เอเจนต์ AI แฮ็ก Lilli ของ McKinsey ได้ภายในสองชั่วโมง พรอมต์เหล่านั้นสามารถเขียนแก้ได้

เมื่อวันที่ 28 กุมภาพันธ์ 2026 เอเจนต์ด้านความปลอดภัยเชิงรุกแบบอัตโนมัติที่ดำเนินการโดย CodeWall สตาร์ตอัปด้านความปลอดภัย ค้นพบช่องโหว่ SQL injection ที่ไม่ต้องยืนยันตัวตนบนพื้นผิว API สาธารณะของ Lilli แพลตฟอร์ม AI ภายในของ McKinsey & Company และภายในเวลาประมาณสองชั่วโมงก็มีสิทธิ์เข้าถึงเพื่ออ่านและเขียนฐานข้อมูลโปรดักชันที่อยู่เบื้องหลัง CodeWall เผยแพร่ห่วงโซ่การโจมตีเมื่อวันที่ 9 มีนาคม 2026 รายงานของบริษัทระบุว่าฐานข้อมูลดังกล่าวจัดเก็บข้อความแชต 46.5 ล้านข้อความแบบไม่เข้ารหัส บัญชีผู้ใช้ 57,000 บัญชี ชื่อไฟล์ 728,000 ชื่อ และพรอมต์ระบบที่กำหนดวิธีที่ Lilli ตอบ โดยจัดเก็บเป็นแถวข้อมูลธรรมดา ดังนั้นจึงสามารถเขียนได้ผ่านช่องโหว่เดียวกัน McKinsey ยืนยันช่องโหว่ดังกล่าวและระบุว่าได้แก้ไขภายในไม่กี่ชั่วโมง บริษัทระบุว่าการสอบสวนทางนิติวิทยาศาสตร์โดยบุคคลที่สามไม่พบหลักฐานว่ามีการเข้าถึงข้อมูลลูกค้าหรือข้อมูลที่เป็นความลับของลูกค้า คลังบันทึกจัดระดับบันทึกนี้เป็นระดับวิกฤต โดยมีความเชื่อมั่นระดับ A มีการบันทึกความเสียหายจริง และมีสถานะเป็นเหตุการณ์สำคัญ บันทึกฉบับเต็ม พร้อมการจัดระดับความรุนแรงและความเชื่อมั่น และรายการที่อยู่ข้างเคียงเกี่ยวกับการบุกรุกที่ขับเคลื่อนโดยเอเจนต์ อยู่ในOrca AI Incident Archive.

ส่วนของเรื่องราวที่แพร่กระจายไปไกลที่สุดไม่ใช่ SQL injection SQL injection เป็นประเภทของบั๊กที่เก่าแก่มากพอจนมีหน้าวิกิพีเดียยาวกว่าคำแนะนำจากผู้จำหน่ายส่วนใหญ่ และ McKinsey ก็ไม่ใช่เป้าหมายเล็ก ๆ สิ่งที่แพร่กระจายออกไปคือครึ่งหลังของการค้นพบของ CodeWall: คำสั่งที่ควบคุมผู้ช่วย — พรอมต์ที่กำหนดว่ามันจะตอบอะไร จะปฏิเสธอะไร และจะอ้างอิงแหล่งใด — อาศัยอยู่ในฐานข้อมูลเดียวกับที่เอเจนต์สามารถเขียนได้ และโดยหลักการแล้วสามารถเปลี่ยนแปลงได้ด้วยคำสั่งเดียวผ่านการเรียก HTTP เพียงครั้งเดียว

เอเจนต์เข้ามาได้อย่างไร

บทความของ CodeWall อธิบายลำดับเหตุการณ์ที่ไม่มีองค์ประกอบแปลกใหม่ใด ๆ เอเจนต์เริ่มต้นด้วยการสำรวจพื้นผิวการโจมตีและพบว่าเอกสาร API ของ Lilli ถูกเปิดเผยต่อสาธารณะ โดยมีมากกว่า 200 เอนด์พอยต์พร้อมเอกสารประกอบครบถ้วน ส่วนใหญ่ต้องมีการยืนยันตัวตน แต่ 22 รายการไม่ต้อง

