MITRE ATT&CK v20 เพิ่ม Prompt Injection แต่ยังไม่มีวิธีตรวจจับกำกับ

บันทึกการเผยแพร่ ATT&CK v20 ของ MITRE ระบุว่ารุ่นนี้ออกเมื่อ 13 ตุลาคม 2026 และเพิ่ม Direct Prompt Injection, Indirect Prompt Injection, Impair Autonomous Defenses, AI-Enabled Exfiltration และ AI Result Poisoning ในส่วน Enterprise การเพิ่มชื่อเทคนิคทำให้ทีมรักษาความปลอดภัยมีหมวดพฤติกรรมสำหรับแมปงานตรวจจับ แต่การมีรายการในกรอบไม่ได้แปลว่ามีวิธีตรวจจับกำกับหรือมีสัญญาณเตือนพร้อมใช้ในองค์กร

ผลเปรียบเทียบข้อมูล STIX ของ P.K. Sharma ที่เผยแพร่ 19 ตุลาคม 2026 พบว่าเทคนิคและเทคนิคย่อย Enterprise ที่ยังใช้งานอยู่มี detection strategy เชื่อม 703 จาก 706 รายการ สามรายการที่ยังไม่มีคือ Direct Prompt Injection (T1699), Indirect Prompt Injection (T1698) และ Impair Autonomous Defenses (T1685.007) ผลนี้บอกสถานะความเชื่อมโยงในข้อมูลรุ่นที่ตรวจ ไม่ได้ตัดสินว่าทีม SOC จะสร้างการตรวจจับพฤติกรรมเหล่านั้นไม่ได้

รายการใหม่อยู่คนละช่วงของพฤติกรรมโจมตี

ช่องว่างที่พบกระจุกอยู่กับการชักนำระบบ AI และการรบกวนงานป้องกันอัตโนมัติ ขณะที่เทคนิคใหม่บางรายการมี strategy เชื่อมแล้ว สรุปเทคนิคของ The Injection แยก Direct Prompt Injection และ Indirect Prompt Injection ไว้ภายใต้ Execution ส่วน AI-Enabled Exfiltration อยู่ภายใต้ Exfiltration และมี strategy DET0927 พร้อม analytics สำหรับลำดับการเข้าถึงข้อมูล การเรียกเครื่องมือ และการส่งออก ความต่างนี้สำคัญเพราะการตรวจพบคำสั่งชักนำกับการตรวจพบผลลัพธ์ที่ตามมาใช้หลักฐานคนละจุด

Direct Prompt Injection เริ่มจากผู้โจมตีส่งข้อความเข้าสู่ช่องทางสนทนาของโมเดลโดยตรง เป้าหมายอาจเป็นการให้ระบบข้ามข้อกำหนดเดิม แสดงตนเป็นผู้มีสิทธิ์ หรือใช้ความสามารถที่ไม่อยู่ในขอบเขตงานที่อนุญาต สำหรับ SOC ข้อความที่น่าสงสัยเป็นเพียงหลักฐานของความพยายาม หากต้องการบอกว่าการโจมตีส่งผลจริง ยังต้องเห็นด้วยว่าระบบตอบสนองอย่างไร เรียกเครื่องมือใด และสิทธิ์ของผู้เริ่มงานครอบคลุมการกระทำนั้นหรือไม่ การปฏิเสธคำขอของระบบกับการทำตามคำขอเป็นผลลัพธ์ที่ต้องแยกกัน

Indirect Prompt Injection เปลี่ยนจุดเริ่มต้นไปอยู่ในเนื้อหาที่เอเจนต์ดึงมาอ่าน เช่น หน้าเว็บ เอกสาร อีเมล รายการงาน หรือโค้ด ผู้โจมตีไม่จำเป็นต้องเป็นผู้พิมพ์ข้อความในบทสนทนาหลัก เนื้อหาที่ควรเป็นข้อมูลประกอบอาจถูกตีความเป็นคำสั่งให้เปลี่ยนงาน เรียกเครื่องมือ หรือส่งข้อมูลออก ความเสี่ยงจึงเกิดตรงรอยต่อระหว่างแหล่งข้อมูลภายนอกกับอำนาจที่ระบบมอบให้เอเจนต์ บันทึกเฉพาะข้อความของผู้ใช้จะไม่แสดงว่าคำสั่งจากแหล่งภายนอกเข้าสู่บริบทของโมเดลเมื่อใด

