OpenHack: เวิร์กโฟลว์โอเพ่นซอร์สที่เปลี่ยน AI ให้เป็นนักตรวจช่องโหว่ในโค้ด

การผสานเข้ากับเครื่องมือพัฒนาเหล่านี้ทำให้ทีมพัฒนาและทีมความปลอดภัยสามารถรันการตรวจสอบช่องโหว่ได้ระหว่างการพัฒนา แทนที่จะต้องรอการ audit แยกในภายหลัง

ปัญหาของการให้ LLM ตรวจโค้ดแบบทั่วไป

แม้ LLM จะอ่านโค้ดและให้เหตุผลเกี่ยวกับ logic ของโปรแกรมได้ แต่การใช้ prompt แบบกว้าง ๆ เช่น “ช่วยหาช่องโหว่ในโค้ดนี้” มักให้ผลลัพธ์ที่ไม่น่าเชื่อถือ

ปัญหาที่พบได้บ่อย ได้แก่

• False positives สูง โมเดลรายงานสิ่งที่ไม่ใช่ช่องโหว่
• Hallucinated vulnerabilities AI สร้างช่องโหว่ที่ไม่มีอยู่จริง
• ผลลัพธ์ไม่สม่ำเสมอ ขึ้นอยู่กับคำถามหรือบริบทที่ให้กับโมเดล

OpenHack จึงแก้ปัญหาด้วยการแทนที่ prompt แบบเปิดกว้างด้วยกระบวนการตรวจสอบที่เป็นขั้นตอนชัดเจน

การวิเคราะห์แบบ Scenario‑Based

หนึ่งในแนวคิดหลักของ OpenHack คือการจำกัดขอบเขตการตรวจสอบให้เป็น scenario หรือรูปแบบการโจมตีเฉพาะ แทนที่จะสแกนโค้ดทั้งหมดแบบกว้าง

ตัวอย่างเช่น โมเดลอาจถูกกำหนดให้

• ติดตามเส้นทางข้อมูลจาก input ของผู้ใช้
• ค้นหาความเสี่ยงของ Local File Inclusion (LFI)
• วิเคราะห์การเก็บ credential หรือการตั้งค่า cloud

การกำหนดเป้าหมายชัดเจนทำให้โมเดลโฟกัสกับโจทย์เดียว และช่วยให้การวิเคราะห์มีเหตุผลมากขึ้น ลดคำแนะนำทั่วไปที่ไม่เกี่ยวข้อง

การแยกขั้นตอนค้นหาและตรวจสอบ

OpenHack ยังใช้แนวคิด แยก discovery ออกจาก validation เพื่อช่วยลดรายงานที่ผิดพลาด

ในเวิร์กโฟลว์ทั่วไป

1. AI agent หนึ่งตัวระบุช่องโหว่ที่เป็นไปได้
2. ขั้นตอนหรือ agent อื่นทำหน้าที่ตรวจสอบ (triage)
3. ต้องมีหลักฐาน เช่น เส้นทางโค้ดหรือขั้นตอน exploit ก่อนยืนยันว่าเป็นช่องโหว่จริง

กระบวนการนี้บังคับให้โมเดลต้องรวบรวมหลักฐานก่อนรายงาน ทำให้คุณภาพของผลลัพธ์ดีขึ้น

การทดสอบกับโค้ดของหน่วยงานรัฐบาลเนเธอร์แลนด์

Hadrian ระบุว่าแนวทางเดียวกับ OpenHack ถูกใช้ตรวจสอบแอปพลิเคชันโอเพ่นซอร์สที่หน่วยงานรัฐบาลเนเธอร์แลนด์ใช้งาน และพบ ช่องโหว่หลายร้อยรายการภายในเวลาไม่กี่ชั่วโมง

ตัวอย่างหนึ่งที่บริษัทกล่าวถึงคือ

• ช่องโหว่ unauthenticated Local File Inclusion (LFI)
• การเปิดเผย Azure credentials
• และเส้นทางที่อาจนำไปสู่ Remote Code Execution ในสภาพแวดล้อม Azure

อย่างไรก็ตาม ข้อมูลผลลัพธ์ส่วนใหญ่รายงานโดยบริษัทผู้พัฒนาเอง จึงควรตีความอย่างระมัดระวังจนกว่าจะมีการตรวจสอบจากแหล่งอิสระเพิ่มเติม

เหตุผลที่ Hadrian เปิดซอร์ส OpenHack

Hadrian เผยแพร่ OpenHack บน GitHub ภายใต้ MIT license พร้อมเอกสาร ชุด prompt เครื่องมือ CLI และการรองรับ Python 3.9 ขึ้นไป

เป้าหมายของบริษัทคือ “ทำให้สนามแข่งขันเท่าเทียมกัน” ในการค้นหาช่องโหว่ด้วย AI เพราะหากเครื่องมือประเภทนี้มีเฉพาะในองค์กรเอกชนหรือผู้โจมตี ฝ่ายป้องกันอาจตามไม่ทัน

แนวโน้มใหญ่: AI ในงานตรวจสอบความปลอดภัยซอฟต์แวร์

OpenHack สะท้อนแนวโน้มที่กำลังเติบโตในอุตสาหกรรมซอฟต์แวร์ นั่นคือการใช้ AI agents วิเคราะห์ codebase ขนาดใหญ่ เพื่อค้นหาข้อผิดพลาดหรือช่องโหว่

ปัจจุบันเครื่องมือพัฒนาแบบ AI‑native สามารถเข้าใจสถาปัตยกรรมของโปรเจกต์ วิเคราะห์ repository และทำงานอัตโนมัติหลายขั้นตอนได้แล้ว

เวิร์กโฟลว์อย่าง OpenHack จึงพยายามนำความสามารถเหล่านั้นมาใช้ในงานด้านความปลอดภัย โดยเปลี่ยน LLM จากผู้ช่วยที่คาดเดายาก ให้กลายเป็นผู้ตรวจสอบช่องโหว่ที่ทำงานอย่างเป็นระบบและตรวจสอบได้

เมื่อเครื่องมือ AI ถูกใช้ในกระบวนการพัฒนามากขึ้น วิธีการที่เน้น ขอบเขตการวิเคราะห์ที่ชัดเจน การรวบรวมหลักฐาน และการตรวจสอบซ้ำอย่างอิสระ อาจกลายเป็นพื้นฐานสำคัญของการตรวจสอบความปลอดภัยด้วย AI ในอนาคต