ผลทดสอบ Claude Mythos: เมื่อ AI ไม่ได้แค่หาบั๊ก แต่เชื่อมมันเป็นการโจมตีได้

สร้างโค้ด Exploit แบบ Proof‑of‑Concept ได้เอง

อีกหนึ่งความสามารถสำคัญคือการ สร้าง proof‑of‑concept (PoC) exploit แบบอัตโนมัติ

จากการทดลองของ Cloudflare โมเดลสามารถทำกระบวนการต่อไปนี้ได้เอง:

• เขียนโค้ดที่ใช้กระตุ้นช่องโหว่
• คอมไพล์และรันโค้ดในสภาพแวดล้อมทดสอบ
• วิเคราะห์ผลลัพธ์หรือข้อผิดพลาด
• ปรับวิธีการแล้วลองใหม่

กระบวนการแบบวนลูปนี้ทำให้โมเดลสามารถเปลี่ยนจากการ “พบช่องโหว่” ไปสู่การ พิสูจน์ว่าช่องโหว่นั้นใช้โจมตีได้จริง โดยแทบไม่ต้องมีมนุษย์ช่วย

สำหรับทีมความปลอดภัย ขั้นตอนสร้าง PoC มักเป็นงานที่ใช้เวลามาก เพราะต้องพิสูจน์ว่าบั๊กนั้น exploitable จริง การทำขั้นตอนนี้แบบอัตโนมัติช่วยให้จัดลำดับความสำคัญของการแก้ไขช่องโหว่ได้เร็วขึ้น

หลักฐานของความสามารถด้านการวิเคราะห์ exploit

เอกสารของ Anthropic เกี่ยวกับ Mythos Preview ยังกล่าวถึงความสามารถที่ทดสอบภายใน เช่น

• การค้นพบ zero‑day vulnerabilities ในโค้ดโอเพนซอร์สจริง
• การ reverse‑engineer เทคนิค exploit จากซอฟต์แวร์แบบปิดซอร์ส
• การเปลี่ยน N‑day vulnerabilities (ช่องโหว่ที่รู้จักแล้วแต่ยังไม่ได้แพตช์ในวงกว้าง) ให้กลายเป็น exploit ที่ใช้งานได้

สิ่งเหล่านี้ชี้ว่าโมเดลถูกออกแบบมาเพื่อการวิเคราะห์ช่องโหว่และการสร้าง exploit โดยเฉพาะ ไม่ใช่แค่ช่วยเขียนโค้ดทั่วไป

ข้อจำกัดที่พบ: False positives และการปฏิเสธคำสั่งไม่สม่ำเสมอ

แม้ Mythos จะมีความสามารถสูง แต่การทดสอบก็พบจุดอ่อนสำคัญหลายอย่าง

รายงานช่องโหว่ผิด (False positives)

โมเดลบางครั้งรายงานช่องโหว่ที่ ไม่สามารถโจมตีได้จริง หรือจัดประเภทผิด โดยเฉพาะในโครงการที่เขียนด้วยภาษาอย่าง C หรือ C++ ซึ่งมีความเสี่ยงด้านหน่วยความจำสูง ทำให้ยังต้องมีการตรวจสอบโดยมนุษย์

การปฏิเสธคำสั่งไม่สม่ำเสมอ

Cloudflare ยังพบพฤติกรรมด้านความปลอดภัยที่ ไม่คงที่ บางครั้งโมเดลจะระบุเส้นทางโจมตีได้ แต่ปฏิเสธที่จะสาธิตหรือสร้าง exploit ต่อเพราะระบบป้องกันภายใน ขณะที่บางกรณีกลับดำเนินการต่อไปได้ไกลกว่านั้นก่อนหยุด

สิ่งนี้สะท้อนความท้าทายของการออกแบบ AI ที่ต้อง มีความสามารถด้านการวิจัยความปลอดภัย แต่ก็ต้องป้องกันการนำไปใช้โจมตี

ทำไมผลลัพธ์นี้จึงสำคัญต่อโลกไซเบอร์ซีเคียวริตี้

การทดลองของ Cloudflare ชี้ให้เห็นการเปลี่ยนแปลงสำคัญของงานวิจัยด้านช่องโหว่ซอฟต์แวร์

สำหรับฝ่ายป้องกัน ระบบแบบ Mythos อาจช่วย:

• ค้นพบ exploit chain ที่เครื่องสแกนทั่วไปมองไม่เห็น
• ตรวจสอบว่าช่องโหว่ exploitable จริงหรือไม่ได้เร็วขึ้น
• ช่วยทีมพัฒนาเลือกแก้บั๊กที่มีความเสี่ยงสูงก่อน

แต่ในอีกด้านหนึ่ง ความสามารถเดียวกันนี้ก็สร้างความกังวล หากโมเดลลักษณะนี้ตกไปอยู่ในมือผู้โจมตี เพราะมันสามารถลดทั้ง ทักษะและเวลาที่ต้องใช้ในการสร้าง exploit จริง

Cloudflare จึงชี้ว่าการ “แพตช์ให้เร็วขึ้น” เพียงอย่างเดียวอาจไม่พออีกต่อไป เมื่อ AI สามารถค้นหาและเชื่อมช่องโหว่ได้ในระดับอัตโนมัติ องค์กรอาจต้องปรับสถาปัตยกรรมการจัดการช่องโหว่ใหม่ทั้งหมด

ปัญหาเทคโนโลยีแบบ Dual‑Use

Claude Mythos Preview เป็นตัวอย่างชัดของเทคโนโลยีแบบ dual‑use คือสามารถใช้ได้ทั้งเพื่อป้องกันและเพื่อโจมตี

• สำหรับนักวิจัยความปลอดภัย มันช่วยค้นหาช่องโหว่ก่อนที่ผู้โจมตีจะเจอ
• แต่ในบริบทเชิงรุก ความสามารถเดียวกันอาจช่วยเร่งการสร้าง exploit

ด้วยเหตุนี้ โมเดลจึงยัง ไม่ได้เปิดให้ใช้งานสาธารณะ และถูกจำกัดให้เฉพาะองค์กรที่เข้าร่วม Project Glasswing เพื่อการทดสอบด้านความปลอดภัยเท่านั้น

ผลการทดลองของ Cloudflare จึงเป็นสัญญาณว่า AI กำลังขยับจากการช่วยเขียนโค้ด ไปสู่การ วิเคราะห์ช่องโหว่และสร้างการโจมตีแบบครบกระบวนการ ซึ่งอาจเปลี่ยนทั้งวิธีป้องกันและวิธีโจมตีในโลกไซเบอร์ในอนาคตอันใกล้