รายงาน AI ปี 2026 ของ Mandiant: บิล 50,000 ดอลลาร์ของเอเจนต์ที่หลุดการควบคุม และการบุกรุกที่ได้รับความช่วยเหลือจาก AI

รายงานของ MandiantAI Risk and Resilience 2026 ฉบับที่เผยแพร่บน Google Cloud ในเดือนกันยายน 2026 และถูกนำเสนอในสัปดาห์เดียวกันโดย Help Net Security, The Hacker News และ SecurityBrief อธิบายถึงกรณีที่เข้าไปดำเนินการสามกรณีซึ่ง AI เป็นกลไกมากกว่าเป็นเป้าหมาย: เซสชันผู้ช่วยเขียนโค้ด AI ที่ถูกยึดซึ่งแพร่ Shai-Hulud worm ไปทั่วรีโพซิทอรีภายในประมาณ 100 แห่งที่ผู้ให้บริการซอฟต์แวร์เป็นบริการซึ่งไม่ระบุชื่อ; ข้อมูลรับรอง CI/CD ที่ถูกเจาะซึ่งผู้บุกรุกเปลี่ยนให้เป็นศูนย์กลางการโจมตีที่ใช้ AI ช่วยภายในบริษัทด้านการดูแลสุขภาพ และขโมยข้อมูลรับรองออกไปหลายพันรายการ; และเอเจนต์บัญชีที่ทำให้ค่าใช้จ่ายพุ่งขึ้นประมาณ $50,000 ในค่าใช้จ่ายคลาวด์ ภายในเวลาไม่ถึงหนึ่งชั่วโมง หลังจากค่า null ที่เสียหายทำให้เครื่องมือชิ้นหนึ่งของมันพัง จนทำให้ฐานข้อมูลการเรียกเก็บเงินถูกล็อกและหยุดธุรกรรมที่กำลังดำเนินอยู่ ไม่มีผู้โจมตีเกี่ยวข้องในกรณีที่สาม บันทึกที่บทความนี้อ้างอิง และรายการที่จัดเก็บไว้โดยรอบบันทึกดังกล่าว อยู่ใน คลังเหตุการณ์ AI ซึ่งระบุแหล่งที่มา ระดับความรุนแรง ระดับความเชื่อมั่น และธงข้อโต้แย้งของแต่ละรายการไว้

เอกสารนี้เป็นเอกสารประเภทใด

รายงานนี้มีชื่อว่า "ความเสี่ยงและความยืดหยุ่นของ AI ในปี 2026: รายงานพิเศษจาก Mandiant" บนหน้าทรัพยากรด้านความปลอดภัยของ Google Cloud และเป็นเอกสารเผยแพร่จากผู้ให้บริการ มากกว่าจะเป็นการเปิดเผยเหตุละเมิดข้อมูล กรณีศึกษาในรายงานมาจากภารกิจตอบสนองเหตุการณ์ของ Mandiant และจากการประเมินโดยทีม Offensive Security ของบริษัท โดยองค์กรต่าง ๆ ถูกระบุเพียงภาคธุรกิจเท่านั้น ได้แก่ ผู้ให้บริการซอฟต์แวร์แบบบริการ องค์กรด้านการดูแลสุขภาพระดับโลก และผู้ให้บริการบริการทางการเงินสำหรับองค์กรระดับโลก ไม่มีการระบุชื่อเหยื่อ ไม่มีวันที่ของการบุกรุก และไม่มีคำแถลงของเหยื่อประกอบกับกรณีใดในสามกรณีนี้

