เรื่องเริ่มจากความรำคาญเล็กๆ ของเจ้าของทีวีคนหนึ่ง นักวิจัยความปลอดภัยและนักล่าบั๊กที่ใช้ชื่อบน X ว่า log4j บอกว่าทีวี Samsung รุ่นปี 2025 ของเขาโชว์โฆษณาที่ “ตรงใจจนแปลกๆ” อยู่บ่อยครั้ง เขาจึงลองแกะเฟิร์มแวร์ดู แต่ไฟล์ถูกเข้ารหัส AES ไว้ ถ้าไม่ถอดเครื่องมาต่อสายดีบักก็ไม่มีกุญแจ สุดท้ายเขาเลือกใช้ช่องโหว่แบบ zero-day จนได้ root shell บนทีวีของตัวเอง แล้วเริ่มไล่ดูว่าระบบปฏิบัติการ Tizen ข้างในกำลังทำอะไรอยู่บ้าง
ตั้งแต่ 21 ตุลาคม 2026 เขาทยอยโพสต์สิ่งที่เจอทีละชิ้น หลายโพสต์มีคนเห็นเกินล้านครั้ง ไล่ตั้งแต่บริการที่ชื่อว่า alwaysonvoice ไปจนถึงระบบที่คอยจดว่าเราดูอะไรและกดข้ามโฆษณาไหนบ้าง
สิ่งที่เขาบอกว่าเจอในทีวี
โพสต์แรกที่จุดกระแสคือภาพไฟล์ security-policy.xml ที่มีแพ็กเกจชื่อ csapi-tv-service-alwaysonvoice เขาบอกว่าทีวีมีความสามารถไมโครโฟนแบบเปิดตลอด และยังมีระบบ ACR (Automatic Content Recognition) ที่จดจำสิ่งที่อยู่บนจอ ระบบระบุตำแหน่ง การทำแผนผังเครือข่าย บริการโฆษณาแบบเจาะกลุ่ม การสร้างโปรไฟล์ผู้ใช้ และการส่งข้อมูลให้ Samsung กับพาร์ตเนอร์อีกราว 400 ราย
ต่อมาเขาโพสต์เพิ่มว่าทีวีใช้ฮาร์ดแวร์ของเราเองประมวลผลข้อมูลทั้งเสียง ภาพหน้าจอ และ AID ซึ่งเป็นรหัสติดตามข้ามอุปกรณ์สำหรับโฆษณา เขาเชื่อว่านี่คือเหตุผลที่ทีวีอืด ทีวียังโหลดโมเดล AI แบบ convolutional neural network ที่แยกตามภูมิภาค (ไฟล์ LogoCNN.bin) คอยดูการใช้งานในแอป เช่นในแอป YouTube จะดูว่าเราดูวิดีโออะไร ข้ามโฆษณาตัวไหน และดูไปถึงไหนแล้ว
รายการที่ถูกแชร์มากที่สุดมีอีกหลายข้อ เขาเจอบริการชื่อ rmdemon ที่เปิดตัวดักจับแพ็กเก็ตบนเครือข่ายบ้าน บริการ wifi-presence ที่เริ่มสแกนหา IP และ MAC address ของอุปกรณ์ในบ้านหลังเปิดเครื่อง 20 นาทีแล้ววนทำทุกชั่วโมง ข้อมูลเทเลเมทรีที่มีตัวนับเหตุการณ์เสียงสุนัขเห่าและเสียงเด็กร้อง โค้ดที่จัดการกล้องที่ต่อกับทีวี และโค้ดตรวจจับใบหน้าที่ส่งกรอบสี่เหลี่ยมรอบใบหน้ากลับมา
ทีวีไม่มีไมค์ ก็หาไมค์จากซาวด์บาร์
ข้อที่คนแชร์ต่อกันมากที่สุด มีคนเห็นเกิน 2.8 ล้านครั้ง คือเขาบอกว่าถ้าทีวีรุ่นนั้นไม่มีไมโครโฟนในตัว ระบบจะมองหาอุปกรณ์ที่ต่ออยู่และมีไมค์ เช่น ซาวด์บาร์หรืออุปกรณ์บลูทูธ แล้วส่งเสียงไปที่ Bixby เขายืนยันในคอมเมนต์ว่าทั้งหมดนี้ตรวจและยืนยันบนทีวี Samsung รุ่นที่ขายในยุโรป
ngxson วิศวกรของ Hugging Face ลองทดสอบพฤติกรรมไมค์ด้วย Flipper Zero บนทีวี Tizen ของตัวเอง และพบว่าทีวีเปิดไมค์อยู่ 5 วินาทีพอดีแล้วหยุด จากนั้นรอดูอีกหลายชั่วโมงก็ไม่เห็นการเปิดไมค์ซ้ำ แต่เขาบอกว่าทีวีเครื่องนั้นถูกรูทและปิดการตั้งค่าไปหลายอย่างแล้ว เครื่องที่ไม่ได้ดัดแปลงอาจทำงานต่างออกไป
Samsung ว่ายังไง
Samsung ยังไม่ได้ตอบข้อกล่าวหาของ log4j เป็นรายข้อ แต่หน้าซัพพอร์ตเรื่องระบบสั่งงานด้วยเสียงของ Samsung เองระบุว่า การจดจำเสียงจะทำงานเมื่อผู้ใช้เปิดใช้งานเท่านั้น และข้อมูลเสียงจากการค้นหาจะถูกลบหลังตอบคำขอเสร็จ ส่วนข่าวเปิดตัว Bixby บนทีวีก็ระบุว่าข้อมูลเสียงของ Bixby ไม่ได้ถูกเก็บไว้บนเซิร์ฟเวอร์หรือในทีวี
