เมื่อ AI เร่งค้นหาช่องโหว่: สงครามไซเบอร์ยุคใหม่ที่ฝ่ายป้องกันต้องเร็วกว่าเดิม

การแข่งขันด้านความปลอดภัยไซเบอร์กำลังกลายเป็นการแข่งขันเรื่อง ความเร็ว อย่างชัดเจน โมเดล AI ระดับแนวหน้าสามารถช่วยทีมความปลอดภัยตรวจสอบโค้ดจำนวนมหาศาล ค้นหาเส้นทางโจมตีที่ผิดปกติ และทดสอบว่าช่องโหว่ที่สงสัยนั้นนำไปใช้โจมตีได้จริงหรือไม่

แต่ความเร็วเดียวกันนี้ก็ช่วยให้ผู้โจมตีเปลี่ยนช่องโหว่เป็นอาวุธได้เร็วขึ้น อาจเร็วกว่าระยะเวลาที่องค์กรต้องใช้ในการผลิตและติดตั้งแพตช์แบบเดิมเสียอีก

Mandiant’s Agentic Vulnerability Discovery Harness หรือ AVDH และระบบ NOVA ของ Palo Alto Networks สะท้อนแนวทางป้องกันที่กำลังเกิดขึ้นสองส่วน ได้แก่ การค้นหาและยืนยันช่องโหว่ด้วยเอเจนต์ AI ตามด้วย การลดการเปิดรับความเสี่ยงอย่างรวดเร็ว

AVDH เปลี่ยนการตรวจโค้ดให้เป็นกระบวนการของเอเจนต์เฉพาะทาง

AVDH ไม่ได้ถูกนำเสนอในฐานะเครื่องสแกนอัตโนมัติเพียงตัวเดียว แต่เป็นเวิร์กโฟลว์ที่ประกอบด้วยเอเจนต์หลายตัว ซึ่ง Mandiant ใช้ตรวจสอบซอร์สโค้ดระหว่างการประเมินความปลอดภัย การตอบสนองต่อเหตุการณ์ และการสืบสวนที่เกี่ยวข้อง

ตามข้อมูลของ Google Threat Intelligence Group ระบบนี้สามารถวิเคราะห์สภาพแวดล้อมที่มีโค้ดหลายสิบล้านบรรทัด รันกระบวนการวิเคราะห์หลายพันชุด และสร้างผลการตรวจสอบหลายหมื่นรายการ

กระบวนการเริ่มจากการทำความเข้าใจบริบทของซอฟต์แวร์ เอเจนต์สำรวจจะทำหน้าที่จัดทำโปรไฟล์โค้ดเบส ระบุว่าซอฟต์แวร์ควรทำงานอย่างไร ตรวจสอบเอกสารที่มีอยู่ และชี้พื้นที่ที่ควรวิเคราะห์ในเชิงลึก จากนั้นเอเจนต์เฉพาะทางจะเข้าตรวจสอบประเด็นด้านความปลอดภัย เช่น การยืนยันตัวตน การกำหนดสิทธิ์ และการกำหนดเส้นทางการทำงาน

ข้อมูลเหล่านี้จะถูกรวมเป็นแบบจำลองภัยคุกคาม หรือ threat model ที่อธิบายว่าระบบมีจุดรับข้อมูลและเส้นทางโจมตีใดบ้าง จุดสำคัญคือที่ปรึกษาหรือผู้เชี่ยวชาญที่เป็นมนุษย์จะตรวจทานแบบจำลองดังกล่าวก่อนให้กระบวนการเดินหน้าต่อ ทำให้เอเจนต์รุ่นถัดไปมีแผนที่ด้านความปลอดภัยของแอปพลิเคชัน แทนที่จะค้นหาโค้ดแบบไร้ทิศทาง