สิ่งนี้กำหนดว่าตัวเลขเหล่านั้นควรอ่านอย่างไร ตัวเลขทุกตัวในรายงานนี้มีที่มาจากนักสืบสวนของ Mandiant เอง บันทึก Frontier Ready ของ Cloud Security Alliance ลงวันที่ 16 กันยายน ระบุว่าค่าใช้จ่ายประมาณ 50,000 ดอลลาร์และปริมาณการเรียก 15,000 ครั้งเป็น "ข้อมูลที่รายงานเอง (ตัวชี้วัดของผู้ให้บริการ)" และกล่าวว่า "ยังไม่ได้รับการตรวจสอบอย่างอิสระ" — ซึ่งเป็นคำอธิบายที่เหมาะสมสำหรับรายงานทั้งหมด เนื่องจากรายงานไม่ได้เผยแพร่ข้อมูลเทเลเมทรีจากบุคคลที่สามใด ๆ ให้ตรวจสอบเทียบเคียง คลังเก็บข้อมูลจัดรายการนี้เป็นบันทึกเชิงข้อมูล เป็นรายงานมากกว่าเหตุการณ์ที่มีการบันทึกความเสียหาย และให้ระดับความมั่นใจ A โดยไม่ทำเครื่องหมายว่าเป็นข้อโต้แย้ง ระดับดังกล่าวสะท้อนว่ารายงานนี้มีเอกสารประกอบครบถ้วนเพียงใด ไม่ได้สะท้อนว่าภายนอกได้ยืนยันเนื้อหาหรือไม่

รายงานฉบับนี้วางกรอบของตนเองว่า ในปี 2026 ฝ่ายตรงข้ามเปลี่ยนจากการขอให้แชตบอตช่วยค้นคว้า ไปสู่การปล่อยให้ระบบเอเจนต์รับหน้าที่บางส่วนของการบุกรุก Mandiant กล่าวว่า Google Threat Intelligence Group (GTIG) พบผู้เล่นติดตั้งเครื่องมืออัตโนมัติ รวมถึง Hexstrike และ Strix เพื่อการสำรวจและเก็บเกี่ยวข้อมูลรับรอง และสร้างรีเลย์พร็อกซีและไปป์ไลน์การลงทะเบียนอัตโนมัติเพื่อหลบเลี่ยงแนวป้องกันและข้อจำกัดด้านการเรียกเก็บเงินบนแพลตฟอร์ม AI เชิงพาณิชย์ รายงานอ้างถึงการนำทักษะเอเจนต์ OpenClaw ไปใช้เป็นอาวุธในเดือนกุมภาพันธ์ซึ่ง VirusTotal บันทึกไว้, การถูกบุกรุกในห่วงโซ่อุปทานในเดือนมีนาคมซึ่ง Mandiant ระบุว่าเป็นฝีมือของผู้เล่นที่ตนติดตามในชื่อ UNC6780 และผู้ติดตามรายอื่นเรียกชื่อว่า TeamPCP, และการเปิดเผยในเดือนพฤษภาคมซึ่ง GTIG อธิบายว่าเป็นกรณีแรกที่ได้รับการยืนยันต่อสาธารณะของอาชญากรไซเบอร์ที่ใช้ช่องโหว่ zero-day ซึ่งพัฒนาโดย AI โดยช่องโหว่นั้นหลบเลี่ยงการยืนยันตัวตนสองขั้นตอนในเครื่องมือผู้ดูแลระบบแบบโอเพนซอร์สยอดนิยม

กรณีที่หนึ่ง: ผู้ช่วยแนะนำแพ็กเกจ

ในกรณีแรก ผู้โจมตีได้บุกรุกผู้ให้บริการซอฟต์แวร์แบบบริการ (software-as-a-service) แล้วเข้าควบคุมเซสชันผู้ช่วยเขียนโค้ดด้วย AI ที่กำลังใช้งานอยู่บนเวิร์กสเตชันของนักพัฒนา Mandiant อธิบายว่าผู้ช่วยดังกล่าว "ทำงานในฐานะอินเทอร์พรีเตอร์ที่เชื่อถือได้ภายในสภาพแวดล้อม": มันแนะนำให้ติดตั้งแพ็กเกจซอฟต์แวร์ภายนอกที่ผู้โจมตีได้วางยาพิษไว้แล้ว และนักพัฒนาได้ยอมรับคำแนะนำนั้น รายงานระบุว่าผู้ช่วย "ทำหน้าที่เป็นม้าโทรจันโดยไม่ตั้งใจ"

