ในขั้นค้นหา เอเจนต์จะตรวจสอบจุดรับข้อมูล การไหลของข้อมูล และบริบทของโค้ดโดยรอบ จากนั้นสร้างสมมติฐานช่องโหว่หลายรูปแบบ ตรวจสอบแต่ละสมมติฐานอย่างเป็นอิสระ และโต้แย้งข้อสรุปของกันและกัน หลักฐานทั้งหมดจะถูกสังเคราะห์เป็นผลการค้นพบเบื้องต้น ก่อนที่ที่ปรึกษาจะทำซ้ำการโจมตีแบบ proof of concept เพื่อยืนยันว่าช่องโหว่นั้นใช้ประโยชน์ได้จริง
โครงสร้างนี้สำคัญเพราะแยก ความครอบคลุมในการค้นหา ออกจาก การใช้ดุลยพินิจ เอเจนต์หนึ่งอาจค้นหาในวงกว้าง อีกตัวติดตามเส้นทางโจมตี และอีกตัวพยายามหักล้างผลลัพธ์ ขณะที่การตรวจสอบโดยมนุษย์ยังเป็นด่านสุดท้ายเพื่อลดผลบวกลวงและข้อสรุปที่ไม่ตรงกับพฤติกรรมจริงของซอฟต์แวร์
Google ระบุว่า AVDH ถูกใช้งานภายในมาประมาณ 10 เดือน และค้นพบช่องโหว่จำนวนหลายสิบรายการในส่วนขยายเว็บและโครงการโอเพนซอร์สที่มีการใช้งานอย่างแพร่หลาย ผลงานดังกล่าวนำไปสู่การออกหมายเลข CVE แล้ว 12 รายการ และยังมีช่องโหว่อีกราว 12 รายการที่อยู่ระหว่างการเปิดเผยอย่างประสานงานกัน
ในการสืบสวนเหตุการณ์หนึ่งที่เกี่ยวข้องกับคลังซอร์สโค้ดขององค์กรซึ่งถูกขโมย รายงานจากภายนอกระบุว่าแฮร์เนสนี้ช่วยค้นพบช่องโหว่ระดับความรุนแรงสูงที่ตรวจสอบยืนยันแล้วมากกว่า 100 รายการภายในเวลา 2 วัน
ตัวเลขเหล่านี้แสดงให้เห็นศักยภาพของการตรวจสอบด้วย AI แต่ควรอ่านอย่างระมัดระวัง เพราะเป็นผลการดำเนินงานที่ Mandiant และสื่อที่รายงานต่ออ้างถึง ไม่ใช่การเปรียบเทียบที่ผ่านการตรวจสอบโดยอิสระกับวิธีทดสอบความปลอดภัยแบบเดิม
นอกจากนี้ ช่องโหว่ที่เพิ่งค้นพบหรือยังไม่เคยถูกรายงานไม่ได้หมายความว่าเป็น zero-day ที่กำลังถูกใช้โจมตีจริงในวงกว้างโดยอัตโนมัติ
Unit 42 ของ Palo Alto Networks อธิบายว่า NOVA หรือ Network and Open-Source Vulnerability Analyzer เป็นระบบอัตโนมัติสำหรับการค้นหา การยืนยัน และการจัดทำรายงานช่องโหว่ โดยใช้เอเจนต์แฮร์เนสของบริษัทที่ขับเคลื่อนด้วยโมเดล AI ระดับแนวหน้าหลายโมเดล
ในการทดสอบที่บริษัทเผยแพร่ NOVA วิเคราะห์โครงการโอเพนซอร์ส 3,915 โครงการภายใน 2 เดือน และระบุช่องโหว่ที่ไม่เคยรู้จักมาก่อน 14,090 รายการ Unit 42 ระบุว่า 99.4% ของผลลัพธ์ไม่เคยถูกรายงานมาก่อน และประมาณ 40% ถูกจัดอยู่ในระดับความรุนแรงสูงหรือวิกฤต
ความสำคัญของ NOVA ไม่ได้อยู่ที่จำนวนผลลัพธ์เพียงอย่างเดียว รายงานเกี่ยวกับการทดสอบระบุว่าหลายรายการเป็นช่องโหว่เชิงความหมายหรือข้อผิดพลาดด้านตรรกะ ไม่ใช่เฉพาะบั๊กหน่วยความจำที่เครื่องมืออัตโนมัติแบบดั้งเดิมมักมุ่งค้นหา
