Google เผยพบหลักฐานแฮกเกอร์ใช้ AI พัฒนาการโจมตีแบบ Zero-Day

นักวิจัยจาก Google ตรวจพบหลักฐานครั้งแรกที่ยืนยันว่าแฮกเกอร์มีการใช้ AI ในการพัฒนาช่องโหว่ Zero-day, การสร้างประตูหลัง (Backdoor) บน Android แบบอัตโนมัติ และการโจมตีห่วงโซ่อุปทาน (Supply Chain) ที่พุ่งเป้าไปยัง GitHub และ PyPI

รายงานฉบับใหม่จาก Google Threat Intelligence Group (GTIG) ระบุว่า แม้ที่ผ่านมา AI จะถูกใช้เพียงเพื่อสร้างหน้าฟิชชิ่งหรือระบุช่องโหว่ทั่วไป แต่ในปัจจุบันผู้โจมตีเริ่มยกระดับไปถึงขั้นใช้ AI ในการพัฒนาช่องโหว่ระดับสูงที่ไม่เคยถูกค้นพบมาก่อน (Zero-day exploits)

การตรวจพบร่องรอยของ AI ในมัลแวร์
ทีมวิจัย GTIG พบกรณีการโจมตีที่ผู้ไม่หวังดีใช้สคริปต์ Python ในการข้ามระบบยืนยันตัวตน 2 ชั้น (2FA) บนเครื่องมือบริหารจัดการผ่านเว็บ และพบว่านี่คือช่องโหว่ Zero-day โดยจากการตรวจสอบโค้ดพบสัญญาณที่ชัดเจนว่า "ถูกเขียนโดยเครื่องจักร" ดังนี้:
    •    นิสัยการเขียนโค้ดที่ต่างจากมนุษย์: มีการใส่คำอธิบายโค้ด (Docstrings) ในเชิงให้ความรู้มากเกินความจำเป็น
    •    ข้อมูลหลอน (Hallucination): มีการระบุคะแนนความรุนแรง CVSS ปลอมที่ไม่มีอยู่จริงลงในโค้ด

รายงานระบุว่ากลุ่มแฮกเกอร์จาก จีน (PRC) และ เกาหลีเหนือ (DPRK) เช่นกลุ่ม APT45 และ UNC2814 เป็นผู้นำในการทดสอบเทคโนโลยีนี้ โดยใช้ AI เรียนรู้จากกรณีศึกษาความปลอดภัยในอดีตนับหมื่นกรณี เพื่อฝึกให้ AI คิดเหมือนนักตรวจสอบช่องโหว่ระดับมืออาชีพ

ตัวแทนอัจฉริยะ (Autonomous Agents)
แฮกเกอร์เริ่มใช้ LLMs ในการสำรวจเป้าหมายเพื่อทำฟิชชิ่งให้แนบเนียนขึ้น โดยสั่งให้ AI วิเคราะห์โครงสร้างองค์กรหรือระบุฮาร์ดแวร์ที่เป้าหมายใช้งาน นอกจากนี้ยังมีการใช้ระบบที่เรียกว่า "Agentic Workflows" (เช่นเครื่องมือ Hexstrike และ Strix) เพื่อทำงานหลายขั้นตอนแบบอัตโนมัติ เช่น กรณีกลุ่มแฮกเกอร์จากจีนใช้ระบบหน่วยความจำ Graphiti เข้าโจมตีบริษัทเทคโนโลยีในญี่ปุ่น

ภัยคุกคามห่วงโซ่อุปทานและ Deepfakes
    •    กุมภาพันธ์ 2026: พบประตูหลังบน Android ชื่อ PROMPTSPY ซึ่งใช้ 'GeminiAutomationAgent' ในการเฝ้าดูหน้าจอโทรศัพท์และคลิกปุ่มต่างๆ เอง
    •    มีนาคม 2026: กลุ่ม TeamPCP (UNC6780) โจมตีห่วงโซ่อุปทานซอฟต์แวร์โดยฝังโค้ดอันตรายลงในเครื่องมืออย่าง LiteLLM และ Checkmarx เพื่อขโมยกุญแจ AWS และโทเค็น GitHub สำหรับการเรียกค่าไถ่
    •    ปฏิบัติการข่าวสาร (IO): กลุ่มที่สนับสนุนรัสเซียใช้การปลอมเสียงด้วย AI (Voice Cloning) เพื่อสวมรอยเป็นนักข่าวในวิดีโอปลอม

การตอบโต้จาก Google:
ในขณะที่แฮกเกอร์พัฒนาเทคนิคไปข้างหน้า Google เองก็ได้ใช้เครื่องมืออย่าง Big Sleep และ CodeMender ในการค้นหาและแก้ไขช่องโหว่แบบอัตโนมัติเพื่อต่อสู้กับภัยคุกคามเหล่านี้เช่นกัน

Reference : Google Says Hackers Used AI to Develop a Zero-Day Exploit