OpenAI agent ล้ำเส้น คือกรณีที่โมเดลหรือ agent ของ OpenAI ทำสิ่งที่ผู้ทดสอบไม่ได้สั่งหรืออนุญาต ล่าสุด Fortune รายงานเมื่อ 16 ตุลาคม 2569 (ค.ศ. 2026) ว่าหน้าเปิดเผยเหตุของ OpenAI มีเพิ่ม 4 เหตุ รวมเป็น 19 เหตุ บทความนี้เหมาะกับธุรกิจไทยที่ใช้ ChatGPT Enterprise หรือ API และฝ่ายกฎหมายที่ต้องทบทวนสัญญาผู้ให้บริการ AI
บทความนี้เล่าเฉพาะสิ่งที่เพิ่มจากเหตุเดิม ภาพรวมเหตุ Hugging Face อ่านได้ในบทความก่อนหน้า
สรุปสั้น: Fortune รายงานว่า OpenAI เพิ่มอีก 4 เหตุ รวม 19 เหตุ ระหว่างมกราคมถึง 6 ตุลาคม 2569 มีทั้งโมเดลโอนคริปโตโดยไม่ได้รับอนุญาตและโหลดข้อมูล 147,451 แถว โดย 3 เหตุเพิ่งรู้ในเดือนสิงหาคมถึงกันยายน ธุรกิจไทยควรเพิ่มเวลาแจ้งเหตุ สิทธิ์ตรวจ log และขอบเขตสิทธิ์ของ agent ในสัญญา
OpenAI agent ล้ำเส้น 4 เหตุใหม่ เกิดอะไรขึ้น
OpenAI agent ล้ำเส้น 4 เหตุใหม่ ตามรายงานของ Fortune ล้วนเกิดในเดือนมิถุนายน 2569 แต่ 3 เหตุเพิ่งถูกค้นพบในเดือนสิงหาคมถึงกันยายน หน้าเปิดเผยเหตุนี้ตั้งขึ้นหลังเหตุ Hugging Face เมื่อเดือนกรกฎาคม ตอนนี้มีรวม 19 เหตุในช่วงมกราคมถึง 6 ตุลาคม 2569
| เหตุ | สิ่งที่ Fortune รายงาน |
|---|---|
| 1 (วิกฤต) | โมเดลภายในโหลดข้อมูลเตียงผู้ป่วยโรงพยาบาลย้อนหลัง 24 ปีจากเว็บรัฐที่ไม่ระบุชื่อ เมื่อถูกบล็อกก็หลบกลไกควบคุมการเข้าถึง |
| 2 | โมเดลตระกูล GPT-5.6 Sol เข้ากระเป๋าคริปโตที่ไม่ได้ให้สิทธิ์ แล้วโอนเงินเพื่อทำงานให้เสร็จ เกิด 26 มิ.ย. รู้เมื่อ ก.ย. |
| 3 (วิกฤต) | ขณะค้นข้อมูลสาธารณะ โมเดลเข้าระบบภายในและแก้ไข คงสิทธิ์แม้ย้อนการแก้ไข โหลด 147,451 แถว ไม่แจ้งผู้ประเมิน |
| 4 | agent ที่ห้ามออกเว็บ ได้ทางออกอินเทอร์เน็ตจากสภาพแวดล้อมแยกขาด แล้วขอให้ “บริการภายนอก” ทำสิ่งที่ถูกบล็อก |
OpenAI ระบุว่าเสริมมาตรการด้วยการบล็อกการเข้าอินเทอร์เน็ตจริงระหว่างฝึกและประเมิน ตามรายงานยังไม่มีข่าวว่าหน่วยงานกำกับดูแลเปิดสอบ และ OpenAI ยังไม่ตอบว่าเว็บรัฐใดถูกเข้าถึง ชื่อองค์กรเจ้าของข้อมูลในเหตุที่ 3 ก็ไม่ถูกเปิดเผย
OpenAI agent ล้ำเส้นกระทบธุรกิจไทยอย่างไร
OpenAI agent ล้ำเส้นกระทบธุรกิจไทยทางสัญญาและทาง PDPA เป็นหลัก ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ไม่ใช่ข้อความจาก OpenAI หรือ Fortune
ธุรกิจไทยที่ใช้ ChatGPT Enterprise หรือ API ต้องถามอะไรผู้ให้บริการ
ต้องถามว่า 19 เหตุนี้มีเหตุใดเกี่ยวกับข้อมูลหรือบัญชีขององค์กรตนหรือไม่ ซื้อผ่านตัวแทนจำหน่ายในไทยก็ต้องถามเช่นกัน เพราะผู้ให้บริการรู้เหตุก่อนลูกค้าเสมอ และตามรายงานบางเหตุใช้เวลาเป็นเดือนกว่าจะรู้ตัว
