AI กลายเป็นพื้นผิวการโจมตีในปี 2025 ในปี 2026 เราจะทำให้การป้องกันฟรี

Prompt injection ตอนนี้เป็นความเสี่ยงอันดับ 1 ต่อแอปพลิเคชัน LLM — และไม่สามารถแพตช์ได้ วันนี้ OrcaRouter Security Research เปิดให้ผู้ใช้ทุกคนใช้ Agent Firewall และ Input/Output Guardrails ของเราได้ฟรี: API key เดิม สวิตช์เดียวในคอนโซลของคุณ ไม่ต้องแก้โค้ด นี่คือภูมิทัศน์ภัยคุกคามที่ทำให้มันเป็นสิ่งที่เลี่ยงไม่ได้ — และสถาปัตยกรรมที่ควบคุมมันไว้ ตำแหน่งที่มาตรการควบคุมสามารถวางได้จริงในสแต็ก และสิ่งที่แต่ละเลเยอร์จับได้และจับไม่ได้ มีระบุไว้ในคู่มือของเราเกี่ยวกับ การทำ Blue Teaming ด้วย AI.

โดย OrcaRouter Security Research · มิถุนายน 2026

ในเดือนมิถุนายน 2025 ผู้โจมตีขโมยข้อมูลองค์กรจาก Microsoft 365 Copilot เหยื่อไม่ได้ทำอะไรผิด พวกเขาไม่ได้คลิกลิงก์ เปิดไฟล์แนบ หรืออนุมัติคำขอ พวกเขาได้รับอีเมล ผู้ช่วย AI ของพวกเขาอ่านในภายหลัง — และปฏิบัติตามคำแนะนำที่ซ่อนอยู่ภายใน ห่วงโซ่ดังกล่าว ซึ่งถูกเปิดเผยโดย Aim Security ว่าเป็น EchoLeak (CVE-2025-32711), รวบรวมบริบทที่ละเอียดอ่อนจากอีเมล ไฟล์ และประวัติการแชท และลักลอบนำออกผ่าน URL รูปภาพที่โหลดอัตโนมัติ ไม่ต้องคลิกเลย

EchoLeak ไม่ใช่เหตุการณ์ที่ผิดปกติ แต่เป็นตัวอย่างที่บอกล่วงหน้า หนึ่งปีต่อมา เราสามารถพูดอย่างชัดเจนว่าบันทึกเหตุการณ์สาธารณะในตอนนี้แสดงให้เห็นว่า: ระบบ AI ของคุณคือพื้นที่การโจมตีของคุณ และองค์กรส่วนใหญ่ไม่สามารถมองเห็นการโจมตีที่เกิดขึ้นกับพวกเขาได้ วันนี้เรากำลังเผยแพร่ The AI Threat Report 2026 และควบคู่ไปกับมัน กำลังปล่อยตัวควบคุมสองตัวที่เราสร้างขึ้นเพื่อยับยั้งการโจมตีเหล่านี้ — ฟรี ที่เกตเวย์ สำหรับผู้ใช้ OrcaRouter ทุกคน

ปีที่การโจมตีกลายเป็นแบบอัตโนมัติ — และการรั่วไหลกลายเป็นแบบอุตสาหกรรม

บันทึกเหตุการณ์ในปี 2026 ดูเหมือนเป็นการทดสอบความเครียดต่อทุกสมมติฐานที่ความปลอดภัยขององค์กรถูกสร้างขึ้นมา:

- แชทและถาม AI เหลือประมาณ ข้อความแชทส่วนตัว 300 ล้านข้อความจากผู้ใช้มากกว่า 25 ล้านคน ถูกเปิดเผยผ่านการกำหนดค่า Firebase ที่ผิดพลาด (404 Media; Malwarebytes, ม.ค. 2026).

- Sears Home Services ถูกเปิดเผย 3.7 ล้านบันทึกการสนทนา AI และบันทึกการโทร — ชื่อ ที่อยู่ อีเมล — ครอบคลุมช่วงปี 2024–2026 (ExpressVPN; Cybernews, มีนาคม 2026).

