# Agent Anomaly Detection ของ Google ติดธง 87% ของคำสั่งอันตรายที่เอเจนต์ทำตาม 12 พ.ย.

> Google เผยผลทดสอบ Agent Anomaly Detection กับเบนช์มาร์ก 5 ชุด 1,774 เซสชัน ติดธง 87% ของคำสั่งอันตรายที่เอเจนต์ทำตาม แต่จับหน่วยความจำถูกวางยาได้ 4 จาก 18

- ประเภท: ข่าว · หมวด: AI
- เผยแพร่: 2026-11-15T00:15:00.000Z · อัปเดต: 2026-11-15T00:15:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/ai/google-agent-anomaly-detection-benchmarks-87-percent/

## สรุปประเด็นสำคัญ

- Google เผยแพร่ผลทดสอบ **Agent Anomaly Detection** เมื่อ **12 พฤศจิกายน 2026** กับเบนช์มาร์กความปลอดภัยของเอเจนต์ที่คนนอก Google เขียน **5 ชุด** รวม **1,774 เซสชัน**
- Agent Anomaly Detection ติดธงคำสั่งอันตรายที่เอเจนต์ทำตามจริงได้ **87%** แยกเป็น AgentDojo **85%**, InjecAgent **87%**, AgentDyn **99%** และ AgentHarm **81%**
- การแจ้งเตือนผิดพลาดกับงานสำนักงานทั่วไปอยู่ที่ **2% ถึง 4%** แต่เพิ่มเป็น **16%** บน AgentHarm ที่งานปกติใช้เครื่องมือผลกระทบสูง เช่น โพสต์โซเชียลและรันคำสั่งเทอร์มินัล
- จุดอ่อนที่ Google ยอมรับคือหน่วยความจำระยะยาวที่ถูกวางคำสั่งไว้ จับได้เพียง **4 จาก 18** เซสชัน และเอเจนต์ใหม่ที่ยังมีประวัติน้อย ติดธงได้ **33%** เมื่อมีประวัติราว **220** เซสชัน เทียบกับ **99%** เมื่อมี **360**
- ฟีเจอร์นี้เป็น **Private Preview** บน Gemini Enterprise Agent Platform ไม่บล็อกการกระทำ แต่รายงานเซสชันผิดปกติและส่งผลไป Security Command Center

**Agent Anomaly Detection** ของ Google ติดธง 87% ของคำสั่งอันตรายที่เอเจนต์ AI ทำตามจริง ตามผลทดสอบที่ Google เผยแพร่เมื่อ 12 พฤศจิกายน 2026 โดยใช้เบนช์มาร์กความปลอดภัยของเอเจนต์ที่คนนอก Google เขียน 5 ชุด รวม 1,774 เซสชัน แต่ฟีเจอร์นี้จับคำสั่งที่ถูกวางในหน่วยความจำระยะยาวของเอเจนต์ได้เพียง 4 จาก 18 เซสชัน และยังเป็น Private Preview

## Agent Anomaly Detection ทำอะไร

Google อธิบายว่าเอเจนต์ทุกวันนี้อ่านอีเมล จองเดินทาง และโอนเงินแทนผู้ใช้ ทุกครั้งที่เรียกเครื่องมือจะมีข้อความที่คนอื่นเขียนเข้ามาด้วย ใครคุมข้อความนั้นก็พยายามบังคับเอเจนต์ได้ OWASP เรียกเรื่องนี้ว่า agent goal hijack และจัดเป็นอันดับหนึ่งใน Top 10 for Agentic Applications (2026)

Google ประกาศ Agent Anomaly Detection เมื่อกันยายนในรูป Private Preview บน Gemini Enterprise Agent Platform ฟีเจอร์อ่านร่องรอยและบันทึกของเอเจนต์แบบอะซิงโครนัส ไม่เพิ่มความหน่วงตอนรัน แล้วติดธงเซสชันที่เอเจนต์ทำนอกขอบเขตที่ตั้งใจไว้ ตัวฟีเจอร์ไม่บล็อกการกระทำ แต่รายงานเซสชันผิดปกติ และผลก็ไปปรากฏใน Security Command Center ด้วย

![Indirect prompt injection: คำสั่งอันตรายมากับข้อมูลที่เครื่องมือส่งคืน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/google-agent-anomaly-detection-benchmarks-87-percent/aad-indirect-prompt-injection.webp?v=7b1b3bd9) _(ภาพ: Google (ภาพจาก Google Developers Blog))_

