Agentic AI เปลี่ยนเกมการโจมตีไซเบอร์เมื่อ Hermes AI Agent เริ่มทำหน้าที่เป็นผู้ช่วยปฏิบัติการโจมตีแทนมนุษย์

กรณี Hermes AI Agent: AI ถูกนำมาใช้ทำอะไร

เมื่อวันที่ 24 กรกฎาคม 2026 The Hacker News และ BleepingComputer รายงานกรณีที่ผู้ปฏิบัติการนำ Hermes ซึ่งเป็น AI Agent แบบ Open-Source มาใช้สนับสนุนปฏิบัติการที่มุ่งเป้าไปยังระบบของหน่วยงานรัฐของไทย

ตามรายงาน ผู้ปฏิบัติการติดตั้ง Hermes บนเซิร์ฟเวอร์ภายนอกและเปิดใช้งานในโหมด YOLO หรือ Unattended Mode ซึ่งทำให้ Agent สามารถดำเนินคำสั่งและวิเคราะห์ผลลัพธ์ต่อไปได้ โดยไม่ต้องรอให้มนุษย์อนุมัติคำสั่งที่อาจมีความเสี่ยงทุกครั้ง

Hermes ไม่ได้ถูกพัฒนาให้เป็นเครื่องมือโจมตี และเหตุการณ์นี้ไม่ได้เกิดจากช่องโหว่ของตัว Hermes ประเด็นสำคัญอยู่ที่ผู้ควบคุมนำ AI Agent ไปเชื่อมต่อกับเครื่องมือและข้อมูลสำหรับการโจมตี พร้อมเปิดโหมดที่ลดการตรวจสอบโดยมนุษย์ก่อนดำเนินคำสั่ง

ผู้ปฏิบัติการมีช่องทางเข้าสู่ระบบอยู่ก่อนแล้ว

หลักฐานที่รายงานเปิดเผยบ่งชี้ว่า ผู้ปฏิบัติการน่าจะเข้าถึงระบบบางส่วนอยู่ก่อนที่จะนำ Hermes มาใช้งาน โดยพบ Web Shell, Script ที่อ้างอิงระบบภายใน และข้อมูลบัญชีที่ฝังอยู่ใน Script สำหรับทดสอบระบบอีเมล

อย่างไรก็ตาม ยังไม่สามารถระบุได้ว่าผู้ปฏิบัติการได้รับ Initial Access หรือเข้าถึงระบบเป็นครั้งแรกด้วยวิธีใด และหน่วยงานไทยที่เกี่ยวข้องยังไม่ได้ออกมายืนยันรายละเอียดของเหตุการณ์อย่างเป็นทางการ ณ วันที่รายงานเผยแพร่

Hermes ทำหน้าที่อะไรหลังการบุกรุก

หลังจากผู้ปฏิบัติการมีช่องทางเข้าถึงระบบแล้ว Hermes ถูกใช้ช่วยดำเนินกิจกรรมหลังการบุกรุก หรือ post-exploitation โดยงานสำคัญที่ปรากฏใน Log ประกอบด้วย

• ตรวจสอบระบบ Linux เพื่อค้นหาเส้นทางยกระดับสิทธิ์

• เรียกใช้เครื่องมือ LinPEAS และอ่านผลลัพธ์

• ค้นหาไฟล์และ Binary ที่มีสิทธิ์สูง

• สำรวจบริการและโครงสร้างระบบไฟล์

• ตรวจสอบ Container และระบบภายใน

• สำรวจ Web Directory แบบ Recursive

• อ่านผลลัพธ์และเลือกสิ่งที่จะตรวจสอบในลำดับถัดไป

Hermes จึงสามารถรับวัตถุประสงค์ ดำเนินการ อ่านผล วิเคราะห์ และทำงานต่อเนื่องได้โดยไม่ต้องรอการอนุมัติจากมนุษย์ทุกขั้นตอน

จากการสำรวจ Directory ดังกล่าว พบรายการไฟล์ประเภท PDF, DOC และ XLS ซึ่งรวมถึงเอกสารสำนักงาน แบบประเมินผลการปฏิบัติงาน และไฟล์ที่เกี่ยวข้องกับบุคลากรย้อนหลังถึงปี 2012