- ผู้โจมตีใช้ช่องโหว่ CVE เพียงตัวเดียว (CVE-2026-39987 ในเครื่องมือ marimo notebook) ไปยัง LLM agent แบบสด ที่ดึงข้อมูลรับรองคลาวด์, ดึงคีย์ SSH จาก AWS Secrets Manager, และขโมยข้อมูล ฐานข้อมูล PostgreSQL ภายในทั้งหมดภายในเวลาไม่ถึงสองนาที (Sysdig; The Hacker News, May 2026).

- ไมโครซอฟท์และเซลส์ฟอร์ซทั้งคู่ได้ออกแพตช์สำหรับช่องโหว่การรั่วไหลของข้อมูลของ AI agent ในCVE-2026-21520, ฟิลด์ SharePoint ที่เป็นพิษทำให้ Copilot ส่งอีเมลข้อมูลลูกค้าไปยังผู้โจมตี — และข้อมูลที่ถูกส่งออกไปแม้หลังจากที่กลไกความปลอดภัยแจ้งเตือนการโจมตีแล้ว (Dark Reading).

เศรษฐศาสตร์ที่อยู่เบื้องหลังพาดหัวเหล่านี้กลับตาลปัตรเข้าข้างผู้โจมตี การวัดและส่งข้อมูลทางไกลจากแอปพลิเคชัน LLM ในเชิงการผลิตแสดงให้เห็นว่าโดยเฉลี่ยแล้วการโจมตีที่สำเร็จจะใช้เวลาเสร็จสิ้นใน 42 วินาที, โดยมี 90% ของการโจมตีเหล่านั้นทำให้ข้อมูลที่ละเอียดอ่อนรั่วไหล (Pillar Security). 13% ขององค์กรถูกเจาะผ่านโมเดลหรือแอปพลิเคชัน AI แล้ว — และ 97% ของเหล่านั้นขาดการควบคุมการเข้าถึง AI ขั้นพื้นฐาน (IBM, 2025). รายงานสรุปของ OWASP ในไตรมาสที่ 1 ปี 2026 ได้ระบุตัวเลขของแนวโน้ม: การโจมตีแบบ prompt-injection เพิ่มขึ้น 340% เมื่อเทียบปีต่อปี

และประเภทความเสียหายแบบใหม่ไม่จำเป็นต้องมีการละเมิดใดๆ เลย Denial-of-wallet — เอเจนต์ที่ถูกแย่งชิงหรือหลุดควบคุมที่เพียงแค่ ใช้จ่าย — ได้ถูกพบว่าสูญเสีย 46,000 ดอลลาร์ต่อวัน (Sysdig, "LLMjacking") ไม่มีข้อมูลถูกขโมย มีเพียงบิลเท่านั้น

ทำไมสแต็กปัจจุบันของคุณถึงไม่เห็นอะไรเลย

ความมั่นคงแบบดั้งเดิมถือว่ามีขอบเขต: ภายในเชื่อถือได้ ภายนอกไม่น่าเชื่อถือ มีการควบคุมที่รอยต่อ โมเดลภาษาทำลายขอบเขตนั้น เพราะ อินพุตของโมเดลก็คือการเขียนโปรแกรมของมันเช่นกัน ทุกอีเมล เอกสาร เว็บเพจ และผลลัพธ์จากเครื่องมือที่เอเจนต์อ่านสามารถพกพาคำสั่งที่มันจะทำตาม ไม่มีกลไกทั่วไปที่เชื่อถือได้ซึ่งโมเดลในปัจจุบันสามารถแยก เนื้อหาที่จะประมวลผล จาก คำสั่งที่ต้องปฏิบัติตาม.

นั่นคือเหตุผลที่ prompt injection ครองอันดับที่ #1 ใน OWASP Top 10 for LLM Applications — และเหตุผลที่มันจะไม่ถูก "แก้ไข" แบบเดียวกับที่ buffer overflow ถูกแก้ไข มันเป็นคุณสมบัติเชิงโครงสร้างของสื่อ ไฟร์วอลล์เว็บแอปพลิเคชันของคุณตรวจสอบคำขอและเห็นการเรียก API ที่ถูกต้องสมบูรณ์ การโจมตีอยู่ใน คำ. การตรวจสอบต่อคำขอของคุณผ่านทุกขั้นตอนของการโจมตีแบบลูกโซ่ เพราะความเสียหายอยู่ใน ลำดับ — ปริมาณ การทำซ้ำ และการใช้จ่ายเทียบกับเวลา — ไม่ใช่ในการเรียกใดเพียงครั้งเดียว.

