ทำไม Claude Mythos Preview ทำให้ธนาคารทั่วโลกต้องตื่นตัวด้านไซเบอร์

ส่วนผสมระหว่างความสามารถด้านไซเบอร์ที่สูงขึ้น ความเป็นอัตโนมัติที่มากขึ้น และการปล่อยใช้งานแบบจำกัด คือเหตุผลที่ธนาคารมอง Mythos ไม่ใช่แค่ข่าวแชตบอตใหม่ แต่เป็นสัญญาณเตือนของปฏิบัติการไซเบอร์เฟสถัดไป

AI ขั้นสูงเปลี่ยนภาพภัยคุกคามของธนาคารอย่างไร

1. การค้นหาช่องโหว่เร็วขึ้น

ธนาคารไม่ได้มีแค่แอปมือถือหรือเว็บไซต์หน้าเดียว แต่มีระบบจำนวนมาก ตั้งแต่แอปที่เปิดสู่อินเทอร์เน็ต เครื่องมือภายใน API ระบบยืนยันตัวตน สภาพแวดล้อมคลาวด์ ไปจนถึงการเชื่อมต่อกับผู้ให้บริการภายนอก โมเดลที่เก่งงานความปลอดภัยคอมพิวเตอร์ผิดปกติย่อมช่วยฝ่ายป้องกันตรวจสอบระบบเหล่านี้ได้ดีขึ้น แต่ความสามารถแบบเดียวกันก็อาจลดเวลาที่ผู้โจมตีต้องใช้เพื่อมองหาจุดอ่อน

Business Standard รายงานว่า IMF เตือนสถาบันการเงินเกี่ยวกับ Claude Mythos ในฐานะเครื่องมือ AI ขั้นสูงที่สามารถเร่งการค้นหาและใช้ประโยชน์จากจุดอ่อนของซอฟต์แวร์ นี่คือความเสี่ยงชั้นแรก: เวลาระหว่าง “มีช่องโหว่อยู่” กับ “มีคนเปลี่ยนช่องโหว่นั้นเป็นเส้นทางเจาะระบบได้จริง” อาจสั้นลงมาก

2. จุดอ่อนเล็ก ๆ อาจถูกต่อเป็นการโจมตีใหญ่

ความเสี่ยงที่น่ากลัวที่สุดไม่ได้จำเป็นต้องเป็น exploit ตัวเดียวที่สมบูรณ์แบบ แต่คือการ “ร้อยลูกโซ่” จุดอ่อนหลายจุดเข้าด้วยกัน เช่น สิทธิ์บนคลาวด์ที่ตั้งค่าผิด API ที่เปิดเกินจำเป็น คอมโพเนนต์ซอฟต์แวร์เก่า ข้อมูลล็อกอินรั่ว หรือบัญชีผู้ให้บริการภายนอกที่มีสิทธิ์สูงเกินไป

รายงานหลายชิ้นเกี่ยวกับความกังวลต่อ Mythos ชี้ไปที่ความสามารถในการเชื่อมโยงช่องโหว่ซอฟต์แวร์หลายจุด และตั้งคำถามว่าแนวป้องกันที่มีอยู่จะตามทันการโจมตีที่เร่งด้วย AI ได้หรือไม่ แม้รายงานเหล่านี้ควรถูกอ่านในฐานะรายงานข่าว ไม่ใช่หลักฐานเทคนิคขั้นสุดท้าย แต่แกนความกังวลสอดคล้องกับคำอธิบายของ Anthropic เองว่า Mythos มีความสามารถด้านงานความปลอดภัยสูงผิดปกติ

3. ผู้โจมตีอาจต้องมีทักษะเริ่มต้นน้อยลง

AI ไม่จำเป็นต้องสร้างการโจมตีชนิดใหม่ทั้งหมดก็ทำให้ความเสี่ยงเพิ่มขึ้นได้ แค่ทำให้ขั้นตอนเดิมง่ายขึ้น เช่น การสำรวจเป้าหมาย การอ่านโค้ด การทดสอบ exploit การเขียนข้อความฟิชชิง หรือการวางแผนปฏิบัติการ รายงานสื่อที่อ้างคำเตือนเกี่ยวกับ IMF ระบุว่าเครื่องมือไซเบอร์ AI ขั้นสูงอาจเร่งการโจมตีที่ซับซ้อนต่อระบบการเงินโลก

นี่ไม่ได้แปลว่ามือใหม่จะเจาะระบบ core banking ได้ทันที แต่หมายความว่า ผู้เล่นจำนวนมากขึ้นอาจลองโจมตีด้วยคุณภาพที่สูงขึ้น เร็วขึ้น และในสเกลที่ใหญ่ขึ้น สำหรับธนาคาร สมมติฐานเดิมเรื่องจำนวนการ probe ที่จริงจัง และเวลาที่ผู้โจมตีต้องใช้ปรับแผนหลังล้มเหลว อาจต้องถูกเขียนใหม่