อย่างไรก็ตาม หลักฐานที่เปิดเผยยืนยันเพียงว่า Agent สำรวจ Directory และจัดทำรายการไฟล์ ไม่ได้ยืนยันว่า Agent เปิดอ่านเนื้อหาภายในเอกสารทั้งหมด และไม่พบหลักฐานจากชุดข้อมูลที่ตรวจสอบว่าไฟล์ดังกล่าวถูกส่งออกจากเครือข่าย ทั้งนี้ การไม่พบหลักฐานไม่ได้หมายความว่าสามารถยืนยันได้ว่าไม่มีข้อมูลรั่วไหลเกิดขึ้น

AI ไม่ได้ดำเนินการโจมตีทั้งหมดด้วยตนเอง

เหตุการณ์นี้ไม่ควรถูกอธิบายว่า Hermes เป็นผู้เลือกหน่วยงานรัฐของไทยเป็นเป้าหมาย หรือเป็นผู้เจาะระบบตั้งแต่ต้นจนจบโดยอัตโนมัติ

ข้อมูลที่เปิดเผยไม่ได้แสดงว่า Hermes เป็นผู้ค้นพบช่องโหว่ใหม่ เป็นผู้ดำเนินการ Initial Access หรือเป็นผู้ตัดสินใจเลือกเป้าหมายด้วยตนเอง

มนุษย์ยังคงทำหน้าที่ในส่วนที่ต้องอาศัยความรู้เกี่ยวกับเป้าหมาย เช่น

• เลือกหน่วยงานและระบบเป้าหมาย

• เตรียมข้อมูลและเครื่องมือเฉพาะ

• จัดทำ Script และรายการ Credential

• กำหนดวัตถุประสงค์ให้ Agent

• ตัดสินใจในขั้นตอนสำคัญของปฏิบัติการ

ส่วน Hermes ทำหน้าที่เร่งงานที่มีลักษณะซ้ำและต่อเนื่อง เช่น การเรียกใช้เครื่องมือ อ่านผลลัพธ์ วิเคราะห์ว่าควรตรวจสอบสิ่งใดต่อ และดำเนินคำสั่งลำดับถัดไปโดยไม่ต้องมีมนุษย์ควบคุมตลอดเวลา

สิ่งที่องค์กรควรเรียนรู้จากเหตุการณ์นี้

สิ่งที่ทำให้กรณี Hermes มีความสำคัญไม่ใช่ความซับซ้อนของคำสั่งที่ Agent ใช้ เพราะคำสั่งส่วนใหญ่เป็นเครื่องมือและเทคนิคที่ผู้เชี่ยวชาญด้านการโจมตีสามารถใช้งานได้อยู่แล้ว

สิ่งที่เปลี่ยนไปคือ ผู้โจมตีไม่จำเป็นต้องนั่งควบคุมทุกขั้นตอนอีกต่อไป

AI Agent สามารถช่วยทำงานซ้ำ อ่านผลการตรวจสอบ และดำเนินการต่อเนื่องได้ ส่งผลให้ผู้โจมตีสามารถลดเวลาที่ใช้ในการสำรวจระบบ วิเคราะห์ช่องทางยกระดับสิทธิ์ และค้นหาข้อมูลภายใน

เมื่อการทำงานของผู้โจมตีรวดเร็วขึ้น ช่วงเวลาที่องค์กรมีโอกาสตรวจพบและหยุดยั้งการโจมตีก็อาจสั้นลงตามไปด้วย โดยเฉพาะองค์กรที่ยังตรวจสอบ Log เป็นรายวัน รายสัปดาห์ หรือรอให้ผู้ใช้งานแจ้งเหตุผิดปกติ

เหตุการณ์นี้จึงสะท้อนว่า องค์กรไม่ควรพึ่งพาเพียง Firewall, VPN หรือการป้องกันบริเวณขอบเครือข่าย แต่ต้องสามารถตรวจจับพฤติกรรมผิดปกติ ควบคุมสิทธิ์ จำกัดการเคลื่อนที่ภายในเครือข่าย และตอบสนองต่อเหตุการณ์ได้อย่างต่อเนื่อง