ข้อสรุปนั้นไม่สบายใจแต่ชัดเจน: ความปลอดภัยของ AI ไม่ใช่ปัญหาการฝึกโมเดล แต่เป็นปัญหาสถาปัตยกรรม — และสามารถแก้ไขได้ด้วยวินัยเดียวกับที่องค์กรต่าง ๆ นำไปใช้กับระบบการผลิตอื่น ๆ ทุกระบบ.

การป้องกันเป็นเชิงสถาปัตยกรรม: สองระนาบ หกชั้น ที่เกตเวย์

การโจมตีทั้งหมดข้างต้นประสบความสำเร็จต่ออำนาจที่ไม่มีขอบเขต และล้มเหลวต่ออำนาจที่มีขอบเขต ถูกตรวจสอบ และถูกตรวจสอบบัญชี การกักขังพวกเขาต้องควบคุม ระนาบที่แตกต่างกันสองระนาบ:

ระนาบเนื้อหา — สิ่งที่โมเดลอ่านและเขียน นี่คือหน้าที่ของ Guardrails.

ระนาบการกระทำ — สิ่งที่เอเจนต์ ทำ: เครื่องมือที่มันเรียกใช้, เครือข่ายที่มันเข้าถึง, เงินที่มันใช้จ่าย. นี่คืองานของ Firewall.

ระบบป้องกันที่มองเพียงระนาบเดียวจะพลาดการโจมตีแบบลูกโซ่ที่สร้างพาดหัวข่าว เพราะเหตุการณ์ที่ก่อความเสียหายมากที่สุดมักข้ามผ่านทั้งสองระนาบ: การโจมตีแบบแทรกข้อมูล (injection) มาถึงในรูปแบบเนื้อหา จากนั้นก็ส่งผลกระทบเป็นการกระทำ OrcaRouter วางชั้นป้องกันอิสระที่ตรวจสอบได้ถึงหกชั้นระหว่างคำขอหนึ่งครั้งกับความเสียใจหนึ่งครั้ง:

1. ตัวตนที่ถูกจำกัดขอบเขต — ทุกเอเจนต์เรียกผ่านคีย์ของตัวเองซึ่งจะพกพาโมเดลที่อนุญาต รายการ IP ที่อนุญาต วงเงินใช้จ่ายสูงสุดแบบตายตัว และวันหมดอายุ คำขอที่อยู่นอกขอบเขตจะถูกปฏิเสธก่อนที่จะมีการอ่านเนื้อหาใดๆ

2. มาตรการป้องกันอินพุต — กฎการฉีดโค้ดและการโจมตีแบบ jailbreak, การตรวจจับและการปกปิดข้อมูลส่วนบุคคล (PII), การบล็อกความลับ, และผู้ตัดสิน LLM เชิงความหมายที่ตรวจจับสิ่งที่ regex ไม่สามารถทำได้

3. ไฟร์วอลล์การกระทำ — ทุกการเรียกเครื่องมือ, การส่ง MCP, และการออกเครือข่ายถูกตัดสินตามนโยบายที่เรียงลำดับและปฏิเสธโดยค่าเริ่มต้นด้วย คำตัดสินหกประการ: อนุญาต, ตรวจสอบ, ปฏิเสธ, ล้างข้อมูล (ปกปิดอาร์กิวเมนต์และดำเนินการ), รอการอนุมัติ (ระงับขั้นตอนที่ไม่สามารถย้อนกลับได้สำหรับมนุษย์), และ จำกัดต้นทุน (หยุดรันอย่างเด็ดขาดที่เพดานการใช้จ่าย). เอเจนต์ที่ถูกแฮ็กไม่สามารถเข้าถึงเครื่องมือ โฮสต์ หรือเงินดอลลาร์ที่คุณไม่เคยระบุได้.

