Hermes AI Agent ถูกใช้โจมตีกระทรวงการคลังไทย | AI Cyber Attack ยุคใหม่

นักวิจัยเผยผู้โจมตีใช้ Hermes AI Agent ในการโจมตีเครือข่ายของกระทรวงการคลังไทย พร้อมมัลแวร์ Hades สะท้อนแนวโน้ม AI-powered Cyber Attack ที่องค์กรต้องเตรียมรับมือ

Hermes AI Agent ถูกใช้โจมตีกระทรวงการคลังไทย สะท้อนภัยคุกคาม AI-Powered Cyber Attack ยุคใหม่

วงการ Cybersecurity กำลังจับตาเหตุการณ์สำคัญ เมื่อมีรายงานว่าผู้ไม่หวังดีได้นำ Hermes AI Agent ซึ่งเป็น AI Agent แบบ Open Source มาใช้ช่วยดำเนินการโจมตีทางไซเบอร์ต่อ กระทรวงการคลังของประเทศไทย (Ministry of Finance: MOF) โดยปล่อยให้ AI ทำงานแบบอัตโนมัติในโหมด "YOLO (You Only Live Once) Mode" ที่สามารถวิเคราะห์สถานการณ์และดำเนินคำสั่งได้โดยไม่ต้องรอการอนุมัติจากผู้ควบคุมในทุกขั้นตอน

แม้ขณะนี้ยังไม่มีการยืนยันจากกระทรวงการคลังว่าระบบถูกเจาะสำเร็จทั้งหมด แต่เหตุการณ์ดังกล่าวถือเป็นกรณีศึกษาที่สำคัญ เพราะเป็นหนึ่งในตัวอย่างแรก ๆ ที่แสดงให้เห็นถึงการใช้ Autonomous AI Agent เพื่อช่วยดำเนินการโจมตีจริงในโลกไซเบอร์

นักวิจัยพบโครงสร้างพื้นฐานของผู้โจมตีโดยบังเอิญ

เหตุการณ์นี้ถูกเปิดเผยโดยบริษัทด้าน Threat Intelligence Hunt.io ร่วมกับนักวิจัยด้านความปลอดภัย Bob Diachenko หลังตรวจพบเซิร์ฟเวอร์ที่เปิดเผยข้อมูลต่อสาธารณะโดยไม่ได้ตั้งใจ

ภายในพบไฟล์เกือบ 600 รายการที่เกี่ยวข้องกับปฏิบัติการโจมตี เช่น

• AI Agent Session Logs
• Web Shell
• Exploit Scripts
• Credentials
• Malware
• เครื่องมือสำหรับ Post-Exploitation
• ไฟล์สำหรับควบคุมระบบจากระยะไกล

จากหลักฐานที่พบ นักวิจัยเชื่อว่าผู้โจมตีสามารถเข้าถึงระบบภายในหลายส่วนของเครือข่ายได้ อย่างไรก็ตาม หลักฐานบางส่วนเป็นเพียงการบ่งชี้ว่าเป้าหมายถูกสำรวจหรือพยายามเข้าถึง จึงยังไม่สามารถสรุปได้ว่าทุกระบบถูกเจาะสำเร็จ

Hermes AI Agent คืออะไร

Hermes เป็น AI Agent แบบ Open Source ที่ออกแบบมาให้สามารถทำงานแทนผู้ใช้งานผ่านคำสั่งภาษาธรรมชาติ ไม่ว่าจะเป็น

• รันคำสั่งผ่าน Command Line
• วิเคราะห์ข้อมูล
• เขียน Script
• ค้นหาข้อมูล
• ใช้งานเครื่องมือต่าง ๆ
• ดำเนินงานหลายขั้นตอนต่อเนื่อง (Agentic Workflow)

ในการโจมตีครั้งนี้ Hermes ถูกนำมาใช้เป็น "ผู้ช่วยแฮกเกอร์" ให้ดำเนินการหลังจากสามารถเข้าถึงระบบเป้าหมายแล้ว โดย AI จะทำงานแบบอัตโนมัติในโหมด YOLO ซึ่งสามารถรันคำสั่งต่อเนื่องโดยไม่ต้องรอการยืนยันจากผู้ใช้งานในแต่ละขั้นตอน

AI ถูกใช้ทำอะไรในการโจมตี

จาก Log ที่นักวิจัยวิเคราะห์ พบว่า Hermes AI Agent ถูกใช้เพื่อดำเนินกิจกรรมหลังการเจาะระบบ (Post-Exploitation) หลายด้าน เช่น

