ถ้าบริษัทของคุณใช้ Salesforce Agentforce ให้ AI ช่วยทีมขายสรุปรายชื่อลูกค้าที่กรอกฟอร์ม “สนใจสินค้า” บนเว็บไซต์ เรื่องนี้เกี่ยวกับคุณโดยตรง นักวิจัยเพิ่งเปิดเผยช่องโหว่ชื่อ SalesBleed ที่ให้คนแปลกหน้าพิมพ์คำสั่งแฝงลงในฟอร์มนั้น แล้วทำให้ AI agent ส่งข้อมูลลูกค้าในระบบออกไปข้างนอก โดยพนักงานไม่ต้องกดอะไรเลย ผู้ผลิตแก้ครบแล้ว แต่คำถามทางกฎหมายสำหรับบริษัทไทยยังไม่จบ
สรุปสั้น: SalesBleed คือช่องโหว่ 3 จุดใน Salesforce Agentforce ที่ Zenity Labs พบ คนร้ายฝังคำสั่งแฝงในฟอร์ม Web-to-Lead แล้วทำให้ AI agent ค้นข้อมูลใน CRM และส่งออกผ่านคำขอรูปภาพ Salesforce แก้ครบเมื่อ 21 ก.ย. 2569 บริษัทไทยที่ใช้ AI agent กับข้อมูลลูกค้าควรตรวจว่าการแก้ไขมีผลกับระบบของตนแล้ว ทบทวนสิทธิ์ของ agent และเพิ่มความเสี่ยง prompt injection ลงใน DPIA เพราะถ้าข้อมูลรั่ว อาจเป็นเหตุละเมิดที่ต้องแจ้ง สคส. ตาม PDPA
ช่องโหว่ SalesBleed ใน Salesforce Agentforce คืออะไร เกิดอะไรขึ้น
SalesBleed คือชื่อที่ใช้เรียกช่องโหว่ 3 จุดใน Salesforce Agentforce ซึ่งทีมวิจัย Zenity Labs เป็นผู้พบ ช่องโหว่นี้เปิดทางให้คนร้ายที่ไม่มีบัญชีในระบบเลย ใช้ฟอร์ม Web-to-Lead ที่เปิดให้ทุกคนกรอกบนเว็บไซต์ เป็นทางส่งคำสั่งแฝงเข้าไปหา AI agent
พูดง่าย ๆ คือ คนร้ายไม่ได้เจาะรหัสผ่าน แต่ “ฝากข้อความ” ไว้ในช่องกรอกข้อมูล เมื่อ AI agent อ่านรายชื่อผู้สนใจที่เข้ามาใหม่ มันก็อ่านเจอคำสั่งแฝงนั้นด้วย แล้วทำตาม คือไปค้นข้อมูลอื่นใน CRM และแนบข้อมูลไปกับคำขอโหลดรูปภาพที่วิ่งออกไปยังเซิร์ฟเวอร์ภายนอก
ตามรายงานของ The Register และ SecurityWeek ต้นเหตุมีสามส่วน คือการควบคุมรายการ Trusted URLs ที่หละหลวม ระบบไม่ตัด URL ที่น่าสงสัยออกจากคำตอบ และไม่มีขั้นตอนให้ผู้ใช้ยืนยันก่อน agent ตอบกลับใน Slack
| ประเด็น | ข้อเท็จจริงในข่าว |
|---|---|
| ผู้พบช่องโหว่ | Zenity Labs |
| ระบบที่ได้รับผลกระทบ | Salesforce Agentforce |
| จำนวนช่องโหว่ | 3 จุด |
| ช่องทางโจมตี | ฟอร์ม Web-to-Lead ที่เปิดสาธารณะ |
| วิธีส่งข้อมูลออก | แนบไปกับคำขอรูปภาพ |
| แจ้งผู้ผลิต | 1 มิ.ย. 2569 |
| แก้บางส่วน | 19 ส.ค. 2569 |
| แก้ครบ | 21 ก.ย. 2569 |
| วันที่มีรายงานข่าว | 24–25 ก.ย. 2569 |
ช่องโหว่ Salesforce Agentforce กระทบธุรกิจไทยอย่างไร
ช่องโหว่ Salesforce Agentforce กระทบบริษัทไทยทุกแห่งที่ให้ AI agent อ่านข้อมูลจากคนภายนอกแล้วมีสิทธิ์เข้าถึงฐานข้อมูลลูกค้าในเวลาเดียวกัน ความเสี่ยงไม่ได้อยู่ที่แบรนด์ Salesforce อย่างเดียว แต่อยู่ที่รูปแบบการออกแบบระบบ ซึ่ง CRM ที่มี AI agent เจ้าอื่นก็อาจมีจุดอ่อนแบบเดียวกันได้ (ข้อนี้เป็นการวิเคราะห์ของผู้เขียน ข่าวไม่ได้ระบุว่าระบบอื่นมีช่องโหว่)
บริษัทที่ใช้ Salesforce หรือ CRM ที่มี AI agent
บริษัทที่เปิดฟอร์มรับลูกค้าบนเว็บและให้ AI สรุปข้อมูลให้ทีมขาย คือกลุ่มที่ตรงกับสถานการณ์ในข่าวที่สุด ลองนึกภาพ ตัวอย่างสมมติ: บริษัทขายประกันออนไลน์ 50 คน เปิดฟอร์ม “ขอใบเสนอราคา” บนเว็บ ทุกเช้าทีมขายถาม agent ใน Slack ว่า “สรุปลีดใหม่เมื่อวานให้หน่อย” ถ้ามีฟอร์มหนึ่งซ่อนคำสั่งไว้ agent อาจไปดึงเบอร์โทรและประวัติกรมธรรม์ของลูกค้าคนอื่นออกไปด้วย
