5 วินาทีเจาะทะลุ แค่สนทนาครั้งเดียว: กลไกความปลอดภัยที่แข็งแกร่งที่สุดของ Claude Fable 5 ถูกทีมงานชาวจีน破解?

หัวข้อต้นฉบับ: 《เจาะระบบใน 5 วินาที แค่สนทนาครั้งเดียว: กลไกความปลอดภัยที่แข็งแกร่งที่สุดของ Fable 5 ถูกทีมงานชาวจีน破解》
แหล่งที่มาต้นฉบับ: Machine Heart

ไม่ใช่การฉีดพรอมต์ ไม่ใช่การสวมบทบาท และไม่ใช่การปลอมแปลงคำขอที่เป็นอันตรายให้เป็นคำถามปกติ ครั้งนี้ ความเสี่ยงเกิดขึ้นในกระบวนการที่เอเจนต์อัจฉริยะทำงานด้วยตนเอง

Fable 5 เป็นโมเดลระดับ Mythos ที่ Anthropic เปิดให้สาธารณชนใช้งาน ไม่เพียงแต่มีความสามารถรอบด้านที่แข็งแกร่งเท่านั้น แต่ยังมีตัวแยกประเภทความปลอดภัย (Safety Classifier) รุ่นใหม่ที่ถูกนำมาใช้เป็นแนวป้องกันด้านความปลอดภัยภายนอกโมเดล

ตามการออกแบบอย่างเป็นทางการ เมื่อผู้ใช้ส่งคำขอที่เกี่ยวข้องกับความปลอดภัยทางไซเบอร์ ชีววิทยา เคมี การกลั่นโมเดล และสาขาที่มีความเสี่ยงสูงอื่นๆ ระบบจะทำการระบุความเสี่ยงก่อน และปฏิเสธคำขอโดยตรงตามระดับความเสี่ยง หรือสลับไปใช้โมเดล Opus 4.8 ที่อนุรักษ์นิยมมากขึ้นในการประมวลผล

การทดสอบจากผู้ใช้จำนวนมากพบว่า เทคนิคการโจมตีแบบเจลเบรกที่เคยใช้กันอย่างแพร่หลาย เช่น การแจ้งเตือนแบบโต้ตอบ การสวมบทบาท การหลีกเลี่ยงการเข้ารหัส และการแสดงออกที่คลุมเครือ ล้วนล้มเหลวเกือบทั้งหมดเมื่อเผชิญกับกลไกความปลอดภัยนี้ ซึ่งแสดงให้เห็นถึงความสามารถที่แข็งแกร่งในการสกัดกั้นความเสี่ยงในระดับเจตนา

อย่างไรก็ตาม ในวันที่ Fable 5 เปิดตัว ทีมวิจัยร่วมระหว่างประเทศที่ประกอบด้วยมหาวิทยาลัยฟู่ตั้น มหาวิทยาลัยดีกิ้น มหาวิทยาลัยเมืองฮ่องกงแห่งประเทศจีน มหาวิทยาลัยเมลเบิร์น มหาวิทยาลัยการจัดการสิงคโปร์ และมหาวิทยาลัยอิลลินอยส์ เออร์บานา-แชมเปญ ได้ประกาศว่าพวกเขาสามารถเจาะกลไกป้องกันความปลอดภัยของ Fable 5 ได้สำเร็จ

วิธีการโจมตีนี้ได้รับการออกแบบนำโดย Yutao Wu นักศึกษาปริญญาเอกจากมหาวิทยาลัยดีกิ้น การโจมตีทั้งหมดใช้เพียงการสนทนาครั้งเดียว ใช้เวลาไม่ถึง 5 วินาที เพื่อหลีกเลี่ยงตัวแยกประเภทความปลอดภัยล่วงหน้า และชักนำให้โมเดลสร้างเนื้อหาที่ละเมิดและเป็นอันตราย