4. การฉ้อโกงและ social engineering กรองยากขึ้น

การเปิดเผยเรื่อง Mythos เน้นความสามารถด้านไซเบอร์มากกว่าการหลอกลวงผู้บริโภคโดยตรง แต่ธนาคารยังต้องป้องกันช่องทางที่ลูกค้าและพนักงานใช้งานทุกวันด้วย โมเดลภาษาขั้นสูงสามารถทำให้ข้อความหลอกลวงดูเป็นธรรมชาติ เฉพาะเจาะจง และเข้ากับภาษา/บริบทของเหยื่อมากขึ้น ซึ่งเพิ่มแรงกดดันต่อระบบกันฟิชชิง กระบวนการกู้คืนบัญชี และงานบริการลูกค้า

เรื่องนี้สำคัญเพราะการเจาะธนาคารจำนวนมากไม่ได้เริ่มจากการทุบประตูหน้าของ core banking เสมอไป แต่อาจเริ่มจากรหัสผ่านที่ถูกขโมย พนักงานที่ถูกหลอก บัญชี vendor ที่ถูกยึด หรือขั้นตอนบริการลูกค้าที่ถูกบิดเบือน การฉ้อโกงที่มี AI ช่วยจึงอาจกลายเป็นส่วนหนึ่งของ kill chain ด้านไซเบอร์ ไม่ใช่แค่ปัญหาคุ้มครองผู้บริโภคแยกต่างหาก

5. ฝ่ายป้องกันมีเวลาตอบสนองน้อยลง

การป้องกันไซเบอร์แบบเดิมพึ่งพา “เวลา” อย่างมาก: เวลาในการตรวจพบการสแกน เวลาในการแพตช์ระบบที่เปิดเผย เวลาในการสืบสวนกิจกรรมผิดปกติ เวลาในการหมุนเวียน credential และเวลาในการประสานงานกับผู้ให้บริการ ถ้าผู้โจมตีสแกน ทดสอบ ปรับ และลองใหม่ได้เร็วขึ้น ธนาคารก็ต้องทำให้วงจรป้องกันเร็วขึ้นตาม

นี่คือเหตุผลที่มีรายงานว่าธนาคารและผู้กำกับดูแลกำลังตรวจสอบเรื่องการเข้าถึง การทดสอบ และความพร้อมรับมือความสามารถแบบ Mythos ในอินเดีย รายงานระบุว่าเจ้าหน้าที่ขอให้ธนาคารประสานงานกับหน่วยงานอย่าง CERT-In ซึ่งเป็นหน่วยงานรับมือเหตุไซเบอร์ของอินเดีย เพื่อระบุและจัดการความเสี่ยงไซเบอร์ที่เกี่ยวข้องกับโมเดล AI ที่เกิดขึ้นใหม่

ทำไมเรื่องนี้อาจกลายเป็นปัญหาเสถียรภาพการเงิน

การโจมตีไซเบอร์ธนาคารไม่ใช่แค่ “งานไอที” ถ้าลูกค้าเข้าถึงเงินไม่ได้ ระบบชำระเงินสะดุด ผู้เล่นในตลาดหมดความเชื่อมั่น หรือผู้ให้บริการร่วมรายหนึ่งกระทบหลายสถาบันพร้อมกัน เหตุการณ์ไซเบอร์ก็อาจกลายเป็นเหตุการณ์ทางการเงินได้

รายงาน Global Financial Stability Report ปี 2024 ของ IMF บทว่าด้วย cyber risk ระบุว่า เหตุการณ์ไซเบอร์ยังไม่กลายเป็นความเสี่ยงเชิงระบบจนถึงเวลานั้น แต่ความเสี่ยงของความสูญเสียรุนแรงเพิ่มขึ้นแล้ว IMF ยังระบุว่าภาคการเงินมีความเสี่ยงสูง และเหตุไซเบอร์รุนแรงอาจสร้างความเสี่ยงต่อเสถียรภาพมหภาค-การเงินผ่านการสูญเสียความเชื่อมั่น การหยุดชะงักของบริการสำคัญ และความเชื่อมโยงระหว่างเทคโนโลยีกับการเงิน

นี่คือมุมเชิงระบบที่ซ่อนอยู่หลังความกังวลต่อ Mythos โมเดล AI ที่ทรงพลังไม่จำเป็นต้อง “ทำลายระบบธนาคาร” โดยตรง แค่ทำให้การโจมตีต่อซอฟต์แวร์ร่วม vendor ร่วม และโครงสร้างปฏิบัติการที่ธนาคารพึ่งพาเกิดได้เร็วขึ้น ขยายได้มากขึ้น และทำซ้ำได้ง่ายขึ้น ก็เพียงพอที่จะยกระดับความเสี่ยงแล้ว

