ขอให้ Google สร้างรหัสผ่าน AI Overviews ตอบรหัสชุดเดิมซ้ำข้ามบัญชีและเครื่อง อย่านำไปใช้

ลองนึกภาพว่าคุณพิมพ์ค้นใน Google ว่า "generate a password" เพื่อขอรหัสผ่านใหม่ให้บัญชีสำคัญ กล่องสรุปจาก AI ด้านบนสุดก็ยื่นรหัสยาวที่ปนตัวพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์มาให้ ดูสุ่มจนไม่น่ามีใครเดาได้ แต่ PCMag สื่อเทคโนโลยีของสหรัฐฯ ทดสอบแล้วพบว่ารหัสที่ AI Overviews ให้มาเป็นชุดเดิมทุกครั้ง

เรื่องเริ่มจากโพสต์ LinkedIn ของ Natalia Witczyk ที่ปรึกษาด้าน SEO ซึ่งสังเกตเห็นรหัสซ้ำ PCMag จึงลองเอง และได้รหัสชุดเดียวกันแม้จะเปลี่ยนบัญชี Google เปลี่ยนเครื่อง เปิดโหมดไม่ระบุตัวตน (incognito) หรือกลับมาค้นอีกในวันอื่น อาการนี้เกิดเมื่อล็อกอินด้วยบัญชีส่วนตัว แต่ไม่เกิดตอนไม่ได้ล็อกอินหรือใช้บัญชีขององค์กร

ผู้ทดสอบสันนิษฐานว่า Google เตรียมคำตอบของคำค้นยอดนิยมไว้ล่วงหน้า แล้วส่งชุดเดียวกันให้ทุกคนที่ถามแบบเดียวกัน คล้ายร้านกาแฟที่ชงเมนูขายดีรอไว้เป็นถาด ใครสั่งก็ได้แก้วหน้าตาเหมือนกัน สำหรับกาแฟนั่นไม่ใช่ปัญหา แต่รหัสผ่านต่างออกไป เพราะคุณค่าทั้งหมดของมันอยู่ที่ไม่มีใครถือชุดเดียวกับคุณ ทั้งนี้ Google ยังไม่ได้ยืนยันคำอธิบายนี้และยังไม่ได้ให้ความเห็นต่อการทดสอบ

ต่อให้ไม่มีการเก็บคำตอบไว้ล่วงหน้า AI ก็สุ่มไม่เก่งอยู่แล้ว เพราะโมเดลภาษาทำงานด้วยการเลือกตัวอักษรที่ "น่าจะมาต่อ" ไม่ได้ทอยลูกเต๋า เมื่อต้นปีบริษัทความปลอดภัย Irregular ให้ Claude สร้างรหัสผ่าน 50 ครั้ง ได้รหัสที่ไม่ซ้ำกันเพียง 30 ชุด รหัสที่หน้าตาคล้ายกันหรือซ้ำกันแบบนี้คือของที่ผู้โจมตีใส่ไว้ต้น ๆ รายการเดาได้ง่าย

สิ่งที่ควรทำจึงง่ายกว่าที่คิด อย่าใช้รหัสผ่านที่ AI Overviews, Gemini หรือแชตบอตตัวไหนเสนอให้ ใช้ตัวสร้างรหัสของโปรแกรมจัดการรหัสผ่านแทน เช่น Google Password Manager ใน Chrome หรือแอป Passwords และ iCloud Keychain ของ Apple ถ้าคุณเคยหยิบรหัสจาก AI ไปตั้งบัญชีไหนแล้ว ให้เปลี่ยนบัญชีนั้นทันที ขั้นตอนบน Chrome และ iPhone สิ่งที่ยังไม่มีใครยืนยัน และเรื่องที่ต้องรู้สำหรับผู้ใช้ในไทยอยู่ด้านล่าง

