- Claude Mythos Preview ตรวจพบข้อบกพร่องร้ายแรงหลายพันรายการในซอฟต์แวร์พื้นฐาน ซึ่งเหนือกว่าความสามารถในการตรวจจับของมนุษย์และเครื่องมือแบบดั้งเดิมอย่างมาก
- โครงการ Glasswing คือกลุ่มพันธมิตรที่จำกัดจำนวนสมาชิก ประกอบด้วยบริษัทยักษ์ใหญ่ด้านเทคโนโลยีและการเงิน 50 แห่ง ที่ใช้ AI นี้ในการแก้ไขช่องโหว่ก่อนที่จะถูกนำไปใช้ประโยชน์
- โมเดลดังกล่าวยังคงอยู่ภายใต้การควบคุมการเข้าถึงเนื่องจากระดับความเสี่ยง ASL-4 เพราะมีความสามารถในการสร้างช่องโหว่ที่ใช้งานได้จริงโดยอัตโนมัติ
ลองจินตนาการว่าซอฟต์แวร์ที่เป็นรากฐานของอินเทอร์เน็ต ตั้งแต่เบราว์เซอร์ที่คุณใช้อ่านข้อความนี้ ไปจนถึงระบบปฏิบัติการของเซิร์ฟเวอร์ที่ทรงพลังที่สุด มีช่องโหว่ที่มองไม่เห็นซึ่งไม่มีใครสังเกตเห็นมานานหลายทศวรรษ ปรากฏว่าAnthropic ได้คิดค้นเครื่องมือใหม่ที่ไม่ได้แค่ค้นหาช่องโหว่เหล่านี้เท่านั้น แต่ยังรู้วิธีการโจมตีช่องโหว่เหล่านั้นอย่างแม่นยำ ทำให้ทั้งอุตสาหกรรมต้องคิดใหม่เกี่ยวกับวิธีการปกป้องข้อมูลของเรา
เราไม่ได้พูดถึงแค่การอัปเดตแอปแชทอัจฉริยะธรรมดาๆ แต่เป็นการเปลี่ยนแปลงครั้งใหญ่เลยทีเดียว ด้วยการเปิดตัวProject Glasswingบริษัทได้ตัดสินใจใช้แนวทางป้องกันเชิงรุก โดยรวบรวมผู้ทรงอิทธิพลในภาคเทคโนโลยีและภาคการเงินมาร่วมกันทำความสะอาดโค้ดเบสทั่วโลก ก่อนที่ผู้ไม่ประสงค์ดีจะใช้เทคโนโลยีเดียวกันนี้สร้างความวุ่นวายทางดิจิทัล
ผู้บงการเบื้องหลังปฏิบัติการนี้: คลอดด์ ไมโทส (พรีวิว)
แรงขับเคลื่อนที่แท้จริงเบื้องหลังปฏิบัติการทั้งหมดนี้คือClaude Mythos Previewซึ่งเป็นโมเดล AI ที่เหนือกว่ารุ่นก่อนๆ ในด้านการวิเคราะห์ความปลอดภัย แตกต่างจากโมเดลเชิงพาณิชย์ Mythos มีความสามารถในการให้เหตุผลที่ลึกซึ้ง ทำให้สามารถระบุช่องโหว่ Zero-day ได้หลายพันรายการซึ่งเป็นข้อบกพร่องที่แม้แต่ผู้พัฒนาเดิมก็ยังไม่รู้
