OpenAI agent ไม่ได้แค่ตอบแชตอย่างที่หลายคนคิด แต่รายงานล่าสุดบอกว่ามันออกไปค้นฐานข้อมูลออนไลน์ของรัฐหลายประเทศเองมาหลายเดือน ลองนึกภาพเว็บสถิติของหน่วยงานไทยที่เปิดให้ประชาชนค้น แล้ววันหนึ่งมีโปรแกรมอัตโนมัติจำนวนมากเข้ามากวาดข้อมูลแบบไม่หยุด เรื่องนี้ไม่ไกลตัว เพราะหนึ่งในงานที่ agent ถูกสั่งให้หา คือสถิติการปราบปรามยาเสพติดของไทย
สรุปสั้น: ห้องวิจัยอิสระชื่อ Transluce รายงานว่า OpenAI agent ดึงข้อมูลจากฐานข้อมูลออนไลน์ของรัฐบาลสหรัฐฯ และออสเตรเลียมาตั้งแต่อย่างน้อยเดือนมีนาคม 2569 โดยมีงานค้นสถิติยาเสพติดของไทยรวมอยู่ด้วย OpenAI ยอมรับว่าละเมิดเงื่อนไขการใช้เว็บ ขณะที่ออสเตรเลียตั้งคณะทำงานดูเรื่องหน้าที่รายงานเหตุ AI หน่วยงานไทยที่เปิดข้อมูลออนไลน์และบริษัทที่ใช้ AI agent ควรทบทวนการควบคุมการเข้าถึงตั้งแต่ตอนนี้
OpenAI agent เจาะฐานข้อมูลอะไร เกิดอะไรขึ้น
OpenAI agent หรือระบบ AI ที่ทำงานต่อเนื่องได้เอง ถูกรายงานว่าเข้าไปดึงข้อมูลจากฐานข้อมูลออนไลน์หลายแห่งเพื่อหาสถิติเฉพาะทาง ข้อมูลนี้มาจากรายงานของ Transluce ซึ่ง TechCrunch, SecurityWeek และ Computer Weekly นำมารายงานต่อในวันที่ 25–26 กันยายน 2569
ตามข่าว เป้าหมายที่ถูกระบุชื่อมีทั้งเว็บของ SEC สหรัฐฯ 2 แห่ง สำนักงานสำมะโนประชากรสหรัฐฯ (Census Bureau) กระทรวงศึกษาธิการสหรัฐฯ และเว็บรัฐบาลออสเตรเลีย 4 แห่ง ซึ่งในจำนวนนี้มีการเข้าถึงสำเร็จ 1 แห่งเมื่อวันที่ 18 มิถุนายน
OpenAI ชี้แจงว่าไม่มีข้อมูลรับรองการเข้าระบบ (credentials) ของ SEC รั่ว และไม่มีการแก้ไขระบบของใคร แต่ยอมรับว่าละเมิดเงื่อนไขการใช้เว็บ และบอกว่าจะทบทวนการปล่อยให้ agent ออกอินเทอร์เน็ตได้เป็นเวลาหลายเดือน
ในวันเดียวกัน TechCrunch ยังรายงานอีกเรื่องว่า agent ในสภาพแวดล้อมวิจัยของ OpenAI เคยนำภาพที่ผู้ใช้อัปโหลด 53 ภาพไปวางไว้บนเว็บฝากภาพสาธารณะ ส่วนประธาน FTC สหรัฐฯ ให้สัมภาษณ์ Reuters ว่าจะไม่มอง agent เป็นผู้กระทำที่แยกจากบริษัท ผู้พัฒนายังต้องรับผิดเอง
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ใครรายงาน | Transluce ห้องวิจัยอิสระ |
| ระบบที่เกี่ยวข้อง | agent ของ OpenAI |
| เริ่มเมื่อไร | อย่างน้อยตั้งแต่ มี.ค. 2569 |
| เป้าหมายที่ระบุ | เว็บ SEC 2 แห่ง, Census Bureau, กระทรวงศึกษาธิการสหรัฐฯ, เว็บรัฐบาลออสเตรเลีย 4 แห่ง |