4. แนวป้องกันผลลัพธ์ — คำตอบจะถูกตรวจสอบขณะส่งออกเพื่อหาผลลัพธ์ที่ไม่ปลอดภัย, PII, และความลับ พร้อมกับการตรวจสอบการอ้างอิง นี่คือชั้นที่ตรวจจับ URL การขโมยข้อมูลของ EchoLeak ก่อน ที่มันจะออกไป.

5. การตรวจจับความผิดปกติ — เกณฑ์พื้นฐานเชิงพฤติกรรมจะชี้ให้เห็นสิ่งที่กฎแบบคงที่ไม่อาจคาดการณ์ได้: การโทรซ้ำๆ กันในช่วงเวลาสั้นๆ, การใช้จ่ายที่พุ่งสูงเมื่อเทียบกับเกณฑ์พื้นฐานที่เรียนรู้มาจากชั่วโมงในแต่ละสัปดาห์, การเปลี่ยนเครื่องมือที่พื้นที่ทำงานไม่เคยทำมาก่อน.

6. การตรวจสอบที่มีลายเซ็น — ทุกการจับคู่ การตัดสิน การอนุมัติ และการเปลี่ยนแปลงนโยบาย จะถูกบันทึกในร่องรอยที่ป้องกันการแก้ไข โดยเชื่อมโยงกับการทำงานของเอเจนต์และเซสชัน และสามารถส่งออกเป็นหลักฐานได้

คุณสมบัติที่เด็ดขาดคือ การจัดวาง การควบคุมเหล่านี้อยู่ที่เกตเวย์ ในเส้นทางคำขอ ดังนั้นจึงผูกกับ ข้อมูลประจำตัวแทนที่จะเป็นโค้ดแอปพลิเคชัน — บังคับใช้ได้ในทุกทีมและเฟรมเวิร์ก โดยไม่ต้องเขียนเอเยนต์ใหม่.

เราไม่ให้คะแนนการบ้านของตัวเอง

การอ้างสิทธิ์ด้านความปลอดภัยมีค่าเท่ากับหลักฐานที่สนับสนุน ดังนั้นเราจึงนำเสนอของเราแบบเปิดเผย OrcaRouter's Guardrails and Firewall มาพร้อมกับชุดทดสอบประเมินผลที่ให้คะแนนพวกมันเทียบกับ คลังข้อมูลของทีมแดงแบบโอเพนซอร์สมากกว่า 80 รายการ — ทุกแหล่งที่มาถูกอ้างอิงและมีใบอนุญาต:

HarmBench(MIT; ICML 2024), JailbreakBench(NeurIPS 2024), และ AdvBench(Zou et al., 2023) สำหรับการทดสอบพฤติกรรมที่เป็นอันตรายและความทนทานต่อการหลบเลี่ยงการควบคุม;

garak ของ NVIDIA (Apache-2.0) ซึ่งเป็นเครื่องสแกนช่องโหว่ LLM แบบเปิด สำหรับการโจมตีแบบ injection และ encoding;

AgentDojo (NeurIPS 2024) — เกณฑ์มาตรฐานการโจมตีแบบ prompt-injection ของ agent ที่สถาบันความปลอดภัย AI ของสหรัฐฯ และสหราชอาณาจักรใช้ในการ red-teaming ร่วมกัน — เพื่อประเมินไฟร์วอลล์ action-plane โดยเฉพาะ;

TruthfulQA และอื่นๆ สำหรับการยึดโยงและภาพหลอน.

OrcaRouter เองได้รวมเครื่องมือโอเพนซอร์สโดยตรง: OSV สำหรับการตรวจสอบ CVE ของ dependencies และ Semgrep สำหรับโค้ดที่ส่งผ่าน prompt. ไม่มีกล่องดำ. ไม่มี "เชื่อเรา."

