AI Safety Incidents

รายงาน Threat Hunting Report ปี 2026 ของ CrowdStrike วัดช่วงเวลาการใช้ประโยชน์จากช่องโหว่เป็นหน่วยชั่วโมง — และระบุว่า AI ระดับแนวหน้าไม่ได้ทำให้ช่วงเวลานี้สั้นลงก่อน

ผู้เขียน

Elias Hawthorne

วันที่เผยแพร่

Oct 30, 2026

โมเดลล่าสุด · 20ดูโมเดลทั้งหมด →

เบนช์มาร์ก: Artificial Analysis · อัปเดตทุกวัน

กลับไปยังโพสต์ทั้งหมด

CrowdStrike เผยแพร่รายงาน 2026 Threat Hunting Report ของตนเมื่อวันที่ 3 สิงหาคม 2026 และตัวเลขที่ถูกหยิบยกไปพูดถึงคือ 88%: บริษัทระบุว่า ตลอดช่วงเดือนมกราคมถึงมิถุนายน 2026 การใช้ประโยชน์จากช่องโหว่ที่บริษัทสังเกตพบ ซึ่งมี proof of concept ที่เปิดเผยต่อสาธารณะ เริ่มต้นภายใน 48 ชั่วโมงหลังการเผยแพร่ proof of concept นั้น รายงานนี้จัดทำโดย CrowdStrike Intelligence และ CrowdStrike OverWatch ครอบคลุมระยะเวลา 12 เดือนตั้งแต่เดือนกรกฎาคม 2025 ถึงมิถุนายน 2026 และติดตามสิ่งที่บริษัทอธิบายว่าเป็นภัยคุกคามที่ระบุชื่อได้มากกว่า 290 ราย มีข้อค้นพบสองข้อที่เชื่อมโยงกับ AI — แคมเปญ LLMJacking ที่สร้างคำขอ API เกือบ 200,000 รายการภายในสองนาที และเบาะแสการตรวจจับที่ AI agent สร้างขึ้น ซึ่งเข้ามาในอัตรา 2.5 เท่าของเบาะแสที่มนุษย์เป็นผู้ขับเคลื่อน ไม่มีชื่อเหยื่อ ตัวเลขความเสียหาย หรือข้อกล่าวหาใด ๆ ที่แนบมากับรายการของคลังเก็บข้อมูลนี้ รายการนี้ถูกจัดประเภทเป็นรายงาน โดยมีระดับความรุนแรงเป็น info และยืนยันว่ามี AI เข้ามาเกี่ยวข้อง ระดับความรุนแรง ระดับความเชื่อมั่น และรายการแหล่งที่มาของบันทึกนี้อยู่ใน คลังเหตุการณ์ AI พร้อมกับรายการที่ถูกจัดเก็บไว้โดยรอบ

การนับเวลาเริ่มต้นตั้งแต่ขั้นพิสูจน์แนวคิด ไม่ใช่ตอนแพตช์

ประโยคในโพสต์บล็อกของ CrowdStrike นั้นรอบคอบ และควรค่าแก่การยกคำพูดมาโดยตรงมากกว่าการถอดความ: ตั้งแต่เดือนมกราคมถึงมิถุนายน 2026 "{{1}}88% ของ{{/1}}การใช้ประโยชน์จากช่องโหว่ที่มี PoC สาธารณะซึ่ง CrowdStrike สังเกตเห็น เกิดขึ้นภายใน 48 ชั่วโมงหลังการเปิดตัว PoC" ช่วงเวลานี้นับจากขณะที่โค้ดเอ็กซ์พลอยต์ที่ใช้งานได้กลายเป็นสาธารณะจนถึงขณะที่มีผู้ใช้มัน ไม่ใช่นับจากขณะที่แพตช์เผยแพร่ Duncan Riley แห่ง SiliconANGLE ซึ่งเขียนในวันที่เผยแพร่บทความ กล่าวไว้เป็นถ้อยคำว่า "ระหว่างเดือนมกราคมถึงมิถุนายน ช่องว่างดังกล่าวอยู่ต่ำกว่า 48 ชั่วโมงใน 88% ของกรณี" Chi-gyu Hwang แห่ง DigitalToday อธิบายวิธีการเดียวกันว่า CrowdStrike "วัดช่วงเวลาตั้งแต่การเปิดตัวเอ็กซ์พลอยต์แบบพิสูจน์แนวคิดจนถึงการนำไปใช้ในการโจมตีจริงเป็นชั่วโมง"