Impair Autonomous Defenses เป็นเทคนิคย่อยภายใต้ Disable or Modify Tools และเกี่ยวกับการทำให้งานป้องกันที่ใช้ AI ทำงานผิดไปจากกระบวนการที่กำหนด เนื้อหาที่ระบบกำลังวิเคราะห์อาจชักนำให้ละเลยวัตถุที่รับเข้า หยุดก่อนจบ หรือไม่สร้างการแจ้งเตือนที่ควรเกิด หลักฐานจึงไม่ได้อยู่ที่ถ้อยคำในเนื้อหาอย่างเดียว แต่รวมถึงสถานะของงานวิเคราะห์ ขั้นตอนที่ทำไปแล้ว เหตุผลที่งานยุติ และผลลัพธ์ที่หายไป การหยุดงานเพราะบริการขัดข้องตามปกติต้องแยกออกจากงานที่เปลี่ยนพฤติกรรมหลังรับเนื้อหาของผู้โจมตี

แมปเทคนิคกับ telemetry โดยดูเส้นทางของเหตุการณ์

รายการต่อไปนี้เป็นผังสำรวจข้อมูลขององค์กร ไม่ใช่ detection strategy ที่เพิ่มขึ้นใน ATT&CK ทีม SOC ต้องรู้ก่อนว่าระบบ AI ที่ใช้งานเก็บเหตุการณ์แต่ละช่วงไว้ที่ใด และเชื่อมเหตุการณ์ข้ามบริการได้หรือไม่ ตัวระบุงาน เซสชัน ตัวตนเอเจนต์ และการเรียกเครื่องมือช่วยแยกว่าเหตุการณ์เกิดในกระบวนการเดียวกันหรือเพียงเกิดใกล้กันตามเวลา หากไม่มีตัวเชื่อม การเห็นคำขอและการเห็นการส่งข้อมูลออกแยกกันยังไม่พอจะสรุปเหตุและผล

• Direct Prompt Injection: สำรวจข้อความที่ส่งเข้าโมเดล ช่องทางรับคำขอ ตัวตนผู้ส่ง สิทธิ์ที่ผูกกับงาน และบันทึกการตัดสินใจเรียกเครื่องมือ สิ่งที่ต้องจับคู่คือคำขอที่พยายามเปลี่ยนบทบาทหรือขอบเขตงานกับการกระทำที่ระบบอนุญาตจริง หากเอเจนต์มีสิทธิ์อ่านข้อมูลหรือสั่งงานภายนอก ต้องเห็นด้วยว่าคำสั่งที่เกิดภายหลังผ่านการตรวจสิทธิ์ตามผู้เริ่มงานหรือไม่ การพบคำว่าให้ละเลยข้อกำหนดในข้อความเพียงอย่างเดียวอาจทำให้เกิดสัญญาณเตือนเกินจริง เพราะข้อความเดียวกันอาจปรากฏในงานทดสอบ การอ้างตัวอย่าง หรือคำขอที่ระบบปฏิเสธไปแล้ว
• Indirect Prompt Injection: สำรวจแหล่งที่มาของเนื้อหาที่เอเจนต์ดึงมาอ่าน เวลาเรียกคืน ตำแหน่งหรือรหัสอ้างอิงของเนื้อหา และบันทึกการเรียกเครื่องมือหลังการอ่าน ประเด็นสำคัญคือเนื้อหานั้นอยู่ในฐานะข้อมูลประกอบ แต่กลับมีผลเหมือนคำสั่งที่ได้รับอนุญาตหรือไม่ สำหรับระบบที่ใช้ RAG ต้องเชื่อมเอกสารที่ถูกดึงมาเข้ากับคำตอบและการกระทำของเอเจนต์โดยไม่สับสนกับคำสั่งจากผู้ใช้ ประเด็นขอบเขตความไว้วางใจนี้สัมพันธ์กับการป้องกัน prompt injection ใน RAG โดยตรง หากเก็บได้เพียงคำตอบสุดท้าย แต่ไม่มีที่มาของเนื้อหาที่นำมาประกอบ ทีมจะระบุจุดที่คำสั่งแทรกเข้าสู่กระบวนการได้ยาก
• Impair Autonomous Defenses: สำรวจรหัสวัตถุที่ส่งตรวจ สถานะเริ่มงาน ขั้นตอนวิเคราะห์ที่ต้องเกิด บันทึกการใช้เครื่องมือ เหตุผลที่งานสิ้นสุด และสถานะการแจ้งเตือน ภาพที่มีน้ำหนักคือระบบรับวัตถุเข้าคิวแล้วการวิเคราะห์ขาดตอนหลังประมวลผลเนื้อหานั้น หรือขั้นตอนที่ควรทำถูกข้ามโดยไม่มีเหตุผลตามกระบวนการ ข้อมูลสุขภาพของบริการช่วยแยกเหตุขัดข้องทั่วไปออกจากการเปลี่ยนลำดับงานเฉพาะวัตถุ ทีมควรเก็บความสัมพันธ์ระหว่างเนื้อหาที่ตรวจและผลจบงาน เพราะการเห็นเพียงคำว่าเสร็จสิ้นอาจซ่อนงานที่จบก่อนครบขั้นตอนได้
• AI-Enabled Exfiltration: สำรวจการเข้าถึงข้อมูลที่มีการป้องกัน การเรียก tool หรือ API การส่งข้อมูล และปลายทางที่รับข้อมูล เส้นทางที่ต้องพิสูจน์คือเอเจนต์เข้าถึงข้อมูลใด นำข้อมูลนั้นไปใช้กับเครื่องมือใด และเกิดการส่งสำเร็จไปยังผู้รับหรือบริการที่อยู่นอกขอบเขตหรือไม่ การเชื่อมกับบันทึกปลายทางมีความสำคัญ เพราะคำสั่งให้ส่งข้อมูลไม่เท่ากับการส่งสำเร็จ รายการนี้มี strategy กำกับอยู่แล้ว แต่ความครอบคลุมภายในองค์กรยังขึ้นอยู่กับบันทึกของตัวเอเจนต์ บริการที่เชื่อมต่อ และนโยบายปลายทางที่องค์กรกำหนดจริง
• AI Result Poisoning: สำรวจที่มาของข้อมูลสาธารณะที่ระบบค้นหา ดึงมาอ้างอิง หรือใช้สร้างคำตอบ พร้อมหลักฐานว่าข้อมูลใดปรากฏต่อผู้ใช้ เทคนิคนี้เกี่ยวกับการจัดวางหรือปรับเนื้อหาภายนอกเพื่อให้ระบบ AI หยิบไปใช้ภายหลัง จึงต่างจากคำสั่งที่บังคับเอเจนต์ให้ทำงานทันที บันทึกฝั่งองค์กรช่วยสืบว่าเนื้อหาใดมีผลต่อคำตอบ แต่โดยลำพังอาจไม่บอกเจตนาของผู้เผยแพร่ข้อมูลภายนอก การมี strategy เชื่อมในกรอบจึงต้องอ่านควบคู่กับข้อจำกัดของหลักฐาน ไม่ควรถูกนับเป็นกฎตรวจจับที่พิสูจน์การโจมตีได้อัตโนมัติ