## ทดสอบอย่างไร

Google ระบุว่าเครื่องมือความปลอดภัยมักดูดีบนข้อสอบที่ทีมตัวเองเขียน จึงรันเบนช์มาร์กสาธารณะที่ไม่ใช่ของ Google 5 ชุดโดยไม่ปรับอะไร ได้แก่ AgentDojo (NeurIPS 2024), InjecAgent (ACL 2024 Findings), Agent Security Bench หรือ ASB (ICLR 2025), AgentDyn (2026) และ AgentHarm (ICLR 2025) ใน 4 ชุดแรก คำสั่งอันตรายซ่อนในข้อมูลที่เครื่องมือส่งคืน ส่วนชุดที่ห้า ผู้ใช้ขอสิ่งที่เป็นอันตรายตรง ๆ ASB วางคำสั่งไว้ในหน่วยความจำระยะยาวของเอเจนต์

การทดสอบใช้เอเจนต์ที่สร้างด้วย Agent Development Kit (ADK) และโมเดล gemini-2.5-flash บนแอปจำลองของเบนช์มาร์ก เอเจนต์ส่งร่องรอยและบันทึกให้ Agent Anomaly Detection เหมือนลูกค้าจริง แล้วโค้ด Python ของเบนช์มาร์กอ่านสถานะสุดท้ายของแอป เช่น มีเงินออกจากบัญชีหรือไม่ เพื่อติดป้ายเซสชัน การตัดสินจึงมาจากโค้ดแน่นอน ไม่ใช่โมเดล คำสั่งแทรกจึงหลอกผู้ตัดสินไม่ได้ เอเจนต์แต่ละตัวรันเซสชันปกติอย่างน้อย 300 เซสชันก่อน เพราะ Agent Anomaly Detection เรียนรู้พฤติกรรมปกติของแต่ละเอเจนต์

![การตั้งค่าการทดสอบ Agent Anomaly Detection กับโค้ดตรวจของเบนช์มาร์ก](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/google-agent-anomaly-detection-benchmarks-87-percent/aad-test-setup.webp?v=d7f44122) _(ภาพ: Google (ภาพจาก Google Developers Blog))_

## ผลการทดสอบ Agent Anomaly Detection

ตัวโมเดลเองไม่ทำตามคำสั่งอันตรายที่อ่านประมาณครึ่งหนึ่ง ปฏิเสธคำขอตรง ๆ สามในสี่ และเมินหรือทำไม่สำเร็จราว 30% ของคำสั่งที่ซ่อนในผลของเครื่องมือ ในส่วนที่เอเจนต์ทำตามจริง Agent Anomaly Detection ติดธง 87% เพื่อให้ตรวจหลังเกิดเหตุ

| เบนช์มาร์ก | สัดส่วนคำสั่งอันตรายที่ทำตามและถูกติดธง |
|---|---|
| AgentDojo | 85% |
| InjecAgent | 87% |
| AgentDyn | 99% |
| AgentHarm | 81% |

เมื่อนับทุกเซสชันอันตราย รวมที่เอเจนต์ไม่เคยอ่านหรือต้านได้ ติดธง 45% ถึง 62% ใน 141 เซสชันที่เอเจนต์ไม่เคยอ่านคำสั่ง ไม่มีเหตุเกิดขึ้น และติดธงเพียง 1 เซสชัน ใน 8 จาก 11 แอป ติดธงอย่างน้อย 95% ของคำสั่งที่ทำตาม ต่ำสุดคือแอป Slack ของ AgentDojo ที่ 63% เพราะหลายคำสั่งขอการกระทำเล็ก ๆ เช่นเปิดหน้าเว็บหน้าเดียว ซึ่งดูเหมือนการท่องเว็บปกติ

![ผลของแต่ละเซสชันอันตรายใน 4 เบนช์มาร์ก](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/google-agent-anomaly-detection-benchmarks-87-percent/aad-harmful-session-outcomes.webp?v=cf8f0795) _(ภาพ: Google (ภาพจาก Google Developers Blog))_

Google จัดผลตามหมวด OWASP โดยให้เกรดตามสิ่งที่การศึกษานี้แสดง ไม่ใช่ตามสิ่งที่ฟีเจอร์ออกแบบมาจับ และระบุว่าเบนช์มาร์กสาธารณะกระจุกอยู่ที่ goal hijack กับ tool misuse จึงมีหลักฐานแข็งในสองหมวดนี้ ส่วนความล้มเหลวแบบลูกโซ่และการละเมิดตัวตนหรือสิทธิ์ ไม่พบเบนช์มาร์กสาธารณะที่มีร่องรอยติดป้าย

![ตารางผลแยกตามหมวด OWASP](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/google-agent-anomaly-detection-benchmarks-87-percent/aad-results-owasp-table.webp?v=0b284ce5) _(ภาพ: Google (ภาพจาก Google Developers Blog))_