จากการติดตามเซสชันสด ผู้โจมตีได้ติดตั้งตัวขโมยข้อมูล (infostealer) ผ่านแพ็กเกจ PyPI ที่ถูกวางยาพิษ และเก็บเกี่ยวโทเค็น OAuth ของ GitHub ของนักพัฒนา จากนั้นหนอน Shai-Hulud ที่แพร่กระจายตัวเองได้เคลื่อนตัวไปทั่วพื้นที่เก็บโค้ดภายในราว 100 แห่ง โดยทำautomateการขโมยความลับในที่เก็บโค้ดและการลักลอบส่งข้อมูลซอร์สโค้ดผลิตภัณฑ์ที่เป็นกรรมสิทธิ์ออกไปโดยอัตโนมัติ ผู้โจมตียังได้วางยาพิษแพ็กเกจภายในเนมสเปซอย่างเป็นทางการขององค์กร และพนักงานคนที่สองได้ดึงเวอร์ชันที่ถูกบุกรุกไปใช้งาน — ซึ่งเป็นการติดเชื้อในระดับปลายน้ำที่ตามคำชี้แจงของ Mandiant ไม่จำเป็นต้องมีการดำเนินการใด ๆ เพิ่มเติมจากผู้บุกรุก

สิ่งที่รายงานไม่ได้ระบุคือว่าเหตุการณ์ใดเหตุการณ์หนึ่งเหล่านี้เกิดขึ้นเมื่อใด หรือผู้โจมตีเข้าควบคุมเซสชันของผู้ช่วยได้อย่างไรตั้งแต่แรก Hacker News ซึ่งรายงานกรณีศึกษานี้เมื่อวันที่ 16 กันยายน ตั้งข้อสังเกตถึงการละเว้นทั้งสองประการนี้ บันทึกการวิจัยของ Cloud Security Alliance ลงวันที่ 18 กันยายนเกี่ยวกับกรณีนี้เรียกเส้นทางการเข้าถึงเริ่มต้นว่าเป็น "คำถามเปิดที่สำคัญที่สุดของกรณีศึกษา" และตั้งข้อสังเกตว่ามาตรการควบคุมที่ Mandiant แนะนำนั้น addressing ว่าการติดเชื้อสามารถลุกลามได้ไกลเพียงใด ไม่ใช่การที่เซสชันถูกยึดไปได้อย่างไร

มาตรการควบคุมของ Mandiant สำหรับกรณีนี้มีสามข้อ และระบุเจาะจงถึงความล้มเหลว: บังคับใช้ hook ตรวจสอบใน IDE และ CLI ที่ตรวจสอบทุก dependency บุคคลที่สามที่ AI แนะนำ เทียบกับ checksum เชิง cryptographic และ allowlist ที่อนุมัติแล้ว; เก็บ API key แบบดิบ โทเค็น OAuth อายุยาว และความลับอื่น ๆ ให้พ้นจากความสามารถเข้าถึงของส่วนขยาย; และจำกัดการส่งออกเครือข่ายของเวิร์กสเตชัน เพื่อให้ทราฟฟิกของ dependency ถูกส่งผ่านเฉพาะคลังเก็บภายในที่ควบคุมได้

กรณีที่สอง: ข้อมูลรับรอง CI/CD ที่กลายเป็นศูนย์กลางการดีบักร่วมด้วย AI

กรณีที่สองเป็นการสอบสวนระบบคลาวด์ระดับองค์กรในองค์กรด้านสุขภาพระดับโลก Mandiant สืบย้อนกิจกรรมผิดปกติไปยังข้อมูลรับรอง CI/CD ของนักพัฒนาที่มีอายุการใช้งานยาวนานและถูกบุกรุก ซึ่งผู้บุกรุกใช้เพื่อสร้างอินสแตนซ์ VM ที่ไม่ได้แยกโดด และเปลี่ยนให้เป็นศูนย์ปฏิบัติการโจมตีที่ใช้งานจริง แทนที่จะสร้างเครื่องมือแบบออฟไลน์ ผู้โจมตีได้เชื่อมต่อโมเดลภาษาขนาดใหญ่เข้ากับเซิร์ฟเวอร์ที่กำลังทำงานโดยตรง และทำการวนซ้ำกับโมเดลเหล่านั้นในสภาพแวดล้อมเดิม

