AI ตรวจพบช่องโหว่ได้มากกว่าที่เคย แต่มนุษย์ยังต้องตัดสินใจว่าจะทำอะไรต่อ

เป็นเวลาหลายปีที่ทีมรักษาความปลอดภัยทางไซเบอร์ยึดถือสมมติฐานง่าย ๆ ว่า หากเราค้นพบช่องโหว่ได้มากขึ้นและรวดเร็วขึ้น ซอฟต์แวร์ก็จะปลอดภัยยิ่งขึ้น

ปัญญาประดิษฐ์กำลังทดสอบสมมติฐานดังกล่าว ขณะที่บทสนทนาในวงกว้างเกี่ยวกับ AI เปลี่ยนจากการนำไปใช้อย่างรวดเร็วไปสู่การสร้างคุณค่าที่วัดผลได้ วงการความปลอดภัยทางไซเบอร์ก็กำลังเผยให้เห็นความท้าทายที่ไม่ได้หายไปเมื่อกระแสการใช้ AI ชะลอตัวลง องค์กรต่าง ๆ กำลังเผชิญกับผลการค้นพบช่องโหว่ที่ AI สร้างขึ้นซึ่งมีจำนวนเพิ่มขึ้น และยังต้องอาศัยมนุษย์ตรวจสอบยืนยัน จัดลำดับความสำคัญ และแก้ไข

ผลการค้นพบล่าสุดจาก Project Glasswing เป็นหนึ่งในตัวอย่างที่ชัดเจนที่สุดเท่าที่เคยมีมา มีรายงานว่า Claude Mythos Preview ระบุผลการค้นพบช่องโหว่ได้มากกว่า 26,000 รายการในโครงการซอฟต์แวร์ต่าง ๆ ภายในเวลาเพียงไม่กี่เดือน อย่างไรก็ตาม จาก การวิเคราะห์บัญชีการเปิดเผยข้อมูลสาธารณะของ Glasswing โดยอิสระ พบว่ามีผลการค้นพบเหล่านั้นเพียงประมาณ 10% ที่เข้าสู่กระบวนการเปิดเผยข้อมูล และท้ายที่สุดมีไม่ถึง 1% ที่ได้รับการแก้ไขด้วยแพตช์

ตัวเลขเหล่านี้น่าตกใจ แต่ก็ไม่ควรเป็นเรื่องเหนือความคาดหมาย อุตสาหกรรมนี้ใช้เวลาหลายทศวรรษมุ่งปรับปรุงการค้นหาช่องโหว่ให้มีประสิทธิภาพยิ่งขึ้น แต่สิ่งที่ยังไม่ได้สร้างขึ้นคือขีดความสามารถในการจัดการผลการค้นพบช่องโหว่ในระดับที่ AI สร้างได้

คอขวดของความปลอดภัยทางไซเบอร์ไม่ได้อยู่ที่การค้นพบอีกต่อไป แต่อยู่ที่สิ่งที่จะเกิดขึ้นหลังจากนั้น

การค้นพบช่องโหว่ไม่เคยเป็นส่วนที่ยากที่สุด

ในการ อัปเดตความคืบหน้าระยะแรกจาก Project Glasswing Anthropic ระบุว่า ความคืบหน้าถูกจำกัดมากขึ้นเรื่อย ๆ ไม่ใช่เพราะค้นหาช่องโหว่ได้ยาก แต่เป็นเพราะต้องอาศัยการทำงานของมนุษย์เพื่อตรวจสอบรายงาน ประสานงานการเปิดเผยข้อมูล และสนับสนุนการแก้ไขปัญหา บริษัทยังระบุด้วยว่าผู้ดูแลบางรายขอให้ชะลออัตราการเปิดเผยข้อมูล เนื่องจากไม่มีขีดความสามารถเพียงพอที่จะจัดการกับผลการค้นพบจำนวนมากที่กำลังเกิดขึ้น

ความแตกต่างนี้สำคัญ เพราะการค้นพบช่องโหว่และการแก้ไขช่องโหว่เป็นกิจกรรมที่แตกต่างกันโดยพื้นฐาน

การค้นพบช่องโหว่กำลังกลายเป็นปัญหาด้านการจดจำรูปแบบมากขึ้นเรื่อย ๆ ระบบ AI สมัยใหม่ทำได้ดีเยี่ยมในการวิเคราะห์ฐานโค้ดขนาดใหญ่ ระบุพฤติกรรมที่ผิดปกติ ติดตามเส้นทางการทำงานของโปรแกรม และชี้ให้เห็นจุดอ่อนที่อาจเกิดขึ้น