ในขั้นค้นหา เอเจนต์จะตรวจสอบจุดรับข้อมูล การไหลของข้อมูล และบริบทของโค้ดโดยรอบ จากนั้นสร้างสมมติฐานช่องโหว่หลายรูปแบบ ตรวจสอบแต่ละสมมติฐานอย่างเป็นอิสระ และโต้แย้งข้อสรุปของกันและกัน หลักฐานทั้งหมดจะถูกสังเคราะห์เป็นผลการค้นพบเบื้องต้น ก่อนที่ที่ปรึกษาจะทำซ้ำการโจมตีแบบ proof of concept เพื่อยืนยันว่าช่องโหว่นั้นใช้ประโยชน์ได้จริง

โครงสร้างนี้สำคัญเพราะแยก ความครอบคลุมในการค้นหา ออกจาก การใช้ดุลยพินิจ เอเจนต์หนึ่งอาจค้นหาในวงกว้าง อีกตัวติดตามเส้นทางโจมตี และอีกตัวพยายามหักล้างผลลัพธ์ ขณะที่การตรวจสอบโดยมนุษย์ยังเป็นด่านสุดท้ายเพื่อลดผลบวกลวงและข้อสรุปที่ไม่ตรงกับพฤติกรรมจริงของซอฟต์แวร์

ผลลัพธ์ที่ Mandiant รายงานจาก AVDH

Google ระบุว่า AVDH ถูกใช้งานภายในมาประมาณ 10 เดือน และค้นพบช่องโหว่จำนวนหลายสิบรายการในส่วนขยายเว็บและโครงการโอเพนซอร์สที่มีการใช้งานอย่างแพร่หลาย ผลงานดังกล่าวนำไปสู่การออกหมายเลข CVE แล้ว 12 รายการ และยังมีช่องโหว่อีกราว 12 รายการที่อยู่ระหว่างการเปิดเผยอย่างประสานงานกัน

ในการสืบสวนเหตุการณ์หนึ่งที่เกี่ยวข้องกับคลังซอร์สโค้ดขององค์กรซึ่งถูกขโมย รายงานจากภายนอกระบุว่าแฮร์เนสนี้ช่วยค้นพบช่องโหว่ระดับความรุนแรงสูงที่ตรวจสอบยืนยันแล้วมากกว่า 100 รายการภายในเวลา 2 วัน

ตัวเลขเหล่านี้แสดงให้เห็นศักยภาพของการตรวจสอบด้วย AI แต่ควรอ่านอย่างระมัดระวัง เพราะเป็นผลการดำเนินงานที่ Mandiant และสื่อที่รายงานต่ออ้างถึง ไม่ใช่การเปรียบเทียบที่ผ่านการตรวจสอบโดยอิสระกับวิธีทดสอบความปลอดภัยแบบเดิม

นอกจากนี้ ช่องโหว่ที่เพิ่งค้นพบหรือยังไม่เคยถูกรายงานไม่ได้หมายความว่าเป็น zero-day ที่กำลังถูกใช้โจมตีจริงในวงกว้างโดยอัตโนมัติ

NOVA ใช้หลายโมเดลเพื่อค้นหาช่องโหว่ในโอเพนซอร์ส

Unit 42 ของ Palo Alto Networks อธิบายว่า NOVA หรือ Network and Open-Source Vulnerability Analyzer เป็นระบบอัตโนมัติสำหรับการค้นหา การยืนยัน และการจัดทำรายงานช่องโหว่ โดยใช้เอเจนต์แฮร์เนสของบริษัทที่ขับเคลื่อนด้วยโมเดล AI ระดับแนวหน้าหลายโมเดล

ในการทดสอบที่บริษัทเผยแพร่ NOVA วิเคราะห์โครงการโอเพนซอร์ส 3,915 โครงการภายใน 2 เดือน และระบุช่องโหว่ที่ไม่เคยรู้จักมาก่อน 14,090 รายการ Unit 42 ระบุว่า 99.4% ของผลลัพธ์ไม่เคยถูกรายงานมาก่อน และประมาณ 40% ถูกจัดอยู่ในระดับความรุนแรงสูงหรือวิกฤต