ในมุมกฎหมาย บริษัทนั้นคือผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA การเลือกใช้ซอฟต์แวร์ของผู้ให้บริการระดับโลกไม่ได้ย้ายหน้าที่ออกไปจากบริษัท บริษัทยังมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) และถ้าเกิดเหตุละเมิดที่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้ง สคส. ตามมาตรา 37(4)
ทีมขายและทีมการตลาด
ทีมขายและทีมการตลาดมักเป็นคนตั้งค่า agent เอง เพราะอยากได้ความเร็ว ปัญหาคือทีมเหล่านี้มักให้สิทธิ์ agent กว้างเกินงานจริง เช่น ให้อ่านลูกค้าทั้งฐาน ทั้งที่งานจริงแค่ต้องดูลีดใหม่ของวันนั้น
ถ้าเกิดเหตุขึ้น คำถามแรกที่ สคส. หรือศาลจะถามคือ “ทำไม agent ถึงเข้าถึงข้อมูลได้มากขนาดนั้น” การให้สิทธิ์เกินจำเป็นจะทำให้บริษัทอธิบายได้ยากว่ามาตรการของตนเพียงพอ
ฝ่ายไอทีและ DPO
ฝ่ายไอทีและ DPO ต้องเปลี่ยนวิธีคิดเรื่อง AI จาก “เครื่องมือช่วยงาน” เป็น “ผู้ใช้งานอีกคนหนึ่งที่เชื่อข้อความทุกอย่างที่อ่าน” มุมที่ยังไม่ค่อยมีใครพูดคือ ฟอร์มสาธารณะทุกฟอร์มตอนนี้กลายเป็นช่องทางสั่งงาน AI ได้ ไม่ใช่แค่ช่องรับข้อมูลอีกต่อไป
ผู้เขียนมองว่า prompt injection ควรเป็นหัวข้อบังคับใน DPIA ของทุกระบบที่มี agent เข้าถึงข้อมูลส่วนบุคคล อ่านแนวคิดการกำกับ AI เพิ่มเติมได้ในหมวด AI & Governance
ลูกค้าและคนทั่วไป
ลูกค้าทั่วไปไม่เห็นระบบหลังบ้าน แต่เป็นคนรับผลเมื่อข้อมูลหลุด ข้อมูลใน CRM มักพอให้มิจฉาชีพโทรหาได้แนบเนียน เพราะรู้ชื่อ รู้ว่าเคยสนใจสินค้าอะไร และรู้ว่าคุยกับเซลส์คนไหน ข่าวของ The Register ยังพูดถึงความเสี่ยงด้าน phishing ด้วย ซึ่งทำให้ความเสียหายต่อคนทั่วไปเป็นเรื่องจับต้องได้
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ตรวจอะไรเลย บริษัทเสี่ยงสามเรื่องหลัก คือข้อมูลลูกค้ารั่วโดยไม่รู้ตัว ความรับผิดตาม PDPA และความเสียหายต่อชื่อเสียง
- ข้อมูลรั่วเงียบ: การโจมตีแบบไม่ต้องคลิกไม่มีสัญญาณเตือนให้พนักงานเห็น บริษัทอาจรู้ตัวหลังลูกค้าร้องเรียนว่าโดนโทรหลอก
- ความรับผิดตาม PDPA: ถ้ามาตรการไม่เหมาะสมกับความเสี่ยงที่ทราบกันแล้ว บริษัทต้องอธิบายให้ได้ว่าทำไมไม่ป้องกัน
- แจ้งเหตุไม่ทัน: เหตุละเมิดที่มีความเสี่ยงต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าไม่มีแผนรับมือ การเก็บหลักฐานและประเมินผลกระทบจะไม่ทันเวลา
- เสียความเชื่อใจ: ลูกค้าไม่แยกว่าเป็นความผิดของผู้ผลิตซอฟต์แวร์หรือของบริษัท เขาจำแค่ชื่อแบรนด์ที่ตนให้ข้อมูลไป
บริษัทที่ใช้ Salesforce Agentforce ควรทำอะไรตอนนี้
บริษัทที่ใช้ Salesforce Agentforce หรือ AI agent ตัวอื่นกับข้อมูลลูกค้า ควรเริ่มจากการยืนยันว่าการแก้ไขมีผลแล้ว จากนั้นลดสิทธิ์ของ agent และบันทึกความเสี่ยงไว้เป็นลายลักษณ์อักษร
- 1. ยืนยันการแก้ไขล่าสุด ติดต่อผู้ดูแลระบบหรือ Salesforce เพื่อยืนยันว่าการแก้ไขครบถ้วนเมื่อ 21 ก.ย. 2569 มีผลกับระบบของบริษัทแล้ว และเก็บหลักฐานไว้