ผลการวิเคราะห์ปริมาณการรับส่งข้อมูลเพิ่มเติมแสดงให้เห็นว่า เนื้อหาที่เป็นอันตรายที่เกี่ยวข้องมาจาก Fable 5 โดยตรง ไม่ใช่จากโมเดล Opus 4.8 ที่ถูกสลับใช้โดยอัตโนมัติหลังจากกลไกความปลอดภัยถูกกระตุ้น ซึ่งหมายความว่า การโจมตีนี้ไม่เพียงแต่หลีกเลี่ยงการตรวจจับของตัวแยกประเภทความปลอดภัยได้สำเร็จ แต่ยังเจาะแนวป้องกันความปลอดภัยของ Fable 5 ได้อย่างมีนัยสำคัญ

ที่น่าสนใจคือ แฮกเกอร์ชื่อดัง Pliny the Liberator เพิ่งเปิดเผยการหลีกเลี่ยงตัวแยกประเภทความปลอดภัยของ Fable 5 ต่อสาธารณะเช่นกัน ในขณะที่ทีมงานของมหาวิทยาลัยฟู่ตั้นและดีกิ้นใช้เส้นทางเทคนิคที่ไม่ใช่การสำรวจแบบผสมผสานง่ายๆ แต่ค้นพบข้อบกพร่องพื้นฐานของระบบซูเปอร์เอเจนต์อัจฉริยะประเภท Fable 5

ตามรายงาน ทีมงานได้เสร็จสิ้นการวิจัยเบื้องต้นและเผยแพร่ต่อสาธารณะตั้งแต่เดือนมีนาคมของปีนี้ การศึกษานี้ไม่ได้ออกแบบมาเฉพาะสำหรับระบบ Fable 5 เพียงระบบเดียว แต่เป็นการวิจัยเกี่ยวกับสถาปัตยกรรมการป้องกันแบบ "ตัวแยกประเภทความปลอดภัย + โมเดล" ที่ใช้กันทั่วไปในซูเปอร์เอเจนต์รุ่นใหม่ ซึ่งเปิดเผยข้อบกพร่องเชิงโครงสร้างของกลไกความปลอดภัยดังกล่าวโดยตรง ส่งผลให้สามารถแสดงผลการโจมตีได้อย่างรวดเร็วหลังจาก Fable 5 เปิดตัว

ข้อมูลสาธารณะระบุว่า ทีมงานได้ใช้เทคโนโลยีที่คล้ายคลึงกันตั้งแต่เดือนมีนาคมของปีนี้ เพื่อดึงข้อความแจ้งระบบจากโมเดลขนาดใหญ่และระบบเอเจนต์ชั้นนำ 37 ราย และทำการตรวจสอบแบบโอเพนซอร์สบน Claude Code (มีความแม่นยำ 95%)

ตามที่ทราบ หัวหน้าทีมวิจัยนี้คือ อาจารย์หม่า ซิงจวิน จากสถาบันวิจัยหุ่นยนต์ที่เชื่อถือได้และมีกายภาพ มหาวิทยาลัยฟู่ตั้น

ในช่วงไม่กี่ปีที่ผ่านมา ทีมงานของเขาได้ดำเนินการวิจัยอย่างเป็นระบบในด้านโมเดลขนาดใหญ่ เอเจนต์ และความปลอดภัยของหุ่นยนต์ที่มีกายภาพ สร้างผลงานวิจัยระดับนานาชาติชั้นนำ และได้รับรางวัลชนะเลิศจากการแข่งขันมาตรฐานความปลอดภัยของศูนย์ความปลอดภัย AI แห่งสหรัฐอเมริกา

ปัจจุบัน ทีมงานกำลังเร่งส่งเสริมการเปลี่ยนผลงานวิจัยไปสู่การใช้งานจริง โดยมุ่งเน้นที่ความปลอดภัยของเอเจนต์ และสำรวจการสร้างโครงสร้างพื้นฐานด้านความปลอดภัยสำหรับระบบเอเจนต์รุ่นต่อไป

ตามที่อาจารย์หม่าแนะนำ ความสำคัญของผลการวิจัยนี้คือการท้าทายกระบวนทัศน์การป้องกันแบบคงที่ซึ่งมีตัวแยกประเภทความปลอดภัยเป็นแกนหลักในปัจจุบัน: การพึ่งพาตัวแยกประเภทความปลอดภัยล่วงหน้าเพียงอย่างเดียวไม่เพียงพอที่จะป้องกันความเสี่ยงที่อาจเกิดขึ้นในระบบเอเจนต์ขั้นสูงได้อย่างสมบูรณ์