ประโยคดังกล่าวมีเงื่อนไขกำกับอยู่สองข้อ ซึ่งมักหลุดหายไปเมื่อกลายเป็นพาดหัวข่าว ข้อแรกคือตัวหาร: ตัวเลข 88% อธิบายเฉพาะช่องโหว่ที่มีหลักฐานแนวคิด (proof of concept) เผยแพร่ต่อสาธารณะอยู่แล้ว จึงไม่ได้บอกอะไรเกี่ยวกับช่องโหว่จำนวนมากกว่าอย่างมากที่ไม่เคยมีหลักฐานดังกล่าว ข้อที่สองคือตัวนาฬิกาเอง บทคัดย่อบรรทัดเดียวของคลังข้อมูลเองย่อข้อค้นพบเหลือเป็นภายใน 48 ชั่วโมงหลังการเปิดเผย และการเผยแพร่ PoC กับการเปิดเผยแพตช์เป็นเหตุการณ์ต่างกันที่เกิดขึ้นคนละวัน ในกรณีที่สองสิ่งนี้แยกจากกัน รายงานกำลังวัดสิ่งที่ผ่อนปรนกว่าของทั้งสอง: ช่องโหว่อาจถูกเปิดเผยและแพตช์ได้หลายเดือนก่อนที่จะมีใครเผยแพร่โค้ดโจมตี และ 48 ชั่วโมงของ CrowdStrike เริ่มนับที่เหตุการณ์ที่สอง

ตัวอย่างที่มีการอธิบายชัดเจนที่สุดในรายงานคือกลุ่มที่มีความเชื่อมโยงกับเบลารุสซึ่ง CrowdStrike เรียกว่า UMBRAL BISON โดยระบุว่ากลุ่มนี้ใช้ประโยชน์จาก CVE-2026-31431 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ในเครื่องบน Linux ในเดือนเมษายน 2026 ตามรายงาน ช่องโหว่ดังกล่าวถูกเปิดเผยต่อสาธารณะเมื่อวันที่ 29 เมษายน 2026; ในวันถัดมา OverWatch ตรวจพบการนำ exploit ไปใช้อย่างแพร่หลาย; และประมาณ 94% ของเหตุการณ์ภายใน 24 ชั่วโมงแรกนั้นเป็นพฤติกรรมการทดสอบโดยอิงโค้ด PoC สาธารณะ มากกว่าการพัฒนาแบบเฉพาะเจาะจง CrowdStrike กล่าวว่าบริษัทค้นพบกิจกรรมของ actor รายนี้ “ภายในเวลาเพียงกว่า 20 ชั่วโมงหลังการเปิดเผยต่อสาธารณะ” นั่นเป็นกรณีเดียว จาก telemetry ของผู้จำหน่ายรายหนึ่ง และเป็นระดับความเฉพาะเจาะจงที่เปอร์เซ็นต์แบบรวมไม่สามารถให้ได้

พร้อมกันนั้น รายงานบันทึกว่าการใช้ประโยชน์ช่องโหว่ zero-day เพิ่มขึ้น 42% เมื่อเทียบกับปีก่อน ซึ่งเป็นตัวเลขที่ SiliconANGLE อ้างจากเอกสารเดียวกัน ตัวเลขทั้งสองอธิบายกลุ่มที่แตกต่างกัน — ช่องโหว่ที่ถูกใช้ประโยชน์โดยไม่มี PoC สาธารณะ และช่องโหว่ที่ถูกใช้ประโยชน์หลังจากมี PoC สาธารณะ — และรายงานไม่ได้นำตัวเลขทั้งสองมารวมกัน