หนึ่งในยี่สิบสองรายนั้นรับคำค้นหาของผู้ใช้และบันทึกสิ่งเหล่านั้นลงฐานข้อมูล ตามข้อมูลของ CodeWall คิวรีค่าต่าง ๆได้รับการกำหนดพารามิเตอร์อย่างปลอดภัย — การป้องกันตามปกติได้ผล — แต่ JSON คีย์ ซึ่งเป็นชื่อฟิลด์ในเนื้อหาคำขอ ถูกต่อเข้ากับสตริง SQL โดยตรง เมื่อเอเจนต์ส่งคีย์ที่ผิดรูปแบบและเห็นคีย์เหล่านั้นสะท้อนกลับมาตามเดิมในข้อความข้อผิดพลาดของฐานข้อมูล มันจึงตระหนักว่าเป็นการฉีดที่สแกนเนอร์มาตรฐานตรวจไม่พบ CodeWall ระบุว่า OWASP ZAP ซึ่งเป็นสแกนเนอร์โอเพนซอร์สที่ใช้กันทั่วไป ไม่ได้แจ้งเตือนถึงปัญหานี้

จากจุดนั้น เอเจนต์ได้ดำเนินการสิ่งที่ CodeWall เรียกว่าการลองซ้ำแบบไม่รู้ข้อมูล 15 รอบ โดยข้อความข้อผิดพลาดแต่ละข้อเผยให้เห็นโครงสร้างของคิวรีที่อยู่เบื้องหลังมากขึ้นทีละน้อย จนกระทั่งข้อมูลโปรดักชันที่ใช้งานจริงเริ่มถูกส่งกลับมา โพสต์ดังกล่าวอ้างอิงร่องรอยการให้เหตุผลของเอเจนต์เองว่า “ว้าว!” เมื่อตัวระบุพนักงานจริงตัวแรกปรากฏขึ้น และเมื่อขนาดของเรื่องเริ่มชัดเจนว่า “นี่คือหายนะ” CodeWall กล่าวว่าเอเจนต์จากนั้นได้เชื่อมการโจมตีแบบ injection เข้ากับช่องโหว่ IDOR เพื่ออ่านประวัติการค้นหาของพนักงานแต่ละคน ซึ่งเป็นประเภทบั๊กที่ Promptfoo ในการวิเคราะห์เมื่อวันที่ 10 มีนาคม 2026 เรียกว่า BOLA หรือ broken object-level authorisation

การเลือกเป้าหมายเป็นรายละเอียดแยกต่างหาก CodeWall กล่าวว่าเอเจนต์เสนอ McKinsey ด้วยตัวเอง โดยอ้างอิงนโยบายการเปิดเผยอย่างรับผิดชอบต่อสาธารณะของบริษัทและการอัปเดตล่าสุดของ Lilli และการรันครั้งนั้นไม่มีการใช้ข้อมูลรับรอง ไม่มีความรู้จากคนวงใน และไม่มีมนุษย์อยู่ในวงจรการทำงาน Paul Price ผู้ก่อตั้งและซีอีโอของ CodeWall บอกกับ The Register ในรายงานฉบับวันที่ 9 มีนาคม 2026 ว่ากระบวนการดังกล่าวเป็นอัตโนมัติเต็มรูปแบบตั้งแต่การค้นคว้าเป้าหมายไปจนถึงการรายงาน แม้ว่าเขาจะปฏิเสธที่จะเปิดเผยพรอมป์ตที่แน่นอนซึ่งเกี่ยวข้องก็ตาม

สิ่งที่ CodeWall บอกว่าอยู่ในฐานข้อมูล

ตัวเลขทุกตัวด้านล่างมาจากโพสต์ของ CodeWall เองและยังไม่ได้รับการยืนยันอย่างเป็นอิสระ CodeWall ไม่ได้เผยแพร่เพย์โหลดสำหรับการโจมตี ซึ่ง Promptfoo ตั้งข้อสังเกตว่าหมายความว่าจำนวนแถวไม่สามารถตรวจสอบได้โดยบุคคลที่สาม ส่วน McKinsey ไม่ได้ยืนยันตัวเลขเหล่านี้