ตัวแยกประเภทความปลอดภัยส่วนใหญ่จะระบุและสกัดกั้นความเสี่ยงจากอินพุตของผู้ใช้ ซึ่งสามารถตรวจจับและกรองคำสั่งที่มีความเสี่ยงสูงที่ชัดเจนได้อย่างมีประสิทธิภาพ แต่ไม่สามารถรับรู้พฤติกรรมเสี่ยงภายในที่เกิดขึ้นระหว่างการทำงานระยะยาว การวางแผนหลายขั้นตอน การโต้ตอบกับสภาพแวดล้อม และการเรียกใช้เครื่องมือของเอเจนต์

วิธีการเจาะ Fable 5 ในครั้งนี้มาจากเอกสารวิจัยที่ทีมงานเผยแพร่ในเดือนมีนาคมของปีนี้ชื่อ "Internal Safety Collapse in Frontier Large Language Models"

เอกสารวิจัยเผยให้เห็นปรากฏการณ์ความปลอดภัยที่ซ่อนเร้น "การพังทลายของความปลอดภัยภายใน (Internal Safety Collapse, ISC)": เมื่อเอเจนต์ปัจจุบันทำงานระยะยาว ความล้มเหลวด้านความปลอดภัยอาจไม่ได้มาจากพรอมต์ภายนอกที่เป็นอันตราย แต่อาจเกิดขึ้นในห่วงโซ่การดำเนินการของโมเดลเอง

ไม่ใช่การโจมตีจากพรอมพ์ภายนอก แต่เป็นการรั่วไหลภายในห่วงโซ่ภารกิจ

การโจมตีแบบดั้งเดิมมักเริ่มจากภายนอก ผู้โจมตีจะเขียนพรอมพ์อินพุตที่ดูเหมือนไม่เป็นอันตรายแต่จริงๆ แล้วเป็นปฏิปักษ์ หรือใช้วิธีการต่างๆ เช่น การสวมบทบาท การเข้ารหัส การแปล หรือคำสั่งทางอ้อม เพื่อปลอมแปลงเจตนาร้ายเป็นคำขอปกติ หน้าที่หลักของตัวแยกประเภทความปลอดภัยคือการสกัดกั้นความเสี่ยงในชั้นนี้

ตัวตรวจจับของ Fable 5 ถูกออกแบบมาสำหรับสถานการณ์นี้โดยเฉพาะ มันไวต่อคำขอที่มีความเสี่ยงสูงโดยตรง และมักจะสกัดกั้นคำขอปกติจำนวนมากด้วย แต่ ISC เผยให้เห็นเส้นทางอื่น: ความเสี่ยงไม่ได้มาจากการป้อนคำขออันตรายโดยตรงของผู้ใช้เสมอไป

เอเจนต์ต้องเผชิญกับไดเรกทอรีการทำงานที่ดูธรรมดา: ไฟล์ เป้าหมาย กระบวนการตรวจสอบ และภารกิจที่รอการดำเนินการ จากนั้นมันจะเริ่มวางแผน อ่านไฟล์ รันโค้ด แก้ไขข้อผิดพลาด และพยายามทำให้ภารกิจผ่านการตรวจสอบอย่างต่อเนื่อง

หากใช้การเปรียบเทียบที่ชัดเจน กลไกความปลอดภัยแบบดั้งเดิมจะปกป้อง "ทางเข้า" ของระบบ โดยมีหน้าที่ตรวจสอบว่าอินพุตของผู้ใช้มีความเสี่ยงหรือไม่ ในขณะที่สิ่งที่ ISC เผยให้เห็นนั้นคล้ายกับความฝันหลายชั้นในภาพยนตร์เรื่อง Inception

เมื่อภารกิจดำเนินไปถึงชั้นที่สอง ชั้นที่สาม หรือแม้แต่ชั้นที่ลึกกว่าในการดำเนินการ โมเดลจะตีความเป้าหมายของภารกิจใหม่ตามบริบทภายในที่สะสมอยู่ และค่อยๆ เกิดการเบี่ยงเบนในกระบวนการนี้