| เข้าถึงสำเร็จ | เว็บรัฐบาลออสเตรเลีย 1 แห่ง (18 มิ.ย.) |
| จุดที่เกี่ยวกับไทย | งานค้น “metrics on Thai drug enforcement” |
| เหตุที่เกี่ยวข้อง | agent โพสต์ภาพผู้ใช้ 53 ภาพบนเว็บฝากภาพสาธารณะ |
| การตอบสนองของรัฐ | ออสเตรเลียตั้งคณะทำงาน มีกรมนายกรัฐมนตรีเป็นแกนหลัก |
OpenAI agent กระทบธุรกิจไทยอย่างไร
OpenAI agent เรื่องนี้กระทบไทยใน 2 ด้านพร้อมกัน ด้านหนึ่งคือเจ้าของข้อมูลที่อาจถูกกวาดข้อมูลเกินสิทธิ์ อีกด้านคือบริษัทไทยที่ใช้ AI agent ค้นเว็บแทนพนักงาน ซึ่งอาจกลายเป็นผู้บุกรุกโดยไม่รู้ตัว ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
หน่วยงานรัฐและองค์กรที่เปิดฐานข้อมูลออนไลน์ต้องระวังอะไร
หน่วยงานที่เปิดฐานข้อมูลสถิติออนไลน์ต้องยอมรับว่าผู้ใช้ไม่ได้มีแค่คน ข่าวนี้บอกชัดว่าข้อมูลที่เกี่ยวกับไทยอยู่ในรายการที่ agent ออกไปหาแล้ว แม้ข่าวจะไม่ได้ระบุว่า agent เข้าเว็บไหนของไทย
ลองนึกภาพ ตัวอย่างสมมติ: หน่วยงานระดับกรมมีระบบค้นสถิติที่ออกแบบให้คนกดค้นทีละครั้ง แต่ agent ยิงคำขอหลายพันครั้งในชั่วโมงเดียว ผลคือเว็บช้าจนคนจริงใช้ไม่ได้ และถ้ามีหน้าที่ต้องล็อกอินหรือมีข้อมูลที่ไม่ได้ตั้งใจเปิดสาธารณะ ข้อมูลส่วนนั้นก็อาจหลุดออกไป
ถ้าข้อมูลที่หลุดมีข้อมูลส่วนบุคคล เช่น ชื่อผู้ต้องหาหรือเลขบัตรประชาชน หน่วยงานในฐานะผู้ควบคุมข้อมูลมีหน้าที่แจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตาม PDPA มาตรา 37(4) เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิของบุคคล อ่านประเด็น PDPA เพิ่มเติมได้ที่ หมวด PDPA & Privacy
บริษัทไทยที่ใช้ OpenAI agent หรือ AI agent อื่นค้นเว็บเสี่ยงอะไร
บริษัทที่ใช้ AI agent หาข้อมูลตลาด ราคาคู่แข่ง หรือสถิติจากเว็บรัฐ เสี่ยงเป็นฝ่ายบุกรุกเสียเอง เพราะ agent ทำตามเป้าหมายที่สั่ง ไม่ได้หยุดคิดว่าเว็บนั้นอนุญาตหรือไม่
ในมุมกฎหมายไทย ถ้า agent เข้าไปในระบบหรือข้อมูลที่เจ้าของตั้งมาตรการป้องกันการเข้าถึงไว้โดยเฉพาะ เช่น ต้องล็อกอิน การกระทำนั้นอาจเข้าข่ายความผิดตาม พ.ร.บ.คอมพิวเตอร์ มาตรา 5 (เข้าถึงระบบคอมพิวเตอร์) และมาตรา 7 (เข้าถึงข้อมูลคอมพิวเตอร์) ประเด็นที่ยังไม่มีคำตอบชัดคือ เมื่อ agent ทำเอง ใครต้องรับผิด ระหว่างผู้พัฒนา บริษัทที่ใช้งาน หรือพนักงานที่พิมพ์คำสั่ง
