AVDH ของ Mandiant สะท้อนสมรภูมิไซเบอร์ยุคใหม่: เมื่อ AI หาเจอเร็วกว่าองค์กรจะแก้ทัน

ดังนั้น ตัวชี้วัดที่มีความหมายกว่าจำนวนการแจ้งเตือนดิบ คือสัดส่วนของสมมติฐานที่เครื่องสร้างขึ้นแล้วสามารถเปลี่ยนเป็นช่องโหว่ที่ทำซ้ำได้ มีหลักฐานรองรับ และจัดการเปิดเผยอย่างรับผิดชอบ

AVDH กับ NOVA ไม่ใช่คู่แข่งที่วัดกันด้วยกระดานคะแนนเดียว

Palo Alto Networks รายงานตัวเลขจาก NOVA หรือ Network and Open-Source Vulnerability Analyzer ซึ่งใหญ่กว่ามาก โดยระบุว่าในเวลา 2 เดือน NOVA วิเคราะห์โครงการซอฟต์แวร์โอเพนซอร์ส 3,915 โครงการ และพบช่องโหว่ที่ยืนยันแล้ว 14,090 รายการ โดย 99.4% ไม่เคยถูกรายงานมาก่อน และ 40% ถูกจัดอยู่ในระดับสูงหรือวิกฤต

อย่างไรก็ตาม ตัวเลขของทั้งสองระบบสะท้อนรูปแบบการทำงานที่ต่างกัน

• AVDH: การตรวจสอบแบบจำกัดเวลาและลงลึกในภารกิจตอบสนองต่อเหตุการณ์ โดยมีการทบทวนโดยมนุษย์และการทำซ้ำเส้นทางโจมตีเป็นกลไกควบคุมคุณภาพ
• NOVA: การค้นหาในระดับระบบนิเวศ ครอบคลุมโครงการโอเพนซอร์สนับพันโครงการ และมุ่งเพิ่มความกว้างกับความเป็นอัตโนมัติของการค้นพบ

รายงานที่มีอยู่ไม่ได้ยืนยันว่าทั้งสองระบบใช้เกณฑ์คัดเลือกเป้าหมาย ระดับความรุนแรง เกณฑ์ false positive การทดสอบว่าสามารถโจมตีได้จริง หรือขั้นตอนการเปิดเผยช่องโหว่แบบเดียวกัน ดังนั้นจึงไม่ควรนำตัวเลขมาใช้จัดอันดับว่าใคร “เก่งกว่า” อย่างเป็นสากล

AVDH แสดงให้เห็นว่าเอเจนต์หลายตัวสามารถช่วยตรวจสอบเชิงลึกและให้ผลที่มีความมั่นใจสูงในภารกิจเฉพาะได้ ส่วน NOVA แสดงให้เห็นว่าการค้นหาแบบอัตโนมัติสามารถขยายไปถึงซอฟต์แวร์โอเพนซอร์สจำนวนมหาศาลได้ ทั้งสองกรณีชี้ไปยังบทสรุปเดียวกันว่า งานความปลอดภัยกำลังแยกเป็น 2 โจทย์ ได้แก่ การค้นหาให้กว้างพอ และการตรวจสอบให้ดีพอที่จะนำผลไปใช้งานจริง

เมื่อค้นพบเร็วขึ้น การลดพื้นที่เสี่ยงต้องเร็วตาม

คำตอบของ Palo Alto ต่อความเร็วในการค้นหาไม่ได้หยุดอยู่ที่การแจ้งเตือนช่องโหว่ บริษัทเสนอ Advanced Virtual Patching ซึ่งมุ่งติดตั้งมาตรการป้องกันในระดับเครือข่ายภายในไม่กี่ชั่วโมง เพื่อลดการเปิดรับความเสี่ยงระหว่างที่เจ้าของซอฟต์แวร์กำลังพัฒนาและติดตั้งแพตช์ตามปกติ

Palo Alto เปรียบเทียบแนวทางนี้กับระยะเวลาเฉลี่ยของการติดตั้งแพตช์แบบดั้งเดิมในอุตสาหกรรม ซึ่งอยู่ที่ประมาณ 55 วัน

บริษัทยังเปิดตัว Frontier AI Critical Defense Program ซึ่งรวมบริษัท AI ผู้ผลิตซอฟต์แวร์ ผู้มีส่วนร่วมในโอเพนซอร์ส และองค์กรด้านเทคโนโลยีปฏิบัติการหรือ OT เพื่อประสานงานด้านการป้องกัน ผู้เข้าร่วมที่มีการรายงาน ได้แก่ Anthropic, OpenAI, IBM, Red Hat, Microsoft, Siemens, Mitsubishi Electric และ Axis Communications เป็นต้น

Virtual patch มีประโยชน์เมื่อบริการที่มีช่องโหว่รับทราฟฟิกผ่านเครือข่าย และระบบควบคุมสามารถระบุรูปแบบการโจมตีแล้วบล็อกได้ แต่ควรมองว่านี่คือมาตรการชดเชยชั่วคราว ไม่ใช่สิ่งทดแทนการแก้ซอฟต์แวร์ต้นเหตุ

การแก้ไขที่ยั่งยืนยังต้องให้เจ้าของระบบเข้าใจช่องโหว่ ปรับโค้ด ทดสอบ แจกจ่าย และยืนยันว่าระบบที่ได้รับผลกระทบติดตั้งการแก้ไขแล้ว มาตรการระดับเครือข่ายเพียงอย่างเดียวไม่สามารถแก้โค้ดที่มีปัญหาอยู่ทั่วทั้งแอปพลิเคชันหรือห่วงโซ่อุปทานซอฟต์แวร์ได้