A self-built HTML card headed 'What the report establishes, and what it only asserts', kicker 'OrcaRouter - AI incident archive', subtitle 'CrowdStrike 2026 Threat Hunting Report - the two halves of the evidence'. Two columns. The left column, headed 'Measured in CrowdStrike's own telemetry', lists: 88% of observed exploitation of PoC-backed vulnerabilities began within 48 hours of the PoC's release, January to June 2026; UMBRAL BISON active against CVE-2026-31431 in just over 20 hours after its 29 April 2026 disclosure; 94% of that flaw's first-24-hour events were testing behaviour based on public PoC code; 290-plus named adversaries tracked over July 2025 to June 2026; nearly 200,000 API requests in a two-minute flood during one LLMJacking campaign; VAULT PANDA and GENESIS PANDA attacking within 24 hours of React2Shell's disclosure; OverWatch's 800-plus hunting leads across 80-plus victim organisations in four days; AI-agent-triggered detection leads at 2.5x the human rate; 16% of the MITRE ATLAS techniques observed were AI model access; 131 Mastra AI framework packages injected with a malicious npm package in June 2026. The right column, headed 'Asserted, forecast, or left unquantified', lists: frontier AI is 'likely' to compress exploitation timelines, a prediction not a measurement; the LLMJacking campaign's cost is 'large-scale financial and operational impact' with no figure and no named victim; no victim organisation is named in any campaign described; no denominator for the 88%, neither how many flaws nor how many exploitation events; no AI-attributable share of the acceleration, since the report says the pattern predates frontier AI; the headline reads as causal while the report's own text says the speed trend predates frontier AI; independent outlets repeat the figures and none of them measured them. A dark band below reads 'The left column is drawn from one vendor's telemetry. The right column is what the report asks the reader to accept, or cannot yet show. The boundary between them is the record.' A footer reads 'Source: CrowdStrike, CrowdStrike 2026 Threat Hunting Report, 3 August 2026. Hand-built card, not a screenshot of any vendor page.'

React2Shell: ลีด 800 ราย, ผู้เสียหาย 80 ราย, สี่วัน

กรณีศึกษาที่เป็นรูปธรรมที่สุดในรายงานคือ React2Shell ซึ่งถูกติดตามในชื่อ CVE-2025-55182 — ช่องโหว่การรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนใน React Server Components และ Next.js SiliconANGLE บันทึกว่าการเปิดเผยและการแก้ไขเกิดขึ้นเมื่อวันที่ 3 ธันวาคม 2025 และโค้ดเอ็กซ์พลอยต์ที่ใช้งานได้ปรากฏในวันถัดไป CrowdStrike กล่าวว่ากลุ่มที่เชื่อมโยงกับจีนซึ่งตนเรียกว่า VAULT PANDA และ GENESIS PANDA ได้เปิดการโจมตีโดยเจตนาภายใน 24 ชั่วโมงหลังการเปิดเผยช่องโหว่ต่อสาธารณะ และ OverWatch ตอบสนองต่อเบาะแสการล่ามากกว่า 800 รายการในองค์กรเหยื่อมากกว่า 80 แห่งภายในสี่วันแรก DigitalToday รายงานกลุ่มสองกลุ่มเดียวกันและตัวเลข 24 ชั่วโมงเดียวกัน โดยในรายงานของตนวัดจากเวลาที่โค้ดเอ็กซ์พลอยต์ปรากฏ

การนำกรณีนั้นมาเปรียบเทียบกับ 88% ต้องใช้ความระมัดระวังพอสมควร เพราะทั้งสองอยู่คนละช่วงของระยะเวลาที่รายงานครอบคลุม React2Shell ถูกเปิดเผยเมื่อวันที่ 3 ธันวาคม 2025 ซึ่งอยู่ในครึ่งแรกของหน้าต่างกรกฎาคม 2025 ถึงมิถุนายน 2026 ของรายงาน ขณะที่ค่าสรุปรวม 88% ครอบคลุมเพียงมกราคมถึงมิถุนายน 2026 เท่านั้น ทั้งสองเป็นข้อสังเกตสองรายการจากเอกสารฉบับเดียว ไม่ใช่การวัดสองครั้งของแนวโน้มเดียว และผู้อ่านที่นำมาซ้อนกันเป็นเส้นโค้งเร่งตัวเส้นเดียวกำลังอ่านสิ่งที่รายงานไม่ได้กล่าวไว้

