ภัยคุกคาม · Threat intel Threat intel

สรุป MITRE ATT&CK v20: เทคนิคโจมตีที่เกี่ยวกับ AI เข้ามาอยู่ในแผนที่แล้ว องค์กรควรทำอะไรต่อ MITRE ATT&CK v20 Summary: AI Attack Techniques Join the Matrix, and What Organizations Should Do Next

MITRE ATT&CK v20 ออกเมื่อ 13 ตุลาคม 2026 เพิ่มเทคนิคใหม่ฝั่ง Enterprise 9 รายการ ส่วนใหญ่เกี่ยวกับ AI เช่น Prompt Injection และการขโมยข้อมูลผ่าน AI บทความนี้สรุปสิ่งที่เปลี่ยนและสิ่งที่ทีมความปลอดภัยควรทบทวน MITRE ATT&CK v20, released on October 13, 2026, adds nine Enterprise techniques and sub-techniques, most of them AI-related, such as prompt injection and AI-enabled exfiltration. This article summarizes what changed and what security teams should review.

19 ตุลาคม 2026 October 19, 2026 อ่าน 9 นาที 9 min read โดย ทีม TechFinder By TechFinder team

สารบัญบทความ

MITRE ATT&CK v20 ออกเมื่อวันที่ 13 ตุลาคม 2026 การเปลี่ยนแปลงหลักคือการเพิ่มเทคนิคโจมตีที่เกี่ยวกับ AI เข้าไปในฝั่ง Enterprise เช่น Prompt Injection และการขโมยข้อมูลผ่าน AI ส่วนฝั่งระบบควบคุมอุตสาหกรรม (ICS) ได้เทคนิคเรื่องการสั่งงานผ่าน script และช่องทางสั่งการแบบใหม่ สำหรับองค์กรไทย นี่เป็นจังหวะดีที่จะทบทวนว่าระบบ AI ที่ใช้อยู่และเครื่องมือเฝ้าระวังที่มี มองเห็นพฤติกรรมแบบใหม่เหล่านี้แล้วหรือยัง

MITRE ATT&CK คืออะไร (อธิบายแบบง่าย)

MITRE ATT&CK คือ “คู่มือกลโกงของผู้โจมตี” ที่รวบรวมจากเหตุการณ์โจมตีที่เกิดขึ้นจริงทั่วโลก ดูแลโดย MITRE ซึ่งเป็นองค์กรไม่แสวงกำไรในสหรัฐอเมริกา และเปิดให้ทุกคนใช้ได้ฟรี ชื่อ ATT&CK ย่อมาจาก Adversarial Tactics, Techniques, and Common Knowledge

ลองนึกถึงคู่มือของตำรวจที่จดไว้ว่าขโมยบ้านมักทำอะไรบ้าง เช่น สำรวจบ้านก่อน หาทางเข้า งัดประตู แล้วขนของออก ATT&CK ทำแบบเดียวกันกับการโจมตีทางไซเบอร์ โดยแบ่งเป็น 2 ระดับ

Tactic คือเป้าหมายของผู้โจมตีในแต่ละช่วง หรือคำตอบว่า “ทำไปเพื่ออะไร” เช่น เข้าระบบให้ได้ (Initial Access) อยู่ในระบบให้นาน (Persistence) หรือพาข้อมูลออกไป (Exfiltration)
Technique คือวิธีที่ใช้ทำให้ถึงเป้าหมายนั้น หรือคำตอบว่า “ทำอย่างไร” เช่น ส่งอีเมลหลอก (Phishing) หรือใช้บัญชีที่ขโมยมา บางเทคนิคแตกย่อยเป็น Sub-technique อีกชั้น

แต่ละเทคนิคมีรหัสประจำตัว เช่น T1566 คือ Phishing เวลาทีมความปลอดภัย ผู้ให้บริการ หรือรายงานจากหลายแหล่งพูดถึงรหัสเดียวกัน ทุกคนจะเข้าใจตรงกันทันที ประโยชน์หลักสำหรับองค์กรคือใช้เทียบว่าระบบป้องกันที่มีอยู่รับมือหรือมองเห็นเทคนิคไหนได้แล้ว และยังมีช่องว่างตรงไหน

ATT&CK แยกเป็น 3 ชุดตามประเภทระบบ คือ Enterprise สำหรับระบบองค์กรทั่วไปและคลาวด์ Mobile สำหรับมือถือ และ ICS สำหรับระบบควบคุมในโรงงานหรือสาธารณูปโภค MITRE ออกเวอร์ชันหลักปีละ 2 ครั้ง ในเดือนเมษายนและตุลาคม v20 คือรอบเดือนตุลาคม 2026 ต่อจาก v19 ที่ออกเมื่อเดือนเมษายน