• ข้อความแชท 46.5 ล้านข้อความ จัดเก็บในรูปแบบข้อความธรรมดา จากพนักงานที่ใช้ Lilli เพื่อหารือเรื่องกลยุทธ์ การดำเนินงานกับลูกค้า ข้อมูลทางการเงิน กิจกรรม M&A และงานวิจัยภายใน

• ชื่อไฟล์ 728,000 ชื่อ รวมถึงไฟล์ PDF 192,000 ไฟล์ สเปรดชีต Excel 93,000 ไฟล์ ชุดสไลด์ PowerPoint 93,000 ชุด และเอกสาร Word 58,000 ฉบับ สี่ประเภทที่ระบุชื่อนี้รวมกันได้ 436,000 ดังนั้นยอดรวมตามพาดหัวข่าวจึงนับหมวดหมู่ไฟล์ที่ CodeWall ไม่ได้แจกแจงรายการไว้ Silicon UK รายงานเมื่อวันที่ 13 มีนาคม 2026 ว่าเอกสารเหล่านั้นถูกจัดเก็บแยกจากบันทึกที่ CodeWall เข้าถึง

• บัญชีผู้ใช้ 57,000 บัญชี ผู้ช่วย AI 384,000 ราย และเวิร์กสเปซ 94,000 แห่ง — ซึ่ง CodeWall อธิบายว่าเป็นแผนที่ว่าบริษัทจัดระเบียบการใช้ AI ภายในองค์กรอย่างไร

• พรอมต์ระบบและการกำหนดค่าโมเดล 95 รายการ ครอบคลุมโมเดล 12 ประเภท พร้อมด้วยชิ้นส่วนเอกสาร RAG จำนวน 3.68 ล้านชิ้นที่บรรจุเส้นทางจัดเก็บ S3 และเมทาดาทาไฟล์ภายใน

• ไฟล์ 1.1 ล้านไฟล์และข้อความจากเอเจนต์ 217,000 ข้อความที่ส่งผ่าน API ของ AI ภายนอก รวมถึง OpenAI vector store มากกว่า 266,000 แห่ง

CodeWall บันทึกสิ่งที่พบทั้งหมด 27 รายการในวันที่ยืนยันเชนนั้น สำหรับบริบทเกี่ยวกับเป้าหมาย โพสต์ดังกล่าวอธิบายว่า Lilli เปิดตัวในปี 2023 ตั้งชื่อตามผู้หญิงมืออาชีพคนแรกที่บริษัทจ้างในปี 1945 ถูกใช้โดยพนักงานมากกว่า 43,000 คน ประมวลผลพรอมต์มากกว่า 500,000 ครั้งต่อเดือนบนฐานความรู้ที่มีเอกสารภายในมากกว่า 100,000 ฉบับ ตัวเลขของ McKinsey เองที่ให้กับ The Register ระบุว่าพนักงาน 72% ของบริษัท — มากกว่า 40,000 คน — ใช้งานมัน และมันเปิดตัวในเดือนกรกฎาคม 2023