ธนาคารและผู้กำกับดูแลควรโฟกัสอะไร

บทเรียนเชิงป้องกันไม่ใช่แค่ “กลัว frontier AI” ตรงกันข้าม Project Glasswing ของ Anthropic ตั้งอยู่บนแนวคิดว่า ฝ่ายป้องกันควรได้เข้าถึงเครื่องมือทรงพลังตั้งแต่เนิ่น ๆ เพื่อปกป้องซอฟต์แวร์สำคัญก่อนที่ผู้โจมตีจะได้ประโยชน์จากความสามารถแบบเดียวกัน

สำหรับธนาคาร รายการเร่งด่วนมีอยู่ไม่กี่ข้อ แต่ทำให้จริงไม่ง่าย:

• ทดสอบระบบสำคัญด้วย AI-assisted red teaming: ธนาคารต้องรู้ว่าแอปหลัก API สิทธิ์บนคลาวด์ และระบบยืนยันตัวตนรับมือการค้นหาช่องโหว่ที่เร็วขึ้นได้หรือไม่
• ลดเวลาการแพตช์และแก้ไขความเสี่ยง: ถ้า AI บีบ timeline ของการโจมตีให้สั้นลง วงรอบแก้ไขรายเดือนหรือรายไตรมาสอาจช้าเกินไปสำหรับช่องโหว่เสี่ยงสูง
• คุมสิทธิ์ vendor และบุคคลที่สามให้เข้มขึ้น: ผู้ให้บริการร่วม dependency ของซอฟต์แวร์ หรือบัญชี vendor ที่มีสิทธิ์พิเศษ อาจสร้างความเสี่ยงกว้างกว่าปลายทางที่ถูกยึดเพียงเครื่องเดียว
• แบ่งแยกระบบสำคัญให้ชัดเจน: การ segment ที่ดีช่วยกันไม่ให้จุดอ่อนจุดเดียวลามเป็นการบุกรุกหลายระบบ
• เตรียม playbook จากไซเบอร์สู่สภาพคล่อง: แผนรับมือไม่ควรจบที่การปกป้องข้อมูล แต่ต้องรวมสถานการณ์ที่กระทบความเชื่อมั่นของลูกค้า การชำระเงิน และความต่อเนื่องทางธุรกิจ
• ประสานกับผู้กำกับดูแลและทีมตอบสนองระดับอุตสาหกรรม: ภาคการเงินเชื่อมโยงกันสูง การตอบสนองเหตุการณ์ การเปิดเผยข้อมูล และการทดสอบความยืดหยุ่นจึงต้องประสานข้ามสถาบัน

ข้อจำกัดของหลักฐานก็สำคัญ

หลักฐานสาธารณะที่หนักแน่นที่สุดคือคำเปิดเผยของ Anthropic เอง: Mythos Preview มีความสามารถสูงในงานความปลอดภัยคอมพิวเตอร์ จำกัดการใช้งานกับพาร์ตเนอร์เชิงป้องกัน และเป็นแกนของ Project Glasswing รายงานความเสี่ยงของ Anthropic ยังยืนยันว่าโมเดลนี้มีความสามารถและความเป็น agentic มากกว่ารุ่นก่อน แม้บริษัทจะอธิบายว่าเป็นรุ่นที่ aligned ดีที่สุดจนถึงตอนนั้นก็ตาม

สิ่งที่แหล่งข้อมูลสาธารณะยังไม่ได้พิสูจน์ก็สำคัญไม่แพ้กัน: ยังไม่มีหลักฐานยืนยันการเจาะธนาคารที่ใช้ Mythos จริง ไม่มีการยืนยันการขโมยเงินบัญชีธนาคารจำนวนมากด้วย Mythos และยังไม่มีเหตุไซเบอร์เชิงระบบที่เกิดขึ้นจริงจากโมเดลนี้ งานของ IMF เรื่อง cyber risk ระบุว่าเหตุไซเบอร์รุนแรงอาจกลายเป็นความเสี่ยงมหภาค-การเงินได้ แต่ก็ระบุด้วยว่าเหตุไซเบอร์ยังไม่เป็นความเสี่ยงเชิงระบบจนถึงเวลานั้น

บทสรุปที่เหมาะสมจึงไม่ใช่ความตื่นตระหนก แต่คือการอัปเดต threat model: frontier AI ช่วยฝ่ายป้องกันปกป้องระบบสำคัญได้จริง แต่ก็ชี้ให้เห็นอนาคตที่งานไซเบอร์เชิงรุกอาจเร็วขึ้น ถูกลง และขยายสเกลง่ายขึ้น ธนาคารที่ยังป้องกันด้วยสมมติฐานความเร็วระดับมนุษย์ จะเป็นกลุ่มที่เปิดรับความเสี่ยงมากที่สุด