ตัวเลขสำคัญใน v20

ตามหน้า Release Notes ของ MITRE ฐานข้อมูล v20 มีซอฟต์แวร์ 971 รายการ กลุ่มผู้โจมตี 182 กลุ่ม และแคมเปญ 61 แคมเปญ แยกตาม domain ได้ดังนี้

Domain	Tactics	Techniques	Sub-techniques	Detection Strategies
Enterprise	15	227	479	703
Mobile	12	78	47	124
ICS	12	78	26	106

ตัวเลขชุดนี้บอกขนาดของแผนที่ ไม่ได้แปลว่าองค์กรต้องป้องกันให้ครบทุกข้อ แต่ละองค์กรควรเลือกดูเทคนิคที่ตรงกับระบบที่ตัวเองใช้จริง

เทียบ v19 กับ v20 เปลี่ยนไปแค่ไหน

ตัวเลขจาก Release Notes ของ MITRE ทั้งสองรุ่น (ฝั่ง Enterprise)

รายการ (Enterprise)	v19 (เมษายน 2026)	v20 (ตุลาคม 2026)
Tactics	15	15
Techniques	222	227
Sub-techniques	475	479
กลุ่มผู้โจมตี (Groups)	174	178
ซอฟต์แวร์ที่ใช้โจมตี	821	842
Detection Strategies	697	703

ภาพรวมทั้งฐานข้อมูล ซอฟต์แวร์เพิ่มจาก 949 เป็น 971 รายการ กลุ่มผู้โจมตีจาก 178 เป็น 182 กลุ่ม และแคมเปญจาก 59 เป็น 61 แคมเปญ

ความต่างที่สำคัญกว่าตัวเลขคือ “ธีม” ของแต่ละรุ่น

v19 เน้นจัดโครงสร้างใหม่ แยก Tactic เดิมชื่อ Defense Evasion ออกเป็น 2 Tactic คือ Stealth (การซ่อนตัว) และ Defense Impairment (การทำลายหรือปิดระบบป้องกัน) เริ่มเพิ่ม Sub-technique ให้ฝั่ง ICS และเริ่มมีเทคนิคที่ผู้โจมตีใช้ AI เป็นเครื่องมือ เช่น การใช้บริการ AI สาธารณะช่วยหาข้อมูล (Query Public AI Services) และการใช้ AI สร้างเนื้อหา (Generate Content)
v20 เน้นการโจมตีที่เล็งระบบ AI ขององค์กรโดยตรง เช่น Prompt Injection และการหลอก AI agent ให้ส่งข้อมูลออก รวมถึงเพิ่มเทคนิคการสั่งงานผ่าน script ให้ฝั่ง ICS

พูดง่าย ๆ คือ v19 บันทึกว่าผู้โจมตีเริ่มใช้ AI ช่วยทำงาน ส่วน v20 บันทึกว่าผู้โจมตีเริ่มเล็ง AI ที่องค์กรใช้อยู่ ระหว่างสองรุ่นนี้ MITRE ยังออกรุ่นย่อย v19.2 เมื่อเดือนสิงหาคม 2026 เพื่ออัปเดตข้อมูลกลุ่มผู้โจมตีและซอฟต์แวร์ ซึ่ง MITRE เรียกว่าการออกรุ่นแบบ Agile ครั้งแรก นอกรอบปกติปีละ 2 ครั้ง