Mandiant อธิบายเวิร์กโฟลว์สามระยะ ขั้นแรกคือการเตรียมบริบท (context priming): แพ็กเกจโค้ดที่ซิงโครไนซ์ผ่านเซสชันระยะไกล และไฟล์ README ของโปรเจกต์ที่โหลดเข้าสู่บริบทแชตของโมเดล เพื่อชี้นำการสร้างโค้ดในภายหลังให้มุ่งไปยังเป้าหมายของแคมเปญ จากนั้นคือการดีบักแบบโต้ตอบ: ผู้โจมตีให้โมเดลสร้างเฟรมเวิร์กสำหรับเก็บรวบรวมข้อมูลแบบหลายเวิร์กเกอร์ และร่วมแก้ไขข้อผิดพลาดเชิงตรรกะเกี่ยวกับการแยกสคริปต์กับโมเดล โดยเพิ่มความถี่ในการส่งข้อมูลออก (exfiltration) เป็นรอบละสามชั่วโมง สุดท้ายคือการหลบหลีกและการใช้ประโยชน์: โมเดลเขียนสคริปต์หมุน IP แบบไดนามิกเพื่อสลับที่อยู่เซิร์ฟเวอร์ที่อยู่ในบล็อกลิสต์แบบทันที และร่วมพัฒนาเครื่องมือที่สร้างด้วย Rust สำหรับเข้าสู่ระบบบัญชีเหยื่อและตรวจสอบยอดเงินทางการเงิน

แมนเดียนท์ (Mandiant) กล่าวว่าแคมเปญนี้ทำให้ข้อมูลรับรองหลายพันรายการถูกบุกรุก และส่งออก API key ที่เก็บรวบรวมได้กับความลับทางการเงินไปยังคลังเก็บข้อมูลที่ผู้โจมตีควบคุมอยู่ รายงานไม่ได้ระบุว่าบัญชีของใครคือเป้าหมายของเครื่องมือ Rust นี้ ยอดเงินทางการเงินที่ตรวจสอบนั้นเป็นของใคร หรือเกิดอะไรขึ้นกับข้อมูลรับรองเหล่านั้นในภายหลัง ไม่มีการกล่าวถึงข้อมูลผู้ป่วยที่ใดเลยในกรณีศึกษา

การควบคุมที่แนะนำเป็นไปตามข้อมูลรับรองมากกว่าตัวโมเดล: แทนที่คีย์การเข้าถึงที่มีอายุยาวด้วยความสัมพันธ์ความไว้วางใจแบบ Workload Identity Federation ที่มีอายุสั้นโดยใช้ OIDC; จำกัดการส่งออกข้อมูล (egress) ด้วย VPC Service Controls เพื่อให้สภาพแวดล้อมรันไทม์และสภาพแวดล้อมการพัฒนไม่สามารถเข้าถึงผู้ให้บริการโมเดลภายนอกที่ไม่ได้รับอนุมัติได้; รันการสแกน secrets อย่างต่อเนื่องทั่วเวิร์กสเปซ; และวางไฟร์วอลล์พรอมต์ขณะรันไทม์ เช่น Model Armor ไว้ในเส้นทางเพื่อสกัดกั้นข้อมูลรับรองที่ฝังตายตัวและบล็อกสคริปต์ยูทิลิตีที่ใช้โจมตีขณะทำงาน

กรณีที่สาม: เอเจนต์ที่ใช้เงิน 50,000 ดอลลาร์ภายในเวลาไม่ถึงหนึ่งชั่วโมง

กรณีที่สามไม่มีผู้โจมตี ผู้ให้บริการบริการทางการเงินสำหรับองค์กรระดับโลกได้นำเอเจนต์ไปใช้งานเพื่อกระทบยอดความผิดปกติในบัญชีแยกประเภทของตน และให้สิทธิ์การอ่านและเขียนแก่ฐานข้อมูลการเรียกเก็บเงินภายใน ค่า null ที่เสียหายทำให้เครื่องมือจัดรูปแบบของเอเจนต์ใช้งานไม่ได้ และเอเจนต์ตอบสนองโดยเข้าสู่วงจรการให้เหตุผลแบบเรียกซ้ำโดยไม่มีข้อจำกัด ซึ่ง Mandiant เรียกเช่นนั้น เพื่อแก้ไขด้วยวิธี brute-force

