คลื่นมหาภัย: 429 บั๊กใน Chrome กับ 21 Zero-Day ใน FFmpeg ที่ค้นพบด้วยเงินแค่ $1,000

จากจำนวนดังกล่าว 22 รายการถูกจัดระดับความรุนแรงขั้นวิกฤต (Critical) และมากกว่า 100 รายการอยู่ในระดับวิกฤตหรือสูง จุดที่อันตรายที่สุดคือ CVE-2026-10881 ช่องโหว่การอ่านและเขียนข้อมูลนอกขอบเขต (Out-of-bounds Read and Write) ในเลเยอร์กราฟิก ANGLE ซึ่งได้คะแนน CVSS สูงถึง 9.6 และอาจทำให้ผู้โจมตีสามารถแหกกรอบแซนด์บ็อกซ์ของ Chrome ได้ผ่านทางหน้าเว็บ HTML ที่สร้างขึ้นเป็นพิเศษ บั๊กสำคัญจำนวนมากเป็นปัญหา Use-After-Free ซึ่งเป็นปัญหาความปลอดภัยของหน่วยความจำที่เกิดซ้ำแล้วซ้ำเล่าในเบราว์เซอร์

วิศวกรของ Google ตรวจพบช่องโหว่ภายในองค์กรราว 371 รายการ ส่วนที่เหลือถูกรายงานโดยนักวิจัยอิสระ ซึ่งบริษัทได้จ่ายเงินรางวัล (Bug Bounties) เป็นมูลค่ารวม 209,000 ดอลลาร์สหรัฐฯ SecurityWeek รายงานว่า การค้นพบช่องโหว่ใน Chrome ที่พุ่งสูงขึ้นอย่างมากน่าจะได้รับแรงหนุนจากการใช้ AI ที่เพิ่มขึ้นในการล่าช่องโหว่ ซึ่งการเปลี่ยนแปลงนี้เองที่ทำให้ Google ตัดสินใจลดเงินรางวัลสำหรับบั๊กของ Chrome ในเดือนเมษายน 2026

Google ระบุว่า ในขณะที่เปิดเผยข้อมูลยังไม่มีหลักฐานว่าช่องโหว่ใดๆ ถูกนำไปใช้โจมตีจริง อย่างไรก็ตาม ขนาดของแพตช์นี้ได้ตอกย้ำคำถามเชิงปฏิบัติการที่แสนสาหัส: แม้แต่ทีมวิศวกรที่มีทรัพยากรดีที่สุดจะสามารถตามทันได้หรือไม่ เมื่อการค้นหาด้วย AI ทะลักเข้าสู่ระบบติดตามบั๊กของพวกเขา?

21 Zero-Day ใน FFmpeg ด้วยเงินเพียง 35,000 บาท

ขณะที่ Chrome 149 กำลังลงหลักปักฐาน depthfirst สตาร์ทอัปด้านความปลอดภัย ได้เผยแพร่ผลลัพธ์จากการรัน AI เอเยนต์ในโหมดใช้งานจริงเพื่อทดสอบ FFmpeg ไลบรารีมัลติมีเดียโอเพนซอร์สที่เป็นหัวใจสำคัญของการประมวลผลวิดีโอในแอปพลิเคชันและอุปกรณ์นับไม่ถ้วน

AI เอเยนต์นี้ได้สแกนโค้ดภาษา C ประมาณ 1.5 ล้านบรรทัด และส่งกลับมาด้วยช่องโหว่ zero-day ที่ไม่เคยรู้จักมาก่อนจำนวน 21 รายการ เป็นบั๊กที่ไม่เคยถูกเปิดเผยต่อสาธารณะ และในหลายกรณีถูกปล่อยทิ้งไว้โดยไม่มีใครสังเกตเห็นนานถึง 15 ถึง 20 ปี ส่วนใหญ่เป็นปัญหา Heap และ Stack Overflow ในส่วนประกอบต่างๆ ตั้งแต่ตัวแยกสัญญาณ TS ไปจนถึงตัวถอดรหัส VP9

จุดสำคัญคือ ระบบของ depthfirst ไม่ได้ทำแค่การปักธงโค้ดต้องสงสัย แต่มันยังผลิตข้อมูลนำเข้า (Inputs) สำหรับการพิสูจน์แนวคิด (Proof-of-Concept) ที่เป็นรูปธรรมและทำซ้ำได้สำหรับแต่ละบั๊ก เพื่อยืนยันข้อค้นพบ โดยมีต้นทุนการประมวลผลรวมของงานนี้อยู่ที่ประมาณ 1,000 ดอลลาร์สหรัฐฯ เท่านั้น