สิ่งที่ทำให้โมเดลนี้ทรงพลังอย่างแท้จริงคือความสามารถในการเชื่อมโยงช่องโหว่ต่างๆ เข้าด้วยกัน ในโลกแห่งความเป็นจริง แฮ็กเกอร์มักไม่ได้ใช้ช่องโหว่เพียงช่องเดียว แต่จะใช้ช่องโหว่เล็กๆ หลายๆ ช่องมารวมกันเพื่อเข้าถึงระบบได้อย่างสมบูรณ์ Mythos สามารถวิเคราะห์วิธีการเชื่อมโยงช่องโหว่เหล่านี้เข้าด้วยกัน และที่น่าประทับใจยิ่งกว่านั้นคือ สามารถเขียนและรันโค้ดทดสอบเพื่อพิสูจน์ว่าช่องโหว่นั้นมีอยู่จริงและสามารถใช้ประโยชน์ได้ จึงช่วยลดความผิดพลาดจากผลลัพธ์ที่ผิดพลาด (false positives) ที่สร้างความหงุดหงิดให้กับนักวิเคราะห์ด้านความปลอดภัยทางไซเบอร์และเครื่องมือของพวกเขา
รูปทรงที่ทำให้ขนลุกซู่
หากคุณคิดว่าซอฟต์แวร์ที่พัฒนามาอย่างดีนั้นปลอดภัยแล้ว ข้อมูลจาก Glasswing จะทำให้คุณฝันร้าย ในเวลาเพียงสามสิบวัน พันธมิตรของโครงการตรวจพบ ช่องโหว่ที่มีความรุนแรงสูงหรือวิกฤต มากกว่า 10.000 รายการ Cloudflare ซึ่งเป็นผู้นำด้านความปลอดภัยอยู่แล้วเพียงรายเดียว พบข้อบกพร่อง 2.000 รายการในระบบของตนเอง โดย 400 รายการเป็นข้อบกพร่องร้ายแรงแสดงให้เห็นว่าแม้แต่ผู้ที่เตรียมพร้อมที่สุดก็ไม่สามารถหลีกเลี่ยงข้อผิดพลาดได้
สถานการณ์เกี่ยวกับซอฟต์แวร์โอเพนซอร์สนั้นน่าเป็นห่วงยิ่งกว่า บริษัท Anthropic ได้วิเคราะห์โครงการสำคัญๆ กว่า 1.000 โครงการบนเครือข่าย และพบช่องโหว่ที่อาจเกิดขึ้นได้มากกว่า 23.000 รายการ โดย6.202 รายการจัดอยู่ในระดับวิกฤตเพื่อให้เห็นภาพชัดเจนขึ้น โมเดลนี้ได้ค้นพบช่องโหว่ใน OpenBSD ที่ซ่อนเร้นมานานถึง 27 ปีรวมถึงบั๊กที่มีอายุ 16 และ 17 ปีใน FFmpeg และ FreeBSD ตามลำดับ ซอฟต์แวร์ที่ผ่านการตรวจสอบนับครั้งไม่ถ้วนแล้วก็ยังคงมีช่องโหว่อยู่
ทำไมเราถึงใช้ Mythos ที่บ้านไม่ได้?
คุณอาจสงสัยว่าทำไม Anthropic ถึงไม่ปล่อยโมเดลนี้สู่สาธารณะ คำตอบนั้นง่ายมาก: มันอันตรายเกินไป Mythos ได้รับการจัดประเภทภายในเป็นASL-4 (ระดับความปลอดภัยของ AI ระดับ 4) ซึ่งหมายความว่ามันมีศักยภาพที่จะสร้างความเสียหายร้ายแรงหากตกไปอยู่ในมือของคนที่ไม่หวังดี โมเดลที่ค้นหาข้อบกพร่องได้อย่างแม่นยำเช่นนี้ สามารถ สร้างช่องโหว่ที่สมบูรณ์แบบเพื่อโจมตีโครงสร้างพื้นฐานที่สำคัญได้ในพริบตาเดียว
ดังนั้น การเข้าถึงจึงถูกจำกัดไว้เฉพาะกลุ่มองค์กรที่ได้รับการคัดเลือก 50 แห่งซึ่งรวมถึงบริษัทยักษ์ใหญ่อย่าง Microsoft, Google, Apple, Amazon และ JPMorgan Chase แนวคิดก็คือให้องค์กรเหล่านี้ใช้ AI ในการแก้ไขซอฟต์แวร์จำนวนมากก่อนที่ผู้โจมตีจะพัฒนาเครื่องมือของตนเองโดยใช้โมเดลที่คล้ายกัน กล่าวโดยสรุปก็คือเป็นการแข่งขันด้านอาวุธที่ Anthropic ต้องการให้ฝ่ายดีได้เปรียบ
