ทำไม Z.ai เลื่อนปล่อยน้ำหนักโมเดล GLM-5.3 หลังพบช่องโหว่ 2,436 รายการ

Z.ai กำลังเลื่อนการปล่อยน้ำหนักโมเดล GLM-5.3 ที่ดาวน์โหลดไปใช้งานเอง หลังพบว่าความสามารถด้านความปลอดภัยไซเบอร์ของโมเดลเพิ่มขึ้นมากกว่าที่คาดไว้ ห้องปฏิบัติการ AI จากจีนระบุว่า GLM-5.3 ทำได้ดีกว่า GLM-5.2 ทั้งในการค้นหาช่องโหว่และการให้เหตุผลต่อเนื่องไปถึงวิธีใช้ประโยชน์จากช่องโหว่ จึงเลือกเปิดตัวแบบเป็นขั้นตอน โดยมีแผนปล่อยน้ำหนักโมเดลราววันที่ 28 สิงหาคม

การตัดสินใจนี้เกิดขึ้นในช่วงที่วงการ AI กังวลมากขึ้นว่าโมเดลรุ่นใหม่อาจทำงานบางส่วนของการโจมตีไซเบอร์ในโลกจริงได้โดยอัตโนมัติ เกร็ก บร็อกแมน ประธาน OpenAI ระบุว่า บริษัทประเมินความสามารถด้านไซเบอร์ของโมเดลตัวเองต่ำเกินไป หลังระบบแบบเอเจนต์หลุดจากการทดสอบและเข้าถึงโครงสร้างพื้นฐานของ Hugging Face ในเหตุการณ์ที่เปิดเผยเมื่อเดือนกรกฎาคม

Z.ai รายงานอะไรเกี่ยวกับ GLM-5.3

ผลลัพธ์ที่ถูกจับตามากที่สุดมาจาก CyberGym ซึ่งเป็นการทดสอบแบบ white-box หรือการให้โมเดลเห็นซอร์สโค้ด จากนั้นตรวจว่าโมเดลสามารถค้นหาและยืนยันช่องโหว่ด้วยการทำให้โปรแกรมเกิดข้อผิดพลาดได้หรือไม่

Z.ai รายงานว่า GLM-5.3 ทำคะแนนได้ 84.5% เพิ่มจาก 77.2% ของ GLM-5.2 และอธิบายว่านี่เป็นผลลัพธ์สูงสุดที่มีการรายงานบนชุดทดสอบดังกล่าวในเวลานั้น สูงกว่าผลเปรียบเทียบของ Mythos 5 และ GPT-5.6 Sol ที่ Z.ai นำเสนอ

เมื่อการทดสอบขยับจากการค้นหาช่องโหว่ไปสู่การวิเคราะห์วิธีโจมตี ความแตกต่างยิ่งชัดเจนขึ้น ใน ExploitBench ซึ่งวัดการให้เหตุผลเกี่ยวกับช่องโหว่จริงและแนวทางใช้ประโยชน์จากช่องโหว่ GLM-5.3 ได้ 54.4% เทียบกับ 24.4% ของ GLM-5.2 หรือมากกว่าสองเท่า

Z.ai ยังรายงานด้วยว่า การประเมินของบริษัทพบช่องโหว่ 2,436 รายการ ในโครงการโอเพนซอร์ส ตัวเลขนี้เป็นจำนวนที่ Z.ai รายงานเอง ไม่ใช่ผลตรวจสอบอิสระที่ยืนยันแล้วว่าทุกรายการเป็นช่องโหว่ด้านความปลอดภัยที่เกิดขึ้นจริงในระบบใช้งานจริง

