เวิร์มขับเคลื่อน AI ที่แพตช์ช่องโหว่เดียวไม่หยุดยั้ง ใครยังอัปเดตซอฟต์แวร์ช้าๆ ก็เตรียมเจอปัญหา

(SeaPRwire) –

จากประสบการณ์ทำงานในวงการไซเบอร์เซคิวริตีมากว่า 18 ปี วิศวุฒิ สุขสวัสดิ์ ที่ปรึกษาด้านความปลอดภัยไซเบอร์อาวุโสเคยทำงานที่ สถาบันเทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ (เนคเทค) กล่าวว่างานวิจัยจากมหาวิทยาลัยทอรอนโตนี้เป็นจุดเปลี่ยนสำคัญที่ทุกองค์กรไทยต้องจับตา เราเคยเจอเวิร์มที่ทำลายระบบครั้งใหญ่ๆ มาก่อน แต่ทุกครั้งเราสามารถหยุดยั้งได้แค่แพตช์ช่องโหว่เดียวที่มันใช้โจมตี แต่เวิร์มรุ่นนี้มีสมองคิดเองได้ หาช่องโหว่ใหม่ๆ ได้เองตลอดเวลา ไม่ต้องมีคนสั่ง การที่ช่องโหว่เดียวไม่สามารถหยุดมันได้ แปลว่าการทำงานของทีมเซคิวริตีในอดีตที่อัปเดตแพตช์ตามกำหนดสัปดาห์เดือน อาจจะไม่ทันเวลาอีกต่อไป

งานวิจัยเรื่อง AI Agents Enable Adaptive Computer Worms ที่ออกมาเมื่อวานนี้ กล่าวว่าเวิร์มแบบดั้งเดิมจะใช้ช่องโหว่เดียวในการแพร่กระจาย ถ้าเราซ่อมช่องโหว่นั้นได้ก็หยุดการแพร่กระจายได้ทันที แต่เวิร์มขับเคลื่อน AI ที่นักวิจัยสร้างขึ้น สามารถสร้างกลยุทธ์การโจมตีที่เหมาะสมกับเป้าหมายแต่ละจุดได้เองโดยไม่ต้องมีการแทรกแซงจากคน มันจะแฮ็กเครื่องคอมพิวเตอร์ที่ตกเป็นเหยื่อแล้วรัน open-weight LLM บนเครื่องนั้นเพื่อคิดวิเคราะห์หาช่องโหว่และขยายวงการโจมตีต่อไป
ในการทดสอบ 15 รอบบนเครือข่ายองค์กรจำลองที่มี 33 เครื่องคอมพิวเตอร์ เวิร์มนี้สามารถบุกลงไปในเกือบ 3 ใน 4 ของเครื่องทั้งหมดภายใน 1 สัปดาห์ โดยไม่มีคนควบคุมเลย และสามารถอยู่ในระบบถาวรได้ในเกือบ 2 ใน 3 ของเครื่องที่โดนบุก สิ่งที่น่ากังวลกว่านั้นคือขีดจำกัดความรู้ของ LLM ที่ไม่มีข้อมูลช่องโหว่ที่เกิดขึ้นหลังวันที่ฝึกโมเดล ไม่สามารถหยุดเวิร์มนี้ได้ เพราะมันสามารถอ่านรายงานช่องโหว่ที่เผยแพร่สาธารณะบนอินเทอร์เน็ตแบบเรียลไทม์ คล้ายกับที่ทีมเซคิวริตีขององค์กรต่างๆ ทำอยู่ทุกวัน แล้วคิดวิธีใช้ช่องโหว่ใหม่ๆ เหล่านั้นโจมตีเองได้