สรุปประเด็นสำคัญ

• รหัส "สุ่ม" ที่ไม่สุ่ม: PCMag (3 พ.ย. 2026) ค้น Google ให้สร้างรหัสผ่าน แล้ว AI Overviews ตอบรหัสชุดเดิมซ้ำข้ามบัญชี ข้ามอุปกรณ์ ในโหมดไม่ระบุตัวตน และซ้ำหลายวัน ReadEval ไม่ลงรหัสนั้นในข่าว เพราะไม่ควรมีใครนำไปใช้
• เกิดเฉพาะบางกรณี: พบเมื่อล็อกอินด้วยบัญชี Google ส่วนตัว ไม่พบตอนไม่ได้ล็อกอินหรือใช้บัญชีขององค์กร
• สาเหตุยังเป็นการสันนิษฐาน: คำอธิบายว่า Google เก็บคำตอบของคำค้นยอดนิยมไว้ใช้ซ้ำมาจากผู้ทดสอบ ไม่ใช่จาก Google และ ณ 4 พ.ย. 2026 Google ยังไม่ได้ให้ความเห็น
• ปัญหาใหญ่กว่า Google: งานวิจัยของ Irregular เมื่อกุมภาพันธ์ 2026 พบว่ารหัสจาก Claude, GPT และ Gemini เดาง่ายกว่ารหัสสุ่มจริงมาก
• ทางแก้: ใช้ตัวสร้างรหัสของโปรแกรมจัดการรหัสผ่าน และเปลี่ยนรหัสของบัญชีที่เคยตั้งด้วยรหัสจาก AI

PCMag ทดสอบอะไร และเจออะไร

ต้นเรื่องคือโพสต์ LinkedIn ของ Natalia Witczyk ที่ปรึกษาด้าน SEO ซึ่ง PCMag ยกคำของเธอที่เรียกเรื่องนี้ว่า "AI Overview ที่โง่ที่สุดเท่าที่เคยเห็น" PCMag จึงทดสอบซ้ำด้วยตัวเองโดยค้นให้ Google สร้างรหัสผ่าน ผลที่ได้เป็นดังนี้

ที่มา: PCMag และ Hacks.gr

Hacks.gr เว็บข่าวเทคโนโลยีของกรีซที่รายงานต่อในวันเดียวกัน ระบุด้วยว่า ก่อนหน้านี้ PCMag เคยสังเกตว่ารหัสที่ AI ของ Google สร้างมีรูปแบบที่คาดเดาได้ แม้ความยาวและลำดับตัวอักษรจะเปลี่ยนไปบ้าง และในหน้าผลการค้นหาเดียวกันก็ยังมีลิงก์ไปยังเครื่องมือสร้างรหัสผ่านของเว็บและบริษัทความปลอดภัยที่เป็นที่รู้จักอยู่ด้วย

ทำไมรหัสถึงออกมาซ้ำ

คำอธิบายที่ผู้ทดสอบให้ไว้คือ Google คำนวณคำตอบของคำค้นที่คนถามบ่อยไว้ล่วงหน้าและเก็บไว้ (cache) เพื่อประหยัดทรัพยากรและแสดงผลได้เร็วขึ้น ทุกคนที่ค้นด้วยคำเดียวกันจึงอาจได้คำตอบชุดเดียวกัน ซึ่งสำหรับคำถามอย่าง "ภูเขาที่สูงที่สุดในโลกคืออะไร" ถือเป็นเรื่องดี แต่สำหรับรหัสผ่าน มันหมายความว่ารหัสหนึ่งชุดอาจไปถึงคนจำนวนมาก

ประเด็นที่ต้องแยกให้ชัดคือ นี่เป็นการอนุมานจากพฤติกรรมที่เห็น ไม่ใช่คำชี้แจงของ Google บริษัทยังไม่ได้บอกว่าระบบทำงานแบบนี้จริง และยังไม่ได้บอกว่ามีคนได้รหัสชุดเดียวกันไปกี่คน ReadEval ตรวจซ้ำเมื่อ 4 พ.ย. 2026 แล้วยังไม่พบคำชี้แจงหรือการแก้ไขจาก Google เป็นไปได้ว่า Google จะปรับผลการค้นหานี้หลังข่าวออก ผลที่อธิบายในข่าวนี้จึงเป็นผล ณ วันที่ PCMag ทดสอบ

สิ่งที่ Google เคยพูดเกี่ยวกับรหัสผ่านจาก AI คือคำตอบที่โฆษกให้ไว้กับ Sky News เมื่อกุมภาพันธ์ 2026 หลังงานวิจัยของ Irregular ว่า "LLM ไม่ได้สร้างมาเพื่อสร้างรหัสผ่านใหม่ ต่างจากเครื่องมืออย่าง Google Password Manager ที่สร้างและเก็บรหัสผ่านอย่างปลอดภัย" และ "เรายังสนับสนุนให้ผู้ใช้เลิกใช้รหัสผ่านแล้วหันมาใช้พาสคีย์ ซึ่งง่ายและปลอดภัยกว่า" คำแนะนำของ Google เองจึงสวนทางกับการที่ AI Overviews ยื่นรหัสผ่านให้ผู้ใช้