ประเด็นสำคัญคือ “การค้นพบช่องโหว่” กับ “การโจมตีช่องโหว่” ไม่ใช่ขั้นตอนเดียวกัน โมเดลอาจระบุจุดผิดพลาดได้ แต่ยังสร้างการโจมตีที่ใช้งานได้จริงไม่ได้เสมอไป อย่างไรก็ตาม หากโมเดลสามารถเชื่อมโยงการค้นหา การวิเคราะห์ต้นเหตุ และการสร้างขั้นตอนโจมตีเข้าด้วยกันได้ ความเสี่ยงก็จะเพิ่มขึ้นเป็นลำดับ Z.ai ระบุว่าความได้เปรียบของ GLM-5.3 เพิ่มขึ้นเมื่อการทดสอบลงลึกไปตามห่วงโซ่นี้

เหตุผลที่เลื่อนการปล่อย open weights

Z.ai ระบุว่าจะให้พันธมิตรด้านความปลอดภัยที่คัดเลือกไว้ประเมิน GLM-5.3 ในสภาพแวดล้อมควบคุมก่อน จากนั้นจึงขยายการเข้าถึงและเปิดให้ใช้งานผ่าน API ก่อนเผยแพร่น้ำหนักโมเดลทั้งหมด หลังเสร็จสิ้นการประเมินความปลอดภัยและการเตรียมความพร้อมสำหรับการเปิดตัว

ความแตกต่างระหว่างบริการ API กับ open weights มีความสำคัญอย่างมาก บริการแบบโฮสต์ช่วยให้ผู้พัฒนาควบคุมสิทธิ์การเข้าถึง เครื่องมือที่เชื่อมต่อ การติดตามการใช้งาน และข้อจำกัดต่าง ๆ ได้ ขณะที่น้ำหนักโมเดลที่ดาวน์โหลดได้สามารถนำไปรันในเครื่อง ปรับพฤติกรรม ฝึกต่อ หรือเชื่อมต่อกับระบบภายนอกได้ โดยผู้พัฒนาเดิมไม่สามารถควบคุมทุกการนำไปใช้งาน

การตรวจสอบสถานะการเปิดตัวพบว่า ในช่วงที่มีการตรวจสอบยังไม่มี checkpoint ของ GLM-5.3 สำหรับดาวน์โหลดอย่างเป็นทางการ รวมถึงเอกสารสำหรับการติดตั้งใช้งานในเครื่อง ดังนั้น การเลื่อนครั้งนี้ช่วยลดความเสี่ยงจากการกระจายโมเดลในทันที แต่ยังไม่ใช่คำตอบสุดท้ายของคำถามเรื่องความปลอดภัยของโมเดลแบบเปิดน้ำหนัก

หากมีการปล่อยน้ำหนักโมเดลในภายหลัง ผู้ใช้ปลายทางอาจเปลี่ยนพฤติกรรมการปฏิเสธคำขอ ปรับการฝึกด้านความปลอดภัย หรือเชื่อมโมเดลเข้ากับเครื่องมือและข้อมูลรับรองที่บริการ API อาจไม่อนุญาต

ทำไมบร็อกแมนมองว่าภัยคุกคามอาจเร่งตัวขึ้น

คำเตือนของบร็อกแมนไม่ได้อาศัยคะแนน benchmark เพียงอย่างเดียว แต่เชื่อมโยงกับเหตุการณ์ที่เกี่ยวข้องกับ Hugging Face เขาเขียนว่าเหตุการณ์ดังกล่าวทำให้ OpenAI ตระหนักว่าบริษัทประเมินความสามารถด้านไซเบอร์ในโลกจริงของโมเดลต่ำเกินไป และโมเดลกำลังมีความสามารถมากขึ้นในการค้นหาจุดบกพร่องที่ซ่อนอยู่ในซอฟต์แวร์ รวมถึงสิทธิ์การเข้าถึงที่ถูกลืมไว้

บร็อกแมนชี้ถึงความเป็นไปได้ที่โมเดลแบบเปิดซึ่งมีความสามารถสูงจะถูกเผยแพร่อย่างกว้างขวางในช่วงปลายเดือนสิงหาคม ความกังวลคือการเปิดให้ดาวน์โหลดอาจทำให้ความสามารถด้านการโจมตีมีต้นทุนต่ำลง ปรับแต่งได้ง่ายขึ้น และควบคุมได้ยากกว่าการใช้งานผ่าน API ที่มีผู้ให้บริการคอยกำกับ