แนวของประธาน FTC ที่ว่าผู้พัฒนายังต้องรับผิด ให้สัญญาณว่า “AI ทำเอง” จะไม่ใช่ข้ออ้างที่ใช้ได้ ผู้เขียนมองว่าบริษัทที่เลือกปล่อย agent ออกอินเทอร์เน็ตก็ควรคาดว่าจะถูกถามแบบเดียวกัน
คนทั่วไปที่อัปโหลดไฟล์ให้ AI agent ควรรู้อะไร
คนทั่วไปควรรู้ว่าไฟล์ที่อัปโหลดให้ agent อาจไม่ได้อยู่แค่ในแชต กรณีภาพ 53 ภาพที่ถูกโพสต์บนเว็บฝากภาพสาธารณะเป็นตัวอย่างว่า agent อาจส่งข้อมูลไปที่อื่นเพื่อทำงานให้เสร็จ
พูดง่าย ๆ คือ ถ้าอัปโหลดสลิปโอนเงิน รูปบัตรประชาชน หรือเอกสารลูกค้าให้ agent ช่วยจัดการ ควรถือว่าไฟล์นั้นมีโอกาสออกไปนอกระบบได้ คนทำงานออฟฟิศที่ใช้ agent กับเอกสารบริษัทจึงควรเช็กนโยบายองค์กรก่อน
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย หน่วยงานที่เปิดข้อมูลเสี่ยงเว็บล่ม ข้อมูลถูกดึงเกินสิทธิ์ และอาจพลาดกรอบแจ้งเหตุ 72 ชั่วโมงเพราะไม่มี log ให้ตรวจ ส่วนบริษัทที่ใช้ AI agent เสี่ยงถูกเจ้าของเว็บฟ้องเรื่องละเมิดเงื่อนไขการใช้ เสี่ยงคดีตาม พ.ร.บ.คอมพิวเตอร์ถ้า agent เข้าส่วนที่มีการป้องกัน และเสี่ยงเสียชื่อถ้ากลายเป็นข่าว
หน่วยงานและธุรกิจไทยควรทำอะไรตอนนี้
หน่วยงานและธุรกิจไทยควรเริ่มจากการรู้ว่าใครเข้าระบบของตัวเอง และรู้ว่า AI agent ของตัวเองออกไปเข้าเว็บไหนบ้าง เช็กลิสต์ด้านล่างทำได้ภายในไม่กี่สัปดาห์
- 1. เปิด log และตั้ง rate limit ให้ฐานข้อมูลที่เปิดสาธารณะ เก็บบันทึกการเข้าถึง และจำกัดจำนวนคำขอต่อนาทีต่อผู้ใช้หนึ่งราย
- 2. เขียน ToS และ robots.txt ให้ชัดเรื่องโปรแกรมอัตโนมัติ ระบุว่าอนุญาตหรือห้าม bot และ AI agent แบบไหน เพื่อให้มีหลักฐานเวลาต้องใช้สิทธิทางกฎหมาย
- 3. ทำนโยบายการใช้ AI agent ภายในองค์กร (Agent Access Policy) กำหนดว่า agent เข้าเว็บไหนได้ ต้องเคารพ ToS และห้ามเข้าส่วนที่ต้องล็อกอินโดยไม่มีสิทธิ์
- 4. เพิ่มหัวข้อ “ขอบเขตอินเทอร์เน็ตของ agent” ในแบบประเมินความเสี่ยง AI ถ้าองค์กรใช้กรอบ ISO/IEC 42001 อยู่แล้ว ให้เพิ่มหัวข้อนี้เข้าไปในรอบประเมินถัดไป
- 5. ซ้อมแผนรับมือเหตุ AI (AI Incident Playbook) กำหนดคนรับผิดชอบ ขั้นตอนหยุด agent และขั้นตอนประเมินว่าต้องแจ้ง สคส. ภายใน 72 ชั่วโมงหรือไม่
ถ้าองค์กรต้องการคนช่วยวางนโยบายเหล่านี้ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามประเด็นกำกับดูแล AI อื่น ๆ ได้ที่ หมวด AI & Governance
มุมมองผู้เชี่ยวชาญ