การแก้ไขปัญหาเป็นอีกเรื่องหนึ่ง การแก้ช่องโหว่ต้องอาศัยบริบท ต้องมีผู้พิจารณาว่าปัญหานั้นมีอยู่จริงหรือไม่ ทำความเข้าใจผลกระทบที่อาจเกิดขึ้น ประเมินวิธีแก้ไขที่เป็นไปได้ ตรวจสอบให้แน่ใจว่าการเปลี่ยนแปลงไม่ก่อให้เกิดปัญหาถดถอย ประสานกำหนดเวลาการเปิดเผยข้อมูล สื่อสารกับผู้มีส่วนเกี่ยวข้อง และท้ายที่สุดต้องรับผิดชอบต่อผลลัพธ์

ประเด็นสุดท้ายนี้สำคัญอย่างยิ่ง AI อาจระบุช่องโหว่ที่เป็นไปได้ แต่ไม่อาจรับผิดชอบต่อสิ่งที่จะเกิดขึ้นต่อไปได้ การตรวจสอบยืนยัน การจัดลำดับความสำคัญ การแก้ไข และการรายงาน ล้วนต้องอาศัยมนุษย์ที่รับผิดชอบต่อโครงการที่ตนดูแล และงานเหล่านี้ก็ใช้เวลาของคนที่มักมีงานประจำ ครอบครัว และภาระอื่น ๆ ที่ต้องแบ่งเวลาให้ ในโครงการโอเพนซอร์สจำนวนมาก ปัจจัยจำกัดไม่ได้อยู่ที่การมองเห็นความเสี่ยง แต่อยู่ที่ขีดความสามารถของผู้ดูแลและทีมรักษาความปลอดภัยในการประเมินผลการค้นพบที่เพิ่มขึ้นอย่างต่อเนื่องและตอบสนองต่อผลเหล่านั้นอย่างมีความรับผิดชอบ

นี่คือความแตกต่างพื้นฐานระหว่างการค้นพบกับการแก้ไขปัญหา AI ช่วยให้เราขยายขอบเขตการค้นพบได้มากขึ้นเรื่อย ๆ แต่การแก้ไขยังคงขึ้นอยู่กับคนที่มีบริบท อำนาจในการดำเนินการ และความรับผิดชอบเพียงพอที่จะจัดการกับสิ่งที่ AI ค้นพบ

ความท้าทายของโอเพนซอร์ส

พลวัตนี้เห็นได้ชัดยิ่งขึ้นในระบบนิเวศโอเพนซอร์ส เมื่อมีส่วนประกอบโอเพนซอร์สอยู่ใน ฐานโค้ดเชิงพาณิชย์ 98% โครงสร้างพื้นฐานดิจิทัลส่วนใหญ่ของโลกจึงพึ่งพาโครงการที่ดูแลโดยผู้ร่วมพัฒนาเพียงกลุ่มเล็ก ๆ

ในหลายกรณี ผู้ที่รับผิดชอบดูแลซอฟต์แวร์สำคัญเหล่านี้เป็นอาสาสมัคร หรือเป็นคนที่ต้องจัดสรรเวลาให้การดูแลโครงการควบคู่ไปกับงานประจำและภาระส่วนตัว เมื่อ AI เพิ่มปริมาณซอฟต์แวร์และช่องโหว่ที่ค้นพบในซอฟต์แวร์เหล่านั้น ความสามารถของผู้ดูแลในการตามให้ทันจึงกลายเป็นองค์ประกอบสำคัญของสมการด้านความปลอดภัยมากขึ้นเรื่อย ๆ

เมื่อระบบ AI สร้างผลการค้นพบที่อาจเป็นไปได้หลายร้อยหรือหลายพันรายการต่อระบบนิเวศของโครงการใดโครงการหนึ่งอย่างฉับพลัน ผู้ดูแลเหล่านั้นก็จะกลายเป็นปัจจัยจำกัด

นี่ไม่ใช่การวิจารณ์ผู้ดูแล แต่เป็นการสะท้อนความเป็นจริง

ก่อนที่การค้นพบช่องโหว่ด้วย AI จะเกิดขึ้น โครงการโอเพนซอร์สจำนวนมากก็ประสบปัญหาทรัพยากรจำกัด ความคาดหวังด้านความปลอดภัยที่เพิ่มสูงขึ้น และภาระการดูแลรักษาที่มากขึ้นอยู่แล้ว AI กำลังเร่งแรงกดดันต่อระบบที่ตึงตัวอยู่ก่อนแล้ว

ความท้าทายไม่ได้อยู่แค่การพิจารณาว่ามีช่องโหว่อยู่หรือไม่ แต่อยู่ที่ทุกสิ่งที่จะเกิดขึ้นหลังจากนั้น

ต้องมีคนตรวจสอบรายงาน ต้องมีคนทำซ้ำปัญหาให้เกิดขึ้นได้ ต้องมีคนตัดสินใจว่าปัญหานั้นเป็นความเสี่ยงด้านความปลอดภัยหรือไม่ ต้องมีคนพัฒนาและทดสอบวิธีแก้ไข ต้องมีคนประสานงานการเปิดเผยข้อมูลและการเผยแพร่อัปเดต ความรับผิดชอบเหล่านี้ไม่อาจทำให้หมดไปได้ด้วยระบบอัตโนมัติเพียงอย่างเดียว

