อันตรายจาก AI Agent ที่มีสิทธิ์มากเกินไปและแนวทางป้องกัน

ในปัจจุบัน AI Agent มักถือ API Key ถาวรที่มีสิทธิ์เข้าถึงระบบสูงกว่าพนักงานฝึกงาน โดยสามารถอ่านที่เก็บโค้ด ส่งอีเมล เรียก API เสียเงิน หรือแม้กระทั่งพุชโค้ดได้ด้วยตนเอง การทำงานเหล่านี้เกิดขึ้นจากการคาดเดาของโมเดลว่าผู้ใช้ต้องการอะไร แทนที่จะเป็นการคลิกยืนยันด้วยมือมนุษย์

แม้เวิร์กโฟลว์แบบ AI จะกลายเป็นเครื่องมือประจำวัน แต่โมเดลความปลอดภัยยังล้าหลัง โดยทั่วไปมักใช้วิธีคัดลอกกุญแจอายุยาวลงในตัวแปรสภาพแวดล้อม ให้สิทธิ์ AI กว้างๆ และภาวนาให้พรอมต์ดีพอ ซึ่งมักใช้ได้ผลจนกระทั่งเกิดความผิดพลาดขึ้นมา

ซอฟต์แวร์แบบดั้งเดิมมีความแน่นอนเพราะมนุษย์เป็นคนเขียนโค้ดและรู้ว่าเส้นทางไหนเรียกใช้งานอะไร แต่วิธีคิดนี้ใช้กับ AI ไม่ได้อีกต่อไป เพราะเรากำลังให้สิทธิ์อำนาจในการตัดสินใจ แทนที่จะเป็นชุดคำสั่งที่ตายตัว AI จะอ่านพรอมต์ ตีความ และหยิบเครื่องมือมาใช้เพื่อให้บรรลุเป้าหมาย ซึ่งบางครั้งการตีความก็กว้างเกินไปจนเกิดความเสียหาย เช่น บิล API 400 ดอลลาร์ หรือฐานข้อมูลถูกลบ

ตัวอย่างเช่น เมื่อสั่งให้ AI "ลบข้อมูลทดสอบเก่าก่อนเดโม" โดยที่ระบบมีสิทธิ์เข้าถึงฐานข้อมูลครบถ้วน AI อาจตีความคำว่าเก่ากว้างเกินไปและลบข้อมูลจริง ทำให้ต้องกู้คืนระบบก่อนเวลาเดโมเพียงหนึ่งชั่วโมง ระบบไม่ได้เขียนโค้ดผิดพลาดและไม่มีใครอนุมัติการลบนั้นโดยเฉพาะ แต่มันทำตามขอบเขตสิทธิ์ที่ได้รับ

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

แนวทางแก้ไขไม่ใช่การตัดสิทธิ์ AI จนทำงานไม่ได้ แต่เป็นการจำกัดความเสียหายให้น้อยที่สุดเมื่อ AI ตัดสินใจผิดพลาด โดยมีแนวทางปฏิบัติที่สำคัญดังนี้:

• เลิกแจกจ่ายกุญแจถาวรที่ตั้งค่าทิ้งไว้ในตัวแปรสภาพแวดล้อมโดยไม่มีการตรวจสอบ
• จำกัดขอบเขตสิทธิ์ตามเครื่องมือแต่ละตัว เช่น AI ที่อ่านประวัติคำสั่งซื้อไม่จำเป็นต้องมีสิทธิ์เขียนทับทั้งสคีมา
• กำหนดให้มนุษย์ต้องกดยืนยันทุกครั้งสำหรับงานที่ไม่สามารถย้อนกลับได้ เช่น การลบข้อมูล การทำธุรกรรมทางการเงิน หรือการส่งอีเมลจริง
• บันทึกการเรียกใช้เครื่องมือทุกครั้งเพื่อให้มีเส้นทางการตรวจสอบ (Audit Trail) ที่ชัดเจนเมื่อเกิดข้อผิดพลาด

จากตัวอย่างโค้ดเปรียบเทียบ การตั้งค่าแบบเดิมจะใส่กุญแจมาสเตอร์ที่มีสิทธิ์อ่านเขียนฐานข้อมูล ส่งอีเมล และชำระเงินค้างไว้ตลอดกาล ในขณะที่แนวทางที่ปลอดภัยกว่าคือการออกโทเค็นชั่วคราวที่มีอายุจำกัดเพียง 15 นาที และจำกัดสิทธิ์เฉพาะตารางที่ต้องใช้งานเท่านั้น พร้อมบังคับให้ต้องขออนุมัติก่อนส่งอีเมลและตัดเครื่องมือชำระเงินออกไปหากไม่จำเป็น

ที่มา: Dev.to