สิ่งที่กรณี React2Shell ยืนยันให้เห็นได้ก็คือรูปร่างของโจทย์ที่ผู้ป้องกันต้องเผชิญ ช่องว่างระหว่างโค้ดเอ็กซ์พลอยต์ที่เปิดเผยต่อสาธารณะกับการโจมตีที่เกิดขึ้นจริงนั้นวัดกันเป็นชั่วโมง และผลที่ตามมาก็ไม่ใช่จำนวนโฮสต์ที่ถูกบุกรุก แต่เป็นจำนวนเบาะแสสำหรับการล่าหาภัย — 800 รายการ กระจายอยู่ทั่วองค์กรกว่า 80 แห่ง ภายในเวลาสี่วัน นั่นคือตัวเลขของภาระงาน และภาระงานคือสิ่งที่ผู้ให้บริการด้านการล่าหาภัยสามารถนับได้จริง

A self-built HTML card headed 'Three clocks, three documented cases', kicker 'OrcaRouter - AI incident archive', subtitle 'Every gap below is CrowdStrike's, measured from public exploit code to actor activity'. Three rows, each a date chip on the left and four bullets on the right. Row one, chip 'Disclosed 29 Apr 2026', heading 'CVE-2026-31431': Linux local privilege escalation, public disclosure 29 April 2026; next day OverWatch detects widespread deployment of the exploit; about 94% of first-24-hour events are PoC-based testing rather than bespoke work; UMBRAL BISON activity placed at just over 20 hours after disclosure. Row two, chip 'Disclosed 3 Dec 2025', heading 'React2Shell (CVE-2025-55182)': unauthenticated remote code execution in React Server Components and Next.js with fixes shipped the same day; working exploit code public the next day; VAULT PANDA and GENESIS PANDA attacking within 24 hours; OverWatch 800-plus hunting leads across 80-plus victim organisations in four days. Row three, chip 'Jan-Jun 2026', heading 'the aggregate': 88% of observed exploitation of vulnerabilities with a public PoC began within 48 hours of the PoC's release; the population is flaws that already had public exploit code, not all vulnerabilities; zero-day exploitation, a different population, rose 42% year over year; the report does not add the two together and neither should a reader. A dark band below reads 'Note the windows: React2Shell sits in the first half of the report's July 2025-June 2026 period, while the 88% aggregate covers January to June 2026 only. Three observations, not one trend line.' A footer reads 'Sources: CrowdStrike 2026 Threat Hunting Report, 3 August 2026; SiliconANGLE, 3 August 2026, for the React2Shell chronology. Hand-built card, not a screenshot of any vendor page.'

ผลการค้นพบของ AI และรายการที่ไม่มีหมายเลขกำกับ

แคมเปญ LLMJacking เป็นรายละเอียดด้าน AI ที่คมชัดที่สุดในรายงาน และ SiliconANGLE นำเสนอรายละเอียดนี้มากกว่าที่โพสต์บล็อกระบุไว้ ในการรณรงค์เมื่อเดือนพฤษภาคมที่มุ่งเป้าไปที่บริการ foundation-model ของผู้ให้บริการคลาวด์รายหนึ่ง ผู้ไม่ประสงค์ดีรายหนึ่งยกระดับตัวตนที่ถูกบุกรุกจนได้สิทธิ์ผู้ดูแลระบบ กรอกแบบฟอร์มกรณีการใช้งานที่จำเป็นเพื่อปลดล็อกการเข้าถึงโมเดล แล้วส่งคำขอ API เกือบ 200,000 ครั้ง "ในการระดมยิงครั้งแรกภายในสองนาทีก่อนที่มาตรการจำกัดอัตราจะเริ่มทำงาน" สรุปของ CrowdStrike เองระบุว่าแคมเปญนี้ก่อให้เกิดคำขอ API เกือบ 200,000 ครั้งในสองนาที "ส่งผลให้เกิดผลกระทบทางการเงินและการดำเนินงานในวงกว้าง"

