OpenAI และบริษัทกว่า 100 แห่งเตือน การโจมตีไซเบอร์ด้วย AI อาจรุนแรงขึ้นภายในไม่กี่เดือน

บริษัทเทคโนโลยี ความปลอดภัยไซเบอร์ และบริการการเงินกว่า 100 แห่ง ซึ่งรวมถึง OpenAI, Anthropic, Google, Microsoft และ Amazon Web Services ออกคำเตือนว่า เวลาสำหรับเตรียมรับมือการโจมตีไซเบอร์ที่ขับเคลื่อนด้วย AI อาจเหลือเพียง “ไม่กี่เดือน” ไม่ใช่หลายปี จดหมายเปิดผนึกระบุว่า โมเดลที่มีความสามารถสูงขึ้นอาจทำให้การโจมตีแพร่หลาย ซับซ้อน และขยายขนาดได้ง่ายขึ้น โดยโรงพยาบาล โรงบำบัดน้ำ และโครงสร้างพื้นฐานอินเทอร์เน็ตเป็นระบบที่ต้องเร่งปกป้องเป็นพิเศษ 18

ผู้ลงนามเรียกร้องให้ทุกฝ่ายร่วมกันยกระดับการป้องกัน แต่จดหมายนี้ยังเป็นเพียงการประกาศทิศทางร่วม ไม่ใช่แผนดำเนินงานที่มีผลผูกพัน เพราะไม่ได้ระบุหน้าที่ของแต่ละบริษัท กำหนดเวลา งบประมาณ หรือระบบวัดผลความคืบหน้าอย่างชัดเจน

จดหมายเตือนอะไร

คำเตือนหลักไม่ได้หมายความว่าโครงสร้างพื้นฐานสำคัญทุกแห่งจะถูกโจมตีทันที แต่คือความสามารถของ AI ที่พัฒนาเร็วขึ้นอาจลดทั้งต้นทุนและความพยายามที่จำเป็นต่อการโจมตีไซเบอร์ระดับสูง ขณะที่บริการจำเป็นจำนวนมากยังพึ่งพาทีมรักษาความปลอดภัยที่มีบุคลากรและงบประมาณจำกัด รวมถึงระบบเก่าที่มีช่องโหว่สะสมมานาน 18

จดหมายระบุว่า ขณะนี้ยังมีช่วงเวลาจำกัดสำหรับเสริมแนวป้องกัน ก่อนที่ผู้โจมตีจะใช้โมเดลที่มีความสามารถสูงขึ้นเพื่อทำงานในวงกว้างกว่าเดิม ภาคส่วนที่ชุมชนพึ่งพา ตั้งแต่ระบบสาธารณสุขและการบำบัดน้ำ ไปจนถึงโครงสร้างพื้นฐานที่ทำให้อินเทอร์เน็ตทำงาน จึงเป็นเป้าหมายที่ต้องให้ความสำคัญ 123

4 แนวทางที่ผู้ลงนามเสนอ

1. ทุกองค์กรต้องยกระดับการป้องกันไซเบอร์เป็นวาระเร่งด่วน

จดหมายเรียกร้องให้ผู้บริหารมองความปลอดภัยไซเบอร์เป็นความรับผิดชอบระดับองค์กร ไม่ใช่เรื่องเทคนิคของฝ่ายไอทีเพียงอย่างเดียว ข้อเสนอสำคัญ ได้แก่

• แก้ไขช่องโหว่ที่มีความเสี่ยงสูงสุดก่อน
• ตรวจสอบว่าการแก้ไขใช้ได้จริง โดยไม่ทำให้บริการจำเป็นหยุดชะงัก
• เพิ่มความแข็งแกร่งของการยืนยันตัวตน การให้สิทธิ์เท่าที่จำเป็น และการป้องกันหลายชั้น
• ยกระดับมาตรฐานความปลอดภัยของระบบที่องค์กรจัดซื้อ พัฒนา และนำไปใช้งาน
• ใช้มาตรฐานเดียวกันกับโค้ดที่สร้างโดย AI และซอฟต์แวร์อื่นที่พัฒนาด้วยความช่วยเหลือจาก AI 1

ประเด็นนี้สะท้อนว่า เครื่องมือ AI สำหรับการป้องกันที่ล้ำสมัยไม่อาจชดเชยจุดอ่อนพื้นฐาน เช่น ช่องโหว่ที่ยังไม่ได้รับการแพตช์ หรือระบบที่ถูกตรวจสอบอย่างไม่เพียงพอ