ความสำคัญของ NOVA ไม่ได้อยู่ที่จำนวนผลลัพธ์เพียงอย่างเดียว รายงานเกี่ยวกับการทดสอบระบุว่าหลายรายการเป็นช่องโหว่เชิงความหมายหรือข้อผิดพลาดด้านตรรกะ ไม่ใช่เฉพาะบั๊กหน่วยความจำที่เครื่องมืออัตโนมัติแบบดั้งเดิมมักมุ่งค้นหา

ช่องโหว่ลักษณะนี้อาจเกี่ยวข้องกับการควบคุมสิทธิ์ การจัดการเส้นทาง การทำงานของคำขอจากเซิร์ฟเวอร์ไปยังระบบอื่น หรือการป้องกันการแทรกโค้ด ซึ่งจำเป็นต้องเข้าใจว่าซอฟต์แวร์ควรทำงานอย่างไรจึงจะประเมินได้อย่างถูกต้อง

อย่างไรก็ตาม ตัวเลขสำคัญทั้งหมดเป็นข้อมูลที่ผู้ให้บริการรายงานเอง คำว่า “ไม่เคยรู้จักมาก่อน” ไม่ได้ยืนยันโดยลำพังว่าผลลัพธ์ทุกชิ้นเป็น zero-day ที่สามารถโจมตีได้จริงในทางปฏิบัติ และการจัดระดับความรุนแรงก็อาจขึ้นอยู่กับกรอบการให้คะแนนที่ใช้

ข้อสรุปที่รัดกุมกว่าคือ ระบบเอเจนต์หลายโมเดลเริ่มมีความสามารถในการค้นหาผลลัพธ์ด้านความปลอดภัยจำนวนมาก ซึ่งกระบวนการตรวจสอบแบบเดิมอาจใช้เวลานานกว่าจะตรวจพบ

ค้นพบเร็วอย่างเดียวไม่พอ

การค้นหาช่องโหว่ได้เร็วขึ้นช่วยเพิ่มศักยภาพของฝ่ายป้องกัน แต่ก็อาจทำให้วิกฤตรุนแรงขึ้น หากองค์กรยังใช้วงจรแก้ไขที่ล่าช้า

CERT-EU อ้างตัวเลข mean time to exploit หรือเวลาเฉลี่ยตั้งแต่การเปิดเผยช่องโหว่จนถึงการถูกนำไปใช้โจมตีที่ ติดลบ 7 วัน ซึ่งหมายความว่าในบางกรณีการโจมตีอาจเริ่มขึ้นก่อนที่แพตช์จะพร้อมใช้งานอย่างแพร่หลาย

ตัวเลขนี้ทำให้บทบาทของการแพตช์ต้องถูกมองใหม่ การแก้ไขโค้ดอย่างถาวรยังคงจำเป็น แต่ไม่ควรเป็นมาตรการแรกหรือมาตรการเดียว ทีมความปลอดภัยต้องลดการเปิดรับความเสี่ยงระหว่างที่นักพัฒนากำลังตรวจสอบ ทดสอบ ประสานงานการเปิดเผย และทยอยติดตั้งแพตช์ด้วย

Palo Alto เสนอการสกัดระดับเครือข่ายระหว่างรอแพตช์

Frontier AI Critical Defense Program ของ Palo Alto Networks ถูกออกแบบมาเพื่อประสานงานระหว่างห้องปฏิบัติการ AI ผู้พัฒนาซอฟต์แวร์ ชุมชนโอเพนซอร์ส และภาคส่วนต่าง ๆ เช่น เทคโนโลยีปฏิบัติการหรือ OT และสาธารณสุข

แนวทางสำคัญคือการติดตั้ง “แพตช์เสมือน” ระดับเครือข่าย เพื่อบล็อกทราฟฟิกที่ใช้โจมตีหรือพฤติกรรมของโพรโทคอลที่เป็นอันตราย ก่อนที่แพตช์ถาวรของซอฟต์แวร์จะพร้อมใช้งาน

Palo Alto ระบุว่า Advanced Virtual Patching สามารถติดตั้งมาตรการป้องกันได้ภายในไม่กี่ชั่วโมง เทียบกับค่าเฉลี่ยอุตสาหกรรมที่บริษัทอ้างว่าใช้เวลา 55 วันสำหรับแพตช์แบบเดิม

