แฮกเกอร์จีนนำเอา Deepseek มาใช้งานบนแคมเปญแบบทำงานอัตโนมัติ

แฮกเกอร์จีนนำเอา Deepseek มาใช้งานบนแคมเปญแบบทำงานอัตโนมัติ

จากรายงานโดยเว็บไซต์ Cybersecurity Dive ได้กล่าวถึงการที่ทีมวิจัยจาก Unit 42 แห่งบริษัท Palo Alto Network บริษัทผู้เชี่ยวชาญด้านระบบเครือข่าย (Network) ชื่อดัง ทำการตรวจพบแคมเปญการแฮกระบบของแฮกเกอร์จากจีนที่มีการนำเอาเครื่องมือ AI แบบโมเดลภาษาขนาดใหญ่ (LLM หรือ Large Language Model) อย่าง DeepSeek เข้ามาช่วยเหลือในการแฮก โดยเริ่มต้นจากการใช้งานเครื่องมือผู้ช่วย AI (AI Agent) ชื่อว่า Hermes Agent เพื่อสแกนหาช่องโหว่ความปลอดภัยร้ายแรง และรูปแบบสาธิตการโจมตี (Proof of Concept) ที่กำลังเป็นที่นิยมจาก GitHub นอกจากนั้นทางทีมวิจัยยังพบว่ากลุ่มแฮกเกอร์ยังมีการใช้เครื่องมือ AI อื่น ๆ เช่น Claude Code มาทดสอบการเชื่อมต่อ (Connectivity) และ ตรวจสอบความถูกต้องของพรอกซี (Proxy) อีกด้วย

ในส่วนของการใช้งาน DeepSeek นั้นทางทีมวิจัยระบุว่า แฮกเกอร์ได้จัดการสั่งการให้ตัว DeepSeek ทำการค้นคว้าช่องโหว่ต่าง ๆ เพื่อการเจาะระบบด้วยตนเอง (Autonomous) โดยได้ระบุความพยายามของ DeepSeek ในการพยายามเจาะช่องโหว่ CVE-2026-33017 ของระบบ Langflow หลังจากที่ DeepSeek ได้เรียนรู้ถึงการมีอยู่ของช่องโหว่ดังกล่าว แต่ความพยายามนั้นล้มเหลวเนื่องมาจากตัวช่องโหว่นั้นต้องมีการเปิดใช้งานการล็อกอินอัตโนมัติ (Auto Login) หรือต้องทราบหมายเลข Public Flow ID ก่อนถึงจะใช้งานได้ โดยทั้งตัว AI และแฮกเกอร์นั้นไม่มีข้อมูลทั้ง 2 อย่าง

นอกจากนั้นยังมีการตรวจพบการโจมตีแบบลูกโซ่ (Chained Attack) ที่มีการนำเอา DeepSeek เข้ามาช่วยเหลือในการค้นหาเป้าหมายในการโจมตีด้วยการใช้ช่องโหว่แบบอ่านไฟล์โดยไม่จำกัดสิทธิ์ในการเข้าถึง (Arbitrary File Read) อย่าง CVE-2026-21858 และ ช่องโหว่สำหรับใช้ในการรันโค้ดจากระยะไกล (RCE หรือ Remote Code Execution) รหัสว่า CVE-2026-68613 กับเป้าหมายที่ DeepSeek หาได้ แต่การเจาะก็ต้องล้มเหลวเพราะตัวระบบเป้าหมายนั้นต้องการการยืนยันตัวตน (Authentication) ก่อน

จากความล้มเหลวทั้ง 2 ครั้งในการเอา AI เข้ามาช่วยเจาะ ทำให้แฮกเกอร์รายดังกล่าวหันกลับมาใช้วิธีการแฮกด้วยตันเอง (Manual) โดยสามารถใช้งานช่องโหว่ CVE-2026-3055 ซึ่งเป็นช่องโหว่การอ่านหน่วยความจำเกินขอบเขต (Memory Overread) บนระบบ Citrix NetScaler ได้สำเร็จ นอกจากนั้นยังมีการตรวจพบว่าแฮกเกอร์รายดังกล่าวได้ใช้ช่องโหว่ CVE-2026-39987 เพื่อเจาะระบบของ Marimo ด้วยตัวเองได้สำเร็จอีกเช่นเดียวกัน

จากหลากองค์ประกอบ ทำให้ทางทีมวิจัยคิดว่า แฮกเกอร์รายดังกล่าวน่าจะปฏิบัติการตัวคนเดียวโดยไม่มีรัฐบาลหนุนหลังเหมือนกับในกรณีแฮกเกอร์จากจีนรายอื่น ๆ