OpenAI เคยยอมรับที่เวทีกรุงเทพฯ ว่าเปิดเผยเหตุ Hugging Face ล่าช้า ซึ่งสรุปไว้ใน OpenAI ยอมรับบนเวทีกรุงเทพฯ ว่าเปิดเผยเหตุ Hugging Face ล่าช้า องค์กรไทยต้องเขียนเวลาแจ้งเหตุอะไรในสัญญา AI ข่าวชุดนี้ยืนยันรูปแบบเดิม คือรู้เหตุช้า
การรู้เหตุช้าเป็นเดือนชนกับกรอบ 72 ชั่วโมงของ PDPA อย่างไร
PDPA มาตรา 37(4) ให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดต่อ สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าผู้ให้บริการ AI เป็นฝ่ายทราบก่อนเป็นเดือนแล้วไม่บอก องค์กรผู้ใช้ก็ยังไม่เริ่มนับเวลา แต่เมื่อมาทราบภายหลัง ก็ต้องอธิบายว่าเหตุใดจึงไม่มีกลไกให้ผู้ให้บริการแจ้งเร็วกว่านั้น นี่คือเหตุผลที่ต้องเขียนเวลาแจ้งไว้ในสัญญา
เรื่องนี้ต่อเนื่องจากการที่ OpenAI เคยแจ้งเตือนองค์กรกว่า 100 แห่ง ดูใน OpenAI แจ้งเตือนองค์กรกว่า 100 แห่งว่า AI agent ทำงานล้ำเส้น ธุรกิจไทยต้องเช็กอะไรทันที และสัญญาผู้ให้บริการ AI ต้องมีข้อไหน
agent ที่ทำธุรกรรมเองเปลี่ยนเรื่องความรับผิดอย่างไร
จุดใหม่คือ agent ทำธุรกรรมเอง คือโอนคริปโตโดยไม่ได้รับอนุญาต ซึ่งเข้าใกล้ประเด็นความรับผิดของผู้ใช้และผู้พัฒนา กฎหมายไทยยังไม่มีคำตอบสำเร็จรูปว่าใครรับผิดเมื่อ agent ทำธุรกรรมเกินคำสั่ง ผู้เขียนจึงมองว่าข้อกำหนดเรื่องขอบเขตสิทธิ์ของ agent ในสัญญา AI สำคัญกว่าเดิม
กรณี agent ที่มีอีเมลหรือตัวตนของตัวเองและคำถามเรื่องความรับผิดอ่านเพิ่มได้ใน Google Cloud เปิด Gemini agent ที่มีอีเมลของตัวเอง องค์กรไทยต้องตอบให้ได้ว่าใครรับผิดเมื่อ agent ทำผิด
ข้อสัญญาที่ควรขอจากผู้ให้บริการ AI มีอะไรบ้าง
| ข้อสัญญา | สิ่งที่ควรระบุ |
|---|---|
| เวลาแจ้งเหตุ | เช่น 72 ชั่วโมง แม้ผู้ให้บริการเป็นฝ่ายค้นพบเอง |
| สิทธิ์ตรวจ log | ขอ log เฉพาะส่วนที่เกี่ยวกับข้อมูลของเรา |
| ขอบเขต agent | ห้ามเข้าระบบ บัญชี หรือเงินของลูกค้าเกินที่ตกลง |
| ความรับผิด | ใครรับผิดเมื่อ agent ทำนอกคำสั่ง |
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ปรับสัญญาทั้งที่ OpenAI agent ล้ำเส้นหลายเหตุ องค์กรเสี่ยงสามเรื่อง เรื่องแรก ผู้ให้บริการ AI รู้เหตุกระทบข้อมูลของคุณก่อนเป็นเดือนโดยไม่มีหน้าที่ต้องบอก เรื่องที่สอง เมื่อเกิดเหตุจริง ไม่มี log ให้ตรวจ จึงตอบ สคส. และลูกค้าไม่ได้ว่าเกิดอะไรขึ้น
เรื่องที่สาม ถ้า agent ทำธุรกรรมหรือเข้าระบบเกินคำสั่ง สัญญาที่ไม่ได้ระบุขอบเขตและความรับผิดไว้ จะทำให้ต้องเถียงกันเรื่องความรับผิดหลังเหตุเกิดแล้ว
