ผู้นำทางความคิด
วิธีการที่อาชญากรชนะการแข่งขัน AI ก่อนที่ธุรกิจจะเริ่ม
ในยุคที่ AI เปลี่ยนแปลงอุตสาหกรรมด้วยความเร็วที่ไม่เคยเกิดขึ้นมาก่อน ด้านมืดของการปฏิวัติเทคโนโลยีนี้ก็เป็นเรื่องที่น่ากังวลไม่แพ้กัน เมื่อธุรกิจต่างๆ แข่งขันกันเพื่อใช้ AI ให้เกิดประโยชน์สูงสุด อาชญากรไซเบอร์ก็ใช้ความก้าวหน้านี้เพื่อเปลี่ยนแปลงรูปแบบของอาชญากรรมและความฉ้อโกง
การเปลี่ยนแปลงเศรษฐกิจของอาชญากรรมและความฉ้อโกง
อาชญากรไซเบอร์ใช้แบบจำลอง AI และเทคโนโลยีเดียวกับที่องค์กรใช้ และมักจะปรับเปลี่ยนภายในไม่กี่วันหลังจากที่ออกสู่ตลาด ตัวอย่างแรกของการละเมิดนี้คือ การใช้ ChatGPT-1 เพื่อแก้ปัญหา CAPTCHA ซึ่งแสดงให้เห็นว่าแบบจำลองการสร้างสามารถหลบหลีกการควบคุมความปลอดภัยพื้นฐานได้อย่างรวดเร็ว
หลังจากนั้น การพัฒนาที่สำคัญทุกครั้งในด้าน AI ที่สร้างได้ถูกเลียนแบบโดยการปรับเปลี่ยนของอาชญากร รวมถึงการสร้างเสียงและวิดีโอ deepfake ที่ปรากฏบนแพลตฟอร์ม darknet ในไม่กี่วัน นี้ช่วยให้ ผู้ฉ้อโกง ใช้เทคโนโลยีที่ซับซ้อนเพื่อสร้างการฉ้อโกงที่น่าเชื่อถือ และบ่อนทำลายมาตรการรักษาความปลอดภัยแบบดั้งเดิม
ในไตรมาสแรกของปี 2025 เพียงอย่างเดียว การฉ้อโกงที่ใช้ deepfake ทำให้เกิดความสูญเสียทางการเงินมากกว่า $200 ล้าน ความสามารถในการทำกำไรของอาชญากรรมไซเบอร์ได้เพิ่มขึ้นอย่างมาก โดยมีแพลตฟอร์มที่ให้บริการ “fraud-as-a-service” ทำให้อาชญากรสามารถดำเนินการแผนการฉ้อโกงที่ซับซ้อน รวมถึงการสร้างอัตลักษณ์เทียมและเครื่องมือฟิชชิงขั้นสูง
เมื่อธุรกิจต่างๆ พยายามที่จะขยายความสามารถ AI ของตน อาชญากรก็เดินหน้าข้างหน้า โดยสร้างสรรค์และใช้ประโยชน์จากช่องโหว่ของกรอบการทำงานด้านความปลอดภัยที่ล้าสมัย
ทำไมกรอบการทำงานด้านความปลอดภัยและความเชื่อถือแบบดั้งเดิมจึงล้มเหลวต่อผู้กระทำที่ใช้ AI
มาตรการรักษาความปลอดภัยแบบดั้งเดิมที่เคยให้ความรู้สึกปลอดภัยได้พิสูจน์แล้วว่าไม่เพียงพอ ระบบล้าสมัยที่พึ่งพา黑名单 CAPTCHA และการยืนยันตัวตนแบบเดียวไม่สามารถต่อต้านภูมิทัศน์ที่เปลี่ยนแปลงอย่างรวดเร็วของการโจมตีที่ขับเคลื่อนด้วย AI อาชญากรใช้ deepfake ที่สามารถหลอกลวงการสแกนชีวมิติและอัตลักษณ์เทียมที่สามารถหลบหลีกโปรโตคอล KYC ได้อย่างง่ายดาย