![สัดส่วนคำสั่งอันตรายที่ถูกทำตามและถูกติดธง แยกตามแอป](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/google-agent-anomaly-detection-benchmarks-87-percent/aad-carried-out-by-app.webp?v=927ec2db) _(ภาพ: Google (ภาพจาก Google Developers Blog))_

## คำขอที่ถูกปฏิเสธและการแจ้งเตือนผิด

Agent Anomaly Detection ติดธงหลายคำขอที่เอเจนต์ปฏิเสธด้วย ใน AgentHarm เอเจนต์ปฏิเสธส่วนใหญ่และทำตาม 108 จาก 412 เซสชัน แต่ฟีเจอร์ยังติดธง 55% ของเซสชันที่ถูกปฏิเสธ เพราะคำขออยู่ในข้อความของผู้ใช้เอง ส่วนคำสั่งที่ซ่อนในผลของเครื่องมือและเอเจนต์ไม่ทำตาม ติดธงเพียง 11% ถึง 25%

การแจ้งเตือนผิดพลาดต่างกันตามเครื่องมือที่เอเจนต์ใช้ประจำ บน 3 เบนช์มาร์กการฉีดคำสั่งที่งานปกติเป็นงานสำนักงาน ติดธง 2% ถึง 4% ของเซสชันปกติ แต่บน AgentHarm ขึ้นเป็น 16% เพราะงานปกติโพสต์โซเชียล รันคำสั่งเทอร์มินัล และดาวน์โหลดไฟล์ ซึ่งดูคล้ายการใช้ในทางที่ผิดมากกว่า

## จุดอ่อนที่ Google ยอมรับ

Google ระบุว่า Agent Anomaly Detection ยังทำได้น้อยใน 5 ด้าน คือคำสั่งที่เอเจนต์ต้านได้ (ติดธงเพียง 11% ถึง 25% เพราะเปลี่ยนพฤติกรรมน้อย) การกระทำเล็ก ๆ ที่ดูเหมือนงานปกติ การแจ้งเตือนผิดมากขึ้นกับเอเจนต์ที่ใช้เครื่องมือผลกระทบสูง เอเจนต์ใหม่ และหน่วยความจำที่ถูกวางยา

- **เอเจนต์ใหม่:** บางวิธีของฟีเจอร์ต้องมีประวัติหลายร้อยเซสชัน บน AgentDyn ติดธงคำสั่งที่ทำตามได้ 33% เมื่อเอเจนต์มีประวัติปกติราว 220 เซสชัน และ 99% เมื่อมี 360
- **หน่วยความจำวางยา:** เมื่อคำสั่งที่ถูกวางในหน่วยความจำระยะยาวทำให้เอเจนต์ลงมือ ฟีเจอร์จับได้เพียง 4 จาก 18 เซสชัน

Google บอกว่ากำลังปรับปรุง 5 เรื่อง คือรายงานความพยายามที่เอเจนต์ต้านในระดับความรุนแรงต่ำกว่า จับการกระทำเล็กที่ไปยังปลายทางที่ไม่น่าเชื่อถือ แยกการใช้เครื่องมือผลกระทบสูงตามปกติออกจากการใช้ผิด ให้เอเจนต์ใหม่ได้ความครอบคลุมเร็วขึ้น และตรวจคำสั่งในหน่วยความจำระยะยาวให้แม่นขึ้น

ข้อจำกัดที่ Google ระบุเอง คือใช้โมเดลเดียวและแอปจำลอง งานปกติของเบนช์มาร์กน่าจะง่ายกว่างานจริง อัตราแจ้งผิดในระบบจริงจึงต่างได้ และฟีเจอร์ไม่ส่งผลลัพธ์กลับราว 6% ของเซสชันที่ส่ง ถ้านับเป็นพลาด อัตรารวมลดลง 1 ถึง 2 จุด

## ผลต่อองค์กรไทย

Google แนะนำให้ป้องกันเป็นชั้น ๆ โดยใช้มาตรการที่หยุดการกระทำอันตรายก่อนรัน และใช้ Agent Anomaly Detection หาสิ่งที่หลุดผ่าน ข้อแนะนำที่นำไปปรับใช้ได้กับเอเจนต์ของทุกค่าย