นั่นคือจุดที่บันทึกสิ้นสุดลง รายงานไม่ได้ให้ตัวเลขเป็นดอลลาร์สำหรับผลกระทบ ไม่ได้ระบุชื่อผู้ให้บริการคลาวด์ และไม่ได้ระบุชื่อผู้กระทำการ วลี “ผลกระทบทางการเงินและการปฏิบัติการในวงกว้าง” เป็นการพรรณนาลักษณะโดยผู้ขาย ไม่ใช่ความเสียหายที่วัดได้ และไม่มีสิ่งใดในบทวิเคราะห์อิสระสามชิ้นที่ตรวจสอบสำหรับชิ้นงานนี้ที่เพิ่มตัวเลขใด ๆ ให้กับวลีนั้น บันทึกจึงไม่ระบุความเสียหายที่แท้จริงสำหรับรายการนี้ — ไม่ใช่เพราะไม่มีอะไรเกิดขึ้น แต่เพราะการรายงานวัดปริมาณกลไกและปล่อยให้ต้นทุนอยู่ในรูปของข้อความร้อยเรียง

สถิติ AI ตัวที่สองเป็นอัตราส่วนมากกว่าเป็นเหตุการณ์ CrowdStrike กล่าวว่า เบาะแสการตรวจจับที่กระตุ้นโดยเอเจนต์ AI “ตอนนี้เผยให้เห็นเบาะแสภัยคุกคามมากกว่ากิจกรรมที่ดำเนินการด้วยมือถึง 2.5 เท่า” ซึ่งเป็นข้อค้นพบที่บริษัทระบุว่าเป็นผลจาก OverWatch; eSecurity Planet ตีความว่าเป็นเบาะแสการตรวจจับที่สร้างโดย AI ซึ่งปรากฏ “บ่อยกว่าเบาะแสที่สร้างโดยมนุษย์ 2.5 เท่า” หากอ่านอย่างตรงไปตรงมา นั่นคือข้อความเกี่ยวกับปริมาณงานที่เข้ามายังศูนย์ปฏิบัติการความปลอดภัย ไม่ใช่เกี่ยวกับความสามารถของเอเจนต์ที่สร้างงานนั้น และรายงานไม่ได้ให้ค่าความแม่นยำหรืออัตราผลบวกลวงมาประกอบด้วย

ส่วนที่สามเป็นส่วนแบ่งของอนุกรมวิธาน: CrowdStrike กล่าวว่าเทคนิคการเข้าถึงโมเดล AI คิดเป็น 16% ของเทคนิค MITRE ATLAS ที่บริษัทสังเกตเห็นในรอบปี โดยมีกลุ่มที่เชื่อมโยงกับ DPRK ซึ่งบริษัทเรียกว่า FAMOUS CHOLLIMA ใช้สภาพแวดล้อมที่เน้น AI เป็นอาวุธโจมตีบริษัทคริปโตเคอร์เรนซีและบล็อกเชน — เป็นตัวอย่างหนึ่งของเทคนิค ATLAS สำหรับการโจมตีห่วงโซ่อุปทานของ AI, AML.T0010 ข้อค้นพบด้านห่วงโซ่อุปทานคือส่วนที่รายงานมีความชัดเจนที่สุด: กลุ่มที่บริษัทเรียกว่า STARDUST CHOLLIMA ใช้ข้อมูลรับรองของผู้ดูแลที่ถูกขโมยในเดือนมีนาคม 2026 เพื่อโจมตีแพ็กเกจ Axios npm และในเดือนมิถุนายน 2026 ได้ฉีดแพ็กเกจอันเป็นอันตรายเข้าไปในแพ็กเกจเฟรมเวิร์ก Mastra AI อย่างน้อย 131 แพ็กเกจ; กลุ่มที่บริษัทเรียกว่า ALTERED SPIDER ทำให้ dependency ของซอฟต์แวร์มากกว่า 300 รายการถูกโจมตีในวันเดียว; และ 87% ของภัยคุกคามในทะเบียนซอฟต์แวร์ที่ CrowdStrike ระบุได้ในครึ่งแรกของปี 2026 เกี่ยวข้องกับแพ็กเกจ npm

