ช่องโหว่ Cursor AI กระทบความปลอดภัย Coinbase และวงการคริปโต

Cursor กลายเป็นหนึ่งในเครื่องมือเขียนโค้ดด้วย AI ที่ถูกใช้งานมากที่สุด โดยเฉพาะที่ Coinbase แต่ความพึ่งพานี้เริ่มดูเสี่ยง หลังจาก HiddenLayer Research เปิดเผยช่องโหว่ร้ายแรงชื่อ CopyPasta Attack ช่องโหว่นี้ซ่อนคำสั่งอันตรายไว้ในไฟล์ที่นักพัฒนามักไม่ตรวจสอบ เช่น LICENSE.txt หรือ README.md จากนั้นผู้ช่วยเขียนโค้ดด้วย AI จะเข้าใจผิดว่าเป็นคำสั่งที่จำเป็น และกระจายโค้ดอันตรายไปทั่วทั้งโปรเจกต์ที่เกี่ยวกับความปลอดภัยของคริปโต วิธีการนี้ทำได้ง่าย ตรวจจับยาก และสามารถแพร่กระจายได้อย่างรวดเร็ว

การพึ่งพา AI ที่ Coinbase ก่อกระแสเตือนด้านความปลอดภัย

ประเด็นใหญ่กว่าคือ สิ่งนี้สะท้อนการนำ AI มาใช้ในความปลอดภัยคริปโตอย่างไร ทีมพัฒนาของ Coinbase เป็นหนึ่งในผู้ใช้ Cursor หนักที่สุด และผู้บริหารก็ประกาศเป้าหมายอย่างเปิดเผย ปัจจุบันกว่า 40% ของโค้ดรายวันของ Coinbase มาจาก AI และตั้งเป้าจะเกิน 50% ภายในตุลาคม 2025 นี่ถือเป็นการพึ่งพา AI ในระดับสูงมากสำหรับบริษัทที่ดูแลสินทรัพย์ดิจิทัลมูลค่าหลายแสนล้านดอลลาร์ ผู้เชี่ยวชาญหลายรายมองว่านี่คือความเสี่ยงที่ไม่จำเป็น เพราะการกำหนดโควตาโค้ดจาก AI อาจกลายเป็นการเล่นการพนัน ในเมื่อสิ่งที่ควรมาก่อนคือ “ความเชื่อมั่นและความปลอดภัย”

CopyPasta Attack ไม่ได้จำกัดอยู่แค่ Cursor HiddenLayer ยังพบช่องโหว่ใน Windsurf, Kiro ของ Amazon และ Aider ซึ่งถูกใช้แพร่หลายในอุตสาหกรรม หากการโจมตีไม่ถูกตรวจพบ อาจนำไปสู่การฝัง backdoor ขโมยคีย์ลับ หรือทำให้ระบบล่มได้อย่างเงียบ ๆ ที่น่ากังวลคือ การโจมตีนี้อาศัยคอมเมนต์ที่มองไม่เห็นในไฟล์ซึ่ง AI จัดการอัตโนมัติ ทำให้ความเสียหายสามารถลุกลามทั้งองค์กรได้ก่อนที่จะมีใครสังเกตเห็น

สถิติด้านความปลอดภัยของ Cursor ในคริปโตน่าห่วง

ในเดือนกรกฎาคม มีการเชื่อมโยง Cursor กับการโจรกรรมคริปโตมูลค่า 500,000 ดอลลาร์ ตามมาด้วยการเปิดเผยช่องโหว่ร้ายแรงหลายรายการในเดือนสิงหาคม เมื่อรวมกับ CopyPasta Attack จึงเห็นชัดว่าแพลตฟอร์มนี้เริ่มตกเป็นเป้าซ้ำ ๆ แต่ละครั้งยังตอกย้ำว่าผู้โจมตีกำลังนำกลยุทธ์เก่ามาปรับใช้ในรูปแบบใหม่ที่ขับเคลื่อนด้วย AI นักวิจัยเรียกสิ่งนี้ว่า “Prompt Injection 2.0” ซึ่งผสมผสานการโจมตีทางสังคม (social engineering) เข้ากับการใช้ช่องโหว่ทางเทคนิค เพื่อเลี่ยงการป้องกันที่ไม่ถูกออกแบบมาสำหรับระบบ AI