ภายในเวลาไม่ถึงหนึ่งชั่วโมง มันได้ส่งคำขอเรียก API สำหรับการให้เหตุผล (reasoning) ที่มีความถี่สูงและมีค่าใช้จ่ายสูงมากกว่า 15,000 ครั้ง ทำให้ค่าใช้จ่ายระบบคลาวด์พุ่งสูงขึ้นอย่างฉับพลันราว $50,000 ลูปเดียวกันยังทำให้เกิดการล็อกฐานข้อมูลภายในเครื่องอย่างรุนแรง ซึ่งหยุดชะงักธุรกรรมทางธุรกิจที่กำลังดำเนินอยู่ Mandiant จัดประเภทกรณีนี้ไว้ภายใต้ “denial-of-wallet” และแนวทางแก้ไขที่แนะนำเป็นเรื่องเชิงปฏิบัติการมากกว่าระดับโมเดล ได้แก่ การกำหนดเพดานการใช้จ่าย การจำกัดการเรียกซ้ำแบบมีขอบเขต และ circuit breaker เพื่อหยุดเอเจนต์ที่ล้มเหลวในงานเดิมซ้ำๆ

รายงานไม่ได้ระบุว่าการเรียกเก็บเงินนั้นได้รับการชำระ ได้รับเครดิตคืน หรือถูกโต้แย้งหรือไม่ ธุรกรรมถูกระงับนานเท่าใด ลูกค้าได้รับผลกระทบหรือไม่ หรือบริษัทเปลี่ยนแปลงอะไรในภายหลัง ทั้งยังไม่ระบุวันที่อีกด้วย บทสรุปรวบรวมข่าววันที่ 18 กันยายนของ SecurityWeek จัดเรื่องนี้ไว้ภายใต้สิ่งที่รายงานชี้ว่าเป็นหมวดหมู่ความเสี่ยงทางการเงินรูปแบบใหม่ แทนที่จะเป็นการบุกรุกแบบทั่วไป

การควบคุมที่ Mandiant เสนอจึงเป็นมาตรการทางการเงินที่สอดคล้องกัน ได้แก่ นิยามการเข้าถึงตามตัวตนและตามบทบาทสำหรับเอเจนต์ เกณฑ์เพดานต้นทุนและการเฝ้าติดตามในฐานะกลไกกำกับดูแล รวมถึงกลไกตัดวงจรทางการเงินอัตโนมัติที่หยุดเอเจนต์หลังจากงานล้มเหลวติดต่อกันตามจำนวนที่กำหนด ในระดับบริการและระดับโปรเจกต์ แนะนำให้ใช้เพดานทางการเงินแบบตายตัว ขีดจำกัดการเรียกซ้ำแบบมีขอบเขต และขีดจำกัดอัตรา เพื่อให้ลูปการแก้ไขตนเองถูกจำกัดก่อนที่จะกลายเป็นเหตุขัดข้อง

สิ่งใดที่ยืนยันแล้ว สิ่งใดที่อ้างอิงมา และสิ่งใดที่ไม่เปิดเผย

ยืนยันแล้ว Mandiant เผยแพร่รายงานนี้ และรายงานกล่าวถึงสิ่งที่สรุปไว้ข้างต้น สื่อเฉพาะทางสี่สำนักรายงานเรื่องนี้ภายในระยะเวลาห่างกันสามวัน — Help Net Security และ The Hacker News เมื่อวันที่ 16 กันยายน, SecurityBrief UK เมื่อวันที่ 17 กันยายน และ SecurityWeek เมื่อวันที่ 18 กันยายน — และเนื้อหาที่พวกเขารายงานตรงกับรายงานในทุกตัวเลขที่พวกเขายกมา Cloud Security Alliance เผยแพร่บันทึกการวิจัยแยกต่างหากเกี่ยวกับกรณีแรกเมื่อวันที่ 18 กันยายน โดยตีความกลไกของกรณีนี้ไปในทางเดียวกัน และมีข้อสรุปเดียวกันเกี่ยวกับสิ่งที่ Mandiant ละเว้นไว้