จากการเปรียบเทียบ ก่อนหน้านี้โมเดล Mythos ของ Anthropic เคยค้นพบช่องโหว่ H.264 อายุ 16 ปีจาก FFmpeg ด้วยต้นทุนราว 10,000 ดอลลาร์ depthfirst แสดงให้เห็นว่าผลลัพธ์ที่เทียบเคียงกันได้สามารถบรรลุได้ด้วยต้นทุนเพียงหนึ่งในสิบ นัยยะของมันช่างน่าตกตะลึง: การค้นพบ zero-day ที่ซับซ้อน ซึ่งครั้งหนึ่งเคยเป็นอาณาเขตของห้องปฏิบัติการวิจัยทุนหนาและรัฐชาติ กำลังมีต้นทุนใกล้เคียงกับค่าใช้จ่ายคลาวด์ที่ใครๆ ก็จ่ายได้

แนวโน้มใหญ่: การค้นพบเร็วกว่าการแก้ไข

เรื่องของ Chrome และ FFmpeg ไม่ใช่เหตุการณ์โดดเดี่ยว แต่มันตั้งอยู่ภายในรูปแบบที่ใหญ่กว่าซึ่งเร่งตัวขึ้นตลอดปี 2025 และ 2026

ปริมาณการค้นพบพุ่งสูงขึ้นกว่าเดิม

เอเยนต์ Big Sleep ของ Project Zero ของ Google พบช่องโหว่ zero-day ในการใช้งานจริงครั้งแรกที่ถูกค้นพบด้วย AI ซึ่งเป็น Stack Buffer Underflow ใน SQLite เมื่อเดือนพฤศจิกายน 2024 นับตั้งแต่นั้นมาจังหวะก็ยิ่งเร็วขึ้น การวิเคราะห์โค้ดแบบสแตติกด้วย AI ของ ZeroPath พบช่องโหว่ 7 จุดใน FFmpeg ในปลายปี 2025 ต่อมาโมเดล Mythos ของ Anthropic ได้ค้นพบช่องโหว่ใน OpenBSD, FreeBSD, Linux, Firefox และไลบรารีการเข้ารหัสลับ ซึ่งจำนวนมากอยู่ในโค้ดมานานถึง 16 ถึง 27 ปี ภายในเดือนเมษายน 2026 Mythos ประสบความสำเร็จในการเขียนชุดเจาะระบบ (Exploit) ต่อ Firefox ถึง 181 ครั้ง ซึ่งดีขึ้น 90 เท่าเมื่อเทียบกับโมเดลรุ่นก่อน

ตัวแพตช์ Chrome 149 เองก็เป็นภาพสะท้อนโดยตรงของความเร็วใหม่นี้ SecurityWeek รายงานว่า การแก้ไข 429 รายการที่ประกาศในเดือนมิถุนายน 2026 มีจำนวนมากกว่าจำนวนแพตช์ความปลอดภัยทั้งหมดของ Chrome ที่ปล่อยออกมาตลอดทั้งปี 2025 เสียอีก

การแก้ไขคือคอขวด

การหาบั๊กนั้นรวดเร็ว แต่การแก้ไขยังคงเป็นกระบวนการของมนุษย์ Chrome 149 พิสูจน์ว่าแม้แต่ Google ที่มีทรัพยากรทางวิศวกรรมมหาศาลและโปรแกรมจัดการช่องโหว่ที่เติบโตเต็มที่ ก็ยังสามารถเผชิญกับภาระงานที่คั่งค้างมหาศาลได้ สำหรับผู้ดูแลโอเพนซอร์สที่เล็กกว่า สถานการณ์ยิ่งล่อแหลมกว่า ทีมงานแกนหลักขนาดเล็กของ FFmpeg ต้องตรวจสอบเบื้องต้น (Triage) ตรวจสอบความถูกต้อง และพัฒนาแพตช์สำหรับช่องโหว่ที่ถูกส่งมาเป็นชุดใหญ่โดยเครื่องมือ AI หลายตัว ไม่ใช่เพียงแค่ depthfirst เท่านั้น แต่ยังรวมถึง Big Sleep ของ Google, Mythos ของ Anthropic และอื่นๆ โครงการ FFmpeg เองก็เคยผลักดันกลับในสิ่งที่มองว่าเป็นรายงานบั๊กคุณภาพต่ำที่สร้างโดย AI โดยเรียกการรายงานบางส่วนของ Google AI ว่า “CVE Slop” เมื่อข้อค้นพบเกี่ยวข้องกับโค้ดลึกลับของวิดีโอเกมอายุ 30 ปี