ถ้าไม่มีแคช รหัสจาก AI ปลอดภัยไหม

ไม่ปลอดภัยเช่นกัน The Register รายงานงานวิจัยของ Irregular เมื่อ 18 ก.พ. 2026 ที่ให้ Claude (Opus 4.6), GPT-5.2, Gemini 3 Flash และ Gemini 3 Pro สร้างรหัสผ่านยาว 16 ตัวอักษร

• ซ้ำกันเอง: Claude ถูกขอ 50 ครั้งในแชตคนละห้อง ได้รหัสที่ไม่ซ้ำกันเพียง 30 ชุด และรหัสชุดเดียวโผล่ซ้ำ 18 ครั้ง
• ขึ้นต้นและลงท้ายคล้ายกัน: รหัสของ GPT-5.2 และ Gemini 3 Flash ก็มีรูปแบบคงที่ โดยเฉพาะตัวอักษรช่วงต้น
• เดาง่ายกว่าที่เห็น: Irregular ประเมินว่ารหัส 16 ตัวจาก LLM มีความสุ่ม (entropy) ราว 20–27 บิต ขณะที่รหัสสุ่มจริงความยาวเท่ากันมีราว 98–120 บิต ทุก 1 บิตที่เพิ่มขึ้นทำให้ต้องเดามากขึ้นเท่าตัว ส่วนต่างตั้งแต่ราว 70 บิตขึ้นไปจึงหมายถึงจำนวนครั้งที่ต้องเดาต่างกันเกินพันล้านล้านล้านเท่า บริษัทระบุว่ารหัสจาก LLM อาจถูกเดาได้ในไม่กี่ชั่วโมงแม้ใช้คอมพิวเตอร์เก่า
• แก้ด้วยการสั่งไม่ได้: Irregular ระบุว่าปัญหานี้ "แก้ด้วยการเขียนคำสั่งหรือปรับค่า temperature ไม่ได้" เพราะโมเดลถูกออกแบบให้ตอบสิ่งที่น่าจะเป็นที่สุด

ที่น่าสนใจคือ ในการทดสอบของ The Register ตัว Gemini 3 Pro เองก็เตือนว่าไม่ควรใช้รหัสที่สร้างในแชตกับบัญชีสำคัญ และแนะนำให้ใช้โปรแกรมจัดการรหัสผ่านแทน

คนไทยโดนด้วยไหม

หน้าช่วยเหลือของ Google ระบุว่า AI Overviews เปิดให้ใช้ในประเทศไทยและรองรับภาษาไทยแล้ว แต่ PCMag ทดสอบด้วยคำค้นภาษาอังกฤษ และไม่ได้ระบุว่าทดสอบจากประเทศใด ReadEval จึงยืนยันไม่ได้ว่าการค้นจากไทย หรือการค้นด้วยภาษาไทย เช่น "สร้างรหัสผ่าน" จะได้รหัสซ้ำแบบเดียวกันหรือไม่ แต่คำแนะนำด้านล่างใช้ได้ไม่ว่าคุณจะค้นด้วยภาษาอะไร เพราะปัญหาความสุ่มของ AI เกิดกับทุกภาษา

เคยใช้รหัสจาก AI ไปแล้ว ต้องทำอะไร

1. นึกให้ออกว่าใช้กับบัญชีไหน แล้วเข้าไปเปลี่ยนรหัสผ่านในหน้าตั้งค่าของบริการนั้นทันที เริ่มจากบัญชีอีเมล ธนาคาร และบัญชีที่ใช้ล็อกอินบริการอื่น
2. ให้โปรแกรมจัดการรหัสผ่านสร้างรหัสใหม่ อย่าคิดเองหรือถาม AI อีก (วิธีบน Chrome และ iPhone อยู่ด้านล่าง)
3. ถ้าเคยใช้รหัสชุดนั้นซ้ำหลายเว็บ ต้องเปลี่ยนทุกเว็บ เพราะเมื่อรหัสหลุดหนึ่งที่ ผู้โจมตีจะนำไปลองกับเว็บอื่นต่อ
4. เปิดการยืนยันตัวตนสองขั้น (2FA) หรือใช้พาสคีย์ ในบริการที่รองรับ ซึ่งเป็นทางที่ Google เองแนะนำ

สร้างรหัสผ่านด้วย Chrome และ Google Password Manager (คอมพิวเตอร์)

ตามหน้าช่วยเหลือของ Google

1. ล็อกอินเข้า Chrome ด้วยบัญชี Google
2. เปิดเว็บที่ต้องการสมัครหรือเปลี่ยนรหัสผ่าน แล้วคลิกช่องรหัสผ่าน
3. ถ้าเห็นตัวเลือก Use strong password ให้เลือก ถ้าไม่เห็น ให้คลิกขวาที่ช่องรหัสผ่านแล้วเลือก Generate password
4. ตรวจรหัสที่ Chrome เสนอ แล้วคลิก Use suggested password
5. Chrome จะบันทึกรหัสนี้ไว้ในบัญชี Google ให้เอง