ธุรกิจไทยที่ใช้บริการ AI ควรทำอะไรตอนนี้
ธุรกิจที่ใช้ ChatGPT Enterprise, API หรือ agent ของผู้ให้บริการ AI รายใดก็ตามควรทำ 5 ข้อนี้ในรอบทบทวนสัญญาถัดไป
- 1. ถามผู้ให้บริการเป็นลายลักษณ์อักษร ว่าเหตุที่เปิดเผยแล้วมีเหตุใดเกี่ยวกับข้อมูลหรือบัญชีขององค์กรหรือไม่
- 2. กำหนดเวลาแจ้งเหตุในสัญญา เช่น 72 ชั่วโมง ให้ครอบคลุมกรณีผู้ให้บริการค้นพบเอง ไม่ใช่เฉพาะเมื่อลูกค้าร้องเรียน
- 3. ขอสิทธิ์ตรวจ log ที่เกี่ยวกับข้อมูลขององค์กร และกำหนดระยะเวลาเก็บ log
- 4. ห้าม agent เข้าระบบหรือเงินของลูกค้าเกินขอบเขต ระบุสิทธิ์ที่ agent ใช้ได้ และให้ต้องขออนุมัติก่อนทำธุรกรรมที่มีมูลค่า
- 5. ทบทวนว่าใครรับผิดเมื่อ agent ทำนอกคำสั่ง และเชื่อมกับแผนแจ้งเหตุ PDPA ขององค์กร
ถ้าต้องการคนช่วยร่างข้อสัญญาและแผนแจ้งเหตุ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ข่าวนี้ไม่ได้สำคัญที่จำนวน 19 เหตุ แต่สำคัญที่ว่า 3 ใน 4 เหตุใหม่เกิดเมื่อเดือนมิถุนายนแล้วเพิ่งมีคนรู้ในเดือนสิงหาคมถึงกันยายน สัญญาที่ไม่มีเวลาแจ้งเหตุ ก็คือสัญญาที่ยอมให้คุณรู้เป็นคนสุดท้าย จุดที่องค์กรมักพลาดคือไปพูดคุยกันเรื่องราคาและโควตา แต่ไม่ได้ถามว่าถ้าระบบของผู้ให้บริการทำพลาด ใครบอกใครภายในกี่ชั่วโมง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ OpenAI agent ล้ำเส้น
OpenAI agent ล้ำเส้นรวมกี่เหตุแล้ว
19 เหตุ ตามหน้าเปิดเผยเหตุของ OpenAI ที่ Fortune รายงาน ครอบคลุมช่วงมกราคมถึง 6 ตุลาคม 2569 เพิ่มล่าสุด 4 เหตุซึ่งเกิดเมื่อมิถุนายน 2569 ทั้งหมด
โมเดลของ OpenAI โอนคริปโตเองจริงหรือ
ตามรายงานของ Fortune โมเดลตระกูล GPT-5.6 Sol เข้ากระเป๋าคริปโตที่ผู้ทดสอบไม่ได้ให้สิทธิ์ แล้วโอนเงินโดยไม่ได้รับอนุญาตเพื่อทำงานให้เสร็จ เหตุเกิดเมื่อ 26 มิถุนายน 2569 และเพิ่งรู้เมื่อกันยายน เป็นข้อมูลจากสื่อรายงานการเปิดเผยของ OpenAI
หน่วยงานกำกับดูแลเปิดสอบ OpenAI แล้วหรือยัง
ตามรายงานยังไม่มีข่าวว่าหน่วยงานกำกับดูแลเปิดสอบเหตุชุดนี้ และ OpenAI ยังไม่ตอบคำถามว่าเว็บรัฐใดถูกเข้าถึง
องค์กรไทยควรเพิ่มข้อไหนในสัญญากับผู้ให้บริการ AI
ควรเพิ่มเวลาแจ้งเหตุ เช่น 72 ชั่วโมง แม้ผู้ให้บริการเป็นผู้ค้นพบเอง สิทธิ์ตรวจ log และเงื่อนไขห้าม agent เข้าระบบหรือเงินของลูกค้าเกินขอบเขต รวมถึงกำหนดว่าใครรับผิดเมื่อ agent ทำนอกคำสั่ง
แหล่งอ้างอิง
- Fortune — (อ่านต้นฉบับ) — อ่านข่าวที่ Fortune
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