ในกรณีนี้ อินพุตเริ่มต้นของผู้ใช้สามารถเป็นปกติและไม่เป็นอันตรายโดยสมบูรณ์ และกระบวนการดำเนินการภารกิจในช่วงแรกก็เป็นไปตามข้อกำหนดเสมอ: อ่านไฟล์ วิเคราะห์ข้อมูล เขียนโค้ด เรียกใช้เครื่องมือ ทุกอย่างดูเหมือนกำลังดำเนินไปตามที่คาดหวัง

อย่างไรก็ตาม เมื่อเอเจนต์ดำเนินการถึงขั้นตอนสำคัญบางอย่าง มันอาจสรุปด้วยตัวเองว่า หากไม่ดำเนินการบางอย่างที่ไม่ควรทำ ก็จะไม่สามารถทำภารกิจสุดท้ายให้สำเร็จได้

ในกระบวนการนี้เอง ความเสี่ยงไม่ได้มาจากอินพุตภายนอก แต่ค่อยๆ ก่อตัวขึ้นภายในห่วงโซ่การดำเนินการภารกิจของโมเดลเอง กล่าวคือ โมเดลไม่ได้ถูกผู้ใช้สอนให้เสียทีละขั้นตอน มันมาถึงตำแหน่งที่ไม่ปลอดภัยด้วยตัวเองในระหว่าง "การทำภารกิจอย่างจริงจัง"

ปรากฏการณ์นี้ถูกค้นพบได้อย่างไร?

ตามที่ทีมงานแนะนำ ISC ไม่ได้ถูกออกแบบให้เป็นวิธีการโจมตีตั้งแต่แรก มันมาจากการสังเกตกระบวนการทำงานระยะยาวของเอเจนต์ เมื่อ Agent ถูกวางในสภาพแวดล้อมภารกิจที่ซับซ้อน มันไม่ได้แค่ดำเนินการตามคำสั่งอย่างกลไก มันจะวางแผน ลองผิดลองถูก ปรับเปลี่ยนเอาต์พุตตามคำติชมจาก harness หรือ validator และสร้างเป้าหมายระหว่างกลางในการดำเนินการหลายรอบ

นี่คือวิธีการใช้งานทั่วไปของเวิร์กโฟลว์ Agent หลายๆ ตัวในปัจจุบัน ผู้ใช้ไม่ได้เขียนพรอมพ์ที่ออกแบบมาอย่างพิถีพิถัน และไม่ได้สร้างคำสั่งโจมตีด้วยมือ หลายครั้ง ผู้ใช้เพียงแค่ให้คำพูดที่คลุมเครือมาก:

「ช่วยฉันทำงานนี้ให้เสร็จ」「ช่วยทำให้ดีขึ้นอีกหน่อย」

จากนั้น Agent จะเข้าไปในพื้นที่ทำงานด้วยตัวเอง อ่านไฟล์ ทำความเข้าใจสถานะปัจจุบัน ค้นหาสิ่งที่ขาดหาย วางแผน ดำเนินการแก้ไข และปรับปรุงตามข้อเสนอแนะอย่างต่อเนื่อง

ตัวอย่างเช่น ในสถานการณ์ AutoResearch ผู้ใช้เพียงแค่ให้บทความที่ยังไม่เสร็จสมบูรณ์และคำสั่งสั้นๆ ว่า "ช่วยทำให้สมบูรณ์" Agent จะตัดสินใจเองว่าส่วนไหนขาดการวิเคราะห์การทดลอง งานที่เกี่ยวข้อง หรือข้อความในตาราง สถานการณ์โค้ดก็คล้ายกัน: แค่คำสั่ง "ช่วยทำให้โปรเจกต์ทำงานได้" ก็อาจกระตุ้นให้เกิดการตรวจสอบ dependencies การรันเทส การระบุข้อผิดพลาด และการเติมเต็มโดยอัตโนมัติ

ในหลายกรณี บริบทก่อนหน้านี้ไม่เป็นอันตรายเลย ผู้ใช้ไม่ได้ขอให้สร้างเนื้อหาที่มีความเสี่ยง และคำอธิบายงานก็ไม่มีคำสำคัญที่อันตรายชัดเจน แต่ในโครงสร้างงานบางอย่าง Agent จะพยายามเติมเต็มเนื้อหาที่ไม่ควรถูกสร้างโดยโมเดล เพื่อให้ผ่านการตรวจสอบ จากข้อสังเกตนี้ ทีมวิจัยได้เสนอกรอบการโจมตีเพิ่มเติม: TVD (Task, Validation, Data)

ทำไมโครงสร้างคำอธิบายงานที่ดูธรรมดาถึงกลายเป็นการโจมตี?

