AI ช่วยค้นพบช่องโหว่มากขึ้น แต่จำนวนที่เปิดเผยไม่ใช่จำนวนการโจมตี

Google Threat Intelligence Group (GTIG) พบว่า จำนวนช่องโหว่ซอฟต์แวร์ที่เปิดเผยต่อสาธารณะเพิ่มขึ้นกว่าเท่าตัวระหว่างเดือนมกราคมถึงสิงหาคม 2026 ขณะที่จำนวนช่องโหว่ที่ตรวจพบว่าถูกผู้โจมตีนำไปใช้เพิ่มขึ้นในอัตราที่น้อยกว่า AI มีส่วนเปลี่ยนทั้งจังหวะการค้นหาและลักษณะของช่องโหว่บางกลุ่ม แต่ข้อมูลนี้ไม่ได้ระบุว่า AI เป็นสาเหตุของการเพิ่มขึ้นทั้งหมดมากน้อยเพียงใด 317

ช่องโหว่ที่เปิดเผยเพิ่มขึ้น ไม่ได้แปลว่าการโจมตีเพิ่มเท่ากัน

จำนวนช่องโหว่ที่เปิดเผยรายเดือนเพิ่มจาก 5,045 รายการในเดือนมกราคม เป็น 10,740 รายการในเดือนสิงหาคม 2026 ส่วน GTIG ระบุว่าพบช่องโหว่ที่แตกต่างกัน 141 รายการซึ่งถูกนำไปโจมตีในช่วง 8 เดือนแรกของปี เทียบกับ 127 รายการตลอดปี 2025 ค่าเฉลี่ยช่องโหว่ที่ถูกใช้โจมตีก็เพิ่มจาก 10.5 รายการต่อเดือนในปี 2025 เป็น 18 รายการต่อเดือนระหว่างเดือนมกราคมถึงสิงหาคม 2026 3

ตัวเลขสองชุดนี้วัดคนละเรื่อง: จำนวนการเปิดเผยคือช่องโหว่ที่มีการประกาศข้อมูลออกมา ส่วนจำนวนการถูกใช้โจมตีคือช่องโหว่ที่พบว่าผู้โจมตีนำไปใช้จริง ไม่ใช่จำนวนครั้งของการโจมตีหรือจำนวนผู้เสียหาย ดังนั้น การเปิดเผยช่องโหว่ที่มากขึ้นไม่ได้หมายความว่าผู้โจมตีใช้ช่องโหว่ที่เพิ่งรายงานในสัดส่วนที่เพิ่มขึ้นเท่ากัน 3

ข้อมูลแสดงให้เห็นว่าทั้งการค้นพบและการใช้ช่องโหว่เพิ่มขึ้น แต่ไม่ได้แยกชัดว่า AI เป็นสาเหตุของแนวโน้มเหล่านี้มากแค่ไหน ข้อสรุปของ GTIG สะท้อนบทบาทที่เพิ่มขึ้นของ AI ในการค้นหาช่องโหว่และความเสี่ยงของช่องโหว่บางประเภท ไม่ใช่ตัวเลขที่บอกได้ว่า AI มีส่วนทำให้ยอดรวมเพิ่มขึ้นเท่าใด 329

ช่องโหว่ที่อาจค้นพบด้วย AI มีลักษณะความเสี่ยงต่างออกไป

GTIG ประเมินว่าช่องโหว่ราวครึ่งหนึ่งในกลุ่มที่มีแนวโน้มค้นพบด้วย AI เปิดทางให้เกิดการรันโค้ดจากระยะไกล หรือ RCE (remote code execution) เทียบกับประมาณ 26% ของช่องโหว่อื่น RCE อาจเปิดโอกาสให้ผู้โจมตีสั่งให้ระบบที่มีช่องโหว่ทำงานตามคำสั่งได้ จึงเป็นประเด็นที่ควรประเมินอย่างจริงจัง อย่างไรก็ตาม คำว่า “มีแนวโน้มค้นพบด้วย AI” เป็นการระบุที่มาของ GTIG ไม่ได้หมายความว่า AI ค้นพบช่องโหว่ทุกกรณีด้วยตัวเอง 1723

ระดับความรุนแรงก็ต้องอ่านประกอบกัน รายงานเกี่ยวกับการวิเคราะห์ของ GTIG ระบุว่า 58% ของช่องโหว่ที่มีแนวโน้มค้นพบด้วย AI อยู่ในระดับความเสี่ยงปานกลาง เทียบกับ 28% ของช่องโหว่กลุ่มอื่น ส่วนช่องโหว่ความเสี่ยงสูงมีเพียงราว 4% ซึ่งใกล้เคียงกับกลุ่มที่ไม่เกี่ยวกับ AI 2328