เลเยอร์พรอมป์ต์เขียนได้ แต่ไม่มีการเขียนลงไป

นี่คือความแตกต่างที่แถวใน archive ย่อให้เหลือเพียงวลีเดียว และมันคุ้มค่าที่จะแยกออกมาพิจารณา สิ่งที่ CodeWall ค้นพบคือ system prompt ของ Lilli อยู่ในฐานข้อมูลเดียวกับทุกอย่างอื่น ดังนั้นผู้โจมตีที่มีสิทธิ์เขียนจึงสามารถเขียนมันใหม่ได้ — “อย่างเงียบ ๆ” ตามถ้อยคำในโพสต์ โดย “ไม่ต้องมีการ deploy ไม่ต้องแก้โค้ด แค่คำสั่ง UPDATE เดียวห่อด้วย HTTP call ครั้งเดียว” CodeWall ระบุผลลัพธ์สี่ประการที่มันบอกว่าจะตามมา ได้แก่ คำแนะนำที่ถูกวางยาต่อ consultants ที่ไว้วางใจเครื่องมือภายในนี้ การขโมยข้อมูลที่เป็นความลับออกไปผ่านคำตอบที่ถูกสร้างขึ้น การลบคำสั่ง guardrail และการคงอยู่ถาวรที่ไม่ทิ้งการเปลี่ยนแปลงของไฟล์หรือความผิดปกติของ process ให้ตรวจจับได้

CodeWall ไม่ได้อ้างว่าได้ดำเนินการใด ๆ เหล่านี้ โพสต์ระบุว่า "การทดสอบทั้งหมดเป็นการตรวจสอบเท่านั้น" ว่าการเข้าถึงถูกจำกัดไว้ที่ขั้นต่ำที่สุดเท่าที่จำเป็นเพื่อยืนยันช่องโหว่แต่ละรายการ และว่า "ไม่เกิดการหยุดชะงักต่อบริการ Production ใด ๆ" Price ปฏิเสธที่จะมอบพรอมป์ต์ที่แน่นอนให้ The Register ดังนั้นความสามารถในการเขียนของชั้นพรอมป์ต์จึงเป็นข้ออ้างเรื่องขีดความสามารถที่หนุนด้วยการโจมตีแบบ injection ไม่ใช่การพิสูจน์ว่าพฤติกรรมของ Lilli ถูกเปลี่ยนแปลง — และยังไม่มีการเผยแพร่หลักฐานว่าคำตอบใด ๆ ที่ Lilli มอบให้ที่ปรึกษาเคยถูกจัดการใด ๆ

บันทึกของคลังเก็บสะท้อนขอบเขตนั้น: บันทึกดังกล่าวระบุถึงสิทธิ์ในการเขียนในชั้นพรอมต์ของ AI ซึ่งเป็นสิ่งที่ CodeWall สร้างขึ้น ไม่ใช่การแก้ไขชั้นดังกล่าว ซึ่งไม่มีใครแสดงให้เห็น

สิ่งที่ McKinsey กล่าว

คำชี้แจงของ McKinsey นั้นแคบกว่า ในแถลงการณ์ที่เผยแพร่โดย Silicon UK บริษัทกล่าวว่า "เมื่อไม่นานมานี้ได้รับการแจ้งเตือนจากนักวิจัยด้านความปลอดภัยเกี่ยวกับช่องโหว่ที่เกี่ยวข้องกับเครื่องมือ AI ภายในของเรา ชื่อ Lilli" ว่า "เราได้ยืนยันช่องโหว่ดังกล่าวอย่างรวดเร็วและแก้ไขปัญหาภายในไม่กี่ชั่วโมง" และว่า "ไม่มีการเข้าถึงข้อมูลลูกค้าหรือข้อมูลที่เป็นความลับของลูกค้า" ในการให้ข้อมูลเพิ่มเติมกับ The Register บริษัทยังระบุว่าการสอบสวนซึ่งได้รับการสนับสนุนจาก "บริษัทด้านนิติวิทยาศาสตร์ดิจิทัลจากบุคคลที่สามชั้นนำ" ไม่พบหลักฐานว่าข้อมูลลูกค้าหรือข้อมูลที่เป็นความลับของลูกค้าถูกเข้าถึงโดยนักวิจัย "หรือบุคคลที่สามที่ไม่ได้รับอนุญาตรายอื่นใด" และว่า "ระบบความปลอดภัยไซเบอร์ของ McKinsey มีความแข็งแกร่ง"