ปฏิกิริยาในอุตสาหกรรมแตกเป็นสองขั้ว บางราย เช่น Delphi Consulting มองว่า Coinbase กำลังวิ่งตามภาพลักษณ์มากกว่าการแก้ปัญหาผลิตภัณฑ์จริง ขณะที่ผู้ร่วมก่อตั้ง Tensor เชื่อว่าฝ่ายวิจารณ์ประเมินต่ำเกินไป โดยคาดว่าใน 5 ปีข้างหน้า AI จะสามารถสร้างโค้ดคุณภาพสูงที่สุดได้ หากมีการตรวจสอบและทดสอบที่เข้มงวด อย่างไรก็ตาม ทั้งสองฝ่ายเห็นตรงกันว่าความเสี่ยงกำลังเพิ่มขึ้น และมาตรการป้องกันยังตามไม่ทัน

ความสูญเสียด้านความปลอดภัยคริปโตพุ่งแตะพันล้านดอลลาร์ในปี 2025

บริบทปัจจุบันทำให้การเปิดเผยครั้งนี้ยิ่งสำคัญขึ้น แพลตฟอร์มคริปโตสูญเงินไปแล้วกว่า 3.1 พันล้านดอลลาร์ ในช่วงครึ่งแรกของปี 2025 โดยการแฮ็กที่ขับเคลื่อนด้วย AI มีบทบาทมากขึ้น เกือบ 60% ของความสูญเสีย มาจากความล้มเหลวด้านการควบคุมสิทธิ์การเข้าถึง การเพิ่มช่องทางโจมตีจาก AI ย่อมยิ่งซ้ำเติมปัญหา สำหรับบริษัทอย่าง Coinbase ที่ดูแลสินทรัพย์มากกว่า 420 พันล้านดอลลาร์ แม้ความผิดพลาดเล็กน้อยก็อาจลุกลามกลายเป็นความเสี่ยงเชิงระบบ

HiddenLayer ได้ออกแพตช์แก้ไขใน Cursor เวอร์ชัน 1.3 แล้ว แต่การแก้ไขซอฟต์แวร์อย่างเดียวไม่เพียงพอ CopyPasta Attack เป็นเครื่องเตือนว่า การเขียนโค้ดด้วย AI ไม่ใช่แค่เครื่องมือเพิ่มประสิทธิภาพ แต่ในโลกความปลอดภัยคริปโต มันอาจกลายเป็นภาระหากใช้อย่างไร้มาตรการเข้มงวด การป้องกันที่มีประสิทธิภาพต้องประกอบด้วย การรีวิวที่เข้มแข็ง การแยกคำสั่งออกจาก input ของผู้ใช้ และการมอนิเตอร์อย่างต่อเนื่องที่ออกแบบมาเพื่อรับมือภัยคุกคามเฉพาะด้าน AI หากขาดสิ่งเหล่านี้ ย่อมเปิดช่องให้การโจมตีรอบใหม่เกิดขึ้นได้

นี่คือสัญญาณเตือนสำหรับทั้งอุตสาหกรรม การเขียนโค้ดด้วย AI อาจทำให้เร็วขึ้น แต่ผู้โจมตีก็กำลังพิสูจน์ว่าพวกเขาเร็วกว่า ตอนนี้อุตสาหกรรมต้องเลือกระหว่าง ชะลอการนำ AI มาใช้จนกว่าการป้องกันจะทัน หรือ เดินหน้าแบบเร่งรีบและเสี่ยงทำผิดซ้ำซากมูลค่าพันล้านดอลลาร์