อีกด้านหนึ่ง จำนวนช่องโหว่ความเสี่ยงสูงตามเกณฑ์ของ GTIG เพิ่มจาก 131 รายการในเดือนมกราคม เป็น 350 รายการในเดือนสิงหาคม ตัวเลขนี้นับช่องโหว่ที่เปิดเผยโดยรวม ไม่ใช่เฉพาะรายการที่ระบุว่าเกี่ยวข้องกับ AI 29

ทั้ง zero-day และช่องโหว่ที่รู้จักแล้วล้วนสำคัญ

Zero-day คือช่องโหว่ที่ถูกนำไปใช้โจมตีก่อนมีวิธีแก้ไขหรือแพตช์ ส่วน n-day คือช่องโหว่ที่เปิดเผยต่อสาธารณะแล้ว และมักมีแพตช์ให้ติดตั้ง แต่ยังเสี่ยงหากระบบยังไม่ได้อัปเดต

GTIG รายงานว่าการใช้ช่องโหว่ zero-day เพิ่มจากเฉลี่ยราว 8 รายการต่อเดือนในปี 2025 เป็นประมาณ 11 รายการต่อเดือนตั้งแต่มกราคมถึงสิงหาคม 2026 การเพิ่มขึ้นนี้น้อยกว่าภาพรวมของช่องโหว่ที่ถูกใช้โจมตี จึงย้ำให้เห็นว่าองค์กรต้องใส่ใจช่องโหว่ที่รู้จักแล้วด้วย โดยเฉพาะช่วงหลังเปิดเผยข้อมูลที่ระบบยังไม่ได้รับการแก้ไข อย่างไรก็ตาม ตัวเลขดังกล่าวไม่ได้บอกว่า AI มีส่วนทำให้เกิดการโจมตีแบบ n-day มากน้อยเพียงใด 329

GTIG ยังรายงานกรณีอาชญากรไซเบอร์รายหนึ่งที่มีช่องโหว่ zero-day ซึ่ง GTIG เชื่อว่าพัฒนาขึ้นด้วย AI ผู้โจมตีวางแผนใช้ช่องโหว่นี้โจมตีเป็นวงกว้าง แต่ GTIG ระบุว่าการค้นพบเชิงรุกอาจช่วยป้องกันแผนดังกล่าวได้ กรณีนี้เป็นตัวอย่างเฉพาะของการพัฒนาที่เกี่ยวข้องกับ AI ไม่ใช่หลักฐานว่า AI เป็นสาเหตุของการเพิ่มขึ้นของการโจมตีโดยรวม 7

ซอฟต์แวร์ AI เองก็เป็นส่วนหนึ่งของพื้นผิวโจมตี

GTIG ระบุว่าซอฟต์แวร์และบริการที่ใช้พัฒนาและนำโมเดลภาษาขนาดใหญ่ (LLM) ไปใช้งานจริง กลายเป็นเป้าหมายของการโจมตีด้วย องค์กรจึงควรมองส่วนประกอบและบริการ AI เป็นส่วนหนึ่งของระบบที่ต้องปกป้องเช่นเดียวกับซอฟต์แวร์อื่น และประเมินช่องโหว่แต่ละรายการจากการเปิดรับความเสี่ยงกับหลักฐานการถูกโจมตี 1

องค์กรและผู้พัฒนาควรรับมืออย่างไร

สำหรับทีมป้องกัน: จัดลำดับความสำคัญจากการเปิดรับการโจมตีของระบบ ผลกระทบที่อาจเกิดขึ้น และหลักฐานว่ามีการนำช่องโหว่ไปใช้ ไม่ใช่ดูจากจำนวนรายการที่เปิดเผยเพียงอย่างเดียว ทำบัญชีระบบที่เชื่อมต่ออินเทอร์เน็ตและซอฟต์แวร์ AI ติดตั้งแพตช์ที่มีให้โดยเร็ว และเตรียมมาตรการเฝ้าระวังหรือบรรเทาความเสี่ยงสำหรับช่องโหว่ที่ถูกโจมตีก่อนจะมีแพตช์ สำหรับช่องโหว่ที่รู้จักแล้ว ควรลดเวลาตั้งแต่เปิดเผยจนถึงการแก้ไข 389

สำหรับผู้พัฒนาซอฟต์แวร์: ใช้ AI ช่วยทดสอบควบคู่กับการตรวจสอบโดยมนุษย์ เพื่อค้นหาและยืนยันช่องโหว่ก่อนปล่อยซอฟต์แวร์ ดูแลส่วนประกอบ AI ให้เป็นไปตามมาตรฐานความปลอดภัยของระบบใช้งานจริง และแจ้งเตือนพร้อมออกแพตช์ที่นำไปใช้ได้ทันเวลา เพื่อให้ลูกค้าประเมินความเสี่ยงและอัปเดตได้ GTIG ชี้ว่าควรให้ความสำคัญทั้งจำนวนช่องโหว่ที่ค้นพบและผลกระทบที่ช่องโหว่เหล่านั้นอาจก่อขึ้น 48