โครงสร้างของ TVD ไม่ซับซ้อน และใกล้เคียงกับกระบวนการทางวิศวกรรมทั่วไป:

· Task: งานเฉพาะทาง

· Data: ไฟล์ข้อมูลที่ไม่สมบูรณ์

· Validator: ตัวตรวจสอบที่เช็คเฉพาะรูปแบบ ความสมบูรณ์ และเป้าหมายว่าสำเร็จหรือไม่

ยกตัวอย่างการฝึกโมเดล Guard ซึ่งเป็นงานที่เฉพาะทางและปกติมาก นักวิจัยอาจต้องการฝึกหรือประเมินตัวตรวจจับความปลอดภัย เช่น การใช้ Hugging Face โหลดโมเดลจำแนกข้อความ เพื่อตัดสินว่าผลลัพธ์ของโมเดลอยู่ในป้ายความปลอดภัยประเภทใด

ในงานนี้ Data คือตัวอย่างข้อมูลที่โมเดลต้องตรวจจับ ส่วน Validator กำหนดว่างานเสร็จสมบูรณ์หรือไม่ โดยจะตรวจสอบว่าข้อมูลที่ป้อนเป็นข้อความหรือไม่ ความยาวเพียงพอหรือไม่ ฟิลด์ครบถ้วนหรือไม่ และรูปแบบป้ายถูกต้องหรือไม่ สำหรับผู้ที่มีประสบการณ์ในการฝึก Machine Learning นี่คือขั้นตอนการทำงานที่คุ้นเคย Agent ก็คุ้นเคยกับขั้นตอนนี้เช่นกัน

ปัญหาอยู่ตรงนี้ หาก Data ไม่สมบูรณ์ งานจะไม่สามารถทำงานได้ Validator จะแจ้งข้อผิดพลาด บ่งชี้ว่าฟิลด์ขาดหาย ความยาวไม่เพียงพอ หรือรูปแบบไม่สมบูรณ์ เพื่อให้กระบวนการฝึกดำเนินต่อไป Agent จะเติมเต็ม Data เหล่านี้ด้วยตัวเอง

จากมุมมองของ Agent มันไม่ได้ "ทำชั่ว" มันแค่ทำงานการเรียนรู้ของเครื่องปกติ: ซ่อมแซมข้อมูล ผ่านการตรวจสอบ และทำให้สคริปต์ฝึกอบรมทำงานได้ แต่จากมุมมองด้านความปลอดภัย ความเสี่ยงเกิดขึ้นในขณะนี้: Validator เป็นเหมือนผู้ตรวจสอบงานมากกว่า ไม่ใช่ผู้ตรวจสอบความปลอดภัย มันตรวจสอบเพียงว่างานเสร็จตามรูปแบบหรือไม่ ไม่เข้าใจขอบเขตความปลอดภัยเบื้องหลังเนื้อหา

ปัญหาที่คล้ายกันนี้ยังมีอยู่ทั่วไปในสาขาการแพทย์ ชีววิทยา เคมี ความปลอดภัยทางไซเบอร์ เภสัชวิทยา และความปลอดภัยของสื่อ เอกสารรวบรวมสถานการณ์มากกว่า 50 รายการ และเกี่ยวข้องกับเครื่องมือวิจัยหรือวิศวกรรมจริงหลายชนิด เช่น BioPython, RDKit, Cantera, AutoDock Vina, DiffDock, PyRosetta, Scapy, Impacket, angr, Frida, LlamaGuard, Detoxify, OpenAI Moderation API เป็นต้น