ช่องโหว่ลักษณะนี้อาจเกี่ยวข้องกับการควบคุมสิทธิ์ การจัดการเส้นทาง การทำงานของคำขอจากเซิร์ฟเวอร์ไปยังระบบอื่น หรือการป้องกันการแทรกโค้ด ซึ่งจำเป็นต้องเข้าใจว่าซอฟต์แวร์ควรทำงานอย่างไรจึงจะประเมินได้อย่างถูกต้อง
อย่างไรก็ตาม ตัวเลขสำคัญทั้งหมดเป็นข้อมูลที่ผู้ให้บริการรายงานเอง คำว่า “ไม่เคยรู้จักมาก่อน” ไม่ได้ยืนยันโดยลำพังว่าผลลัพธ์ทุกชิ้นเป็น zero-day ที่สามารถโจมตีได้จริงในทางปฏิบัติ และการจัดระดับความรุนแรงก็อาจขึ้นอยู่กับกรอบการให้คะแนนที่ใช้
ข้อสรุปที่รัดกุมกว่าคือ ระบบเอเจนต์หลายโมเดลเริ่มมีความสามารถในการค้นหาผลลัพธ์ด้านความปลอดภัยจำนวนมาก ซึ่งกระบวนการตรวจสอบแบบเดิมอาจใช้เวลานานกว่าจะตรวจพบ
การค้นหาช่องโหว่ได้เร็วขึ้นช่วยเพิ่มศักยภาพของฝ่ายป้องกัน แต่ก็อาจทำให้วิกฤตรุนแรงขึ้น หากองค์กรยังใช้วงจรแก้ไขที่ล่าช้า
CERT-EU อ้างตัวเลข mean time to exploit หรือเวลาเฉลี่ยตั้งแต่การเปิดเผยช่องโหว่จนถึงการถูกนำไปใช้โจมตีที่ ติดลบ 7 วัน ซึ่งหมายความว่าในบางกรณีการโจมตีอาจเริ่มขึ้นก่อนที่แพตช์จะพร้อมใช้งานอย่างแพร่หลาย
ตัวเลขนี้ทำให้บทบาทของการแพตช์ต้องถูกมองใหม่ การแก้ไขโค้ดอย่างถาวรยังคงจำเป็น แต่ไม่ควรเป็นมาตรการแรกหรือมาตรการเดียว ทีมความปลอดภัยต้องลดการเปิดรับความเสี่ยงระหว่างที่นักพัฒนากำลังตรวจสอบ ทดสอบ ประสานงานการเปิดเผย และทยอยติดตั้งแพตช์ด้วย
Frontier AI Critical Defense Program ของ Palo Alto Networks ถูกออกแบบมาเพื่อประสานงานระหว่างห้องปฏิบัติการ AI ผู้พัฒนาซอฟต์แวร์ ชุมชนโอเพนซอร์ส และภาคส่วนต่าง ๆ เช่น เทคโนโลยีปฏิบัติการหรือ OT และสาธารณสุข
แนวทางสำคัญคือการติดตั้ง “แพตช์เสมือน” ระดับเครือข่าย เพื่อบล็อกทราฟฟิกที่ใช้โจมตีหรือพฤติกรรมของโพรโทคอลที่เป็นอันตราย ก่อนที่แพตช์ถาวรของซอฟต์แวร์จะพร้อมใช้งาน
Palo Alto ระบุว่า Advanced Virtual Patching สามารถติดตั้งมาตรการป้องกันได้ภายในไม่กี่ชั่วโมง เทียบกับค่าเฉลี่ยอุตสาหกรรมที่บริษัทอ้างว่าใช้เวลา 55 วันสำหรับแพตช์แบบเดิม
แพตช์เสมือนควรถูกเข้าใจว่าเป็น มาตรการชดเชยความเสี่ยง ไม่ใช่สิ่งทดแทนการแก้ไขโค้ดที่มีช่องโหว่ ประสิทธิผลของมันขึ้นอยู่กับว่าทีมความปลอดภัยระบุเส้นทางโจมตีได้ถูกต้องหรือไม่ และกฎควบคุมระดับเครือข่ายสามารถบล็อกเส้นทางนั้นโดยไม่กระทบการใช้งานปกติได้หรือไม่