เมื่อผลการค้นพบที่ AI สร้างขึ้นเพิ่มจำนวนอย่างต่อเนื่อง องค์กรที่พึ่งพาซอฟต์แวร์โอเพนซอร์สก็จะต้องพึ่งพาความแข็งแกร่งและความยั่งยืนของผู้คนที่ดูแลซอฟต์แวร์เหล่านั้นมากขึ้นเรื่อย ๆ

เตรียมรับมือการค้นพบช่องโหว่ด้วย AI ที่เพิ่มขึ้นอย่างรวดเร็ว

แล้วองค์กรธุรกิจควรทำอย่างไร? ประการแรก องค์กรต้องตระหนักว่าการค้นพบช่องโหว่ที่ขับเคลื่อนด้วย AI ไม่ใช่ปัญหาในอนาคต แต่กำลังเกิดขึ้นแล้ว Project Glasswing แสดงให้เห็นว่าโมเดล AI ระดับแนวหน้าสามารถค้นพบช่องโหว่ได้ในวงกว้าง จนเมื่อไม่กี่ปีก่อนแทบจินตนาการไม่ออกว่าจะทำได้

ประการที่สอง ผู้นำด้านความปลอดภัยควรประเมินว่ากระบวนการแก้ไขช่องโหว่ขององค์กรสามารถขยายตามขีดความสามารถในการค้นพบช่องโหว่ที่เพิ่มขึ้นได้หรือไม่ หลายองค์กรทุ่มลงทุนอย่างมากกับการค้นหาช่องโหว่ แต่กลับลงทุนไม่เพียงพอกับบุคลากรและกระบวนการที่มีหน้าที่แก้ไขช่องโหว่เหล่านั้น

ประการที่สาม องค์กรธุรกิจควรให้ความสำคัญกับการบำรุงรักษาซอฟต์แวร์ในฐานะงานด้านความปลอดภัยมากขึ้น โดยมักพูดถึงความปลอดภัยในแง่ของการป้องกันและการตรวจจับ แต่การบำรุงรักษาในระยะยาวยังคงเป็นองค์ประกอบสำคัญอย่างยิ่งของการบริหารความเสี่ยงที่ได้รับความสนใจไม่มากพอ AI อาจช่วยให้ค้นพบช่องโหว่ได้ง่ายขึ้น แต่ไม่ได้ลดความรับผิดชอบในการรักษาความปลอดภัยของซอฟต์แวร์สำคัญอย่างต่อเนื่อง องค์กรจำเป็นต้องมีกลยุทธ์สำหรับการดูแลซอฟต์แวร์ตลอดวงจรชีวิต ซึ่งเปิดโอกาสให้ปรับปรุงระบบให้ทันสมัยอย่างมีแบบแผน แทนที่จะถูกบีบให้ต้องเร่งย้ายระบบหรือแก้ไขปัญหาเฉพาะหน้าเมื่อเกิดความเสี่ยง

ท้ายที่สุด องค์กรควรสนับสนุนระบบนิเวศในวงกว้างที่ตนพึ่งพา เมื่อ AI เร่งการค้นพบช่องโหว่ในซอฟต์แวร์โอเพนซอร์ส ผู้ดูแลโครงการจะเผชิญกับความต้องการที่เพิ่มขึ้น ความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์ขึ้นอยู่กับว่าผู้ดูแลเหล่านั้นมีทรัพยากรเพียงพอที่จะรับมือหรือไม่

AI สามารถค้นพบช่องโหว่ได้เร็วขึ้น แต่การค้นพบช่องโหว่ไม่ได้ทำให้ซอฟต์แวร์ปลอดภัย งานที่ยากกว่าคือการประเมินความเสี่ยง จัดลำดับความสำคัญของสิ่งที่สำคัญ ส่งมอบการแก้ไขที่ผ่านการทดสอบ และดูแลซอฟต์แวร์ให้ปลอดภัยอย่างต่อเนื่อง เมื่อการค้นพบช่องโหว่เร่งตัวขึ้น องค์กรจะต้องมีขีดความสามารถในการแก้ไขปัญหาอย่างต่อเนื่อง ซึ่งได้รับการสนับสนุนจากความเชี่ยวชาญ ความรับผิดชอบที่ชัดเจน และระดับการให้บริการที่กำหนดไว้อย่างชัดเจน

เพราะโจทย์ที่ยากที่สุดในด้านความมั่นคงปลอดภัยไซเบอร์ไม่ใช่การค้นหาช่องโหว่ แต่อยู่ที่สิ่งที่จะเกิดขึ้นต่อจากนั้น