สิ่งที่รายงานกล่าวซึ่งขัดกับพาดหัวของตัวรายงานเอง

ชื่อรายงานคือ "หน้าต่างการโจมตีปิดลงเมื่อการใช้ AI เร่งตัวขึ้น" ซึ่งอ่านได้ว่าเป็นข้อกล่าวอ้างเชิงสาเหตุ แต่เนื้อความของรายงานไม่ได้กล่าวอ้างเช่นนั้น ในโพสต์บล็อก CrowdStrike เขียนว่า "รูปแบบนี้เกิดขึ้นก่อนการกำเนิดของโมเดล AI ชั้นแนวหน้า" และการนำระบบดังกล่าวมาใช้จะ "มีแนวโน้ม" ที่จะบีบกรอบเวลาในการโจมตีให้สั้นลงอีก โดยเร่งการค้นพบช่องโหว่และการพัฒนา exploit ในกรอบของรายงานเอง AI คือตัวเร่งที่มาซ้อนอยู่บนแนวโน้มที่วัดกันเป็นชั่วโมงอยู่แล้ว และยังเป็นเป้าหมายใหม่ เพราะระบบ AI เก็บความลับ การเข้าถึงโมเดล และพลังประมวลผลที่ฝ่ายตรงข้ามต้องการ

Adam Meyers หัวหน้าฝ่ายปฏิบัติการต่อต้านฝ่ายตรงข้ามของ CrowdStrike ถูกอ้างคำพูดโดย SiliconANGLE ว่า “AI ได้ฝังตัวอยู่ในปฏิบัติการของฝ่ายตรงข้ามสมัยใหม่แล้ว” และองค์กรต้อง “รักษาความปลอดภัยของ AI อย่างจริงจังพอ ๆ กับที่นำมันมาใช้” ทั้งคำพูดดังกล่าวและเนื้อหาหลักของรายงานไม่ได้กล่าวอ้างว่า AI เป็นสาเหตุของหน้าต่างเวลา 48 ชั่วโมง รายงานระบุชัดเจนว่ารูปแบบดังกล่าวเกิดขึ้นก่อนหน้าโมเดลขั้นแนวหน้า

คำว่า "likely" มีน้ำหนักจริงในประโยคนั้น และมันคือขอบเขตที่ตรงไปตรงมาของเอกสาร ทุกสิ่งที่รายงานกล่าวถึง AI ว่ากำลังบีบช่วงเวลาให้แคบลงอีกคือการคาดการณ์ และเป็นการคาดการณ์จากผู้ขายด้วยซ้ำ สิ่งที่รายงานสามารถสนับสนุนได้ด้วยข้อมูลนั้นแคบกว่า และในบางแง่ก็มีประโยชน์กว่า: ผู้ก่อภัยคุกคามเคลื่อนไหวเร็วต่อช่องโหว่ที่มีโค้ดเอ็กซ์พลอยต์สาธารณะ โครงสร้างพื้นฐาน AI ตอนนี้เป็นทั้งพื้นผิวการโจมตีและทรัพยากรที่ถูกขโมย และภาระงานตรวจจับเพิ่มขึ้นเร็วกว่าความสามารถของมนุษย์ที่จะรับมือได้

สิ่งที่การรายงานข่าวอิสระนำเสนอ และสิ่งที่ไม่มีรายงานใดวัดได้

สื่อสามสำนักที่ไม่ใช่ CrowdStrike ได้เขียนรายงานข่าวเกี่ยวกับรายงานฉบับนี้ในวันเผยแพร่หรือใกล้เคียงวันนั้น และความแตกต่างระหว่างสำนักข่าวเหล่านั้นช่วยให้เห็นว่าข้อค้นพบใดยังคงอยู่เมื่อผ่านการตรวจสอบจากห้องข่าวที่สอง

SiliconANGLE รายงานตัวเลข 88% พร้อมวิธีการของตน ลำดับเหตุการณ์ React2Shell ซึ่งรวมถึงจำนวน 800 ลีดและเหยื่อ 80 ราย การเพิ่มขึ้นของ zero-day 42% ส่วนแบ่ง ATLAS 16% แคมเปญ LLMJacking ในรูปแบบที่สมบูรณ์ที่สุด อัตราส่วนการตรวจจับล่วงหน้า 2.5 เท่า และคำกล่าวของ Meyers แต่ไม่ได้รายงานกรณี UMBRAL BISON

eSecurity Planet ในบทความของ Ken Underhill ลงวันที่ 4 สิงหาคม 2026 ได้รายงานตัวเลข 88% อัตราส่วน 2.5 เท่า ข้อกล่าวอ้างว่าภัยคุกคามไซเบอร์ที่เปิดใช้งาน AI พุ่งสูงขึ้น 89% ในปี 2025 ส่วนแบ่งของ npm ที่ 87% การพึ่งพาแพ็กเกจมากกว่า 300 รายการของ ALTERED SPIDER การเพิ่มขึ้น 171% ของการโจมตีบนคลาวด์ที่มีแรงจูงใจด้านการเงิน vishing เพิ่มขึ้นเป็นสองเท่า และ device-code phishing เพิ่มขึ้น 15 เท่า และการเพิ่มขึ้นโดยรวม 4% เมื่อเทียบปีต่อปีของการบุกรุก เทียบกับ 27% ในปีก่อนหน้า บทความไม่ได้กล่าวถึง VAULT PANDA, GENESIS PANDA, React2Shell, OverWatch หรือ LLMJacking