ทั้งนี้ เนื้อหาในส่วนกรณีศึกษานำเสนอจากรายงานด้าน Threat Intelligence ของ The Hacker News และ BleepingComputer ไม่ใช่ผลการสอบสวนอย่างเป็นทางการของหน่วยงานรัฐของไทย

สิ่งที่เปลี่ยนไปคือความเร็วและรูปแบบการทำงาน

ในการโจมตีรูปแบบเดิม ผู้โจมตีต้องสั่งเครื่องมือ อ่านผลลัพธ์ วิเคราะห์ข้อมูล และตัดสินใจดำเนินการต่อด้วยตนเองเป็นระยะ

เมื่อมี AI Agent กระบวนการดังกล่าวสามารถเปลี่ยนจากการสั่งงานทีละคำสั่ง ไปสู่การมอบหมายงานในระดับเป้าหมาย เช่น

• ตรวจสอบว่าระบบมีโอกาสยกระดับสิทธิ์หรือไม่

• ค้นหาไฟล์ที่อาจมี Credential หรือข้อมูลสำคัญ

• สำรวจบริการที่สามารถเข้าถึงได้จากเครื่องปัจจุบัน

• อ่านผลการตรวจสอบและเสนอขั้นตอนถัดไป

• ดำเนินงานลักษณะเดียวกันกับระบบหรือไฟล์จำนวนมาก

• รวบรวมผลลัพธ์เพื่อให้ผู้ปฏิบัติการนำไปตัดสินใจต่อ

AI ไม่ได้ทำให้ทุกขั้นตอนประสบความสำเร็จโดยอัตโนมัติ แต่ช่วยลดเวลาที่ใช้กับการอ่านผล การทำงานซ้ำ และการตัดสินใจระดับย่อย

ผลที่ตามมาคือช่วงเวลาที่องค์กรมีโอกาสตรวจพบและหยุดยั้งการโจมตีอาจแคบลง โดยเฉพาะองค์กรที่ยังตรวจสอบ Log เป็นรายวัน รายสัปดาห์ หรือรอให้ผู้ใช้งานแจ้งเหตุผิดปกติ

AI สามารถเข้ามาช่วยผู้โจมตีในขั้นตอนใดได้บ้าง

ในภาพรวมของภัยคุกคาม AI Agent อาจถูกนำมาใช้สนับสนุนกิจกรรมหลายช่วงของวงจรการโจมตี ได้แก่

1. สำรวจระบบและบริการที่เปิดสู่อินเทอร์เน็ต
2. วิเคราะห์ระบบปฏิบัติการ ซอฟต์แวร์ และช่องโหว่
3. ค้นหาบัญชี รหัสผ่าน Token หรือข้อมูลลับ
4. วิเคราะห์เส้นทางการยกระดับสิทธิ์
5. สำรวจความเป็นไปได้ในการเคลื่อนที่ไปยังระบบอื่น
6. ช่วยสร้างหรือค้นหาช่องทางรักษาการเข้าถึงระบบ
7. ค้นหาและจัดกลุ่มข้อมูลสำคัญ
8. สนับสนุนการควบคุมระบบหรือเตรียมข้อมูลสำหรับส่งออก

ความสามารถเหล่านี้ขึ้นอยู่กับสิทธิ์ เครื่องมือ ข้อมูล และคำสั่งที่ผู้ควบคุมมอบให้ AI ไม่ได้หมายความว่า AI สามารถข้ามมาตรการป้องกันทุกประเภทหรือดำเนินการได้โดยไม่มีข้อจำกัด

อย่างไรก็ตาม หากองค์กรมีการตั้งค่าที่ไม่รัดกุม ใช้บัญชีสิทธิ์สูงร่วมกัน เปิดให้ระบบภายในเข้าถึงกันกว้างเกินความจำเป็น หรือไม่มีการตรวจสอบพฤติกรรมอย่างต่อเนื่อง AI สามารถช่วยผู้โจมตีนำจุดอ่อนหลายจุดมาเชื่อมโยงเป็นเส้นทางการโจมตีได้รวดเร็วขึ้น