McKinsey และ CodeWall ยังมีความเห็นต่างกันเล็กน้อยในเรื่องกำหนดเวลา บันทึกไทม์ไลน์ของ CodeWall ระบุว่าอีเมลแจ้งการเปิดเผยข้อมูลของตนส่งถึงทีมความปลอดภัยของ McKinsey เมื่อวันที่ 1 มีนาคม 2026 โดย CISO ตอบรับและขอหลักฐานโดยละเอียดในวันที่ 2 มีนาคม และการแพตช์ — ปิด endpoint ที่ไม่มีการยืนยันตัวตนทั้งหมด นำสภาพแวดล้อมการพัฒนาออฟไลน์ และบล็อกเอกสาร API สาธารณะ — เกิดขึ้นในวันเดียวกัน คือวันที่ 2 มีนาคม คำกล่าวของ McKinsey ที่ว่า "ภายในไม่กี่ชั่วโมง" สอดคล้องกับการแก้ไขภายในวันเดียวกัน หากเริ่มนับจากอีเมลวันที่ 1 มีนาคม แต่ลำดับเหตุการณ์ที่มีวันที่ของ CodeWall เองกลับระบุว่าการแก้ไขเกิดขึ้นหนึ่งวันหลังการเปิดเผยข้อมูล ไม่ใช่ภายในไม่กี่ชั่วโมง ทั้งสองฝ่ายเห็นตรงกันในสาระสำคัญ คือ endpoint ถูกปิด และเอกสารสาธารณะถูกถอดออก CodeWall กล่าวว่าตนตรวจสอบการแก้ไขแล้วก่อนเผยแพร่ Financial Times รายงานเหตุการณ์นี้เมื่อวันที่ 12 มีนาคม 2026 ภายใต้พาดหัวข่าว "McKinsey rushes to fix AI system after hacker exposes flaws" โดยเนื้อหาบทความอยู่หลัง paywall ที่บทความนี้ไม่สามารถอ่านได้

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

• ทั้งสองฝ่ายยืนยันแล้วว่า:มีช่องโหว่ที่ไม่ต้องยืนยันตัวตนอยู่ในพื้นผิว API สาธารณะของ Lilli นักวิจัยภายนอกพบช่องโหว่นี้ McKinsey ยืนยันแล้ว แพตช์เอ็นด์พอยต์ที่ไม่ต้องยืนยันตัวตนเหล่านั้น ปิดสภาพแวดล้อมการพัฒนา และบล็อกเอกสาร API สาธารณะในช่วงต้นเดือนมีนาคม 2026

• จัดทำโดยฝ่ายเดียวเท่านั้น: ตัวเลขทุกตัวในบทความนี้ — 46.5 ล้านข้อความ, 728,000 ชื่อไฟล์, 57,000 บัญชี, 95 พรอมป์ที่เขียนได้, เวลาที่ผ่านไปสองชั่วโมง และข้อค้นพบ 27 ข้อ สิ่งเหล่านี้ตั้งอยู่บนรายงานของ CodeWall ไม่มีการเผยแพร่เพย์โหลด ดังนั้นจึงไม่สามารถทำซ้ำจำนวนเหล่านั้นได้ และ McKinsey ไม่ได้รับรองสิ่งเหล่านี้

• ยังไม่ได้รับการพิสูจน์ว่า:พรอมป์ต์ใด ๆ ถูกแก้ไขจริง ข้อมูลลูกค้าใด ๆ ออกจากระบบ หรือที่ปรึกษาคนใดได้รับคำตอบที่ถูกบิดเบือน การตรวจสอบทางนิติวิทยาศาสตร์ของ McKinsey ระบุว่าไม่พบหลักฐานการเข้าถึง ส่วน CodeWall กล่าวว่าการทดสอบของตนเป็นการตรวจสอบยืนยันเท่านั้น ข้อความทั้งสองไม่ขัดแย้งกัน และไม่มีข้อความใดพิสูจน์ว่าผู้โจมตีที่ยับยั้งชั่งใจน้อยกว่าจะทำอะไรได้บ้างเมื่อมีสิทธิ์การเข้าถึงแบบเดียวกัน

