เมื่อ DeepSeek กลายเป็นตัวเร่งเกมไซเบอร์ของแฮกเกอร์ที่เชื่อมโยงกับจีน

TeamT5 บริษัทวิจัยความปลอดภัยไซเบอร์จากไต้หวัน ระบุว่า กลุ่มโจมตีทางไซเบอร์ที่เชื่อมโยงกับรัฐจีนเพิ่มปริมาณการโจมตีมากกว่าสองเท่า หลังนำ DeepSeek และโมเดล AI แบบโอเพนซอร์สอื่น ๆ เข้ามาใช้ในปฏิบัติการ โดย AI ถูกใช้เพื่อทำงานประจำที่ต้องทำซ้ำจำนวนมาก รวมถึงช่วยพัฒนาซอฟต์แวร์อันตรายที่ซับซ้อนขึ้น 13

อย่างไรก็ตาม ข้อมูลดังกล่าวไม่ได้หมายความว่า AI เข้ามาแทนที่แฮกเกอร์ผู้มีประสบการณ์ได้อย่างสมบูรณ์ ภาพที่เห็นชัดกว่าคือ AI ทำหน้าที่เป็นตัวเร่งและตัวคูณกำลังให้กับกระบวนการเดิม โดยเฉพาะการสอดแนมระบบ การค้นคว้าช่องโหว่ การปรับโค้ดโจมตี และการทดลองโจมตีซ้ำ ๆ ขณะที่มนุษย์ยังเป็นผู้กำหนดเป้าหมายและทิศทางหลัก 115

ทำไม DeepSeek จึงดึงดูดผู้โจมตี

นักวิจัยระบุเหตุผลสำคัญที่ทำให้ DeepSeek ได้รับความนิยมในหมู่แฮกเกอร์ที่เชื่อมโยงกับจีนไว้ 4 ประการ ได้แก่

• ประสิทธิภาพ: มีความสามารถเพียงพอสำหรับงานเขียนโค้ดและการให้เหตุผลที่ใช้ในปฏิบัติการไซเบอร์
• ปรับแต่งได้: โมเดลที่เปิดกว้างหรือเข้าถึงได้ง่ายกว่าสามารถนำไปดัดแปลงและเชื่อมต่อกับเครื่องมือที่ผู้โจมตีควบคุมเองได้
• ต้นทุนต่ำ: ค่าใช้จ่ายมีความสำคัญเมื่อผู้โจมตีต้องการให้ระบบทำงานซ้ำ ๆ ในปริมาณมาก 16
• ข้อจำกัดด้านความปลอดภัยไซเบอร์น้อยกว่า: TeamT5 และ Unit 42 ระบุว่า DeepSeek มีมาตรการป้องกันคำขอที่เกี่ยวข้องกับการโจมตีเชิงรุกค่อนข้างจำกัดเมื่อเทียบกับบริการตะวันตก 315

จุดแข็งของแนวทางนี้ไม่ได้อยู่ที่การค้นพบช่องโหว่ใหม่เสมอไป โมเดลยังสามารถช่วยค้นหาระบบที่เปิดเผยต่ออินเทอร์เน็ต ปรับโค้ดโจมตีสาธารณะ แปลผลลัพธ์ทางเทคนิค และเลือกขั้นตอนถัดไปที่ควรทดลองได้

AI ถูกนำไปใช้ในขั้นตอนไหนบ้าง

รายงานระบุว่ากลุ่มที่เชื่อมโยงกับจีนใช้ DeepSeek, ChatGPT และ Claude Code ในงานสอดแนม การสร้างหรือปรับโค้ดโจมตี การทำงานอัตโนมัติ และการพัฒนามัลแวร์ รวมถึงการเคลื่อนที่จากระบบหนึ่งไปยังอีกระบบหนึ่งภายในเครือข่ายของบริษัทและสถาบันต่างประเทศ 3

ทั้งนี้ ข้อมูลที่เปิดเผยต่อสาธารณะมักกล่าวถึงกิจกรรมของกลุ่มที่เชื่อมโยงกับรัฐจีนในภาพรวม แต่ไม่ได้ระบุอย่างน่าเชื่อถือว่า AI ถูกใช้โดยกลุ่มภัยคุกคามขั้นสูงที่มีชื่อใดชื่อหนึ่งในทุกกรณี ดังนั้นจึงไม่ควรสรุปว่ากลุ่มไซเบอร์ของจีนทั้งหมดใช้โมเดลหรือกระบวนการเดียวกัน 13

เครื่องมือตะวันตกมีประโยชน์ แต่ติดข้อจำกัดด้านความปลอดภัย

เครื่องมือเชิงพาณิชย์อย่าง ChatGPT และ Claude Code สามารถช่วยในบางส่วนของกระบวนการโจมตีได้ แต่ระบบป้องกันของผู้ให้บริการอาจปฏิเสธคำขอที่ระบุชัดว่าต้องการดำเนินการโจมตี

ในกรณีที่ Unit 42 ศึกษา ผู้ปฏิบัติการได้ทดลองใช้เครื่องมือจากฝั่งตะวันตก และพบว่ามาตรการป้องกันสามารถบล็อกงานโจมตีแบบอัตโนมัติได้ จากนั้นจึงเลือก DeepSeek เป็นโมเดลหลักสำหรับการให้เหตุผลในการโจมตี 1415