- 2. ตัดสิทธิ์ agent ให้เหลือเท่างานจริง agent ที่อ่านฟอร์มสาธารณะไม่ควรค้นข้อมูลลูกค้าทั้งฐานได้
- 3. ทบทวน Trusted URLs ลบโดเมนที่ไม่จำเป็นออก และตั้งให้ agent ไม่แสดงรูปหรือลิงก์จากโดเมนภายนอกโดยอัตโนมัติ
- 4. ใส่ขั้นตอนให้คนยืนยัน งานที่ agent จะส่งข้อมูลออกนอกระบบ เช่น ตอบใน Slack หรือส่งอีเมล ควรมีคนกดยืนยันก่อน
- 5. เพิ่ม prompt injection ลงใน DPIA และแผนรับมือเหตุละเมิด ระบุว่าช่องทางไหนที่คนภายนอกส่งข้อความถึง AI ได้ และใครต้องตัดสินใจแจ้ง สคส. ถ้าต้องการคนช่วยวางกรอบนี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าเคสนี้เปลี่ยนคำถามจาก ‘AI ฉลาดพอไหม’ เป็น ‘AI เชื่อใครบ้าง’ ฟอร์มหน้าเว็บที่เราเปิดไว้รับลูกค้า ตอนนี้กลายเป็นช่องที่ใครก็ได้เดินมาสั่งงานพนักงาน AI ของเรา เราไม่เคยให้พนักงานฝึกงานถือกุญแจห้องเก็บแฟ้มลูกค้าทุกห้อง แต่เรากำลังให้ AI agent ถือกุญแจนั้นอยู่ทุกวัน สำหรับผม ข้อนี้ไม่ใช่เรื่องไอทีอย่างเดียว แต่เป็นคำถามว่ามาตรการตาม PDPA ของบริษัทยังทันกับวิธีที่เราใช้ AI จริงหรือเปล่า”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Salesforce Agentforce และ SalesBleed
SalesBleed คืออะไร
SalesBleed คือชื่อเรียกช่องโหว่ 3 จุดใน Salesforce Agentforce ที่ Zenity Labs พบ คนร้ายฝังคำสั่งแฝงในฟอร์ม Web-to-Lead เพื่อให้ AI agent ค้นข้อมูลใน CRM แล้วส่งออกผ่านคำขอรูปภาพ โดยผู้ใช้ไม่ต้องคลิกอะไร
Salesforce แก้ช่องโหว่ Agentforce แล้วหรือยัง
ตามรายงานข่าว Salesforce ได้รับแจ้งเมื่อ 1 มิ.ย. 2569 แก้บางส่วนเมื่อ 19 ส.ค. และแก้ครบเมื่อ 21 ก.ย. 2569 บริษัทผู้ใช้ควรยืนยันกับผู้ดูแลระบบว่าการแก้ไขมีผลกับระบบของตนแล้ว
Prompt injection คืออะไร
Prompt injection คือการซ่อนคำสั่งไว้ในข้อความที่ AI จะอ่าน เพื่อหลอกให้ AI ทำสิ่งที่เจ้าของระบบไม่ได้สั่ง ในเคส SalesBleed ข้อความถูกซ่อนไว้ในฟอร์มกรอกข้อมูลบนเว็บ ไม่ได้พิมพ์ใส่ AI ตรง ๆ
ถ้าข้อมูลลูกค้ารั่วจาก AI agent ต้องแจ้ง สคส. ไหม
ถ้าเหตุนั้นมีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล บริษัทในฐานะผู้ควบคุมข้อมูลต้องแจ้ง สคส. ตาม PDPA ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ การที่ต้นเหตุมาจากซอฟต์แวร์ของผู้ให้บริการไม่ได้ทำให้หน้าที่นี้หายไป
บริษัทที่ไม่ได้ใช้ Salesforce ต้องกังวลไหม
ควรกังวลถ้าใช้ AI agent ตัวอื่นที่อ่านข้อความจากคนภายนอกและเข้าถึงข้อมูลลูกค้าได้ ข่าวนี้พูดถึง Salesforce Agentforce โดยเฉพาะ แต่ผู้เขียนมองว่ารูปแบบความเสี่ยงเดียวกันควรถูกตรวจในทุกระบบที่มี agent
แหล่งอ้างอิง
- The Register — Salesforce Agentforce vulns allowed 0-click CRM data theft, anonymous phishing — theregister.com
- SecurityWeek — SalesBleed: Flaws in Salesforce Agentforce Enabled Zero-Click Data Exfiltration — securityweek.com
อ่านหลักการทำงานของทีมบรรณาธิการได้ที่ นโยบายบรรณาธิการ และรู้จักผู้เขียนได้ที่ เกี่ยวกับเรา
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