สิ่งที่หน่วยงานต้องเร่งดำเนินการตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

การเปลี่ยนแปลงจาก Human-operated Attack ไปสู่ AI-assisted หรือ Agentic AI-enabled Attack ไม่ได้หมายความว่าองค์กรต้องรอให้มีข้อกำหนดใหม่ก่อนจึงจะเริ่มดำเนินการ

พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ได้กำหนดหน้าที่ให้หน่วยงานที่เกี่ยวข้องดำเนินการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์อยู่แล้ว

เมื่อความเร็วของการโจมตีเพิ่มขึ้น หน่วยงานจึงควรเร่งตรวจสอบว่ามาตรการ แผนงาน ผู้รับผิดชอบ และกระบวนการแจ้งเหตุที่มีอยู่ สามารถนำไปใช้ได้จริงในสถานการณ์ฉุกเฉินหรือไม่

หน้าที่พื้นฐานของหน่วยงาน

มาตรา 44: ต้องมีมาตรฐาน การประเมินความเสี่ยง และแผนรับมือ

หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ต้องจัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ให้สอดคล้องกับนโยบายและแผนระดับชาติ

ประมวลแนวทางปฏิบัติอย่างน้อยต้องประกอบด้วย

• แผนตรวจสอบและประเมินความเสี่ยงด้าน Cybersecurity อย่างน้อยปีละหนึ่งครั้ง

• แผนรับมือภัยคุกคามทางไซเบอร์

มาตรา 45: ต้องป้องกัน รับมือ และลดความเสี่ยง

หน่วยงานมีหน้าที่ดำเนินมาตรการป้องกัน รับมือ และลดความเสี่ยงตามประมวลแนวทางปฏิบัติและกรอบมาตรฐานที่เกี่ยวข้อง

หากหน่วยงานไม่สามารถดำเนินการได้ สำนักงานอาจให้ความช่วยเหลือด้านบุคลากรหรือเทคโนโลยีตามที่หน่วยงานร้องขอ

มาตรา 46: ต้องมีผู้ประสานงานระดับบริหารและระดับปฏิบัติการ

หน่วยงานต้องแจ้งรายชื่อเจ้าหน้าที่ระดับบริหารและระดับปฏิบัติการ เพื่อทำหน้าที่ประสานงานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์กับสำนักงาน

ในทางปฏิบัติ ผู้ประสานงานดังกล่าวอาจเรียกว่า Cyber Focal Point แต่คำที่กฎหมายกำหนดโดยตรงคือเจ้าหน้าที่ประสานงานระดับบริหารและระดับปฏิบัติการ

ดังนั้น การมีผู้ประสานงาน การประเมินความเสี่ยง และแผนรับมือเหตุการณ์ ไม่ใช่เพียงแนวปฏิบัติที่องค์กรเลือกทำ แต่เป็นองค์ประกอบสำคัญของการปฏิบัติตามหน้าที่ตามกฎหมายด้วย

หน้าที่เพิ่มเติมสำหรับหน่วยงานที่ได้รับการกำหนดให้เป็น CII

การเป็นหน่วยงานในภาคส่วนสำคัญไม่ได้หมายความว่าจะสามารถสรุปได้โดยอัตโนมัติว่าหน่วยงานนั้นมีสถานะเป็น CII การระบุหน่วยงาน CII ต้องดำเนินการตามกระบวนการและหลักเกณฑ์ที่เกี่ยวข้อง

*หน่วยงาน CII ย่อมาจาก Critical Information Infrastructure หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

สำหรับหน่วยงานที่ได้รับการกำหนดให้เป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ กฎหมายกำหนดหน้าที่เพิ่มเติม ได้แก่

มาตรา 54

ต้องจัดให้มีการประเมินความเสี่ยงและการตรวจสอบด้าน Cybersecurity อย่างน้อยปีละหนึ่งครั้ง และส่งผลสรุปรายงานต่อสำนักงานภายใน 30 วันนับจากวันที่ดำเนินการแล้วเสร็จ