ความครอบคลุมอาจจำกัดเมื่อการโจมตีใช้ช่องทางที่ระบบเชื่อถือ การรับส่งข้อมูลที่เข้ารหัส การยกระดับสิทธิ์ภายในเครื่อง หรือพฤติกรรมที่แยกออกจากการใช้งานปกติได้ยาก
เป็นไปได้ แต่ไม่ใช่เพียงการเพิ่มเครื่องสแกน AI เข้าไปในระบบเดิม
สถาปัตยกรรมการป้องกันที่แข็งแรงกว่าควรเชื่อมหลายขั้นตอนให้เป็นวงจรเดียวกัน ได้แก่
บทเรียนเชิงกลยุทธ์จาก AVDH และ NOVA คือความได้เปรียบไม่ได้เกิดจากผลลัพธ์ของโมเดลเพียงอย่างเดียว แต่เกิดจาก การประสานงานของทั้งระบบ AI ช่วยย่นเวลาการค้นหาและการตรวจสอบได้มาก แต่ฝ่ายป้องกันยังต้องมีหลักฐานที่น่าเชื่อถือ การจัดลำดับความสำคัญที่รอบคอบ สถาปัตยกรรมที่ยืดหยุ่น และระบบติดตั้งมาตรการป้องกันที่ทำงานได้เร็วพอ ๆ กัน
ผู้โจมตีก็สามารถใช้โมเดลที่มีศักยภาพใกล้เคียงกันได้ ขณะที่แพตช์เสมือนเป็นมาตรการชั่วคราวและมีข้อจำกัดด้านความครอบคลุม ดังนั้นเป้าหมายที่เป็นจริงจึงไม่ใช่การกำจัดความเสี่ยงจาก zero-day ให้หมดไป แต่คือการทำให้วงจรป้องกัน ตั้งแต่การค้นพบ การควบคุมความเสี่ยง ไปจนถึงการแก้ไขถาวร มีความรวดเร็วและน่าเชื่อถือกว่าเส้นทางที่ผู้โจมตีใช้เปลี่ยนช่องโหว่ให้กลายเป็นการโจมตี
ในขั้นค้นหา เอเจนต์จะตรวจสอบจุดรับข้อมูล การไหลของข้อมูล และบริบทของโค้ดโดยรอบ จากนั้นสร้างสมมติฐานช่องโหว่หลายรูปแบบ ตรวจสอบแต่ละสมมติฐานอย่างเป็นอิสระ และโต้แย้งข้อสรุปของกันและกัน หลักฐานทั้งหมดจะถูกสังเคราะห์เป็นผลการค้นพบเบื้องต้น ก่อนที่ที่ปรึกษาจะทำซ้ำการโจมตีแบบ proof of concept เพื่อยืนยันว่าช่องโหว่นั้นใช้ประโยชน์ได้จริง
โครงสร้างนี้สำคัญเพราะแยก ความครอบคลุมในการค้นหา ออกจาก การใช้ดุลยพินิจ เอเจนต์หนึ่งอาจค้นหาในวงกว้าง อีกตัวติดตามเส้นทางโจมตี และอีกตัวพยายามหักล้างผลลัพธ์ ขณะที่การตรวจสอบโดยมนุษย์ยังเป็นด่านสุดท้ายเพื่อลดผลบวกลวงและข้อสรุปที่ไม่ตรงกับพฤติกรรมจริงของซอฟต์แวร์
Google ระบุว่า AVDH ถูกใช้งานภายในมาประมาณ 10 เดือน และค้นพบช่องโหว่จำนวนหลายสิบรายการในส่วนขยายเว็บและโครงการโอเพนซอร์สที่มีการใช้งานอย่างแพร่หลาย ผลงานดังกล่าวนำไปสู่การออกหมายเลข CVE แล้ว 12 รายการ และยังมีช่องโหว่อีกราว 12 รายการที่อยู่ระหว่างการเปิดเผยอย่างประสานงานกัน
ในการสืบสวนเหตุการณ์หนึ่งที่เกี่ยวข้องกับคลังซอร์สโค้ดขององค์กรซึ่งถูกขโมย รายงานจากภายนอกระบุว่าแฮร์เนสนี้ช่วยค้นพบช่องโหว่ระดับความรุนแรงสูงที่ตรวจสอบยืนยันแล้วมากกว่า 100 รายการภายในเวลา 2 วัน