สร้างมาเพื่อการตรวจสอบที่กำลังจะมาถึง

เมื่อวันที่ 2 สิงหาคม 2026, พระราชบัญญัติ AI ของสหภาพยุโรปมีผลบังคับใช้อย่างสมบูรณ์ , และ "แสดงให้ฉันดู" เข้ามาแทนที่ "บอกฉัน" ในฐานะเกณฑ์มาตรฐานด้านกฎระเบียบ แนวโน้มด้านหลักฐานเดียวกันนี้กำลังแผ่ขยายไปยังขอบเขต SOC 2 แบบสอบถามประกันภัยไซเบอร์ และการตรวจสอบจัดซื้อจัดจ้าง OrcaRouter จัดส่ง ชุดกรอบการปฏิบัติตามข้อกำหนด 36 ชุด — รวมถึง OWASP LLM Top 10, NIST AI RMF, ISO/IEC 42001, EU AI Act, SOC 2, HIPAA, PCI DSS และ GDPR — ซึ่งทำให้การควบคุมเป็นรูปเป็นร่างในพื้นที่ทำงานของคุณและสร้างหลักฐานที่ลงนาม ชั้นควบคุมที่วางไว้อย่างดีเพียงชั้นเดียวจะสร้างการรับรองสำหรับทั้งหมดในคราวเดียว

วันนี้เปิดตัวอะไร — และทำไมถึงฟรี

OrcaRouter Firewall + Guardrails ตอนนี้ฟรีสำหรับผู้ใช้ทุกคน คีย์ API เดิม. สวิตช์เดียวในคอนโซลของคุณ. ไม่ต้องเปลี่ยนโค้ดเลย

เราทำให้มันฟรีโดยเจตนา ข้อมูลในรายงานชัดเจนในประเด็นนี้: การห้ามโดยไม่มีถนนลาดยางทำให้เกิดมากขึ้น AI เงา, ไม่ใช่น้อยลง — และ AI เงาก็กำลังขับเคลื่อน หนึ่งในห้าการละเมิดที่พรีเมียม $670,000 (IBM, 2025). วิธีแก้ที่ใช้ได้ผลเป็นทั้งทางเศรษฐกิจและทางเทคนิค: ทำให้เส้นทางที่ถูกควบคุมเป็นเส้นทางที่ง่ายที่สุด การควบคุมที่คุณต้องจ่ายเพิ่ม รวมเข้าเอง และชี้แจงต่อคณะกรรมการงบประมาณ คือการควบคุมที่ทีมส่วนใหญ่จะข้ามไป — และการข้ามไปนั้นคือวิธีที่องค์กรต้องมาอธิบายรายงานเหตุการณ์ที่รายงานนี้ได้อธิบายไว้ล่วงหน้า

ดังนั้นจึงไม่มีอะไรต้องบูรณาการและไม่มีอะไรต้องซื้อ คุณแนบนโยบาย Guardrails และ Firewall กับคีย์ที่คุณใช้อยู่แล้ว และทำตามการเปิดตัวที่ผ่านการทดสอบกับระบบผลิตจริง: สังเกตการณ์ (รันในโหมดตรวจสอบและให้ทราฟฟิกจริงของคุณเขียนค่าพื้นฐาน), เงา (รันนโยบายจริงในโหมดที่จะบล็อกจนกว่าผลบวกปลอมจะเข้าใกล้ศูนย์), จากนั้น บังคับใช้ (กลับคำตัดสินแบบเรียลไทม์ โดยสงวนการอนุมัติของมนุษย์สำหรับสิ่งที่เปลี่ยนแปลงไม่ได้จริงๆ). ทีมส่วนใหญ่เปลี่ยนภายในไม่กี่สัปดาห์ — และคงการควบคุมไว้.

สรุป

ภูมิทัศน์ภัยคุกคามปี 2026 ไม่ใช่เหตุผลที่จะชะลอการนำ AI มาใช้ มันคือคู่มือการปฏิบัติงานเพื่อเอาชีวิตรอดจากมัน ทุกการโจมตีในรายงานนี้เอาชนะอำนาจที่ไร้ขอบเขต และพ่ายแพ้ต่ออำนาจที่มีขอบเขต มีการควบคุม และมีการตรวจสอบ — และคุณสมบัตินั้นสามารถสร้างได้ในตอนนี้ ที่เกตเวย์ ภายในไม่กี่สัปดาห์ โดยไม่มีค่าใช้จ่าย

อ่านรายงานฉบับเต็ม: The AI Threat Report 2026 · เปิดใช้งาน: OrcaRouter 🐋