มาตรา 56

ต้องมีกลไกหรือขั้นตอนเฝ้าระวังภัยคุกคามและเหตุการณ์ด้าน Cybersecurity รวมถึงต้องเข้าร่วมการทดสอบสถานะความพร้อมในการรับมือภัยคุกคามที่สำนักงานจัดขึ้น

มาตรา 57

เมื่อมีภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างมีนัยสำคัญต่อระบบของหน่วยงาน CII ต้องรายงานต่อสำนักงานและหน่วยงานควบคุมหรือกำกับดูแล พร้อมดำเนินการรับมือตามกระบวนการที่เกี่ยวข้อง

ข้อกำหนดเหล่านี้แสดงให้เห็นว่า การเตรียมพร้อมของหน่วยงาน CII ต้องครอบคลุมทั้งการประเมินความเสี่ยง การเฝ้าระวัง การทดสอบความพร้อม และการรายงานเหตุ ไม่ใช่พึ่งพาเพียงการติดตั้งเครื่องมือป้องกัน

หน้าที่เมื่อเกิดหรือคาดว่าจะเกิดภัยคุกคาม

มาตรา 58 กำหนดว่า เมื่อเกิดหรือคาดว่าจะเกิดภัยคุกคามต่อระบบสารสนเทศที่อยู่ในความรับผิดชอบของหน่วยงานของรัฐหรือหน่วยงาน CII หน่วยงานต้องดำเนินการโดยเร็ว ได้แก่

• ตรวจสอบข้อมูลคอมพิวเตอร์ ระบบคอมพิวเตอร์ และพฤติการณ์ที่เกี่ยวข้อง
• ประเมินว่ามีหรือคาดว่าจะมีภัยคุกคามเกิดขึ้นหรือไม่
• ดำเนินมาตรการป้องกัน รับมือ และลดความเสี่ยง
• แจ้งสำนักงานและหน่วยงานควบคุมหรือกำกับดูแลที่เกี่ยวข้อง

หากพบอุปสรรคในการป้องกัน รับมือ หรือลดความเสี่ยง หน่วยงานหรือบุคคลสามารถร้องขอความช่วยเหลือจากสำนักงานได้

ข้อจำกัดด้านบุคลากร เทคโนโลยี หรืองบประมาณ จึงควรนำไปสู่การประสานขอรับความช่วยเหลือ ไม่ควรกลายเป็นเหตุให้หน่วยงานไม่มีมาตรการ ไม่ดำเนินการตรวจสอบ หรือไม่รายงานเหตุการณ์

สิ่งที่ผู้บริหารของทุกองค์กรควรเริ่มตรวจสอบ

จากหน้าที่ดังกล่าว ผู้บริหารควรตรวจสอบว่าองค์กรมีองค์ประกอบต่อไปนี้ครบถ้วนและใช้งานได้จริงหรือไม่

• ผู้ประสานงานระดับบริหารและระดับปฏิบัติการ

• รายการระบบสำคัญและเจ้าของระบบ

• การประเมินความเสี่ยงที่เป็นปัจจุบัน

• แผนรับมือภัยคุกคามทางไซเบอร์

• กระบวนการเฝ้าระวังและตรวจสอบเหตุผิดปกติ

• เกณฑ์สำหรับยกระดับและรายงานเหตุ

• ช่องทางติดต่อสำนักงาน หน่วยงานกำกับ และผู้ให้บริการ

• ขั้นตอนเก็บรักษาหลักฐาน

• ขั้นตอนแยกระบบ ควบคุมเหตุ และกู้คืนบริการ

• การซ้อมแผนที่มีผู้บริหารและเจ้าของภารกิจเข้าร่วม

การมีเอกสารเพียงอย่างเดียวไม่เพียงพอ หากไม่มีผู้มีอำนาจตัดสินใจ ไม่มีผู้ตรวจสอบ Alert หรือไม่เคยทดสอบว่าแผนสามารถใช้ได้จริงเมื่อระบบหลักไม่พร้อมให้บริการ