Mosaic effect: agent ต่อเอกสารที่เข้าถึงได้หลายใบเป็นข้อสรุปที่ไม่ควรหลุด และสิทธิ์รายไฟล์ไม่ได้ปิดช่องนี้

เปเปอร์ที่ขึ้น arXiv เมื่อ 21 ตุลาคม 2026 ชี้ช่องรั่วของความลับที่เกิดขึ้นได้แม้ระบบจะคุมสิทธิ์การเข้าถึงไฟล์ไว้เรียบร้อย คือกรณีที่ AI agent ดึงข้อมูลจากเอกสารที่มันเข้าถึงได้หลายใบ แล้วประกอบขึ้นเป็นข้อสรุปที่ไม่ควรเปิดเผย ผู้เขียนเรียกปรากฏการณ์นี้ว่า mosaic effect และเรียกข้อสรุปที่ประกอบขึ้นมาแบบนั้นว่า forbidden composites (arXiv 2610.30418)

ความเสี่ยงที่ผู้เขียนวางกรอบไว้คือ agent ที่ทำงานอยู่บนข้อมูลที่เป็นความลับ และจบเปเปอร์ด้วยสภาพแวดล้อมที่ผู้ใช้มีระดับชั้นความลับต่างกัน (arXiv 2610.30418)

สิ่งที่วัด

ทีมวิจัยวัดด้วยตัวอย่างสังเคราะห์ 30 ตัวอย่าง ครอบด้านความปลอดภัยไซเบอร์ การแพทย์ และการทหาร คำที่เปเปอร์ใช้คือ examples ไม่ได้นิยามหน่วยของมันไว้ใน abstract (arXiv 2610.30418)

ขนาดการทดลองแบ่งเป็นสองส่วน ส่วนแรกคือการจำลองแบบควบคุม ได้คำตอบสุดท้าย 10,800 คำตอบจาก agent สามตัว ส่วนที่สองคือการรันบน agent จริงในโครงร่างโอเพนซอร์สสองแบบ ได้อีก 1,440 คำตอบ (arXiv 2610.30418)

ตัวเลขหลัก และทิศทางของมัน

ตัวเลขที่ต้องอ่านให้ถูกทิศคือ 32.37% นี่เป็นอัตราที่เหลืออยู่ หลัง ใส่มาตรการป้องกันแล้ว ไม่ใช่อัตราก่อนใส่ ประโยคในเปเปอร์ระบุว่าการใส่หัวกระดาษบอกระดับชั้นความลับที่มองเห็นได้ และการเขียนกฎห้ามประกอบข้อมูลไว้ชัดเจน ลดอัตราการหลุดแบบรวมลงได้อย่างมีนัยสำคัญ แต่คำตอบที่ยังหลุดข้อสรุปที่ห้ามไว้ยังอยู่ที่ 32.37% โดยช่วงความเชื่อมั่น 95% อยู่ระหว่าง 28.33 ถึง 36.19% (arXiv 2610.30418)

ตัวเลขนี้เป็นค่ารวมทุกเจตนาของคำถาม ไม่ใช่ค่าของตัวอย่างใดตัวอย่างเดียวหรือโมเดลใดโมเดลเดียว (arXiv 2610.30418)

โมเดลที่ทำได้ดีที่สุดในกลุ่มที่ทดสอบคือ GPT-5.6-Sol ซึ่งยังหลุดข้อสรุปที่ห้ามไว้ 7.08% ของคำตอบในการจำลอง ช่วงความเชื่อมั่น 95% อยู่ระหว่าง 3.75 ถึง 10.67% และเงื่อนไขของตัวเลขนี้คือคำถามที่ไม่มีเจตนาร้ายและออกแบบให้ตอบได้จากเอกสารใบเดียว ประโยคเดียวกันในเปเปอร์ระบุต่อว่าอัตราการหลุดบนโครงร่างที่รันจริงแย่กว่านี้ (arXiv 2610.30418)

ข้อที่ตามมาจากตัวเลขสองตัวนี้คือ 7.08% เป็นพื้นไม่ใช่เพดาน และ 32.37% เป็นค่าที่เหลือหลังทำทุกอย่างที่เปเปอร์ลองแล้ว