สัญญาณเตือนที่ตามมาหลังเปิดตัว Mythos ของ Anthropic

ก่อนหน้านี้โมเดล Mythos ของ Anthropic ที่เปิดใช้งานเฉพาะกับบริษัทที่มีซอฟต์แวร์สำคัญผ่าน Project Glasswing ก็เคยสร้างความตื่นตระหนกให้กับทีมเซคิวริตีองค์กรทั่วโลก ตอนที่เปิดเผยว่ามีช่องโหว่ที่ยังไม่ได้แพตช์อยู่มากมายในระบบขององค์กรต่างๆ แต่งานวิจัยนี้กลายเป็นข่าวร้ายที่รุนแรงกว่า เพราะแสดงให้เห็นว่าตัวแทน AI อาจจะโจมตีเข้าสู่ระบบเองได้โดยไม่ต้องมีคนขับเคลื่อน และไม่ต้องใช้ช่องโหว่ที่มีคนรู้จักมาก่อน
Gary McGraw ซีอีโอขององค์กรไม่แสวงหาผลกำไรด้านความปลอดภัย AI Berryville Institute of Machine Learning กล่าวว่าเขาคิดว่าเหตุการณ์นี้มีความสำคัญมากกว่าการเปิดตัว Mythos เพราะแสดงให้เห็นว่าแม้แต่โมเดล open-weight ขนาดเล็กที่ไม่ใช่ Mythos ก็มีความสามารถพอที่จะเป็นสมองของเวิร์มแบบนี้ได้ เขาเปรียบเทียบว่าสิ่งนี้ควรเป็นสัญญาณปลุกให้ผู้คนตื่นตัว เหมือนกับเวิร์ม Morris ในปี 1988 ที่ทำลายอินเทอร์เน็ตยุคแรกกระจายอย่างรวดเร็ว เวิร์มดังเดิมอย่าง Heartbleed ในปี 2014 หรือ WannaCry ในปี 2017 ล้วนใช้ช่องโหว่เพียงแห่งเดียวในการโจมตี แต่เวิร์มรุ่นใหม่นี้สามารถหาช่องโหว่ใดๆ ก็ได้ที่เป้าหมายมี แล้วคิดวิธีโจมตีเองได้
Ari Herbert-Voss ซีอีโอของสตาร์ทอัพด้านความปลอดภัย AI RunSybil ซึ่งเคยเป็นคนแรกที่เข้าทำงานด้านความปลอดภัยที่ OpenAI กล่าวว่าองค์กรที่ยังแพตช์ช่องโหว่ด้วยจังหวะที่คนทำงานปกติ จะเริ่มตามเทรนด์ไม่ทันมากขึ้นเรื่อยๆ ในยุคที่การโจมตีทำงานด้วยความเร็วของเครื่องจักร
Jamieson O’Reilly ผู้เชี่ยวชาญด้าน offensive security และผู้ก่อตั้งสตาร์ทอัพด้าน red-teaming Dvuln ก็ชี้ให้เห็นว่าเราต้องแยกความสำเร็จในห้องทดลองออกจากความเป็นจริงในการใช้งานจริง องค์กรส่วนใหญ่มีระบบป้องกัน การตรวจสอบ การยืนยันตัวตนและขั้นตอนการทำงานที่จะช่วยลดโอกาสที่เวิร์มแบบนี้จะแพร่กระจายได้จริง เขาไม่ตกใจกับผลงานวิจัยนี้ แต่เห็นว่าเป็นสัญญาณเตือนที่สำคัญ เพราะ AI กำลังลดระดับความเชี่ยวชาญที่ต้องใช้ในการสร้างความสามารถในการโจมตีแบบอัตโนมัติ ทั้งภาครัฐและองค์กรต่างๆ ควรให้ความสำคัญกับสิ่งนี้

ทีมเซคิวริตีต้องปรับแผนป้องกันในยุคใหม่นี้

McGraw เสนอว่าทีมเซคิวริตีต้องเพิ่มการลงทุนในการซ่อมแซมช่องโหว่ในซอฟต์แวร์ โดยยกตัวอย่าง Mythos ที่มีการลงทุนหลายล้านดอลลาร์ในการหาและแก้ไขช่องโหว่ต่างๆ ซึ่งควรเป็นแบบอย่างให้องค์กรอื่นๆ ทำตาม
ในอีกไม่นาน เราจะเริ่มเห็นการแข่งขันระหว่างการโจมตีด้วย AI และการป้องกันด้วย AI อย่างชัดเจนยิ่งขึ้น ปัจจุบันทีมป้องกันยังมีข้อได้เปรียบบางอย่าง เช่น เวิร์มที่ใช้โมเดล AI ในเครื่องต้องย้ายไฟล์โมเดลขนาดใหญ่ไปมาระหว่างเครื่อง ทำให้เกิดการรับส่งข้อมูลที่ผิดปกติที่ทีมเซคิวริตีสามารถตรวจจับได้ แต่ข้อได้เปรียบนี้จะหายไปเรื่อยๆ เมื่อโมเดล AI มีขนาดเล็กลงแต่มีประสิทธิภาพสูงขึ้น
องค์กรไม่จำเป็นต้องโยนเงินเข้าสู่ระบบความปลอดภัยมากเกินไป แต่ต้องปรับกลยุทธ์จากการแก้ไขทุกช่องโหว่ที่พบ มาเน้นการแก้ไขช่องโหว่ที่สำคัญที่สุดที่ทำให้ผู้โจมตีสามารถควบคุมระบบได้ก่อน การปรับกระบวนการแพตช์ให้เร็วขึ้น รวมถึงใช้ AI ช่วยตรวจจับความผิดปกติในระบบแบบเรียลไทม์ จะกลายเป็นสิ่งที่ทุกองค์กรต้องมี ไม่ใช่แค่องค์กรขนาดใหญ่เท่านั้น
สุดท้ายแล้วสิ่งที่สำคัญที่สุดก็คือ การปรับความคิดของผู้บริหารที่มักมองว่างานด้านความปลอดภัยเป็นค่าใช้จ่ายที่ไม่เกิดผลตอบแทน เพราะตอนนี้เกณฑ์การประเมินความเสี่ยงได้เปลี่ยนไปแล้ว การไม่ลงทุนในส่วนนี้อาจจะส่งผลให้เกิดความเสียหายที่หาทำให้กลับคืนมาไม่ได้