Mythos vs. หน้าต่างแพตช์: AI ของ Anthropic ทำลายเส้นเวลาช่องโหว่ N-Day อย่างไร

เพื่อให้เห็นภาพ: เวลามัธยฐานที่องค์กรทั่วไปใช้ในการอัปเดตแพตช์คือประมาณ 70 วัน ซึ่งไม่เคยเปลี่ยนแปลงเลยตั้งแต่ปี 2022 ในขณะที่ Mythos ย่นระยะเวลาเปลี่ยนช่องโหว่ให้เป็นอาวุธให้เหลือต่ำกว่า 1 ชั่วโมง ความลักลั่นนี้กำลังสร้างสิ่งที่นักวิเคราะห์เรียกว่า "ช่องว่างด้านการแพตช์" (Patch Gap) แบบมีโครงสร้าง นั่นคือฝ่ายตั้งรับไม่สามารถติดตั้งแพตช์ได้เร็วพอที่จะตามทัน Exploit ที่สร้างโดยเอไออีกต่อไป

ความหมายโดยนัยที่กว้างกว่านั้นคือ หน้าต่าง N-Day แบบดั้งเดิม—ช่วงเวลาหลายสัปดาห์หรือหลายเดือนที่ฝ่ายตั้งรับเคยคิดว่ามีระหว่างที่แพตช์ถูกปล่อยออกมาและ Exploit พร้อมใช้งาน—นั้นพังทลายลงแล้ว

ระบบจัดอันดับของ Microsoft ไม่น่าเชื่อถืออีกต่อไป

ในการประเมินอีกส่วนหนึ่งที่ดำเนินการควบคู่กัน Mythos ยังสามารถ Trigger ช่องโหว่ของ Windows ที่ไมโครซอฟท์จัดอันดับว่า 'ไม่น่าถูกนำไปใช้โจมตี' (Unlikely to be Exploited) ได้ถึง 13 รายการจากทั้งหมด 14 รายการ และหนึ่งในนั้นสามารถนำไปสู่การควบคุมระบบได้อย่างสมบูรณ์

ประเด็นสำคัญคือ ระบบการให้คะแนนความยากในการโจมตีนั้นครอบคลุมช่องโหว่ร้ายแรงถึง 80-90% ในปัจจุบัน ซึ่งหมายความว่าชุดของช่องโหว่ที่ทีมความปลอดภัยต้องรีบจัดการด่วนอาจต้องขยายเพิ่มขึ้นประมาณ 5 เท่า ระบบการจัดอันดับเหล่านี้ถูกออกแบบมาในยุคที่การพัฒนา Exploit ต้องใช้เวลาทำงานเป็นสัปดาห์โดยผู้เชี่ยวชาญมนุษย์ แต่ตอนนี้มันดูถูกความสามารถของเอไอที่ทำงานเดียวกันได้ในไม่กี่นาที

เศรษฐศาสตร์ของโลกไซเบอร์พลิกกลับด้าน

หนึ่งในตัวเลขที่ทำให้หลายฝ่ายอึดอัดที่สุดในรายงานของ Anthropic คือต้นทุน

• การค้นหา Zero-Day แต่ละครั้งที่สำเร็จมีต้นทุน ต่ำกว่า 50 ดอลลาร์สหรัฐฯ ต่อหนึ่งการรัน
• แคมเปญสแกนโค้ดทั้งหมดของระบบปฏิบัติการ OpenBSD ใช้เงินประมาณ 20,000 ดอลลาร์ ซึ่งค้นพบช่องโหว่ร้ายแรงหลายจุด รวมถึงบั๊กอายุ 27 ปีใน TCP Stack ของ OpenBSD
• การสร้างช่องโหว่ N-Day สำหรับลินุกซ์ เคอร์เนล ใช้เงินสร้าง ไม่ถึง 2,000 ดอลลาร์ ต่อชุด
• แคมเปญของทีม Red Team ของ Anthropic ทั้งหมดมีค่าใช้จ่ายรวมกันไม่ถึง 20,000 ดอลลาร์ สำหรับการสแกนโค้ดเบสทั้งหมด