เทคนิคใหม่ฝั่ง Enterprise

v20 เพิ่มรายการใหม่ฝั่ง Enterprise 9 รายการ แบ่งได้เป็นสองกลุ่ม

กลุ่มที่เกี่ยวกับ AI

T1699 Direct Prompt Injection: ผู้โจมตีพิมพ์คำสั่งเข้าไปในระบบ AI โดยตรง เพื่อให้ระบบทำสิ่งที่ผู้ออกแบบไม่ได้ตั้งใจ
T1698 Indirect Prompt Injection: คำสั่งที่เป็นอันตรายแฝงมากับข้อมูลที่ระบบ AI ไปอ่าน เช่น หน้าเว็บ เอกสาร หรืออีเมล โดยที่ผู้ใช้อาจไม่รู้ตัวเลย
T1700 AI-Enabled Exfiltration: การหลอกให้ AI agent ขององค์กรใช้เครื่องมือที่ตัวเองได้รับสิทธิ์ ส่งข้อมูลออกไปให้ผู้โจมตี โดยมักใช้ Prompt Injection เป็นตัวสั่ง
T1608.007 Stage Capabilities: AI Result Poisoning: การปั่นเนื้อหาบนเว็บสาธารณะไว้ล่วงหน้า เพื่อให้ระบบ AI หรือ AI search ดึงไปอ้างอิงหรือแนะนำข้อมูลของผู้โจมตี คล้ายกับการทำ SEO Poisoning
T1685.007 Disable or Modify Tools: Impair Autonomous Defenses: การทำให้ระบบป้องกันที่ใช้ AI ช่วยวิเคราะห์ เช่น ระบบที่ให้ AI ตรวจไฟล์มัลแวร์ ทำงานผิดพลาดหรือไม่แจ้งเตือน เช่น การฝังข้อความ Prompt Injection ไว้ในตัวมัลแวร์

MITRE อธิบายว่ารอบนี้ขยายความครอบคลุมพฤติกรรมของผู้โจมตีในช่วงหลัง และมีแคมเปญใหม่ชื่อ “AI-Assisted Breach of Mexico’s Government Infrastructure” รวมอยู่ด้วย

กลุ่มที่ไม่เกี่ยวกับ AI แต่ควรรู้

T1696 Anti-Automation Evasion: การหลบเลี่ยงกลไกกันบอท มี sub-technique คือ T1696.001 Automate CAPTCHA Completion และ T1696.002 Avoid CAPTCHA
T1697 Steal Application Specific Passwords: การขโมยรหัสผ่านเฉพาะแอป ซึ่งหลายองค์กรเปิดใช้เพื่อให้แอปรุ่นเก่าเข้าบัญชีได้โดยไม่ต้องยืนยันตัวตนหลายขั้น

T1697 ควรดูเป็นพิเศษ รหัสผ่านประเภทนี้มักถูกสร้างไว้แล้วลืม ถ้าหลุดออกไป ผู้โจมตีอาจเข้าบัญชีได้โดยไม่ต้องผ่านขั้นตอนยืนยันตัวตนเพิ่มเติม

การเปลี่ยนแปลงอื่นที่น่าสนใจ

ฝั่ง ICS ได้ T1701 Command and Scripting Interpreter พร้อม sub-technique เช่น PowerShell, Python และ JavaScript รวมถึงการใช้ DNS และโปรโตคอลแบบ Publish/Subscribe เป็นช่องทางสั่งการ ส่วน T0807 Command-Line Interface และ T0853 Scripting ถูกยกเลิก (deprecated) ในรอบนี้

MITRE เพิ่ม Detection Strategies ใหม่ฝั่ง Enterprise เช่น การตรวจจับ AI-Enabled Exfiltration, AI Result Poisoning, การหลบเลี่ยง CAPTCHA และการได้มาหรือใช้ application-specific password อย่างน่าสงสัย ฝั่ง ICS ได้แนวทางตรวจจับใหม่อีก 9 รายการ ขณะที่ Prompt Injection ทั้งสองแบบยังไม่มีแนวทางตรวจจับใหม่ในรอบนี้

ฝั่ง Mobile ไม่มีเทคนิคใหม่ แต่ T1476 Deliver Malicious Application via Other Means ถูกนำกลับมาใช้อีกครั้ง ส่วนข้อมูลภัยคุกคามมีกลุ่มผู้โจมตีใหม่ 2 กลุ่ม แคมเปญใหม่ และซอฟต์แวร์ฝั่ง Enterprise ใหม่ 17 รายการ

องค์กรไทยควรทบทวนอะไรบ้าง

ไม่จำเป็นต้องไล่ทำ v20 ให้ครบทุกข้อ แต่ใช้เป็นจุดตั้งคำถามกับระบบที่มีอยู่ได้

สำรวจระบบ AI ที่เชื่อมกับข้อมูลภายใน เช่น แชตบอต AI ที่อ่านเอกสารบริษัท ผู้ช่วย AI ที่อ่านอีเมล หรือระบบที่ให้ AI ค้นเว็บแล้วสรุป จุดเหล่านี้คือที่ที่ Indirect Prompt Injection เกิดได้
จำกัดสิทธิ์ของระบบ AI ให้เข้าถึงข้อมูลและสั่งงานได้เท่าที่จำเป็น ถ้าระบบถูกหลอก ความเสียหายจะอยู่ในวงแคบ
ตรวจรายการ application-specific password ว่าเปิดใช้ที่ไหน ยังจำเป็นอยู่หรือไม่ และใครเป็นเจ้าของ
เทียบ log และเครื่องมือเฝ้าระวังที่มีกับ Detection Strategies ใหม่ ว่ามองเห็นพฤติกรรมเหล่านี้แล้วหรือยัง เช่น การส่งข้อมูลปริมาณผิดปกติไปยังบริการ AI ภายนอก
ถ้าทีมหรือผู้ให้บริการของคุณอ้างรหัส ATT&CK ในรายงาน ให้ตรวจว่าใช้เวอร์ชันล่าสุดแล้ว เพราะรหัสบางตัวฝั่ง ICS ถูกยกเลิกไปในรอบนี้