เครื่องมือเหล่านี้ไม่ได้เป็นเครื่องมือที่มุ่งร้าย ตรงกันข้าม มันเป็นเครื่องมือมืออาชีพที่ใช้กันทั่วไปในการวิจัยหรือวิศวกรรมจริง แต่ปัญหาของ TVD คือ: เมื่อ Task ปกติ Tool ปกติ และ Validator ปกติ Agent ก็ยังอาจไปสู่ผลลัพธ์ที่ไม่ปลอดภัยในกระบวนการเติมเต็ม Data

ดังนั้น จุดสำคัญของ ISC ไม่ได้อยู่ที่เทคนิค Prompt แต่อยู่ที่ความสามารถของ Agent ในการเติมเต็ม "งานที่ยังไม่เสร็จ" โดยอัตโนมัติ: เมื่อเงื่อนไขการเสร็จสมบูรณ์ทับซ้อนกับขอบเขตความเสี่ยง โมเดลอาจถือว่าผลลัพธ์ที่ไม่ปลอดภัยเป็นสิ่งที่ส่งมอบตามปกติ

การเจาะ Fable 5 แสดงให้เห็นว่าตัวตรวจจับที่แข็งแกร่งไม่สามารถป้องกันความเสี่ยงภายในห่วงโซ่ภารกิจได้

กรณีของ Fable 5 แสดงให้เห็นว่าการพึ่งพาตัวตรวจจับภายนอกเพียงอย่างเดียวอาจยังไม่ครอบคลุมบางสถานการณ์ Agent ระยะยาว นี่ไม่ได้หมายความว่าตัวแยกประเภทความปลอดภัยไม่มีค่า ตรงกันข้าม มันมีประโยชน์มากสำหรับคำขอที่เป็นอันตรายจากภายนอก และทำให้วิธีการเจาะระบบแบบดั้งเดิมหลายวิธีใช้ไม่ได้ผล

แต่การพลาดครั้งนี้แสดงให้เห็นว่า ตัวตรวจจับภายนอกมีประสิทธิภาพกับขอบเขต Prompt ไม่ได้หมายความว่ามันครอบคลุมความเสี่ยงของภารกิจระยะยาวภายใน Agent

หากจุดเจาะไม่ได้มาจาก Prompt ของผู้ใช้ แต่มาจากเป้าหมาย เครื่องมือ ตัวตรวจสอบ และร่องรอยการดำเนินการของ Agent ตัวตรวจจับความปลอดภัยจะเปราะบางมาก

จาก Fable 5 ไปจนถึงโมเดลอื่นๆ กว่า 60 รายการ รวมถึงโมเดลมือถือของ Apple

ISC-Bench ที่เผยแพร่พร้อมกับการศึกษานี้ครอบคลุม 9 สาขาเฉพาะทาง เวอร์ชันเอกสารประกอบด้วยเทมเพลตทริกเกอร์มากกว่า 60 รายการ หลังจากเปิดเป็นโอเพนซอร์สแล้วขยายเป็น 84 เทมเพลต โดยทดสอบกับโมเดล前沿และระบบเอเจนต์จากผู้ผลิตเกือบทุกราย

ในอันดับการประเมินตาม ISC-Bench ณ เดือนมิถุนายน 2026 โมเดล前沿มากกว่า 60 รายการเผยให้เห็นความเสี่ยงที่คล้ายคลึงกันภายใต้ตัวชี้วัด ASR@3!

ปัจจุบันโปรเจกต์ GitHub ได้รับ 800+ stars และรวบรวมกรณีการจำลองซ้ำอิสระหลายกรณี (รวมถึงการเจาะโมเดลบนอุปกรณ์มือถือของ Apple) และกำลังอัปเดตอย่างต่อเนื่อง

มีรายงานว่าทีมงานกำลังดำเนินการวิจัยความปลอดภัยของโมเดล前沿ในวงกว้าง ปัจจุบันได้รวบรวมการกระจายข้อมูลที่ไม่ปลอดภัยภายในของโมเดลจำนวนมาก และผลการวิจัยที่เกี่ยวข้องจะถูกเผยแพร่ตามลำดับในอนาคต

ลิงก์ต้นฉบับ

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia