เมื่อ AI เพิ่ม dependency เร็วกว่าทีมความปลอดภัยตรวจทัน

AI ช่วยเขียนโค้ดทำให้การเพิ่ม dependency หรือซอฟต์แวร์ที่โปรเจกต์ต้องพึ่งพา เป็นเรื่องรวดเร็วขึ้น ทั้งแพ็กเกจ ไลบรารี และอิมเมจคอนเทนเนอร์ แต่ความเร็วในการนำเข้ามาไม่ได้แปลว่าทีมความปลอดภัยจะตรวจที่มาและช่องโหว่ได้ทันทุกชิ้น เมื่อรายการที่ต้องพึ่งพาเพิ่มขึ้น พื้นที่ที่ผู้โจมตีอาจใช้แทรกซอฟต์แวร์อันตรายก็เพิ่มตาม 17

ทำไมขั้นตอนอนุมัติแบบเดิมจึงตามไม่ทัน

ควินซี คาสโตร (Quincy Castro) ประธานเจ้าหน้าที่ฝ่ายความมั่นคงปลอดภัยสารสนเทศของ Chainguard มองว่า การสร้างโค้ดได้แทบจะทันทีทำให้วงจรที่ต้องมีคนยื่นคำขอ ตรวจสอบ และอนุมัติ dependency ใหม่กลายเป็นคอขวด ขั้นตอนนี้ถูกออกแบบมาสำหรับการตัดสินใจเลือกซอฟต์แวร์ที่มนุษย์ค่อย ๆ ทำ ไม่ใช่การเพิ่มส่วนประกอบจำนวนมากอย่างรวดเร็วด้วย AI 17

ตัวเลข 97% บอกอะไร — และไม่ได้บอกอะไร

ในรายงานฉบับมิถุนายน 2026 Chainguard ระบุว่า 97% ของรายการพบช่องโหว่ ในชุดข้อมูลอิมเมจคอนเทนเนอร์ที่บริษัทตรวจสอบ อยู่ในโครงการนอก 20 อันดับยอดนิยม ตัวเลขนี้นับ ครั้งที่พบช่องโหว่ ไม่ใช่สัดส่วนโครงการที่มีช่องโหว่ จึงไม่อาจสรุปว่า 97% ของโครงการทั้งหมดไม่ปลอดภัย ประเด็นสำคัญคือ หากตรวจเฉพาะเครื่องมือชื่อดัง ทีมงานอาจมองข้ามความเสี่ยงจำนวนมากในกลุ่มโครงการที่ได้รับความสนใจน้อยกว่า

ผู้โจมตีอาจอาศัยช่องว่างนี้ด้วยการทำโครงการแยก (fork) ที่ดูคล้ายของจริงแต่แทรกโค้ดอันตราย หรือใช้แพ็กเกจที่ตั้งชื่อคล้ายของแท้เพื่อให้คนหรือ AI เลือกผิด อย่างไรก็ตาม ความนิยมก็ไม่ใช่หลักประกัน: ในเดือนมีนาคม 2026 ผู้โจมตีเข้าควบคุมช่องทางเผยแพร่ GitHub Actions ของ Trivy ซึ่งเป็นเครื่องมือสแกนช่องโหว่ที่ใช้แพร่หลาย และเก็บข้อมูลรับรองจากเวิร์กโฟลว์ที่ได้รับผลกระทบ เหตุการณ์นี้แสดงให้เห็นว่าความเสี่ยงเกิดได้ทั้งกับโครงการที่ไม่ค่อยมีใครจับตาและเครื่องมือที่ผู้ใช้คุ้นเคย 17

งานวิจัยของมหาวิทยาลัยอินดีแอนาจะช่วยอย่างไร

อีกด้านหนึ่ง มหาวิทยาลัยอินดีแอนาได้รับทุน 1.18 ล้านดอลลาร์สหรัฐ จากมูลนิธิวิทยาศาสตร์แห่งชาติสหรัฐฯ (NSF) เพื่อประเมินความเสี่ยงด้านความปลอดภัยของเครื่องมือและโมเดล AI แบบโอเพนซอร์สที่ใช้ในงานวิจัย และช่วยให้ผู้ใช้ระบุทางเลือกที่ปลอดภัยกว่าได้ มหาวิทยาลัยมี Jetstream2 ซึ่งเป็นคลาวด์สำหรับงานวิจัยที่ได้รับการสนับสนุนจาก NSF เป็นโครงสร้างพื้นฐานด้านการประมวลผล แต่ข้อมูลโครงการที่เผยแพร่ยังไม่ระบุวิธีให้คะแนนความปลอดภัยของแต่ละโมเดลอย่างชัดเจน และไม่ได้รับประกันว่าทางเลือกที่แนะนำจะปราศจากความเสี่ยง 612

สำหรับผู้พัฒนา คำถามจึงไม่ใช่แค่ AI เขียนโค้ดได้เร็วเพียงใด แต่คือทีมงานมองเห็นและตรวจสอบส่วนประกอบที่โค้ดนั้นพาเข้ามาได้ครอบคลุมเพียงใด 17