แพตช์เสมือนควรถูกเข้าใจว่าเป็น มาตรการชดเชยความเสี่ยง ไม่ใช่สิ่งทดแทนการแก้ไขโค้ดที่มีช่องโหว่ ประสิทธิผลของมันขึ้นอยู่กับว่าทีมความปลอดภัยระบุเส้นทางโจมตีได้ถูกต้องหรือไม่ และกฎควบคุมระดับเครือข่ายสามารถบล็อกเส้นทางนั้นโดยไม่กระทบการใช้งานปกติได้หรือไม่

ความครอบคลุมอาจจำกัดเมื่อการโจมตีใช้ช่องทางที่ระบบเชื่อถือ การรับส่งข้อมูลที่เข้ารหัส การยกระดับสิทธิ์ภายในเครื่อง หรือพฤติกรรมที่แยกออกจากการใช้งานปกติได้ยาก

ฝ่ายป้องกันจะกลับมาได้เปรียบหรือไม่

เป็นไปได้ แต่ไม่ใช่เพียงการเพิ่มเครื่องสแกน AI เข้าไปในระบบเดิม

สถาปัตยกรรมการป้องกันที่แข็งแรงกว่าควรเชื่อมหลายขั้นตอนให้เป็นวงจรเดียวกัน ได้แก่

1. ทำแผนที่โค้ดและพื้นผิวการโจมตี เพื่อให้เอเจนต์เข้าใจว่าระบบทำงานอย่างไร
2. สร้างและตรวจทาน threat model ก่อนให้เอเจนต์สร้างสมมติฐานจำนวนมาก
3. ใช้เอเจนต์และโมเดลหลายตัว เพื่อค้นหาจากมุมมองที่ต่างกันและท้าทายผลลัพธ์ที่ยังอ่อน
4. ทำซ้ำการโจมตีและจัดลำดับความสำคัญของช่องโหว่ โดยอาศัยผู้เชี่ยวชาญและหลักฐานว่าช่องโหว่นั้นใช้ประโยชน์ได้จริง
5. เปิดเผยช่องโหว่และพัฒนาแพตช์ถาวร ผ่านกระบวนการประสานงานที่เหมาะสม
6. ควบคุมความเสี่ยงทันที ด้วยกฎเครือข่ายหรือมาตรการชดเชยอื่นระหว่างรอแพตช์
7. ตรวจสอบผลหลังแก้ไข เมื่อมีการติดตั้งแพตช์ซอฟต์แวร์แล้ว

บทเรียนเชิงกลยุทธ์จาก AVDH และ NOVA คือความได้เปรียบไม่ได้เกิดจากผลลัพธ์ของโมเดลเพียงอย่างเดียว แต่เกิดจาก การประสานงานของทั้งระบบ AI ช่วยย่นเวลาการค้นหาและการตรวจสอบได้มาก แต่ฝ่ายป้องกันยังต้องมีหลักฐานที่น่าเชื่อถือ การจัดลำดับความสำคัญที่รอบคอบ สถาปัตยกรรมที่ยืดหยุ่น และระบบติดตั้งมาตรการป้องกันที่ทำงานได้เร็วพอ ๆ กัน

ผู้โจมตีก็สามารถใช้โมเดลที่มีศักยภาพใกล้เคียงกันได้ ขณะที่แพตช์เสมือนเป็นมาตรการชั่วคราวและมีข้อจำกัดด้านความครอบคลุม ดังนั้นเป้าหมายที่เป็นจริงจึงไม่ใช่การกำจัดความเสี่ยงจาก zero-day ให้หมดไป แต่คือการทำให้วงจรป้องกัน ตั้งแต่การค้นพบ การควบคุมความเสี่ยง ไปจนถึงการแก้ไขถาวร มีความรวดเร็วและน่าเชื่อถือกว่าเส้นทางที่ผู้โจมตีใช้เปลี่ยนช่องโหว่ให้กลายเป็นการโจมตี