ประเด็นนี้ไม่ได้พิสูจน์ว่าโมเดลหนึ่งมีความสามารถเหนือกว่าอีกโมเดลในทุกด้าน แต่สะท้อนความแตกต่างของวิธีนำไปใช้งาน DeepSeek ถูกเชื่อมเข้ากับเฟรมเวิร์กโอเพนซอร์สที่ผู้โจมตีควบคุมเอง และไม่ได้มีข้อจำกัดฝั่งผู้ใช้แบบเดียวกับบริการเชิงพาณิชย์บางราย 15

กรณี Hermes Agent กับเป้าหมายกว่า 460 ระบบ

Unit 42 ของ Palo Alto Networks แยกพบปฏิบัติการของผู้ปฏิบัติการที่ใช้ภาษาจีน ซึ่งใช้ชื่อแฝงว่า “knaithe” และ “KnYuan” โดยกำหนดให้ DeepSeek เป็นเครื่องมือให้เหตุผลเบื้องหลัง Hermes Agent เฟรมเวิร์กโอเพนซอร์สที่รองรับการทำงานผ่านเทอร์มินัล

การตั้งค่านี้ทำให้ระบบสามารถสำรวจช่องโหว่ ดาวน์โหลดโค้ดโจมตีที่เผยแพร่ต่อสาธารณะ และพยายามโจมตีเป้าหมายได้โดยมีมนุษย์ควบคุมเพียงจำกัด 155

เอเจนต์ดังกล่าวมุ่งเป้าไปยังระบบที่เปิดสู่สาธารณะมากกว่า 460 แห่ง รายงานเกี่ยวกับปฏิบัติการในวงกว้างระบุว่ามีอย่างน้อย 3 องค์กรถูกเจาะผ่านการใช้ช่องโหว่ของ Citrix NetScaler แต่ตัวเลข 460 หมายถึงจำนวนเป้าหมายหรือความพยายามโจมตี ไม่ใช่จำนวนระบบที่ถูกเจาะสำเร็จทั้งหมด และปฏิบัติการนี้มีทั้งส่วนที่ทำงานอัตโนมัติและส่วนที่มนุษย์ดำเนินการตามปกติ 4

ข้อแยกนี้มีความสำคัญ กรณีดังกล่าวไม่ได้แสดงว่า DeepSeek เจาะระบบหลายร้อยแห่งได้ด้วยตัวเอง แต่แสดงให้เห็นว่าผู้ปฏิบัติการใช้ AI ทำให้ช่วงกลางของการโจมตีเป็นอัตโนมัติ ตั้งแต่ค้นหาเป้าหมายที่เปิดเผยต่ออินเทอร์เน็ต จับคู่เป้าหมายกับช่องโหว่ที่รู้จัก ดาวน์โหลดโค้ดโจมตีสาธารณะ ไปจนถึงทดลองกับเป้าหมายถัดไป

ความหมายต่อฝ่ายป้องกันระบบ

ความเสี่ยงที่เห็นชัดที่สุดคือ “ขนาด” ของปฏิบัติการ เมื่อโมเดลต้นทุนต่ำถูกเชื่อมเข้ากับเฟรมเวิร์กที่เข้าถึงเทอร์มินัลได้ งานที่เคยต้องใช้เวลาคนจำนวนมากสามารถทำซ้ำกับระบบที่เปิดสู่สาธารณะได้เป็นจำนวนมาก AI จึงลดต้นทุนและอุปสรรคในการทำสอดแนมกับการทดลองโจมตีในวงกว้าง 1615

แต่กรณีนี้ก็สะท้อนข้อจำกัดของเทคโนโลยีเช่นกัน การเจาะระบบที่สำเร็จยังอาศัยบริการที่เปิดเผย ช่องโหว่ที่มีอยู่ และโค้ดโจมตีสาธารณะที่ใช้งานได้ AI ช่วยเพิ่มความเร็วและจำนวนครั้งของความพยายาม แต่ไม่ได้เป็นสาเหตุเพียงอย่างเดียวของการถูกเจาะระบบทุกกรณี 515

สำหรับฝ่ายป้องกัน สิ่งที่ควรทำยังคงเป็นพื้นฐานแต่สำคัญ ได้แก่ อัปเดตแพตช์ให้ผลิตภัณฑ์ที่เปิดสู่อินเทอร์เน็ต ลดการเปิดเผยบริการที่ไม่จำเป็น และเฝ้าระวังรูปแบบการสอดแนมกับการทดลองโจมตีแบบอัตโนมัติที่ผิดปกติ

บทเรียนจาก TeamT5 และ Unit 42 คือ การโจมตีที่ใช้ AI ช่วยกำลังมีต้นทุนต่ำลงและทำซ้ำได้ง่ายขึ้น แม้เทคนิคพื้นฐานที่ใช้จะยังเป็นช่องโหว่และเครื่องมือโจมตีที่รู้จักกันอยู่แล้วก็ตาม