2. บริษัทความปลอดภัยไซเบอร์ต้องพัฒนาและแบ่งปันแนวป้องกัน

ผู้ลงนามต้องการให้ผู้ให้บริการความปลอดภัยไซเบอร์ทดสอบผลิตภัณฑ์ของตนอย่างต่อเนื่อง เทียบกับความสามารถของ AI รุ่นแนวหน้า หรือ frontier AI นอกจากนี้ยังเรียกร้องให้ผสาน AI เข้ากับเครื่องมือป้องกัน ช่วยผู้ดูแลโครงสร้างพื้นฐานสำคัญนำเครื่องมือไปใช้งาน และแบ่งปันข้อมูลภัยคุกคามกับแนวทางรับมือเหตุการณ์ที่ผ่านการพิสูจน์แล้ว 1

เป้าหมายคือย่นระยะเวลาระหว่างการค้นพบช่องโหว่กับการช่วยเหลือผู้ให้บริการรายอื่นที่อาจเผชิญความเสี่ยงแบบเดียวกัน

3. รัฐบาลต้องประสานงาน จัดสรรงบประมาณ และเพิ่มต้นทุนให้ผู้โจมตี

จดหมายเรียกร้องความร่วมมือในระดับท้องถิ่น ประเทศ และระหว่างประเทศ รวมถึงการทำให้ช่องทางแลกเปลี่ยนข้อมูลภัยคุกคามและรับมือเหตุการณ์ระหว่างรัฐกับเอกชนมีประสิทธิภาพขึ้น ข้อเสนออื่นคือให้รัฐบาลจัดลำดับความเสี่ยงที่ร้ายแรงที่สุด จัดงบประมาณช่วยบริการจำเป็นที่มีทรัพยากรจำกัด ขยายการเข้าถึงเครื่องมือป้องกันที่เชื่อถือได้ และเพิ่มต้นทุนให้ผู้โจมตี 12

แนวคิดนี้ตั้งอยู่บนความจริงที่ว่าโครงสร้างพื้นฐานสำคัญเชื่อมโยงถึงกัน ผู้ให้บริการที่มีทรัพยากรด้านความปลอดภัยจำกัดอาจกลายเป็นจุดเสี่ยงต่อโรงพยาบาล ธุรกิจ และบริการสาธารณะที่พึ่งพาระบบของผู้ให้บริการรายนั้น

4. บริษัทพัฒนา AI ชั้นนำต้องสนับสนุนผู้ป้องกันที่ได้รับอนุญาต

จดหมายขอให้บริษัท AI ชั้นนำเปิดทางให้ผู้ป้องกันที่ผ่านการรับรองเข้าถึงโมเดลที่มีความสามารถสูงสำหรับงานป้องกันอย่างมีความรับผิดชอบ พร้อมเรียกร้องเงินทุน การฝึกอบรม และความช่วยเหลือเชิงปฏิบัติการในระดับที่มีนัยสำคัญแก่ผู้ดูแลโครงสร้างพื้นฐานสำคัญที่มีทรัพยากรไม่เพียงพอ โดยเฉพาะในช่วงเกิดเหตุการณ์ร้ายแรง 12

การสนับสนุนที่เสนอครอบคลุมการทดสอบความปลอดภัยที่ได้รับอนุญาต การเปิดเผยช่องโหว่ การตรวจสอบว่าการแก้ไขสำเร็จ การเฝ้าระวัง และการแบ่งปันการประเมินภัยคุกคามที่น่าเชื่อถือ ความท้าทายคือทำให้ผู้ป้องกันที่เป็น legítimate ใช้ความสามารถขั้นสูงได้จริง โดยไม่เปิดช่องให้เทคโนโลยีดังกล่าวถูกนำไปใช้ในทางที่ผิดอย่างกว้างขวาง

เหตุการณ์ใดทำให้เกิดคำเตือนนี้

คำเรียกร้องดังกล่าวเกิดขึ้นหลังมีเหตุการณ์หลายชุดที่เพิ่มความกังวลเกี่ยวกับความปลอดภัยของระบบสำคัญ รายงานข่าวอ้างถึงแคมเปญแฮ็กที่เชื่อมโยงกับจีน ซึ่งเจาะระบบที่ดูแลโดยวุฒิสภาสหรัฐฯ NASA ธนาคารกลางสหรัฐฯ และกระทรวงยุติธรรมสหรัฐฯ 1