ฟีเจอร์ที่ใกล้เคียงกับตัวนับเสียงเห่าที่เขาเจอก็มีอยู่จริงในชื่อ Pet Care ซึ่ง Samsung ใช้ไมค์ในทีวีจับเสียงอย่างการเห่าของสุนัข ฟีเจอร์นี้ทำงานตอนปิดทีวี ต้องเปิดใช้ใน SmartThings เอง และมีเฉพาะรุ่น Q8F ขึ้นไป ส่วนนักพัฒนาบางส่วนบน Hacker News ชี้ว่าไฟล์รายชื่อแพ็กเกจแบบ security-policy.xml คือรายการสิทธิ์ที่แอปบน Tizen ขอใช้ได้ตามปกติ
ปิด ACR แล้วจบไหม
Samsung เปิดให้ปิด ACR เองได้อยู่แล้ว โดยไปที่ Settings แล้วเลือก All Settings ตามด้วย General & Privacy เข้า Terms & Privacy แล้วปิด Viewing Information Services และควรปิด Interest-Based Advertising ไปพร้อมกัน แต่ log4j โพสต์ล่าสุดเมื่อ 25 ตุลาคมว่าไม่ควรเชื่อว่าการปิด ACR จากเมนูจะหยุดเทเลเมทรีของ ACR ได้จริง เพราะเขาเจอหลายจุดที่โค้ดเช็กค่าที่ตั้งไว้ผิด หรือไม่ได้เช็กเลย
เขายังเตือนเจ้าของทีวี Samsung ให้ปิดอัปเดตอัตโนมัติไว้ก่อน โดยไปที่ Settings แล้วเข้า Support เลือก Software Update แล้วปิด Auto Update เพราะกำลังทำเครื่องมือฟรีแบบโอเพนซอร์สที่ใช้ยึดการควบคุมทีวีคืนแบบถาวร ซึ่งเขาบอกว่าน่าจะใช้ได้กับสมาร์ททีวีทุกยี่ห้อที่ใช้ชิป arm64 และรูทได้ รายงานฉบับเต็มพร้อมวิธีทำทีละขั้นกำลังตามมา
บัญชี OpenAI โดนปิดกลางทาง
อีกเรื่องที่ทำให้กระแสนี้แรงขึ้นคือ log4j โพสต์อีเมลจาก OpenAI ที่แจ้งว่าบัญชีของเขาถูกปิดข้อหา Cyber Abuse หลังเริ่มโพสต์ได้ไม่กี่วัน เขาบอกว่าเสียเงินไปราว 500 ดอลลาร์ และไม่เคยใช้เครื่องมือของ OpenAI เจาะหาช่องโหว่ แค่ใช้ทำ reverse engineering บนเครื่องของตัวเอง ซึ่งไปเข้าเงื่อนไขของ Daybreak โปรแกรมสำหรับงานความปลอดภัยของ OpenAI โดยเขามองว่าบัญชีโดนตัวคัดกรองแบบหยาบๆ ตัดสิน
ประเด็นนี้เลยกลายเป็นเรื่องใหญ่สองชั้นในเวลาเดียวกัน ชั้นแรกคือทีวีในห้องนั่งเล่นเก็บข้อมูลเราละเอียดแค่ไหน ชั้นที่สองคือเจ้าของเครื่องควรมีสิทธิ์แกะดูของที่ตัวเองซื้อมาได้ลึกแค่ไหนในยุคที่ AI คอยกรองงานด้านความปลอดภัย
แหล่งอ้างอิง
- log4j บน X: โพสต์ alwaysonvoice และ security-policy.xml
- log4j บน X: ทีวีหาไมค์จากซาวด์บาร์หรืออุปกรณ์บลูทูธ
- log4j บน X: ตัวนับเสียงเห่าและเสียงเด็กร้องในเทเลเมทรี
- log4j บน X: ปิด ACR จากเมนูอาจไม่ได้หยุดเทเลเมทรี
- Tom’s Hardware: Cybersecurity bounty hunter says Samsung TVs use AI to record audio and screenshots for ads
- Tech City Authority: Samsung TV mic claim spreads as researcher says OpenAI banned him
- Samsung Support: Customer Service FAQ for Smart TV Voice Recognition Concern
- Samsung Newsroom: Samsung Redefines AI Search on Smart TVs With a Smarter Bixby Voice Assistant
- Samsung Support: Smart TV Automatic Content Recognition (ACR) Feature