DigitalToday นำเสนอตัวเลข 88% พร้อมกรอบเวลาที่อิงจาก PoC ช่วงรายงานตั้งแต่กรกฎาคม 2025 ถึงมิถุนายน 2026 จำนวนกลุ่มผู้โจมตีมากกว่า 290 กลุ่ม และกำหนดเวลาของ React2Shell ร่วมกับทั้งสองกลุ่มที่เชื่อมโยงกับจีน

A self-built HTML card headed 'What three independent outlets carried', kicker 'OrcaRouter - AI incident archive', subtitle 'Same document, three newsrooms, three different subsets of the findings'. Three columns. Column one, 'SiliconANGLE - 3 Aug': 88% figure with its PoC-based method; React2Shell chronology, 800 leads, 80-plus victims; 42% zero-day rise; 16% of observed MITRE ATLAS techniques; LLMJacking in its fullest form; 2.5x AI-agent detection-lead ratio; the Adam Meyers quote; not carried, UMBRAL BISON; what it adds, the React2Shell chronology down to the next-day exploit code. Column two, 'eSecurity Planet - 4 Aug': 88% figure; 2.5x detection-lead ratio; 89% surge in AI-enabled threats in 2025; 87% of registry threats were npm; ALTERED SPIDER with 300-plus dependencies in a day; cloud attacks up 171% and vishing 2x; not carried, VAULT and GENESIS PANDA, React2Shell, OverWatch and LLMJacking; what it adds, the only volume comparison in the secondary coverage, 4% against 27%. Column three, 'DigitalToday - 3 Aug': 88% figure with the PoC-based clock; July 2025 to June 2026 reporting period; 290-plus named attack groups; React2Shell timing with both China-nexus groups; automated attacks folded into the count from this year; not carried, LLMJacking, the 2.5x ratio and UMBRAL BISON; what it adds, the clearest statement anywhere that the 88% is a PoC-to-attack clock. A dark band below reads 'All three agree on what the document says; none of them measured it. Corroboration here exists at the level of reporting, not of measurement - which is exactly what an A confidence grade covers, and all it covers.' A footer reads 'Sources: SiliconANGLE (Duncan Riley, 3 Aug 2026); eSecurity Planet (Ken Underhill, 4 Aug 2026); DigitalToday (Chi-gyu Hwang, 3 Aug 2026). Hand-built card, not a screenshot of any vendor page.'

ประเด็นที่สำคัญที่สุดคือสิ่งที่ทั้งสามมีร่วมกัน: ตัวเลขทั้งหมดข้างต้นล้วนมาจากภายใน telemetry ของ CrowdStrike สื่อทั้งสามแห่งไม่มีใครวัดช่วงเวลา 48 ชั่วโมง นับ hunting leads หรือตรวจสอบ detection-lead ratio ด้วยตนเองเลย พวกเขาเพียงรายงานสิ่งที่ผู้ขายกล่าว โดยรายงานอย่างถูกต้องและระบุแหล่งที่มา ดังนั้นการยืนยันบันทึกนี้จากแหล่งอิสระจึงมีอยู่ในระดับของการรายงาน — สามห้องข่าวเห็นตรงกันว่าเอกสารระบุอะไร — และไม่มีอยู่ในระดับของการวัด ซึ่งเป็นสิ่งที่ระดับความมั่นใจ A ของคลังข้อมูลอธิบายไว้อย่างตรงไปตรงมา และเป็นสิ่งที่ระดับดังกล่าวไม่ได้อธิบาย