การเก็บเนื้อหาเต็มทุกชิ้นอาจติดข้อจำกัดด้านความเป็นส่วนตัวหรือการเก็บรักษาข้อมูล องค์กรยังตรวจเส้นทางเหตุการณ์ได้บางส่วนด้วยรหัสอ้างอิง เวลา แหล่งที่มา และบันทึกการใช้เครื่องมือ แต่ต้องบันทึกข้อจำกัดของหลักฐานให้ชัด หากไม่เห็นข้อความที่เอเจนต์อ่าน ทีมอาจยืนยันได้ว่ามีการดึงเอกสารและเรียกเครื่องมือในงานเดียวกัน โดยยังยืนยันไม่ได้ว่าเอกสารนั้นเป็นต้นเหตุของคำสั่ง การรายงานระดับความมั่นใจตามหลักฐานที่มีจึงแม่นยำกว่าการระบุว่าครอบคลุมเทคนิคนั้นแล้วโดยไม่มีเงื่อนไข

ไม่มี strategy เชื่อม ไม่ได้หมายถึงตรวจจับไม่ได้

Detection strategy เป็นความเชื่อมโยงของวัตถุในชุดข้อมูล ATT&CK ส่วนการตรวจจับในองค์กรเป็นผลจากข้อมูลที่เก็บ กฎที่เขียน และการทดสอบกับพฤติกรรมเป้าหมาย สามรายการที่ไม่มี strategy เชื่อมจึงยังเป็นหัวข้อให้ทีมออกแบบการเฝ้าระวังเฉพาะระบบของตนได้ ในทางกลับกัน รายการที่มี strategy เชื่อมแล้วก็อาจไม่มีบันทึกที่จำเป็นในระบบขององค์กร หรือมีกฎที่ยังไม่เคยผ่านการทดสอบ การใช้เครื่องหมายเดียวแทนสถานะทั้งหมดจะกลบความต่างระหว่างช่องว่างของกรอบ ช่องว่างของ telemetry และช่องว่างของกฎ