ตัวเลขเหล่านี้แสดงให้เห็นศักยภาพของการตรวจสอบด้วย AI แต่ควรอ่านอย่างระมัดระวัง เพราะเป็นผลการดำเนินงานที่ Mandiant และสื่อที่รายงานต่ออ้างถึง ไม่ใช่การเปรียบเทียบที่ผ่านการตรวจสอบโดยอิสระกับวิธีทดสอบความปลอดภัยแบบเดิม
นอกจากนี้ ช่องโหว่ที่เพิ่งค้นพบหรือยังไม่เคยถูกรายงานไม่ได้หมายความว่าเป็น zero-day ที่กำลังถูกใช้โจมตีจริงในวงกว้างโดยอัตโนมัติ
Unit 42 ของ Palo Alto Networks อธิบายว่า NOVA หรือ Network and Open-Source Vulnerability Analyzer เป็นระบบอัตโนมัติสำหรับการค้นหา การยืนยัน และการจัดทำรายงานช่องโหว่ โดยใช้เอเจนต์แฮร์เนสของบริษัทที่ขับเคลื่อนด้วยโมเดล AI ระดับแนวหน้าหลายโมเดล
ในการทดสอบที่บริษัทเผยแพร่ NOVA วิเคราะห์โครงการโอเพนซอร์ส 3,915 โครงการภายใน 2 เดือน และระบุช่องโหว่ที่ไม่เคยรู้จักมาก่อน 14,090 รายการ Unit 42 ระบุว่า 99.4% ของผลลัพธ์ไม่เคยถูกรายงานมาก่อน และประมาณ 40% ถูกจัดอยู่ในระดับความรุนแรงสูงหรือวิกฤต
ความสำคัญของ NOVA ไม่ได้อยู่ที่จำนวนผลลัพธ์เพียงอย่างเดียว รายงานเกี่ยวกับการทดสอบระบุว่าหลายรายการเป็นช่องโหว่เชิงความหมายหรือข้อผิดพลาดด้านตรรกะ ไม่ใช่เฉพาะบั๊กหน่วยความจำที่เครื่องมืออัตโนมัติแบบดั้งเดิมมักมุ่งค้นหา
ช่องโหว่ลักษณะนี้อาจเกี่ยวข้องกับการควบคุมสิทธิ์ การจัดการเส้นทาง การทำงานของคำขอจากเซิร์ฟเวอร์ไปยังระบบอื่น หรือการป้องกันการแทรกโค้ด ซึ่งจำเป็นต้องเข้าใจว่าซอฟต์แวร์ควรทำงานอย่างไรจึงจะประเมินได้อย่างถูกต้อง
อย่างไรก็ตาม ตัวเลขสำคัญทั้งหมดเป็นข้อมูลที่ผู้ให้บริการรายงานเอง คำว่า “ไม่เคยรู้จักมาก่อน” ไม่ได้ยืนยันโดยลำพังว่าผลลัพธ์ทุกชิ้นเป็น zero-day ที่สามารถโจมตีได้จริงในทางปฏิบัติ และการจัดระดับความรุนแรงก็อาจขึ้นอยู่กับกรอบการให้คะแนนที่ใช้
ข้อสรุปที่รัดกุมกว่าคือ ระบบเอเจนต์หลายโมเดลเริ่มมีความสามารถในการค้นหาผลลัพธ์ด้านความปลอดภัยจำนวนมาก ซึ่งกระบวนการตรวจสอบแบบเดิมอาจใช้เวลานานกว่าจะตรวจพบ
การค้นหาช่องโหว่ได้เร็วขึ้นช่วยเพิ่มศักยภาพของฝ่ายป้องกัน แต่ก็อาจทำให้วิกฤตรุนแรงขึ้น หากองค์กรยังใช้วงจรแก้ไขที่ล่าช้า
CERT-EU อ้างตัวเลข mean time to exploit หรือเวลาเฉลี่ยตั้งแต่การเปิดเผยช่องโหว่จนถึงการถูกนำไปใช้โจมตีที่ ติดลบ 7 วัน ซึ่งหมายความว่าในบางกรณีการโจมตีอาจเริ่มขึ้นก่อนที่แพตช์จะพร้อมใช้งานอย่างแพร่หลาย