สิ่งที่บันทึกไม่มี

ช่องว่างของข้อมูลเหล่านี้เป็นเรื่องเฉพาะเจาะจง ไม่มีชื่อองค์กรที่ตกเป็นเหยื่อระบุไว้ที่ใดเลยในข้อค้นพบของรายงานตามที่ CrowdStrike สรุป หรือตามที่สื่อทั้งสามสำนักสรุป องค์กรกว่า 80 แห่งที่อยู่เบื้องหลังเบาะแส React2Shell เป็นเพียงจำนวน ไม่ใช่รายชื่อ แคมเปญ LLMJacking มีกลไกและปริมาณคำขอ แต่ไม่มีตัวเลขความเสียหาย ตัวเลข 88% ไม่มีตัวหารที่เผยแพร่ — คือมีช่องโหว่จำนวนเท่าใด มีเหตุการณ์การนำช่องโหว่ไปใช้ประโยชน์จำนวนเท่าใด — ทั้งในบล็อกโพสต์หรือในสื่อรายงานต่อเนื่องใด ๆ ที่ตรวจทานสำหรับชิ้นนี้ และไม่มีสัดส่วนของการเร่งความเร็วที่เกิดจาก AI ที่ใดเลยในเอกสาร เพราะจุดยืนของ CrowdStrike คือการเร่งความเร็วนี้เกิดขึ้นก่อน AI ระดับแนวหน้า

ไม่มีสิ่งใดในนั้นทำให้บันทึกนี้ผิด สิ่งนั้นทำให้มันเป็นรายงานข่าวกรองภัยคุกคามจากผู้ขายที่มีการระบุระเบียบวิธีไว้ชัดเจน แต่ไม่มีการระบุชื่อผู้ที่เกี่ยวข้อง ซึ่งเป็นสิ่งที่รายงานประเภทนี้ดูเป็น เหตุผลที่ควรอ่านอย่างละเอียดแทนที่จะอ่านผ่าน ๆ แค่ตัวเลข 88% ก็คือรายงานนี้รอบคอบกว่าพาดหัวของตัวเอง: มันแยกการวัดค่าออกจากการคาดการณ์ ระบุว่ากระแสความเร็วเกิดขึ้นก่อนเทคโนโลยีที่ทุกคนอยากโยนความผิดให้ และปล่อยให้ต้นทุนของแคมเปญที่เจาะจง AI อยู่ในรูปของวลีแทนที่จะเป็นตัวเลข

สิ่งที่อาจเปลี่ยนภาพรวมได้คือการวัดจากภายนอกในช่วงเวลาเดียวกัน เช่น CERT ระดับชาติที่เผยแพร่การแจกแจงระยะเวลาตั้งแต่ PoC จนถึงการนำช่องโหว่ไปใช้จริงของตนเอง หรือหน่วยงานกำกับดูแลที่กำหนดให้ต้องมีข้อมูลเวลาของเหตุการณ์ ไม่มีข้อมูลลักษณะใด ๆ เช่นนั้นปรากฏในแหล่งข้อมูลที่ตรวจสอบในการนี้ จนกว่าจะมี หน้าต่าง 48 ชั่วโมงก็เป็นเพียงมุมมองของบริษัทแห่งหนึ่งต่อข้อมูลเทเลเมตรีของตนเอง ซึ่งเผยแพร่เมื่อวันที่ 3 สิงหาคม 2026 และได้รับการยืนยันจากสำนักข่าวสามแห่งที่ตีความข้อมูลนั้นไปในทางเดียวกัน

การนับเวลาเริ่มต้นตั้งแต่ขั้นพิสูจน์แนวคิด ไม่ใช่ตอนแพตช์

React2Shell: ลีด 800 ราย, ผู้เสียหาย 80 ราย, สี่วัน

ผลการค้นพบของ AI และรายการที่ไม่มีหมายเลขกำกับ

สิ่งที่รายงานกล่าวซึ่งขัดกับพาดหัวของตัวรายงานเอง

สิ่งที่การรายงานข่าวอิสระนำเสนอ และสิ่งที่ไม่มีรายงานใดวัดได้

สิ่งที่บันทึกไม่มี

ผลิตภัณฑ์

ทรัพยากร

สำหรับผู้ให้บริการ

เข้าร่วมคอมมูนิตี้ของเรา

จากบล็อก

ผู้ให้บริการโมเดล