ความล้มเหลว nàyยิ่งรุนแรงขึ้นโดยความเป็นจริงที่ว่าหลายองค์กรยังคงรักษาความปลอดภัยเป็นศูนย์成本มากกว่าที่จะเป็นส่วนประกอบสำคัญของโครงสร้างพื้นฐาน เมื่อกระทรวงกลาโหมลงทุนหลายล้านเพื่อจ้างแฮกเกอร์ AI ช่องว่างเทคโนโลยีก็กลายเป็นเรื่องที่ชัดเจน ขณะที่ธุรกิจยังคงทำการแสดงความปลอดภัย อาชญากรกำลังใช้ AI เพื่อใช้ประโยชน์จากความอ่อนแอของมนุษย์ เช่น การโจมตีแบบสเปียร์ฟิชชิงที่เลียนแบบการสื่อสารของผู้บริหาร
การโจมตี “AI-เนทีฟ” ดูเหมือนอย่างไรในทางปฏิบัติ
ยุทธวิธีการฉ้อโกงสมัยใหม่พัฒนาไปไกลกว่าแผนการฟิชชิงในอดีต ผู้โจมตีสร้างโซ่การฉ้อโกงที่ดูเหมือนถูกต้องทุกขั้นตอน
ลองนึกภาพเช้าวันจันทร์ที่คุ้นเคย 9:43 น. CFO ได้รับอีเมลที่มีเครื่องหมาย “ด่วน” ซึ่งดูเหมือนมาจาก CEO สิ่งนี้ดูเหมือนกับการร้องขอในอดีต อีกไม่กี่นาทีหลัง đó มีการส่งข้อความตามมาในแชแนลที่แตกต่าง ซึ่งเสริมสร้างความเร่งด่วน ภายใน 11:00 น. การโอนเงินหลายล้านได้รับการอนุมัติ แต่ภายหลังพบว่าถูกส่งไปยังบัญชีฝากเงินออฟชอร์ที่ควบคุมโดยผู้โจมตี
การโจมตี AI-เนทีฟเหล่านี้เป็นการหลอกลวงทางจิตวิทยาที่ใช้ความไว้วางใจและอำนาจ การซับซ้อนของการดำเนินการเหล่านี้เน้นย้ำถึงช่องว่างในมาตรการรักษาความปลอดภัยที่มีอยู่ ซึ่งไม่สามารถตรวจจับการเปลี่ยนแปลงพฤติกรรมที่ซับซ้อนซึ่งกำหนดลักษณะการฉ้อโกงสมัยใหม่
ธุรกิจควรให้ความสำคัญกับอะไรก่อนที่จะใช้ AI มากขึ้นภายในองค์กร
ก่อนที่จะใช้ AI มากขึ้นภายในองค์กร ธุรกิจต่างๆ ควรหยุดพักและประเมินสมมติฐานเกี่ยวกับความไว้วางใจของตนใหม่ การเร่งความเร็วของอาชญากรรมที่ใช้ AI ได้แสดงให้เห็นถึงความอ่อนแอทางโครงสร้าง: องค์กรยังคงป้องกันตัวเองจากภัยคุกคามของเมื่อวาน ในขณะที่การโจมตีของวันนี้ได้รับการออกแบบมาให้ดูถูกต้องโดยอัตโนมัติ
1. บริษัทต่างๆ ต้องคิดใหม่ว่าความเสี่ยงนั้นถูกกำหนดอย่างไร
เมทริกซ์ความเสี่ยงแบบดั้งเดิมถูกสร้างขึ้นรอบๆ ความล้มเหลว เช่น การหยุดทำงานของระบบ การรั่วไหลของข้อมูล การละเมิดนโยบาย ในยุค AI ความเสี่ยงมักจะเกิดจากการสังเคราะห์มากกว่าการขัดข้อง แทนที่จะถามว่า “อะไรที่อาจผิดพลาด” มันเหมาะสมกว่าที่จะถามว่า “อะไรที่สามารถ สร้างขึ้นมาให้เหมือนจริง ในขนาดใหญ่ และเร็วกว่าที่เราจะตอบสนอง”
