ยวข้องกับพรอมป์และการตัดสินใจของโมเดลเลย — มันเป็นการข้ามการตรวจสอบสิทธิ์ (authentication bypass) ที่จบลงด้วยเซสชันของผู้ปฏิบัติการ

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

OpenClaw ได้แพตช์ช่องโหว่แล้ว เผยแพร่คำแนะนำและให้เครดิตผู้รายงาน และ CVE ได้รับการมอบหมายภายในหนึ่งสัปดาห์หลังการเผยแพร่ต่อสาธารณะ ข้อแนะนำของ Oasis สำหรับองค์กรนั้นเกินกว่าการแพตช์: จัดทำบัญชีว่าเอเจนต์และผู้ช่วยใดกำลังทำงานอยู่บนเครื่องของนักพัฒนา อัปเดตทุกอินสแตนซ์ ตรวจสอบว่าแต่ละตัวถือข้อมูลรับรองและความสามารถใดบ้าง และเพิกถอนสิ่งที่ไม่ได้ใช้งาน รวมถึงกำกับดูแลเอเจนต์ในฐานะตัวตนที่ไม่ใช่มนุษย์ ด้วยการตรวจสอบเจตนา การบังคับใช้นโยบาย การเข้าถึงแบบทันที และร่องรอยการตรวจสอบจากมนุษย์ไปยังเอเจนต์ไปจนถึงการดำเนินการ บริษัทขายซอฟต์แวร์ในหมวดหมู่สุดท้าย ซึ่งเป็นสิ่งที่ควรรู้เมื่อชั่งน้ำหนักข้อแนะนำสุดท้ายเทียบกับสามข้อแรก

บริบทที่กว้างกว่าคือ ClawJacked เป็นเพียงคำเตือนหนึ่งท่ามกลางคำเตือนจำนวนมาก ฐานข้อมูลคำเตือนของ GitHub มีคำเตือนเกี่ยวกับ OpenClaw จำนวนมากที่ลงวันที่ 3 มีนาคม 2026 — ซึ่งเป็นวันเดียวกับที่คำเตือนของ ClawJacked ถูกเผยแพร่ — ครอบคลุมบั๊กด้านการยืนยันตัวตน การจับคู่ อาการ path traversal และการหลุดออกจากแซนด์บ็อกซ์ที่แยกจากกัน across versions 2026.2.19 ถึง 2026.2.26 รูปแบบที่บันทึกของ ClawJacked เก็บรักษาไว้แคบกว่าคำกล่าวที่ว่า "AI agents are insecure" และมีประโยชน์กว่า: เกตเวย์ถือว่า loopback เป็นขอบเขตความเชื่อถือ และเบราว์เซอร์ทำให้สมมติฐานนั้นเป็นเท็จ บริการภายในเครื่องใดก็ตามที่ยกเว้น 127.0.0.1 จากการจำกัดอัตรา และขั้นตอนการจับคู่อุปกรณ์ใดก็ตามที่อนุมัติผู้เรียกในเครื่องโดยอัตโนมัติ ล้วนสืบทอดรูปแบบเดียวกัน ไม่ว่าจะมีโมเดล AI อยู่เบื้องหลังหรือไม่ ในกรณีนี้ โมเดลไม่เคยเป็นองค์ประกอบที่มีช่องโหว่ — ชั้นการยืนยันตัวตนที่อยู่รอบๆ ต่างหากที่เป็น