นี่ไม่ใช่ระดับงบประมาณของรัฐบาลประเทศมหาอำนาจอีกต่อไป แต่อยู่ในระดับงบประมาณของนักพัฒนารายย่อยหรือทีมเล็กๆ กำแพงในการค้นหาและพัฒนา Exploit ขั้นสูงได้ลดต่ำลงมาในเวลาเดียวกับที่ศักยภาพของเอไอพุ่งทะยานขึ้น

โมเดลและการจำกัดการเข้าถึง: ตอนนี้ใครใช้ได้บ้าง?

Anthropic เปิดเผย Claude Mythos Preview ครั้งแรกเมื่อวันที่ 7-8 เมษายน 2026 ในฐานะโมเดล Frontier ที่สามารถค้นหาและใช้ประโยชน์จากช่องโหว่ Zero-Day ได้โดยอัตโนมัติในระบบปฏิบัติการหลักและเบราว์เซอร์ทุกชนิด โดยพบช่องโหว่ร้ายแรงหลายพันจุด ซึ่งรวมถึงบั๊กที่รอดพ้นสายตาผู้เชี่ยวชาญมานานหลายสิบปี

ด้วยความเสี่ยงจากการใช้งานสองด้าน (Dual-Use) ที่รุนแรงมาก ทางบริษัทจึงไม่ได้เปิดให้สาธารณะใช้ แต่ได้สร้าง Project Glasswing ขึ้นมา เป็นโครงการความมั่นคงปลอดภัยทางไซเบอร์ที่มีการควบคุม โดยในระยะแรกจำกัดไว้ที่องค์กรพันธมิตรประมาณ 50 องค์กร รวมถึง AWS, Apple, Cisco, Google, Microsoft, JPMorgan และ Linux Foundation

ในเดือนมิถุนายน 2026 Glasswing ขยายออกไปสู่ประมาณ 150 องค์กรในกว่า 15 ประเทศ รวมถึงหน่วยงานความมั่นคงแห่งชาติของออสเตรเลีย สหราชอาณาจักร และหลายประเทศในสหภาพยุโรปและเอเชีย พันธมิตรจะได้รับเวลา 90 วันในการแพตช์แต่เพียงผู้เดียวก่อนการค้นพบจะถูกเผยแพร่สู่สาธารณะ ภายในปลายเดือนพฤษภาคม 2026 Mythos ได้ค้นพบ ช่องโหว่ระดับสูงและวิกฤตแล้วมากกว่า 10,000 รายการ ในซอฟต์แวร์ที่มีความสำคัญเชิงระบบ

ความร่วมมือกับ Mozilla เพียงแห่งเดียวก็พบช่องโหว่ Zero-Day 271 รายการใน Firefox และทุกจุดได้รับการแก้ไขใน Firefox 150 ซึ่งเป็นการอัปเดตความปลอดภัยที่ใหญ่ที่สุดในประวัติศาสตร์ของเบราว์เซอร์

การตอบสนองเชิงนโยบายและอุตสาหกรรม

อุตสาหกรรมตอบสนอง: Cisco ได้เข้าร่วมเป็นพันธมิตรในกลุ่มแรกของ Project Glasswing พร้อมด้วยบริษัทยักษ์ใหญ่อื่นๆ เพื่อใช้ Mythos ในการค้นหาช่องโหว่ในซอฟต์แวร์ของตนเองและโอเพนซอร์ส ในขณะที่ Mozilla ได้เริ่มความร่วมมือกับ Anthropic มาก่อนหน้านั้นแล้ว ผลลัพธ์คือการแก้ไขช่องโหว่ 271 รายการ แสดงให้เห็นถึงศักยภาพด้านการตั้งรับเมื่อใช้อย่างมีความรับผิดชอบ