อัตลักษณ์เทียม การปลอมตัวเป็นผู้บริหาร และเรื่องราวที่สร้างโดย AI มีพฤติกรรมที่แตกต่างจากภัยคุกคามแบบดั้งเดิม: พวกมันแพร่กระจายเร็วขึ้น ผสมผสานกับกิจกรรมที่ถูกต้อง และใช้ประโยชน์จากความไว้วางใจมากกว่าช่องโหว่ทางเทคนิค ไม่น่าแปลกใจที่ความเสี่ยงเหล่านี้มักจะอยู่ในระดับสูงและเกิดขึ้นบ่อยกว่าบรรพบุรุษที่ไม่ใช่ AI ของพวกมัน ซึ่งซ่อนอยู่ภายในความปลอดภัยของไซเบอร์ การฉ้อโกง ความเสี่ยงด้านชื่อเสียง หรือการปฏิบัติตามกฎระเบียบ
2. องค์กรต่างๆ ต้องยอมรับว่าการป้องกันเพียงอย่างเดียวไม่เพียงพอ
องค์กรชั้นนำตอนนี้จัดทำแผนที่ความเสี่ยง AI ไปยังสามชั้นการป้องกัน ซึ่งตรงกับ สถาปัตยกรรมแบบโมดูลาร์ของ AI Defender:
- การป้องกันความเสี่ยง – ซึ่งรวมถึงการคาดการณ์การโจมตีที่ใช้ความไว้วางใจของมนุษย์และเนื้อหาที่สร้างโดย AI ไม่ใช่แค่การบล็อกภัยคุกคามที่ทราบเท่านั้น
- การยืนยันตัวตนแบบ AI
- ความสมบูรณ์ของอุปกรณ์และเซสชัน
- การป้องกันการสื่อสารผู้บริหาร
- การตรวจจับและติดตามภัยคุกคาม รวมการวิเคราะห์ความผิดปกติทางเทคนิคเข้ากับการติดตามพฤติกรรมและสื่อ ซึ่งสะท้อนถึงความจริงที่ว่าการโจมตี AI-เนทีฟหลายครั้งปรากฏในรูปแบบการสื่อสารมากกว่าโค้ด
- การติดตามการตรวจจับอย่างต่อเนื่องสำหรับสัญญาณและความผิดปกติ
- การตรวจจับ AI ต่อ AI
- การติดตามเรื่องราวและสื่อ
- การสอบสวนและการระบุ – มุ่งเน้นไปที่การสร้างเหตุการณ์ใหม่ การระบุเจตนา และการสร้างหลักฐานที่สามารถดำเนินการได้ ทำให้องค์กรสามารถตอบสนองได้อย่างมีประสิทธิภาพ แม้ว่าการหลอกลวงจะขยายตัวเร็วกว่าการป้องกันเริ่มแรก
- การอธิบายการเตือน AI
- การระบุการกระทำที่น่าสงสัย
- การรวบรวมข้อมูลจากแหล่งที่มาแบบเปิด
3. ธุรกิจต่างๆ ต้องเผชิญกับมิติของมนุษย์ในเรื่องการฉ้อโกง AI-เนทีฟ
พนักงานยังคงเป็นจุดเข้าถึงหลักสำหรับการโจมตีแบบสมัยใหม่ แต่ลักษณะของการเอาเปรียบได้เปลี่ยนไป รูปแบบหนึ่งที่สังเกตได้มากขึ้นในเรื่องการฉ้อโกง AI-ขับเคลื่อนเกี่ยวข้องกับการโต้ตอบภายในที่ดูเหมือนกับการโจมตีจากภายนอก พนักงานอาจได้รับการโทรศัพท์แบบวิดีโอสั้นๆ จากสิ่งที่ดูเหมือนจะเป็น HR ที่ขอให้ “ยืนยันตัวตนอย่างรวดเร็ว” เพื่อแก้ไขปัญหาเกี่ยวกับการจ่ายเงิน ผลลัพธ์ ดูเหมือนจริงและคำขอเองดูเหมือนเป็นอันตรายต่ำ