เศรษฐกิจที่เอื้อประโยชน์ต่อผู้โจมตี

ผู้ปกป้องที่มีทรัพยากรพร้อมตอนนี้สามารถรันโมเดล AI หลายตัวกับโค้ดของตัวเองก่อนปล่อยซอฟต์แวร์ และหลายแห่งก็กำลังทำเช่นนั้น แต่หลักเศรษฐศาสตร์เดียวกันนี้ก็ใช้ได้กับทุกคน งานศึกษาจาก UIUC ประเมินต้นทุนการใช้ AI ช่วยโจมตีเฉลี่ยอยู่ที่ 8.80 ดอลลาร์ ต่อหนึ่งช่องโหว่ โดยใช้ GPT-4 เทียบกับราว 25 ดอลลาร์ต่อหนึ่งช่องโหว่สำหรับนักวิจัยมนุษย์ที่มีทักษะ การรัน FFmpeg ด้วยเงิน 1,000 ดอลลาร์ของ depthfirst ทำให้ต้นทุนต่อหนึ่ง zero-day ลดลงเหลือประมาณ 48 ดอลลาร์ และการปรับปรุงฮาร์ดแวร์และโมเดลในภายหลังก็มีแนวโน้มที่จะดันให้ต่ำลงไปอีก

ฝ่ายผู้ปกป้องยังคงต้องเผชิญกับการแพตช์และการปรับใช้ที่ต้องทำด้วยมือ กินเวลา ความไม่สมดุลกำลังทวีคูณขึ้น

สิ่งที่องค์กรควรทำในตอนนี้

การกลายเป็นสินค้าโภคภัณฑ์อย่างรวดเร็วของการค้นหาช่องโหว่ด้วย AI ต้องการการรับมือเชิงปฏิบัติมากกว่าความตื่นตระหนก ทีมความปลอดภัยควรสันนิษฐานว่า ผู้คุกคามทั้งจากรัฐและนอกภาครัฐกำลังรันโมเดลเหล่านี้กับซอฟต์แวร์ที่องค์กรของพวกเขาพึ่งพาอยู่แล้ว

ขั้นตอนปฏิบัติรวมถึงการ เป็นฝ่ายรัน AI เอเยนต์ด้านความปลอดภัยกับโค้ดเบสของตนเองก่อน เพราะการป้องกันที่ดีที่สุดคือการหาและแก้ไขบั๊กที่รุนแรงก่อนที่ผู้โจมตีจะทำได้ การลดระยะเวลาหน่วงในการแพตช์ ก็สำคัญไม่แพ้กัน – ช่องว่างระหว่างการเปิดเผยต่อสาธารณะและการปรับใช้แพตช์ได้กลายเป็นหน้าต่างที่อันตรายที่สุดในยุค AI – ดังนั้นควรให้ความสำคัญสูงสุดกับการสแกนซัพพลายเชนซอฟต์แวร์ของคุณและทำการอัปเดตในวันที่ปล่อยออกมา การมองว่าการเปิดเผยช่องโหว่เป็นปัญหาภาระงานล้น ก็เป็นสิ่งจำเป็น: ทีมส่วนใหญ่ขาดศักยภาพในการตรวจสอบเบื้องต้นกับรายงานที่หลั่งไหลมาจาก AI อย่างฉับพลัน ซึ่งหมายความว่าการสร้างหรือนำระบบตรวจสอบอัตโนมัติที่สามารถกรองสัญญาณออกจากสิ่งรบกวนมาใช้ จะกลายเป็นข้อกำหนดเบื้องต้นสำหรับการดูแลรักษาซอฟต์แวร์ให้ปลอดภัยในไม่ช้า

การเปลี่ยนแปลงที่ถาวร

แพตช์มหึมาของ Chrome 149 และการรณรงค์ FFmpeg ด้วยเงิน $1,000 ของ depthfirst ไม่ใช่ความผิดปกติ แต่มันคือป้ายบอกทาง ตอนนี้โมเดล AI สามารถหาบั๊กที่รอดพ้นจากการตรวจสอบของมนุษย์มาหลายทศวรรษและการทดสอบฟัซซ์อัตโนมัติหลายล้านครั้งได้แล้ว – ในราคาถูกและในระดับกว้างใหญ่ ดังที่บันทึกวิจัยของ Cloud Security Alliance ระบุไว้ แม้แต่โมเดล AI ที่ยังไม่ถึงระดับสุดยอดก็สามารถหา zero-day ได้แล้วในตอนนี้

คอขวดไม่ใช่การค้นพบอีกต่อไปแล้ว แต่มันคือทุกสิ่งที่ตามมา จนกว่าฝั่งการแก้ไขในสมการจะตามทัน – ผ่านระบบอัตโนมัติที่ดีกว่า กระบวนการติดตั้งที่รวดเร็วขึ้น หรือแนวทางสถาปัตยกรรมใหม่เพื่อความปลอดภัยของซอฟต์แวร์ – แต่ละแพตช์ที่ทำลายสถิติ และแต่ละการรันค้นหาที่ถูกแสนถูก คือคำเตือนที่อุตสาหกรรมไม่อาจละเลยที่จะฟัง