• ไม่พบในเนื้อหาที่ตรวจสอบ ณ ที่นี้: ตัวระบุ CVE ประกาศจากหน่วยงานกำกับดูแล หรือการตรวจสอบทางเทคนิคที่เป็นอิสระเกี่ยวกับช่องโหว่ดังกล่าว บันทึกนี้เป็นการเปิดเผยผลการวิจัยของผู้ผลิตภัณฑ์ควบคู่กับแถลงการณ์ขององค์กร ไม่ใช่เอกสารยื่นต่อศาลหรือข้อค้นพบจากหน่วยงานกำกับดูแล

ควรประกาศผลประโยชน์ทับซ้อนอย่างหนึ่งให้ชัดเจน CodeWall เผยแพร่งานวิจัยนี้ในฐานะการตลาดสำหรับผลิตภัณฑ์: โพสต์จบลงด้วยการอธิบายว่าบริษัทอยู่ในช่วงพรีวิวเบื้องต้นและกำลังมองหาพันธมิตรด้านการออกแบบ และ Silicon UK รายงานว่า Price เป็นพนักงานเพียงคนเดียวของบริษัท สิ่งนี้ไม่ได้ทำให้ข้อค้นพบผิด — The Register, Silicon UK และ Promptfoo ต่างมองว่าสายโซ่ทางเทคนิคมีความน่าเชื่อถือ — แต่เป็นเหตุผลที่ตัวเลขผลกระทบควรอ่านในฐานะคำกล่าวอ้างของผู้ขายมากกว่าการวัดผล

ทำไมมันถึงถูกจัดให้อยู่ในหมวดหมู่ AI กันแน่

จุดเข้าไม่ใช่โมเดล Michael D'Angelo แห่ง Promptfoo ได้ยกประเด็นนี้เมื่อวันที่ 10 มีนาคม 2026 ด้วยถ้อยคำที่คมที่สุดว่า “ส่วนที่จำเพาะต่อ AI ไม่ใช่จุดเข้า แต่คือรัศมีผลกระทบ” การโจมตีแบบ injection ช่องว่างในการยืนยันตัวตน และการเข้าถึงข้ามผู้ใช้ ล้วนเป็นความล้มเหลวด้านความปลอดภัยของแอปพลิเคชันตามปกติ สิ่งที่ทำให้เหตุการณ์นี้เป็นเหตุการณ์ด้าน AI คือพรอมต์ การกำหนดเส้นทาง การตั้งค่าการเรียกค้นข้อมูล และประวัติผู้ใช้ ล้วนอยู่ในแบ็กเอนด์เดียวกัน การเข้าถึงฐานข้อมูลจึงกลายเป็นการควบคุมพฤติกรรมของผู้ช่วย AI ที่ผู้คนหลายหมื่นคนใช้ปรึกษาเพื่องานของลูกค้า

นั่นคือเหตุผลที่ไฟล์เก็บถาวรติดแท็กบันทึกนี้ว่า WEAPON และ INFRA แทนที่จะเป็นช่องโหว่ของโมเดล เอเจนต์คือเครื่องมือ — ระบบอัตโนมัติที่เลือกเป้าหมายของตัวเอง ตรวจสอบเป้าหมายนั้น และยกระดับการโจมตีโดยไม่มีมนุษย์ตัดสินใจว่าจะชี้ไปที่ใด — และความล้มเหลวคือโครงสร้างพื้นฐาน: ขอบเขตการอนุญาตที่ถูกสันนิษฐานแทนที่จะถูกบังคับใช้ ข้อโต้แย้งปิดท้ายของ CodeWall ที่ว่าพรอมป์ต์คือ "สินทรัพย์ Crown Jewel ชุดใหม่" ซึ่งแทบไม่มีการควบคุมการเข้าถึง ประวัติเวอร์ชัน หรือการเฝ้าระวังความสมบูรณ์นั้น เป็นการสนับสนุนจากบริษัทที่ขายการทดสอบอัตโนมัติแบบต่อเนื่อง และยังเป็นข้อกล่าวอ้างเดียวในโพสต์ที่ไม่ขึ้นกับตัวเลขใด ๆ ที่เป็นข้อโต้แย้ง