ความต่างนี้เห็นชัดเมื่อเปรียบเทียบ Prompt Injection กับ AI-Enabled Exfiltration สำหรับเทคนิคหลัง ลำดับการเข้าถึงข้อมูล การเรียกเครื่องมือ และการส่งออกเป็นพฤติกรรมที่ตรวจจากเหตุการณ์หลายแหล่งได้ แต่การตรวจพบการส่งออกไม่ได้บอกเสมอไปว่าคำสั่งชักนำมาจากบทสนทนาโดยตรงหรือจากเอกสารที่เอเจนต์อ่าน การแมปกฎเดียวเข้ากับหลายเทคนิคจึงต้องอธิบายว่ากฎเห็นช่วงใดของการโจมตี หากเห็นเฉพาะผลปลายทาง รายงานควรระบุว่าการจำแนกช่องทางเริ่มต้นยังต้องใช้หลักฐานเพิ่ม

การมี strategy ยังไม่เท่ากับการมี analytic ที่ให้สัญญาณเตือนฝั่งเป้าหมายได้ทุกกรณี สำหรับ AI Result Poisoning ผู้โจมตีอาจเผยแพร่เนื้อหาสาธารณะก่อนระบบขององค์กรจะค้นพบหรืออ้างถึงเนื้อหานั้น เหตุการณ์ฝั่งเป้าหมายบอกได้ว่าระบบรับข้อมูลใดเข้าไป แต่แยกการจงใจวางข้อมูลเพื่อชักนำ AI ออกจากการเผยแพร่ข้อมูลทั่วไปได้จำกัด นี่เป็นเหตุผลที่คะแนน coverage ต้องระบุสิ่งที่ตรวจพบได้จริง แทนการนับจำนวนรายการที่มีชื่อ strategy เชื่อมเพียงอย่างเดียว

สถานะที่ใช้รายงานกับผู้ดูแลระบบจึงควรแยกอย่างน้อยว่า ATT&CK มี strategy เชื่อมหรือไม่ องค์กรมีแหล่งข้อมูลที่จำเป็นหรือไม่ เหตุการณ์ข้ามระบบเชื่อมถึงกันได้หรือไม่ และกฎตรวจจับผ่านการทดสอบพฤติกรรมใดแล้ว การแยกชั้นเหล่านี้ทำให้ทีมเห็นงานที่ต้องทำต่างกัน บางกรณีต้องเพิ่มบันทึกจากเอเจนต์ บางกรณีต้องเชื่อมรหัสเหตุการณ์กับบริการปลายทาง และบางกรณีมีข้อมูลครบแต่ยังต้องพิสูจน์ว่ากฎแยกพฤติกรรมผิดปกติจากงานที่ได้รับอนุญาตได้

ผลต่อรายงาน coverage ของทีม SOC

เมื่อเพิ่มเทคนิคใหม่ลงในเมทริกซ์ รายงานที่อาศัยตัวเลขสรุปเพียงค่าเดียวอาจทำให้เข้าใจผิดว่าความพร้อมในการตรวจจับเปลี่ยนตามกรอบทันที สำหรับ Direct Prompt Injection สถานะสำคัญคือเห็นทั้งคำขอและผลการใช้สิทธิ์หรือไม่ สำหรับ Indirect Prompt Injection ต้องเพิ่มที่มาของเนื้อหาที่เอเจนต์อ่าน ส่วน Impair Autonomous Defenses ต้องเห็นความสมบูรณ์ของงานวิเคราะห์ การแสดงหลักฐานที่ขาดของแต่ละรายการช่วยให้ผู้รับรายงานแยกได้ว่าปัญหาอยู่ที่การเก็บข้อมูล การเชื่อมเหตุการณ์ หรือกฎตรวจจับ

ผลเปรียบเทียบ STIX เป็นภาพ ณ เวลาที่ตรวจ และความเชื่อมโยงอาจเปลี่ยนเมื่อมีการปรับปรุง ATT&CK ต่อไป ระหว่างรอการเปลี่ยนแปลงนั้น สิ่งที่ส่งผลต่อการรับมือขององค์กรคือความสามารถสืบเส้นทางจากเนื้อหาต้นทางไปถึงการกระทำของเอเจนต์ หากเส้นทางขาดตรงจุดใด รายงาน coverage ควรแสดงจุดขาดนั้นอย่างชัดเจน เพราะการมีชื่อเทคนิคในกรอบจะช่วยการสื่อสารได้ก็ต่อเมื่อทีมบอกได้ว่าหลักฐานของระบบจริงครอบคลุมพฤติกรรมช่วงใด

อ่านเพิ่มเติม:

• กัน prompt injection ใน RAG: คำสั่งว่า “อย่าเชื่อเอกสาร” ยังไม่พอ