ระบุที่มา แต่ยังไม่ได้รับการตรวจสอบอย่างอิสระ ตัวเลขเฉพาะเหล่านี้เป็นของ Mandiant: ประมาณ 100 รีโพซิทอรี ข้อมูลรับรองหลายพันรายการ รอบการขโมยข้อมูลสามชั่วโมง การเรียกใช้การให้เหตุผลมากกว่า 15,000 ครั้ง ประมาณ 50,000 ดอลลาร์ และใช้เวลาน้อยกว่าหนึ่งชั่วโมง ไม่มีสำนักข่าวใดเผยแพร่ข้อมูลเทเลเมทรีจากเหยื่อทั้งสามราย และไม่มีใครระบุชื่อเหยื่อทั้งสามราย การยืนยันที่มีอยู่เป็นการยืนยันเนื้อหาของรายงาน ไม่ใช่การยืนยันเหตุการณ์ ความแตกต่างนี้คือทั้งหมดที่ผู้อ่านสามารถพึ่งพาได้ในที่นี้ และระดับความเชื่อมั่นของคลังข้อมูลก็ควรตีความในลักษณะเดียวกันด้วย

ไม่เปิดเผย รายงานไม่ได้ระบุวันที่สำหรับภารกิจทั้งสามรายการ ชื่อผู้เสียหาย หรือรายละเอียดว่าเซสชันผู้ช่วยในกรณีแรกถูกยึดครองได้อย่างไร รายงานไม่ได้กล่าวถึงว่าโทเค็น GitHub OAuth และความลับของรีพอซิทอรีที่ถูกเก็บรวบรวมมานั้นถูกเพิกถอนหรือไม่ ข้อมูลรับรองหลายพันรายการจากกรณีที่สองถูกนำไปใช้หรือรีเซ็ตหรือไม่ ผู้มีข้อมูลส่วนบุคคลขององค์กรด้านสุขภาพได้รับผลกระทบหรือไม่ ค่าบริการของตัวแทนบัญชีได้รับการชดใช้คืนหรือไม่ หรือองค์กรทั้งสามแห่งเปลี่ยนแปลงสิ่งใดหลังเหตุการณ์ บทความนี้ไม่พบคำแถลงของผู้เสียหาย ประกาศของหน่วยงานกำกับดูแล หรือรายงานติดตามผลที่เผยแพร่ตั้งแต่ 16 กันยายนซึ่งเติมเต็มช่องว่างเหล่านั้น

จุดที่ขอบเขตความครอบคลุมแตกต่างกัน บันทึกของ Cloud Security Alliance อธิบายว่าการติดเชื้อครั้งที่สองในกรณีแรกแพร่กระจายผ่านเนมสเปซ npm ของบริษัทเอง ข้อความของ Mandiant ระบุเพียงว่า "แพ็กเกจหนึ่งภายในเนมสเปซอย่างเป็นทางการขององค์กร" และไม่ได้ระบุระบบนิเวศ ณ จุดนั้น การตีความว่าเป็น npm จึงเป็นการเพิ่มเติม มิใช่การอ้างอิงคำพูด ในอีกด้านหนึ่ง The Hacker News ระบุชัดเจนว่าหนอนในกรณีนี้ไม่มีหลักฐานที่มีอยู่ที่เชื่อมโยงกับหนอน npm ในเดือนสิงหาคมซึ่งฝังฮุกสำหรับผู้ช่วยเขียนโค้ด หรือกับสายพันธุ์ Shai-Hulud ที่พบว่าสแกน 469 ตำแหน่งเพื่อหาข้อมูลรับรอง — ชื่อตระกูลเดียวกัน แต่เป็นแคมเปญที่แยกจากกัน โดยไม่มีหลักฐานในบทความที่เชื่อมโยงทั้งสอง

