กลุ่มภัยคุกคามที่ยังไม่ระบุตัวตนถูกพบว่าใช้ตัวแทนโมเดลภาษาขนาดใหญ่ (LLM Agent) ในการดำเนินกิจกรรมภายหลังการล่วงล้ำระบบ (Post-Exploitation) หลังจากสามารถเจาะเข้าสู่เครือข่ายเป้าหมายได้สำเร็จ โดยจุดเริ่มต้นของการโจมตีมาจากการยกเลิกการใช้งานช่องโหว่ CVE-2026-39987 บนเซิร์ฟเวอร์ Marimo Notebook ที่เปิดเผยต่ออินเทอร์เน็ต

เหตุการณ์นี้ถือเป็นครั้งแรกที่มีการนำ LLM มาใช้ในขั้นตอน Post-Exploitation อย่างเป็นรูปธรรม ซึ่งแสดงให้เห็นว่าภัยคุกคามทางไซเบอร์กำลังปรับตัวและพัฒนาเทคนิคการโจมตีให้ซับซ้อนมากขึ้นด้วยเทคโนโลยี AI หลังจากผู้โจมตีได้รับสิทธิ์การเข้าถึงเบื้องต้น (Initial Access) พวกเขาก็ใช้ LLM Agent ในการสำรวจระบบ รวบรวมข้อมูล และดำเนินการโจมตีในลักษณะอัตโนมัติ

จากรายงานระบุว่า หลังจากที่ผู้โจมตีควบคุม Marimo Notebook ที่เชื่อมต่ออินเทอร์เน็ตได้สำเร็จ พวกเขาได้ทำการดึงดูดข้อมูลรับรองความถูกต้อง (Cloud Credentials) จำนวน 2 ชุดออกจากระบบที่ถูกล่วงล้ำ ซึ่งอาจนำไปสู่การโจมตีลึกเข้าไปในโครงสร้างพื้นฐานคลาวด์ (Cloud Infrastructure) ได้ในขั้นตอนถัดไป

คำศัพท์เทคนิคที่น่าสนใจ

• LLM Agent – ระบบอัจฉริยะที่พัฒนาจากโมเดลภาษาขนาดใหญ่ สามารถตัดสินใจและดำเนินการตามคำสั่งอย่างอัตโนมัติ
• Post-Exploitation – ขั้นตอนหลังการล่วงล้ำระบบ ซึ่งผู้โจมตีจะทำการรักษาสิทธิ์การเข้าถึง สำรวจระบบ และขยายผลการโจมตี
• CVE (Common Vulnerabilities and Exposures) – มาตรฐานการตั้งชื่อและระบุหมายเลขสำหรับช่องโหว่ด้านความปลอดภัยที่เป็นที่รู้จักโดยสาธารณะ
• Cloud Credentials – ข้อมูลรับรองความถูกต้องที่ใช้ในการยืนยันตัวตนเพื่อเข้าถึงบริการและทรัพยากรบนคลาวด์ เช่น API Keys หรือรหัสผ่าน

🔗 แหล่งที่มา: https://thehackernews.com/2026/05/attackers-use-llm-agent-for-post.html