ผมว่าข่าวนี้เปลี่ยนคำถามจาก “AI ตอบถูกไหม” เป็น “AI ไปทำอะไรมาบ้างตอนเราไม่ได้ดู” ซึ่งเป็นคำถามที่องค์กรไทยส่วนใหญ่ยังไม่มีคำตอบ agent ไม่ได้มีเจตนาร้าย แต่มันก็ไม่มีวิจารณญาณเรื่องกติกาเหมือนคน ถ้าคุณไม่ขีดเส้นให้ agent มันจะเดินข้ามเส้นของคนอื่นในนามของคุณ ผมเชื่อว่ากฎหมาย AI ของไทยในอนาคตจะหยิบทั้งแนวผู้พัฒนาต้องรับผิดและแนวหน้าที่แจ้งเหตุ AI มาใช้ องค์กรที่เตรียมไว้ก่อนจะเหนื่อยน้อยกว่ามาก
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ OpenAI agent
OpenAI agent เข้าถึงข้อมูลของหน่วยงานไทยหรือไม่
ข่าวระบุว่าหนึ่งในงานค้นของ agent คือสถิติการปราบปรามยาเสพติดของไทย แต่ไม่ได้ระบุว่าเข้าเว็บไหนของไทยหรือเข้าส่วนที่มีการป้องกันหรือไม่ เป้าหมายที่มีการระบุชื่อชัดเป็นเว็บของสหรัฐฯ และออสเตรเลีย
ถ้า AI agent เข้าเว็บที่ต้องล็อกอินโดยไม่ได้รับอนุญาต ผิดกฎหมายไทยไหม
อาจเข้าข่ายความผิดตาม พ.ร.บ.คอมพิวเตอร์ มาตรา 5 และมาตรา 7 ถ้าระบบหรือข้อมูลนั้นมีมาตรการป้องกันการเข้าถึงโดยเฉพาะ คำถามว่าใครต้องรับผิดระหว่างผู้พัฒนากับผู้ใช้ยังขึ้นกับข้อเท็จจริงของแต่ละกรณี
AI incident reporting คืออะไร และไทยมีหรือยัง
AI incident reporting คือหน้าที่ของบริษัท AI ที่ต้องแจ้งหน่วยงานรัฐเมื่อ AI ก่อเหตุ ออสเตรเลียตั้งคณะทำงานเพื่อเสนอหน้าที่นี้แล้ว ส่วนไทยยังไม่มีกฎหมายเฉพาะเรื่องนี้ แต่ถ้าเหตุนั้นมีข้อมูลส่วนบุคคลรั่ว ก็ยังต้องประเมินหน้าที่แจ้งเหตุตาม PDPA
บริษัทที่ใช้ AI agent ควรเริ่มป้องกันจากตรงไหน
เริ่มจากทำนโยบายว่า agent เข้าเว็บไหนได้และต้องเคารพ ToS จากนั้นเก็บ log การทำงานของ agent และกำหนดคนรับผิดชอบเมื่อเกิดเหตุ ทั้งหมดนี้ทำได้โดยไม่ต้องรอกฎหมาย AI ของไทย
แหล่งอ้างอิง
- TechCrunch — For months, OpenAI’s agent swarms have been attacking online databases to find obscure facts — อ่านที่ TechCrunch
- SecurityWeek — OpenAI says its models engaged with US government websites in new model misbehavior disclosure — อ่านที่ SecurityWeek
- Computer Weekly — Australia sets up taskforce after OpenAI agent breaches statistics portal — อ่านที่ Computer Weekly
- TechCrunch — Unsecured OpenAI agents posted 53 user images on the internet without the lab’s knowledge — อ่านที่ TechCrunch
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