TechFinder ช่วยได้อย่างไร

ถ้าองค์กรของคุณอยากใช้ v20 เป็นโอกาสทบทวนระบบ ทีม TechFinder ช่วยได้หลายทาง

Managed Security Services (MSSP): บริการเฝ้าระวัง endpoint ด้วย EDR หรือ XDR พร้อม threat hunting และ incident response ทำงานร่วมกับทีมของคุณตลอดอายุสัญญา ช่วยให้มองเห็นพฤติกรรมผิดปกติบนเครื่องของพนักงาน
Consulting Services: ที่ปรึกษาด้านความมั่นคงปลอดภัยช่วยทำ gap analysis และ risk assessment เพื่อดูว่า control และ log ที่มีอยู่ครอบคลุมเทคนิคที่เกี่ยวข้องกับองค์กรคุณแล้วหรือยัง
AI Transformation: ถ้ากำลังจะนำ AI มาใช้ เราออกแบบโดยคิดเรื่องความปลอดภัยตั้งแต่ต้น รวมถึงการจำกัดสิทธิ์ของระบบ AI ตามประเด็นที่ ATT&CK v20 หยิบขึ้นมา

อยากคุยว่าองค์กรของคุณควรเริ่มจากตรงไหน ติดต่อทีม TechFinder ได้เลย

คำถามที่พบบ่อย Frequently asked questions

MITRE ATT&CK คืออะไร What is MITRE ATT&CK?

คือฐานความรู้ฟรีที่ MITRE รวบรวมจากการโจมตีที่เกิดขึ้นจริง แบ่งเป็นเป้าหมายของผู้โจมตี (Tactic) และวิธีที่ใช้ (Technique) แต่ละเทคนิคมีรหัสประจำตัว ทีมความปลอดภัยใช้เป็นภาษากลางและใช้เทียบว่าระบบป้องกันขององค์กรยังมีช่องว่างตรงไหน It is a free knowledge base that MITRE builds from real-world attacks, organized into adversary goals (tactics) and methods (techniques), each with an ID. Security teams use it as a common language and to check where their defenses have gaps.

MITRE ATT&CK v20 ออกเมื่อไร When was MITRE ATT&CK v20 released?

MITRE เผยแพร่ ATT&CK v20 เมื่อวันที่ 13 ตุลาคม 2026 และเป็นเวอร์ชันปัจจุบันตามหน้า Version History ของ MITRE MITRE published ATT&CK v20 on October 13, 2026, and its Version History page lists it as the current version.

ATT&CK v20 เพิ่มอะไรที่เกี่ยวกับ AI บ้าง What AI-related content does ATT&CK v20 add?

ฝั่ง Enterprise มีเทคนิคใหม่ เช่น Direct Prompt Injection, Indirect Prompt Injection, AI-Enabled Exfiltration, AI Result Poisoning และ Impair Autonomous Defenses ซึ่งอธิบายพฤติกรรมของผู้โจมตีที่ใช้หรือโจมตีระบบ AI Enterprise gains techniques such as Direct Prompt Injection, Indirect Prompt Injection, AI-Enabled Exfiltration, AI Result Poisoning and Impair Autonomous Defenses, which describe adversaries using or attacking AI systems.

องค์กรที่ยังไม่ได้ใช้ AI ต้องสนใจ v20 หรือไม่ Should organizations that do not use AI care about v20?

ควรสนใจ เพราะ v20 มีเทคนิคที่ไม่เกี่ยวกับ AI ด้วย เช่น การหลบเลี่ยง CAPTCHA และการขโมย application-specific password และพนักงานในหลายองค์กรก็ใช้เครื่องมือ AI อยู่แล้ว แม้องค์กรยังไม่ได้วางระบบเอง Yes. v20 also adds non-AI techniques such as CAPTCHA evasion and stealing application-specific passwords, and staff in many organizations already use AI tools even if the organization has not deployed AI itself.

ควรเริ่มทบทวนจากตรงไหน Where should we start reviewing?