บทเรียนสำหรับภาคส่วนนี้และอนาคตของการพัฒนา
การใช้งานระบบนี้แสดงให้เห็นอย่างชัดเจนว่าความปลอดภัยไม่สามารถเป็นเรื่องที่นึกถึงทีหลังได้อีกต่อไป Cloudflare ชี้ให้เห็นว่าการใช้เอเจนต์ AI จำเป็นต้องมีสภาพแวดล้อมการทดสอบที่เฉพาะเจาะจงมาก ไม่เพียงพอที่จะสั่งให้โมเดล "ค้นหาข้อผิดพลาด" เท่านั้น แต่ต้องแบ่งงานออกเป็นส่วนๆ และใช้การตรวจสอบโดยฝ่ายตรงข้าม (เอเจนต์ตัวที่สองที่ท้าทายผลลัพธ์ของตัวแรก) เพื่อป้องกันไม่ให้ AI สร้างข้อมูลเท็จ
นอกจากนี้ ปัญหาคอขวดที่น่ากังวลอย่างหนึ่งก็คือ AI ตรวจพบข้อผิดพลาดได้เร็วกว่าที่โปรแกรมเมอร์จะแก้ไขได้ ในขณะที่ Mythos ตรวจพบข้อผิดพลาดหลายพันรายการ กระบวนการ คัดแยก รายงาน และแก้ไขยังคงต้องพึ่งพาบุคลากรที่เป็นมนุษย์ซึ่งทำงานหนักเกินไป ส่งผลให้บางบริษัทพยายามลด SLA (ข้อตกลงระดับบริการ) ในการตอบสนองให้เหลือเพียงสองชั่วโมงนับจากวันที่เผยแพร่ CVE (ช่องโหว่ด้านความปลอดภัย) แม้ว่าการทำเช่นนั้นจะมีความเสี่ยงที่จะปล่อยแพทช์โดยไม่มีการทดสอบการถดถอยที่เพียงพอ
เพื่อรับมือกับเรื่องนี้ Anthropic ได้เปิดตัวClaude Security เวอร์ชันเบต้าสำหรับลูกค้าองค์กร และโครงการตรวจสอบความปลอดภัยทางไซเบอร์ (Cyber Verification Program) ซึ่งอนุญาตให้ผู้เชี่ยวชาญที่ได้รับอนุญาตใช้โมเดลของบริษัทได้โดยไม่มีข้อจำกัดตามปกติ นอกจากนี้ยังได้บริจาคเงินหลายล้านดอลลาร์ให้กับมูลนิธิต่างๆ เช่น Linux Foundation และ Apache เพื่อช่วยเหลือผู้ดูแลซอฟต์แวร์โอเพนซอร์ส ในการจัดการกับ รายงานด้านความปลอดภัยจำนวนมหาศาลนี้
ความเป็นจริงคือ ต้นทุนในการค้นหาช่องโหว่ลดลงอย่างมาก และช่วงเวลาระหว่างการค้นพบและการใช้ประโยชน์นั้นแคบลงกว่าที่เคยเป็นมา ความสำเร็จของโครงการ Glasswing แสดงให้เห็นว่าหนทางเดียวที่จะอยู่รอดในระบบนิเวศใหม่นี้คือความโปร่งใสและความร่วมมือข้ามภาคส่วนโดยยอมรับว่า AI เป็นเครื่องมือหลักทั้งในการโจมตีและป้องกันโครงสร้างพื้นฐานดิจิทัลระดับโลก