• สำรวจเครื่องเซิร์ฟเวอร์ภายใน
• ตรวจสอบบริการที่เปิดใช้งาน
• วิเคราะห์สิทธิ์ของผู้ใช้งาน
• ค้นหาเส้นทางยกระดับสิทธิ์ (Privilege Escalation)
• สำรวจโครงสร้างเครือข่าย
• ประเมินเส้นทางการเคลื่อนที่ภายในระบบ (Lateral Movement)

การใช้ AI Agent ช่วยลดภาระของผู้โจมตี ทำให้สามารถดำเนินการสำรวจระบบได้รวดเร็วและต่อเนื่องตลอดเวลา ซึ่งเป็นแนวโน้มใหม่ที่ผู้เชี่ยวชาญด้าน Cybersecurity ให้ความสนใจอย่างมาก

พบมัลแวร์ใหม่ชื่อ "Hades"

นอกจาก Hermes AI Agent แล้ว นักวิจัยยังค้นพบมัลแวร์ที่ไม่เคยมีการรายงานมาก่อน ซึ่งถูกตั้งชื่อว่า Hades

Hades พัฒนาด้วยภาษา Go และรองรับทั้ง

• Windows
• Linux

ความสามารถที่พบ ได้แก่

• สร้าง Persistence
• รับคำสั่งจาก Command & Control (C2)
• รับส่งไฟล์
• Proxy Traffic
• Screen Capture

นอกจากนี้ ผู้โจมตียังตั้งชื่อไฟล์ให้คล้ายกับ Process ของระบบ เช่น

• csrss
• conhost
• MicrosoftEdgeUpdate
• kworker
• multipathd

เพื่อหลีกเลี่ยงการตรวจจับจากผู้ดูแลระบบและเครื่องมือด้านความปลอดภัย

ทำไมเหตุการณ์นี้จึงสำคัญ

ในอดีต AI มักถูกนำมาใช้เพื่อช่วยฝ่ายป้องกัน เช่น

• Threat Detection
• Security Analytics
• Incident Response
• Malware Analysis

แต่เหตุการณ์นี้สะท้อนให้เห็นว่า AI สามารถกลายเป็น "อาวุธ" ของผู้โจมตีได้เช่นกัน

เมื่อ AI Agent สามารถวิเคราะห์สถานการณ์ รันคำสั่ง และตัดสินใจบางส่วนได้เอง ความเร็วและประสิทธิภาพของการโจมตีจึงเพิ่มขึ้นอย่างมาก และอาจทำให้การโจมตีในอนาคตมีความซับซ้อนยิ่งกว่าเดิม

องค์กรควรเตรียมรับมืออย่างไร

เพื่อรับมือกับภัยคุกคามจาก AI-Powered Cyber Attack องค์กรควรดำเนินการดังนี้

• ติดตั้ง EDR หรือ XDR เพื่อเฝ้าระวังพฤติกรรมผิดปกติ
• ใช้หลัก Least Privilege ในการกำหนดสิทธิ์ผู้ใช้งาน
• ติดตาม Threat Intelligence อย่างต่อเนื่อง
• ตรวจสอบบัญชีผู้ดูแลระบบและบัญชีที่มีสิทธิ์สูงเป็นประจำ
• เฝ้าระวังการเคลื่อนที่ภายในเครือข่าย (Lateral Movement)
• จัดทำ Incident Response Plan และซ้อมรับมืออย่างสม่ำเสมอ
• นำ AI มาใช้ช่วยวิเคราะห์และตรวจจับภัยคุกคามเพื่อเพิ่มศักยภาพของทีม Security

กรณีการใช้ Hermes AI Agent ในการโจมตีที่มุ่งเป้าไปยังกระทรวงการคลังของไทย เป็นสัญญาณสำคัญว่าภูมิทัศน์ของภัยคุกคามไซเบอร์กำลังเปลี่ยนเข้าสู่ยุค AI-Driven Cyber Attack ซึ่ง AI ไม่ได้เป็นเพียงเครื่องมือช่วยวิเคราะห์ข้อมูลอีกต่อไป แต่สามารถทำหน้าที่เป็น "ผู้ช่วยผู้โจมตี" ที่ดำเนินงานได้อย่างอัตโนมัติ

แม้จะยังไม่มีการยืนยันอย่างเป็นทางการว่าระบบของกระทรวงการคลังถูกเจาะสำเร็จทั้งหมด แต่เหตุการณ์นี้เป็นบทเรียนสำคัญสำหรับทุกองค์กรในการยกระดับมาตรการป้องกัน และเตรียมพร้อมรับมือกับภัยคุกคามรูปแบบใหม่ที่ใช้ AI เป็นตัวเร่งความเร็วในการโจมตี