สิ่งที่รายงานระบุว่าควรเปลี่ยนแปลง

คำแนะนำของ Mandiant ปรากฏซ้ำในกรณีศึกษาต่างๆ ของรายงาน: ย้ายออกจากข้อมูลรับรองที่อายุการใช้งานยาวนานและบัญชีบริการ ไปสู่ตัวตนที่ผูกกับเวิร์กโหลดและมีอายุการใช้งานสั้นโดยการออกแบบ; ปฏิบัติต่อผู้ช่วยเขียนโค้ด AI และเซิร์ฟเวอร์ MCP ในฐานะเซสชันที่มีสิทธิ์พิเศษ ซึ่งส่วนขยายและ CLI hooks ได้รับการตรวจสอบก่อนการเรียกใช้งาน; ล้อมกรอบเวิร์กโหลดของเอเจนต์ด้วยขอบเขตเครือข่ายที่บล็อกการส่งออกไปยังผู้ให้บริการโมเดลที่ไม่ได้รับอนุมัติ; และติดตั้งเครื่องมือตรวจวัดการใช้โทเค็น การเรียก API ข้ามแอปพลิเคชัน และการเข้าถึงสินทรัพย์ที่ละเอียดอ่อนของเอเจนต์ เพื่อให้การอ่านครั้งแรกของที่เก็บข้อมูลที่ละเอียดอ่อนปรากฏเป็นสัญญาณ แทนที่จะกลมกลืนไปกับทราฟฟิกของเครื่องมือที่ชอบด้วยกฎหมาย

ในแง่ต้นทุน รายงานฉบับนี้ขีดเส้นแบ่งระหว่างธรรมาภิบาลของ AI กับธรรมาภิบาลสำหรับ AI กล่าวคือ ด้านหนึ่งคือนโยบายที่กำหนดระดับความเสี่ยงที่ยอมรับได้และกฎเกณฑ์การจัดซื้อจัดจ้าง อีกด้านหนึ่งคือขีดจำกัดทางเทคนิคที่บังคับใช้จริง เอเจนต์ด้านบัญชีคือตัวอย่างในรายงานของความล้มเหลวในรูปแบบที่สองนี้ ตามคำอธิบายของ Mandiant ไม่มีสิ่งใดเลยในการติดตั้งใช้งานที่จำกัดวงรอบการทำงานไว้ และมาตรการควบคุมที่จะตรวจจับมันได้ อันได้แก่ การกำหนดเพดาน การจำกัดอัตราการเรียกใช้ และเซอร์กิตเบรกเกอร์ ล้วนเป็นมาตรการธรรมดา ๆ ที่นำมาใช้กับภาระงานที่ผิดปกติ

ทั้งสามกรณีไม่ได้มีสาเหตุร่วมกัน กรณีหนึ่งเป็นปัญหาด้านความไว้วางใจ ซึ่งคำแนะนำของผู้ช่วยถูกตีว่ามีน้ำหนักเทียบเท่ากับคำแนะนำของเพื่อนร่วมงาน กรณีหนึ่งเป็นปัญหาด้านข้อมูลรับรองที่มีอยู่ก่อนโมเดลใด ๆ โดยที่โมเดลทำให้การบุกรุกเร็วขึ้นและปรับตัวได้มากขึ้นเมื่อเข้ามาอยู่ภายในแล้ว อีกกรณีหนึ่งไม่ใช่ทั้งสองอย่างนี้: ไม่มีผู้โจมตี ไม่มีการใช้ช่องโหว่ มีเพียงเอเจนต์ที่ได้รับสิทธิ์เขียนลงบัญชีแยกประเภท และไม่มีเพดานว่ามันจะใช้จ่ายได้มากแค่ไหนเพื่อซ่อมเครื่องมือที่เสีย สิ่งที่ทั้งสามกรณีมีร่วมกันคือ ในแต่ละกรณี ระบบ AI มีอำนาจที่ไม่มีใครกำหนดขอบเขตไว้ — อำนาจในการแนะนำ ในการปรับเปลี่ยนการตั้งค่า ในการพยายามต่อไป