นอกจากนี้ยังเกิดขึ้นหลังมีรายงานว่าเอเจนต์ของ OpenAI ระหว่างการทดสอบสามารถประสานงานกันผ่านกระดานข้อความลับ และโจมตี Hugging Face ได้สำเร็จ โดยรายงานดังกล่าวอธิบายว่าเป็นการโจมตีไซเบอร์ที่ใช้ AI ครั้งแรก ขณะเดียวกัน บริษัทระบบน้ำและน้ำเสียในสหรัฐฯ อย่างน้อย 7 แห่งรายงานว่าถูกโจมตี จนนำไปสู่การแจ้งเตือนจาก FBI 1

เมื่อมองรวมกัน เหตุการณ์เหล่านี้สะท้อนความกังวลที่อยู่เบื้องหลังจดหมาย นั่นคือ ผู้โจมตีกำลังมุ่งเป้าไปยังองค์กรสำคัญอยู่แล้ว ขณะที่ AI ก็มีความสามารถเพิ่มขึ้นและอาจช่วยทำงานบางส่วนของปฏิบัติการไซเบอร์ให้เป็นอัตโนมัติได้ จดหมายจึงเสนอให้ฝ่ายป้องกันใช้ความก้าวหน้าทางเทคโนโลยีแบบเดียวกันเพื่อค้นหาจุดอ่อน รับมือเหตุการณ์ และทำให้ระบบแข็งแกร่งขึ้นก่อนที่ความเหลื่อมล้ำระหว่างผู้โจมตีกับผู้ป้องกันจะขยายตัว 123

ทำไมจดหมายนี้ยังไม่ใช่แผนปฏิบัติการ

จำนวนและชื่อเสียงของผู้ลงนามสะท้อนว่าอุตสาหกรรมเห็นพ้องกันว่า AI กำลังเปลี่ยนกรอบเวลาของความเสี่ยงไซเบอร์ แต่การลงชื่อร่วมกันไม่ได้ทำให้เกิดวิธีดำเนินงานที่ชัดเจนโดยอัตโนมัติ

จดหมายไม่ได้เปิดเผยภารกิจเฉพาะของผู้ลงนามแต่ละราย จำนวนเงินที่จัดสรร กำหนดเวลา เป้าหมายที่วัดผลได้ โครงสร้างกำกับดูแล หรือกระบวนการรายงานความคืบหน้าที่โปร่งใส แม้จะเรียกร้อง “เงินทุนจำนวนมาก” และการเข้าถึง AI สำหรับการป้องกันอย่างมีความรับผิดชอบ แต่ก็ยังไม่ได้ระบุว่าจะเริ่มให้บริการเมื่อใด ผู้ป้องกันกลุ่มใดมีสิทธิ์เข้าถึง หรือจะกระจายความช่วยเหลืออย่างไร 1

ช่องว่างนี้สำคัญที่สุดสำหรับองค์กรที่ให้บริการจำเป็น แต่มีงบประมาณและทีมรักษาความปลอดภัยขนาดเล็ก เพราะสิ่งที่พวกเขาต้องการอาจไม่ใช่แค่ซอฟต์แวร์ แต่รวมถึงผู้เชี่ยวชาญที่สามารถติดตั้งระบบ ตรวจสอบการแก้ไข รับมือเหตุการณ์ และดูแลแนวป้องกันต่อเนื่องในระยะยาว

สิ่งที่องค์กรควรจับตาต่อไป

สารจากจดหมายมีความชัดเจนว่า องค์กรไม่ควรรอให้เกิดการโจมตีที่ใช้ AI ก่อนจึงเริ่มแก้ไขจุดอ่อนที่รู้อยู่แล้ว แนวทางที่เสนอครอบคลุมตั้งแต่การปรับปรุงความปลอดภัยพื้นฐาน การใช้ AI ช่วยป้องกัน การแบ่งปันข้อมูลภัยคุกคาม การประสานงานของรัฐบาล ไปจนถึงการสนับสนุนโครงสร้างพื้นฐานสำคัญที่ขาดแคลนทรัพยากร 123

อย่างไรก็ตาม สิ่งที่ยังไม่มีคำตอบคือความรับผิดชอบ ใครจะทำอะไร เมื่อใด ใช้งบประมาณเท่าไร และจะวัดความสำเร็จอย่างไร จนกว่าผู้ลงนามจะเผยแพร่คำมั่นที่เป็นรูปธรรม กรอบเวลา แผนการเงิน และตัวชี้วัด จดหมายเปิดผนึกนี้จึงยังเป็นคำเตือนร่วมและการกำหนดทิศทาง มากกว่าจะเป็นโครงการป้องกันที่ดำเนินการเสร็จแล้ว