สถานการณ์นี้แสดงให้เห็นว่าทำไมการฉ้อโกง AI-ขับเคลื่อนจึงใช้ประโยชน์จากบริบท อำนาจ และเวลา โดยมักจะเลียนแบบการสื่อสารของผู้บริหารด้วยความแม่นยำที่น่าประหลาด ในสภาพแวดล้อมนี้ การฝึกอบรมด้านความปลอดภัยแบบดั้งเดิมมีความเสี่ยงที่จะกลายเป็นเพียงการแสดงความปลอดภัยเท่านั้น โดยให้ความมั่นใจโดยไม่มีความยืดหยุ่นจริง
ความท้าทายไม่เพียงอยู่ที่การรับรู้เท่านั้น แต่ยังอยู่ที่ว่าปัญหาได้รับการกำหนดรูปเป็นอย่างไร
การเปลี่ยนกรอบปัญหา (นี่คือขั้นตอนที่ศูนย์)
แบบจำลองทางจิตแบบเก่า: “ฝึกอบรมพนักงานให้ไม่ทำผิดพลาด”
แบบจำลองทางจิตใหม่: “สมมติว่าพนักงานจะถูกโจมตี ถูกจัดการ และถูกใช้เป็นอาวุธ”
การฝึกอบรมไม่ใช่การให้ความรู้
การฝึกอบรมคือการสร้างภูมิคุ้มกัน + การสร้างความจำ
เมื่อมองผ่านเลนส์นี้ สิ่งที่ทีมต้องได้รับการฝึกอบรมเพื่อรับรู้รูปแบบการฉ้อโกงที่เกิดซ้ำ
เวกเตอร์ฉ้อโกง AI ที่ผ่านพนักงาน 5 อันดับแรก – ไม่มีอะไรที่หยุดโดยการรับรู้:
| เวกเตอร์ | ดูเหมือนอย่างไรในความเป็นจริง |
| การปลอมตัวเป็นผู้มีอำนาจ | บันทึกเสียงหรือวิดีโอของ CEO/CFO, WhatsApp, Zoom deepfake |
| การหลอกลวงด้วยความเร่งด่วน | “5 นาที”, “ความลับ”, “ระดับคณะกรรมการ” |
| การขโมยบริบท | ผู้ฉ้อโกงรู้เกี่ยวกับโครงการที่แท้จริง ชื่อ และเวลา |
| การละเมิดกระบวนการ | “เพียงข้ามครั้งเดียว”, “ปกติในภายหลัง” |
| การละเมิดความไว้วางใจเครื่องมือ | “AI บอกว่ามันถูกต้อง”, “ระบบได้ตรวจสอบแล้ว” |
4. องค์กรต่างๆ ต้องคิดใหม่ว่า “อัตลักษณ์” หมายถึงอะไรในโลกของความเป็นจริงสังเคราะห์
เมื่อเสียงและวิดีโอ deepfake บ่อนทำลายความไว้วางใจทางชีวมิติ ไม่มีปัจจัยเดียวที่สามารถพิสูจน์ความถูกต้องได้อย่างน่าเชื่อถือ ความยืดหยุ่นมาจากการสะสมสัญญาณอ่อนหลายสัญญาณตลอดเวลา เช่น บริบท ความต่อเนื่อง และความสอดคล้องทั่วอุปกรณ์ เซสชัน และจุดข้อมูลภายนอก
ข้อมูลที่เปิดและภายนอก ซึ่งเคยถูก มองข้าม มานาน ได้รับความสำคัญเชิงกลยุทธ์ เมื่อรวมกับสัญญาณพฤติกรรมภายในแล้ว ช่วยตอบคำถามที่สำคัญ: อัตลักษณ์หรือการกระทำนี้มีความสมเหตุสมผลทั่วบริบทหรือไม่? ในโลกที่เกือบทุกอย่างสามารถสร้างขึ้นมาได้ ความสอดคล้องกลายเป็นหนึ่งในไม่กี่จุดยึดมั่นที่เหลืออยู่ของความไว้วางใจ