การปฏิเสธไม่ใช่ทางออก

ผู้เขียนระบุว่าการที่โมเดลปฏิเสธมากขึ้นไม่ได้รับประกันว่าความลับจะไม่หลุด เพราะการปฏิเสธที่มากพอก็เปิดเผยข้อสรุปที่ห้ามไว้อยู่ดี (arXiv 2610.30418)

เหตุผลเชิงกลไกไม่ได้อธิบายไว้ใน abstract เปเปอร์กล่าวไว้ตรง ๆ เท่านี้

เรื่องที่คนเข้าใจผิดบ่อย

ข้อแรกคือการคิดว่าคุมสิทธิ์รายไฟล์แล้วจบ งานนี้ชี้ว่ายังมีอีกชั้นที่สิทธิ์รายไฟล์ไม่ได้ปิด คือสิ่งที่ระบบสรุปออกมาจากหลายไฟล์รวมกัน

ข้อที่สองคือการอ่าน 32.37% ว่าเป็นอัตราก่อนแก้ ซึ่งจะทำให้เข้าใจผิดว่ามาตรการที่ลองแล้วไม่ได้ผลเลย ทั้งที่เปเปอร์บอกว่าลดลงอย่างมีนัยสำคัญ

ข้อที่สามคือการนับว่านี่เป็นเรื่องของการโจมตีโดยเจตนา ตัวเลข 7.08% มาจากคำถามที่ไม่มีเจตนาร้าย

สิ่งที่ยังไม่มีหลักฐาน

เปเปอร์นี้เป็น preprint ที่ส่งเข้า ACL Rolling Review รอบตุลาคม 2026 ยังไม่ผ่าน peer review และไม่มีการอ้างอิงวารสารใดในหน้า arXiv มีเพียงเวอร์ชันแรกเวอร์ชันเดียว ไม่มีประกาศถอนหรือแทนที่ (arXiv 2610.30418)

ชื่อ agent อีกสองตัวในการจำลอง และชื่อโครงร่างโอเพนซอร์สทั้งสองแบบ ไม่ได้ระบุไว้ใน abstract มีเพียง GPT-5.6-Sol ที่ถูกเอ่ยชื่อ (arXiv 2610.30418)

ข้อที่ยังยืนยันจาก abstract ไม่ได้คือสถานะสิทธิ์ของเอกสารแต่ละใบในมุมของผู้ถาม abstract ใช้คำว่าเอกสารที่เข้าถึงได้ ซึ่งเป็นการเข้าถึงได้ในมุมของการค้นคืนของ agent และไม่ได้ระบุว่าผู้ถามมีสิทธิ์เห็นเอกสารแต่ละใบนั้นหรือไม่ การเล่าเรื่องนี้ในกรอบคลาสสิกของ mosaic ที่ว่าแต่ละใบผู้ใช้มีสิทธิ์เห็นอยู่แล้ว ต้องไปหาหลักฐานจากตัวเปเปอร์เต็ม

คำถามที่ยังไม่มีคำตอบ

ยังไม่มีใครทำซ้ำจากภายนอก และยังไม่มีคำวิจารณ์หรือคำแก้ไขใด ๆ ซึ่งเป็นเรื่องปกติของ preprint ที่เพิ่งขึ้นได้สามวัน จึงไม่ใช่หลักฐานว่าถูกต้อง

ยังไม่มีข้อมูลว่าในระบบที่องค์กรใช้งานจริง ซึ่งคลังเอกสารใหญ่กว่าและคำถามหลากหลายกว่าตัวอย่างสังเคราะห์ 30 ตัวอย่าง อัตราการหลุดจะสูงหรือต่ำกว่านี้

ยังไม่มีมาตรการใดในเปเปอร์ที่ลดอัตราการหลุดลงเหลือใกล้ศูนย์ ผู้เขียนเสนอให้คุมสิ่งที่ agent อนุมานและเปิดเผยได้ แต่ไม่ได้ให้กลไกที่วัดผลแล้ว

เรื่องใกล้กัน: php2shell-ai-found-rce-2026 · claude-web-fetch-exfiltration · microsoft-agentic-insider-2026