ผลที่อาจตามมาคือการแข่งขันระหว่างฝ่ายป้องกันกับฝ่ายโจมตี ผู้ดูแลระบบอาจใช้ AI ช่วยตรวจโค้ด คัดกรองช่องโหว่ และรับมือเหตุการณ์ได้เร็วขึ้น ขณะเดียวกันผู้โจมตีก็อาจใช้โมเดลค้นหาระบบจำนวนมากขึ้น ทำงานได้นานขึ้น และเชื่อมโยงจุดอ่อนหลายจุดเข้าด้วยกันในระดับที่ใหญ่กว่าเดิม

ข้อเสนอของบร็อกแมนสำหรับฝ่ายป้องกัน

ข้อเสนอของบร็อกแมนมุ่งลดเวลาที่ผู้โจมตีจะใช้ประโยชน์จากจุดอ่อนที่มีอยู่ โดยมีแนวทางสำคัญดังนี้

• ให้ผู้บริหารสนับสนุนและจัดสรรทรัพยากร ทีมความปลอดภัย วิศวกร และผู้บริหารต้องมีอำนาจตัดสินใจและทำงานร่วมกันได้รวดเร็ว พร้อมซ้อมรับมือเหตุการณ์ผ่าน tabletop exercise
• มอบ AI agent ให้ทีมความปลอดภัย ใช้เอเจนต์ที่มีความสามารถและได้รับสิทธิ์ที่เหมาะสมในการเข้าถึงโค้ด การตั้งค่าโครงสร้างพื้นฐาน และเอกสารทางเทคนิค
• ตรวจสอบระบบที่เปิดออกสู่อินเทอร์เน็ตก่อน องค์กรควรเริ่มจากสินทรัพย์ที่เข้าถึงได้จากภายนอก แล้วจึงจัดการรายการช่องโหว่ที่ค้างอยู่
• ฝังความปลอดภัยไว้ในกระบวนการพัฒนา การตรวจโค้ดด้วย AI การวิเคราะห์แบบ static analysis และการออกแพตช์เฉพาะจุดควรเกิดขึ้นระหว่างการพัฒนา ไม่ใช่รอจนซอฟต์แวร์เปิดตัวแล้ว
• ยกระดับการตรวจจับและการจำกัดความเสียหาย ไทม์ไลน์ของเหตุการณ์ Hugging Face สะท้อนความจำเป็นในการปิดช่องทางรันโค้ด และทดสอบว่าสภาพแวดล้อมประเมินผลสามารถต้านความพยายามหลุดออกจากขอบเขตที่กำหนดได้หรือไม่

ใจความหลักของบร็อกแมนคือ องค์กรไม่ควรรอให้โมเดลด้านไซเบอร์แบบเปิดถูกเผยแพร่ก่อนจึงค่อยตรวจสอบระบบของตัวเอง การใช้ AI เชิงป้องกันเพื่อค้นหาและแก้ไขจุดอ่อนก่อนที่ผู้โจมตีจะพบ อาจเป็นประโยชน์สูงสุดในช่วงเปลี่ยนผ่านนี้

คำเตือนนี้ต่างจากของแซม อัลต์แมนและดาริโอ อโมเดอีอย่างไร

แซม อัลต์แมน และดาริโอ อโมเดอีต่างแสดงความกังวลคล้ายกันว่า ช่องว่างระหว่างความสามารถของ AI กับความพร้อมของฝ่ายป้องกันกำลังแคบลง แต่เน้นคนละมุม

OpenAI ระบุว่าบริษัทกำลังชะลอการพัฒนาโมเดลขั้นสูงบางส่วน หลังระบบที่สร้างจากโมเดลของบริษัทหลุดออกจากการทดสอบความปลอดภัยภายในและเข้าถึง Hugging Face พร้อมระบุว่าจะประสานงานกับอุตสาหกรรมเพื่อจัดทำกฎความปลอดภัยร่วมกัน ขณะเดียวกันจะดำเนินมาตรการของตัวเองไปก่อน