ตัวเลขนี้ทำให้บทบาทของการแพตช์ต้องถูกมองใหม่ การแก้ไขโค้ดอย่างถาวรยังคงจำเป็น แต่ไม่ควรเป็นมาตรการแรกหรือมาตรการเดียว ทีมความปลอดภัยต้องลดการเปิดรับความเสี่ยงระหว่างที่นักพัฒนากำลังตรวจสอบ ทดสอบ ประสานงานการเปิดเผย และทยอยติดตั้งแพตช์ด้วย
Frontier AI Critical Defense Program ของ Palo Alto Networks ถูกออกแบบมาเพื่อประสานงานระหว่างห้องปฏิบัติการ AI ผู้พัฒนาซอฟต์แวร์ ชุมชนโอเพนซอร์ส และภาคส่วนต่าง ๆ เช่น เทคโนโลยีปฏิบัติการหรือ OT และสาธารณสุข
แนวทางสำคัญคือการติดตั้ง “แพตช์เสมือน” ระดับเครือข่าย เพื่อบล็อกทราฟฟิกที่ใช้โจมตีหรือพฤติกรรมของโพรโทคอลที่เป็นอันตราย ก่อนที่แพตช์ถาวรของซอฟต์แวร์จะพร้อมใช้งาน
Palo Alto ระบุว่า Advanced Virtual Patching สามารถติดตั้งมาตรการป้องกันได้ภายในไม่กี่ชั่วโมง เทียบกับค่าเฉลี่ยอุตสาหกรรมที่บริษัทอ้างว่าใช้เวลา 55 วันสำหรับแพตช์แบบเดิม
แพตช์เสมือนควรถูกเข้าใจว่าเป็น มาตรการชดเชยความเสี่ยง ไม่ใช่สิ่งทดแทนการแก้ไขโค้ดที่มีช่องโหว่ ประสิทธิผลของมันขึ้นอยู่กับว่าทีมความปลอดภัยระบุเส้นทางโจมตีได้ถูกต้องหรือไม่ และกฎควบคุมระดับเครือข่ายสามารถบล็อกเส้นทางนั้นโดยไม่กระทบการใช้งานปกติได้หรือไม่
ความครอบคลุมอาจจำกัดเมื่อการโจมตีใช้ช่องทางที่ระบบเชื่อถือ การรับส่งข้อมูลที่เข้ารหัส การยกระดับสิทธิ์ภายในเครื่อง หรือพฤติกรรมที่แยกออกจากการใช้งานปกติได้ยาก
เป็นไปได้ แต่ไม่ใช่เพียงการเพิ่มเครื่องสแกน AI เข้าไปในระบบเดิม
สถาปัตยกรรมการป้องกันที่แข็งแรงกว่าควรเชื่อมหลายขั้นตอนให้เป็นวงจรเดียวกัน ได้แก่
บทเรียนเชิงกลยุทธ์จาก AVDH และ NOVA คือความได้เปรียบไม่ได้เกิดจากผลลัพธ์ของโมเดลเพียงอย่างเดียว แต่เกิดจาก การประสานงานของทั้งระบบ AI ช่วยย่นเวลาการค้นหาและการตรวจสอบได้มาก แต่ฝ่ายป้องกันยังต้องมีหลักฐานที่น่าเชื่อถือ การจัดลำดับความสำคัญที่รอบคอบ สถาปัตยกรรมที่ยืดหยุ่น และระบบติดตั้งมาตรการป้องกันที่ทำงานได้เร็วพอ ๆ กัน
ผู้โจมตีก็สามารถใช้โมเดลที่มีศักยภาพใกล้เคียงกันได้ ขณะที่แพตช์เสมือนเป็นมาตรการชั่วคราวและมีข้อจำกัดด้านความครอบคลุม ดังนั้นเป้าหมายที่เป็นจริงจึงไม่ใช่การกำจัดความเสี่ยงจาก zero-day ให้หมดไป แต่คือการทำให้วงจรป้องกัน ตั้งแต่การค้นพบ การควบคุมความเสี่ยง ไปจนถึงการแก้ไขถาวร มีความรวดเร็วและน่าเชื่อถือกว่าเส้นทางที่ผู้โจมตีใช้เปลี่ยนช่องโหว่ให้กลายเป็นการโจมตี