เริ่มจากดูว่าองค์กรมีระบบ AI หรือแชตบอต AI ที่เชื่อมกับข้อมูลภายในหรือไม่ และใช้ application-specific password ที่ไหนบ้าง แล้วเทียบกับ log และเครื่องมือเฝ้าระวังที่มีอยู่ว่ามองเห็นพฤติกรรมเหล่านี้ได้หรือยัง Start by checking whether you have AI systems or AI chatbots connected to internal data and where application-specific passwords are used, then compare that with your existing logs and monitoring tools to see whether these behaviors are visible.

แหล่งอ้างอิง Sources

อ่านต่อ

SECURITY

ตรวจสอบช่องโหว่เว็บไซต์คืออะไร ต่างจาก Pentest อย่างไร และควรจัดลำดับการแก้อย่างไร Website Vulnerability Checks: How They Differ from a Pentest and How to Prioritize Fixes Beyond CVSS

ตรวจสอบช่องโหว่เว็บไซต์คือการค้นหาและรายงานจุดอ่อนที่มีอยู่ ส่วน Pentest คือการลองใช้จุดอ่อนนั้นเพื่อพิสูจน์ผลกระทบ บทความนี้อธิบายความต่าง และวิธีจัดลำดับการแก้โดยไม่ดูแค่คะแนน CVSS A website vulnerability check finds and reports existing weaknesses, while a pentest tries to use them to prove impact. This article explains the difference and how to rank fixes without relying on the CVSS score alone.

9 พฤศจิกายน 2026 · 8 นาที November 9, 2026 · 8 min read

อ่านบทความ

SECURITY

Attack Surface คืออะไร ทำไมหลายองค์กรไม่รู้ว่ามีอะไรเปิดอยู่บนอินเทอร์เน็ต What Is an Attack Surface? Why Many Organizations Don't Know What Is Exposed on the Internet

Attack surface คือทุกจุดที่คนภายนอกเข้าถึงระบบขององค์กรได้ ทั้งเว็บไซต์ เซิร์ฟเวอร์ และบริการบนคลาวด์ บทความนี้อธิบายว่าทำไมองค์กรจึงมักไม่รู้ว่าทรัพย์สินดิจิทัลของตัวเองเปิดอยู่ตรงไหนบ้าง และเริ่มสำรวจได้อย่างไร An attack surface is every point where outsiders can reach an organization's systems, such as websites, servers and cloud services. This article explains why organizations often lose track of their digital assets and how to start mapping them.

2 พฤศจิกายน 2026 · 7 นาที November 2, 2026 · 7 min read

อ่านบทความ

พร้อมเริ่มต้นแล้วหรือยัง? Ready to get started?

ปรึกษาฟรี — เล่าโจทย์ของคุณ แล้วทีมเราจะช่วยแนะนำแนวทางที่เหมาะกับองค์กร Free consultation — tell us your problem and our team will suggest an approach that fits your organization.

ปรึกษาฟรี ดูบริการของเรา

MITRE ATT&CK คืออะไร (อธิบายแบบง่าย)

ตัวเลขสำคัญใน v20

เทียบ v19 กับ v20 เปลี่ยนไปแค่ไหน

เทคนิคใหม่ฝั่ง Enterprise

กลุ่มที่เกี่ยวกับ AI

กลุ่มที่ไม่เกี่ยวกับ AI แต่ควรรู้

การเปลี่ยนแปลงอื่นที่น่าสนใจ

องค์กรไทยควรทบทวนอะไรบ้าง

TechFinder ช่วยได้อย่างไร

คำถามที่พบบ่อย Frequently asked questions

MITRE ATT&CK คืออะไร What is MITRE ATT&CK?

MITRE ATT&CK v20 ออกเมื่อไร When was MITRE ATT&CK v20 released?

ATT&CK v20 เพิ่มอะไรที่เกี่ยวกับ AI บ้าง What AI-related content does ATT&CK v20 add?

องค์กรที่ยังไม่ได้ใช้ AI ต้องสนใจ v20 หรือไม่ Should organizations that do not use AI care about v20?

ควรเริ่มทบทวนจากตรงไหน Where should we start reviewing?

แหล่งอ้างอิง Sources

บทความที่เกี่ยวข้อง Related articles

Attack Surface คืออะไร ทำไมหลายองค์กรไม่รู้ว่ามีอะไรเปิดอยู่บนอินเทอร์เน็ต What Is an Attack Surface? Why Many Organizations Don't Know What Is Exposed on the Internet

พร้อมเริ่มต้นแล้วหรือยัง? Ready to get started?