ผู้โจมตีกำลังได้ความเร็วแบบเดียวกัน

ความก้าวหน้าของฝ่ายป้องกันเกิดขึ้นพร้อมกับหลักฐานว่าผู้โจมตีกำลังใช้ AI กับงานลักษณะเดียวกัน Google Threat Intelligence Group รายงานกรณีที่บริษัทระบุว่าเป็นครั้งแรกที่พบผู้คุกคามใช้ช่องโหว่ zero-day ซึ่งเชื่อว่าพัฒนาด้วย AI โดยผู้โจมตีวางแผนใช้ช่องโหว่นั้นในปฏิบัติการโจมตีวงกว้าง และการค้นพบเชิงรุกของ Google อาจช่วยป้องกันไม่ให้การโจมตีเกิดขึ้นได้

ช่องโหว่ดังกล่าวมุ่งโจมตีการหลบเลี่ยงการยืนยันตัวตนสองปัจจัย หรือ 2FA ในเครื่องมือบริหารระบบบนเว็บแบบโอเพนซอร์สที่ได้รับความนิยม นักวิเคราะห์พบสัญญาณที่บ่งชี้ว่าโมเดล AI อาจมีส่วนช่วยพัฒนาโค้ด เช่น คอมเมนต์เชิงการสอนและคะแนน CVSS ที่โมเดลสร้างขึ้นอย่างผิดพลาด

กรณีนี้ไม่ได้หมายความว่าช่องโหว่ที่สร้างหรือช่วยสร้างโดย AI ทุกตัวจะกลายเป็นการโจมตีจริงทันที แต่แสดงให้เห็นว่าองค์กรไม่อาจหวังพึ่งความซับซ้อนของโค้ด ขนาดของระบบ หรือช่วงเวลาที่ยาวนานระหว่างการค้นพบกับการโจมตี เพื่อซื้อเวลาในการป้องกันได้อีกต่อไป

Cloud Security Alliance จึงเตือนว่า AI กำลังเพิ่มความเร็วและขนาดของการค้นพบช่องโหว่เร็วกว่าที่ระบบเปิดเผยข้อมูลและการออกแพตช์ของหลายองค์กรจะรองรับได้ การพบช่องโหว่จำนวนมากขึ้นจะช่วยเพิ่มความปลอดภัยก็ต่อเมื่อองค์กรมีศักยภาพเพียงพอในการคัดกรอง ประสานงานการเปิดเผย สร้างแพตช์ และติดตั้งมาตรการป้องกันอย่างปลอดภัย

ผู้ป้องกันจะกลับมาได้เปรียบหรือไม่

คำตอบคือ “มีโอกาส” แต่ไม่ใช่ด้วยการซื้อโมเดลค้นหาช่องโหว่มาใช้งานเพียงอย่างเดียว ความได้เปรียบจะเกิดกับองค์กรที่เชื่อมการค้นพบเข้ากับกระบวนการปฏิบัติงานด้านความปลอดภัยทั้งหมด ได้แก่

1. การทำ Threat Modeling เพื่อจำกัดการค้นหาให้อยู่บนเส้นทางโจมตีที่มีความเป็นไปได้จริง
2. การวิเคราะห์แบบเอเจนต์ เพื่อสำรวจโค้ดและสร้างสมมติฐานหลายแนวทางด้วยความเร็วระดับเครื่องจักร
3. การตรวจสอบอย่างเป็นอิสระ เพื่อลดโอกาสที่รูปแบบน่าสงสัยจะกลายเป็นรายงานที่ทำให้เข้าใจผิด
4. การทำซ้ำโดยผู้เชี่ยวชาญ เพื่อยืนยันว่าช่องโหว่นั้นถูกใช้โจมตีได้จริง
5. การเปิดเผยข้อมูลแบบประสานงาน เพื่อให้ผู้ดูแลโครงการและผู้ผลิตมีช่องทางตอบสนอง
6. Virtual patch และมาตรการชดเชยอื่น ๆ เพื่อลดพื้นที่เสี่ยงระหว่างรอการแก้โค้ด
7. การจัดลำดับการแก้ไข โดยให้ความสำคัญกับช่องโหว่ที่เข้าถึงได้ง่ายและมีผลกระทบสูงก่อน

AVDH แสดงคุณค่าของกระบวนการที่เชื่อมต่อกันนี้ ด้วยการจับคู่การสำรวจอัตโนมัติในวงกว้างเข้ากับวิจารณญาณของมนุษย์และการยืนยันเส้นทางการโจมตี ขณะที่ NOVA แสดงแรงกดดันที่กระบวนการดังกล่าวต้องรับมือ เพราะระบบค้นหาอัตโนมัติสามารถสร้างผลการค้นพบในระดับที่ทีมความปลอดภัยแบบเดิมไม่ได้ถูกออกแบบมาให้ประมวลผล

การแข่งขันด้านความมั่นคงปลอดภัยไซเบอร์ยุค AI จึงไม่ใช่เพียงการแข่งกันว่าโมเดลใดค้นหาบั๊กได้มากที่สุด แต่คือการแข่งขันเพื่อปิดวงจรตั้งแต่การตรวจพบไปจนถึงการลดความเสี่ยงให้เร็วกว่าเวลาที่ฝ่ายตรงข้ามใช้เปลี่ยนช่องโหว่ให้เป็นการโจมตี

องค์กรจะได้เปรียบเมื่อสามารถควบคุมโค้ด กระบวนการนำระบบขึ้นใช้งาน ข้อมูล telemetry และมาตรการควบคุมเครือข่ายได้ครบวงจร แต่การค้นพบที่ไม่มีการยืนยัน ผู้รับผิดชอบ การเปิดเผย และการแก้ไข อาจทำให้ปัญหามีขนาดใหญ่ขึ้น แทนที่จะช่วยแก้ปัญหาได้จริง