ถ้าเปลี่ยนรหัสบนเว็บไปแล้วแต่ Chrome ยังจำรหัสเก่า ให้ไปที่ปุ่ม More (จุดสามจุดมุมขวาบน) > Passwords and autofill > Google Password Manager เลือกรหัสที่บันทึกไว้ แล้วกด Edit และ Save ส่วนเมนู Checkup ในหน้าเดียวกันจะแสดงรหัสที่รั่วในเหตุข้อมูลหลุด และรหัสที่อ่อนหรือเดาง่าย

สร้างรหัสผ่านบน iPhone, iPad และ Mac

ตามคู่มือของ Apple เมื่อคุณสมัครบัญชีบนเว็บหรือแอปที่รองรับ เครื่องจะเสนอรหัสผ่านที่ซับซ้อนและไม่ซ้ำให้ บน iPhone ให้แตะ Use Strong Password (ต้องเปิด iCloud Keychain ไว้) ตั้งแต่ iOS 18, iPadOS 18 และ macOS Sequoia คุณยังใช้แอป Passwords สร้างรหัสผ่านที่แข็งแรงให้บัญชีเดิม เพื่อแทนรหัสที่อ่อนได้ด้วย คู่มือความปลอดภัยของ Apple ระบุว่ารหัสที่ระบบสร้างโดยค่าเริ่มต้นยาว 20 ตัวอักษร และมีความสุ่มราว 71 บิต ซึ่งเดายากกว่ารหัสจาก LLM ในงานวิจัยของ Irregular (20–27 บิต) อย่างมาก

ใช้โปรแกรมจัดการรหัสผ่านตัวอื่น

โปรแกรมจัดการรหัสผ่านทั่วไปมีตัวสร้างรหัสผ่านในตัว ซึ่งใช้ตัวสุ่มของระบบ ไม่ได้ให้โมเดลภาษาเลือกตัวอักษร ใช้ตัวไหนก็ได้ที่คุณสะดวก ขอเพียงให้รหัสทุกบัญชีถูกสร้างโดยเครื่องมือนั้นและไม่ใช้ซ้ำกัน

ถ้าอยากรู้ว่าการใช้รหัสซ้ำหลายเว็บเสี่ยงอย่างไรเมื่อเว็บหนึ่งถูกเจาะ อ่านต่อได้ในข่าว AO3 เจอเหตุด้านความปลอดภัยและแนะให้เปลี่ยนรหัสที่ใช้ซ้ำ

แหล่งข่าวต่างกันตรงไหน

• ใครเป็นคนอธิบายเรื่องการเก็บคำตอบไว้ล่วงหน้า: Hacks.gr ระบุว่าคำอธิบายนี้มาจาก Witczyk ส่วนในรายงานของ PCMag เป็นการอนุมานของผู้ทดสอบ ทั้งสองแหล่งไม่ได้ขัดกันในสาระ และไม่มีแหล่งใดอ้างคำยืนยันจาก Google ReadEval จึงเขียนว่าเป็นการสันนิษฐานของผู้ทดสอบ
• ไม่มีการทดสอบอิสระรายที่สอง: ณ 4 พ.ย. 2026 ReadEval พบเพียง Hacks.gr (และฉบับที่โพสต์ซ้ำบน DEV Community) ที่รายงานต่อจาก PCMag และ Witczyk โดยไม่ได้ทดสอบเอง ยังไม่พบสำนักข่าวใหญ่รายอื่นที่ทดสอบซ้ำและยืนยันผลด้วยตัวเอง
• ตัวเลขความสุ่มของรหัสจาก LLM: Irregular ให้ตัวเลขสองชุดตามวิธีวัด คือราว 27 บิตเมื่อวัดจากสถิติตัวอักษร และราว 20 บิตเมื่อวัดจากความน่าจะเป็นที่โมเดลให้ ReadEval จึงรายงานเป็นช่วง 20–27 บิต
• โฆษก Google พูดกับใคร: คำพูดของโฆษก Google เมื่อกุมภาพันธ์ 2026 ปรากฏในรายงานของ Sky News ที่ Yahoo News UK นำไปเผยแพร่ และพูดถึงแชตบอตทั่วไป ไม่ได้พูดถึง AI Overviews โดยตรง