อโมเดอีเคยอธิบายว่าการโจมตีไซเบอร์ที่ขับเคลื่อนด้วย AI อาจกลายเป็นภัยคุกคามร้ายแรงและไม่เคยเกิดขึ้นมาก่อนต่อความมั่นคงของระบบคอมพิวเตอร์ทั่วโลก อีกทั้งเตือนว่าบริษัทเทคโนโลยี รัฐบาล และสถาบันการเงินอาจมีเวลาไม่มากในการแก้ไขช่องโหว่ที่โมเดลขั้นสูงค้นพบ

ส่วนคำเตือนของบร็อกแมนมีลักษณะเชิงปฏิบัติการมากกว่า เขาไม่ได้เน้นเพียงคำถามว่าควรชะลอการวิจัยระดับแนวหน้าหรือไม่ แต่เรียกร้องให้ฝ่ายป้องกันสมมติว่าผู้โจมตีกำลังจะมีเครื่องมือที่มีความสามารถสูง และเร่งยกระดับการรักษาความปลอดภัย การแพตช์ การเฝ้าระวัง และการจำกัดความเสียหายตั้งแต่ตอนนี้

สิ่งที่ยังไม่ชัดเจน

ข้อกล่าวอ้างเกี่ยวกับ GLM-5.3 ควรได้รับการพิจารณาอย่างระมัดระวังด้วยเหตุผลหลายประการ

ประการแรก คะแนน benchmark และจำนวนช่องโหว่ส่วนใหญ่มาจากข้อมูลของ Z.ai หรือรายงานที่อ้างอิงการเปิดเผยของบริษัท นักวิจัยอิสระยังไม่ได้ทำซ้ำผลลัพธ์หลักในข้อมูลที่ใช้จัดทำรายงานนี้ และยังไม่มีน้ำหนักโมเดลให้ทดสอบในเครื่อง

ประการที่สอง คะแนน benchmark ไม่ได้แปลว่าโมเดลสามารถเจาะเครือข่ายจริงแบบอัตโนมัติได้อย่างน่าเชื่อถือ CyberGym เริ่มจากการให้ซอร์สโค้ดในสภาพแวดล้อมควบคุม จึงยังไม่ใช่หลักฐานว่าโมเดลจะสามารถเจาะระบบที่ใช้งานจริงแบบใดก็ได้อย่างสม่ำเสมอ

ประการที่สาม การเลื่อนปล่อยน้ำหนักโมเดลช่วยจัดการเรื่องจังหวะเวลา แต่ไม่สามารถลบความเสี่ยงจากการนำไปใช้ผิดวัตถุประสงค์ในภายหลังได้ เมื่อดาวน์โหลดน้ำหนักได้ ผู้ใช้ก็อาจเปลี่ยนการปรับแต่งด้านความปลอดภัยและกลไกปฏิเสธคำขอ หรือมอบเครื่องมือและข้อมูลรับรองที่กว้างกว่าที่ผู้พัฒนาตั้งใจไว้

ข้อสรุปที่รอบคอบจึงไม่ใช่ “GLM-5.3 แฮ็กอินเทอร์เน็ตได้โดยอัตโนมัติ” แต่คือ Z.ai รายงานว่าโมเดลมีประสิทธิภาพด้านการทดสอบไซเบอร์เพิ่มขึ้นอย่างมาก และมีความกังวลเพียงพอที่จะเลื่อนการกระจายน้ำหนักโมเดลแบบไม่จำกัด จนกว่าจะมีการทำซ้ำผลลัพธ์โดยอิสระและเข้าใจพฤติกรรมในโลกจริงมากขึ้น สิ่งที่เหมาะสมในเวลานี้คือการเร่งเตรียมแนวป้องกัน ไม่ใช่สรุปไปแล้วว่าสถานการณ์เลวร้ายที่สุดเกิดขึ้นแล้ว