1. **ส่งเทเลเมทรีให้ครบ** เปิด ADK tracing และ logging รวมเนื้อหา prompt และคำตอบ
2. **กรองเนื้อหาที่ไม่เชื่อถือ** ตรวจ prompt และผลเครื่องมือหา prompt injection ด้วยตัวกรอง เช่น Model Armor
3. **บล็อกการเรียกเครื่องมือเสี่ยงก่อนรัน** Semantic Governance Policy ที่เป็น Preview ตรวจทุกคำขอเรียกเครื่องมือเทียบกับคำขอผู้ใช้และกฎขององค์กร
4. **ให้คนอนุมัติงานผลกระทบสูง** เช่น การจ่ายเงิน อีเมลออก หรือแชร์ข้อมูล
5. **จำกัดเครื่องมือของแต่ละเอเจนต์** ให้เฉพาะสิทธิ์ที่งานต้องใช้
6. **ทบทวนสิ่งที่หลุดผ่าน** เพราะ Agent Anomaly Detection ไม่บล็อก ควรส่งผลระดับ Critical และ High ให้ทีมรับเหตุ

ผลทั้งหมดมาจากโมเดลเดียวและแอปจำลอง และเป็นผลที่ Google ทดสอบกับฟีเจอร์ของตัวเอง ผู้อ่านควรทดสอบกับงานจริงขององค์กรเองก่อนเชื่อตัวเลข ข่าวนี้ต่อจากเรื่องที่เรารายงานใน[Anthropic ตัดอินเทอร์เน็ตจริงจากการทดสอบ AI](/ai/anthropic-halts-live-internet-evals-claude-agents/) ซึ่งเป็นอีกกรณีที่เอเจนต์ทำสิ่งนอกขอบเขตระหว่างทดสอบ

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

องค์กรไทยที่ให้เอเจนต์ AI แตะข้อมูลธุรกิจควรรู้ว่าข้อมูลและบันทึกการทำงานของเอเจนต์ถูกเก็บที่ไหน [Private Cloud](https://thaidata.cloud/private-cloud/) ของ THAI DATA CLOUD เก็บข้อมูลไว้ในประเทศ รองรับ PDPA มีทีมวิศวกรไทยดูแล 24/7 และ SLA 99.9% จึงเป็นทางเลือกสำหรับองค์กรที่ต้องการควบคุมที่อยู่ของข้อมูล (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวโมเดลและเครื่องมือ AI เพิ่มเติมได้ที่[หมวด AI](/ai/)

## คำถามที่พบบ่อย

### Agent Anomaly Detection คืออะไร?

Agent Anomaly Detection คือฟีเจอร์ของ Google บน Gemini Enterprise Agent Platform ที่อ่านร่องรอยและบันทึกการทำงานของเอเจนต์แบบอะซิงโครนัสโดยไม่เพิ่มความหน่วง แล้วติดธงเซสชันที่เอเจนต์ทำนอกขอบเขตที่ตั้งใจไว้ ตอนนี้เป็น Private Preview และไม่บล็อกการกระทำ

### Agent Anomaly Detection จับคำสั่งอันตรายได้กี่เปอร์เซ็นต์?

Google รายงานว่า Agent Anomaly Detection ติดธง 87% ของคำสั่งอันตรายที่เอเจนต์ทำตามจริง จากเบนช์มาร์กของคนนอก 5 ชุด รวม 1,774 เซสชัน แยกเป็น AgentDojo 85% InjecAgent 87% AgentDyn 99% และ AgentHarm 81% ส่วนทุกเซสชันอันตรายรวมกันติดธง 45% ถึง 62%

### Agent Anomaly Detection แจ้งเตือนผิดบ่อยแค่ไหน?

บนเบนช์มาร์กที่งานปกติเป็นงานสำนักงาน Agent Anomaly Detection ติดธง 2% ถึง 4% ของเซสชันปกติ แต่บน AgentHarm ที่งานปกติโพสต์โซเชียล รันเทอร์มินัล และดาวน์โหลดไฟล์ อัตราขึ้นเป็น 16% Google บอกว่าเอเจนต์ที่ใช้เครื่องมือผลกระทบสูงจะเจอการแจ้งเตือนมากขึ้นในช่วงแรก

### Agent Anomaly Detection อ่อนด้านไหน?

Google ระบุว่า Agent Anomaly Detection จับคำสั่งที่ถูกวางในหน่วยความจำระยะยาวได้เพียง 4 จาก 18 เซสชัน ติดธงคำสั่งที่เอเจนต์ต้านได้เพียง 11% ถึง 25% พลาดการกระทำเล็ก ๆ อย่างเปิดหน้าเว็บหน้าเดียว และต้องมีประวัติเซสชันหลายร้อยรายการจึงจับได้ดี


## แหล่งอ้างอิง

- [How Agent Anomaly Detection scores on benchmarks we didn't write](https://developers.googleblog.com/how-agent-anomaly-detection-scores-on-benchmarks-we-didnt-write/) — Google Developers Blog
- [Google Developers Blog](https://developers.googleblog.com/) — Google