นโยบายของรัฐบาลทรัมป์: การตอบสนองทางการเมืองเต็มไปด้วยความปั่นป่วน

• ในเดือนเมษายน 2026 Sean Cairncross ผู้อำนวยการไซเบอร์แห่งชาติ นำการประสานงานกับหน่วยงานต่างๆ แต่การตัดงบประมาณ CISA และการสู้รบทางการเมืองภายในก็ทำให้การทำงานซับซ้อน
• วันที่ 21 พฤษภาคม ประธานาธิบดีทรัมป์ยกเลิกร่างคำสั่งผู้บริหาร (Executive Order) ที่จะบังคับให้ห้องทดลองเอไอส่งโมเดล Frontier ให้รัฐบาลตรวจสอบล่วงหน้า 90 วันก่อนเปิดตัว โดยบอกกับผู้สื่อข่าวว่าไม่อยากให้อะไรมาฉุดความเป็นผู้นำของสหรัฐฯ เหนือจีน
• ไม่ถึงสองสัปดาห์ต่อมา ในวันที่ 3 มิถุนายน ทรัมป์ลงนามในคำสั่งผู้บริหารฉบับใหม่ด้านนวัตกรรมเอไอและความปลอดภัยไซเบอร์ ซึ่งเปิดทางให้มีการตรวจสอบสมัครใจในกรอบเวลา 30 วัน เบากว่ากรอบ 90 วันที่ถูกปฏิเสธ แต่ก็ยังเป็นการยอมรับว่าสถานะเดิมนั้นไม่เพียงพอ

ในขณะเดียวกัน หลายหน่วยงานอาทิ กระทรวงการคลัง ธนาคารกลางสหรัฐ (Fed) และสำนักงบประมาณและการจัดการ (OMB) ต่างรีบเข้าถึง Mythos หลังจากคำเตือนในเดือนเมษายน โดยกระทรวงการคลังถึงขั้นให้มีการบรรยายสรุปฉุกเฉิน แม้ว่าทรัมป์จะเคยมีคำสั่งให้ยุติการใช้เทคโนโลยีของ Anthropic ก็ตาม

สภาคองเกรส: OpenAI และ Anthropic ได้เข้าประชุมลับกับคณะกรรมาธิการความมั่นคงแห่งมาตุภูมิของสภาผู้แทนราษฎร เพื่อบรรยายสรุปเกี่ยวกับภัยคุกคามไซเบอร์ที่ขับเคลื่อนด้วยเอไอ นับเป็นหนึ่งในครั้งแรกๆ ของการบรรยายเรื่องนี้โดยเฉพาะสำหรับเจ้าหน้าที่รัฐสภา

สิ่งนี้เปลี่ยนอะไรสำหรับฝ่ายตั้งรับ

นัยยะสำคัญนั้นชัดเจน: ยุคที่การปล่อยแพตช์ทำให้ฝ่ายตั้งรับมีเวลาพักหายใจหลายสัปดาห์นั้นสิ้นสุดลงแล้ว อย่างน้อยก็เมื่อต้องรับมือกับศัตรูที่เข้าถึง Frontier AI ได้ ความไม่สมดุลนั้นชัดเจนมาก—องค์กรยังใช้เวลาเฉลี่ย 70 วันในการแพตช์ ขณะที่เอไอสามารถสร้างอาวุธจากช่องโหว่เดียวกันได้ในเวลาไม่ถึงหนึ่งชั่วโมง

ตอนนี้ ทุกองค์กรกำลังถูกบังคับให้ทบทวนใหม่: ช่องโหว่ไหนที่ต้องรีบจัดการก่อนเป็นพิเศษ, จัดลำดับความสำคัญของการแพตช์อย่างไร, และความเร็วรอบในการจัดการช่องโหว่แบบเดิมจะยังเอาตัวรอดได้หรือไม่ ในโลกที่การพัฒนา Exploit กลายเป็นเรื่องถูก รวดเร็ว และเป็นไปโดยอัตโนมัติ