Anthropic อนุญาต ENISA หน่วยงานความปลอดภัยไซเบอร์ของ EU เข้าถึง AI ล่าช่องโหว่ 'Mythos' ภายใต้โครงการ Project Glasswing

ธนาคารกลางยุโรป (ECB) ได้เรียกประชุมธนาคารในยูโรโซนช่วงปลายเดือนพฤษภาคม 2026 เพื่อหารือเกี่ยวกับความเสี่ยงด้านความปลอดภัยไซเบอร์ที่เกิดจากโมเดล AI อย่าง Mythos แม้ว่าตนเองจะไม่มีเครื่องมือดังกล่าวให้ใช้ก็ตาม ตลอดเดือนพฤษภาคม สถานการณ์ตึงเครียดขึ้นเรื่อยๆ เจ้าหน้าที่คณะกรรมาธิการยุโรปเดินทางไปซานฟรานซิสโกเพื่อขอสิทธิ์เข้าถึงจากผู้บริหารของ Anthropic โดยตรง รัฐมนตรีเศรษฐกิจสเปนระบุต่อสาธารณะว่าความคืบหน้ามี "จำกัด" และการเจรจาระหว่าง EU กับ Anthropic สำหรับการเข้าถึงของสถาบันการเงินอยู่ในภาวะชะงักงัน

ในช่วงปลายเดือนพฤษภาคม สื่อต่างๆ มองว่าการที่ EU ไม่มีสิทธิ์เข้าถึงนั้นเป็น "ช่องว่างทางเทคโนโลยีและสถาบันในขีดความสามารถด้านความปลอดภัยทางไซเบอร์" โดยชี้ว่าในขณะที่ธนาคารกลางสหรัฐฯ (Federal Reserve), กระทรวงการคลังสหรัฐฯ (U.S. Treasury) และธนาคารกลางอังกฤษ (Bank of England) ได้รับฟังบรรยายสรุปไปแล้ว แต่ไม่มีสถาบันใดของ EU ได้รับอนุญาตให้ใช้งาน การตัดสินใจในวันที่ 1 มิถุนายนที่จะรวม ENISA เข้าเป็นส่วนหนึ่งของโครงการจึงเป็นการตอบสนองโดยตรงต่อแรงกดดันสาธารณะนี้

ศักยภาพอันไร้เทียมทานของ Mythos

การจะเข้าใจความสำคัญของการเข้าถึงนี้ ต้องเข้าใจว่า Mythos ทำอะไรได้บ้าง Claude Mythos Preview ไม่ใช่แค่แชทบอทธรรมดา แต่มันคือโมเดล AI ที่เมื่อได้รับคำสั่งแล้ว สามารถอ่านโค้ด ตั้งสมมติฐาน รันการทดสอบ และเขียนโค้ดโจมตีที่ใช้งานได้จริงด้วยตัวเอง โดยไม่ต้องพึ่งพามนุษย์เลย ในการประเมินเบื้องต้น มันค้นพบช่องโหว่ซีโร่เดย์ระดับร้ายแรงหลายพันรายการในทุกระบบปฏิบัติการหลัก รวมถึง Windows, macOS, Linux และทุกเว็บเบราว์เซอร์หลัก

ผลการค้นพบบางส่วนน่าตกตะลึง Mythos ค้นพบบั๊กอายุ 27 ปีในระบบ TCP SACK ของ OpenBSD, ข้อบกพร่องอายุกว่า 16 ปีใน FFmpeg และยังสามารถเชื่อมโยงช่องโหว่ 4 รายการด้วยตัวเองเพื่อหลบหนีออกจากแซนด์บ็อกซ์ของเบราว์เซอร์ได้ มันสร้างช่องโหว่ที่ใช้งานได้จริง 181 รายการสำหรับ Firefox 147 ในขณะที่โมเดลที่ดีที่สุดก่อนหน้านี้ทำได้เพียง 2 รายการ ภายในวันที่ 23 พฤษภาคม 2026 ความพยายามเหล่านี้ขยายผลมหาศาล: พันธมิตรในโครงการรายงานว่าพบช่องโหว่ระดับสูงหรือวิกฤติมากกว่า 10,000 รายการในซอฟต์แวร์ที่มีความสำคัญเชิงระบบ โดย Cloudflare เพียงบริษัทเดียวพบบั๊กเกือบ 2,000 ตัว ด้วยอัตราการแจ้งเตือนผิดพลาด (false-positive) ที่ต่ำกว่าผู้ทดสอบที่เป็นมนุษย์

กรอบการทำงานเชิงรับของ Project Glasswing

แม้โมเดลจะมีพลังในการโจมตีมหาศาล แต่การเข้าถึงถูกควบคุมด้วยเงื่อนไขที่เข้มงวด พันธมิตรทั้งหมดต้องใช้ Mythos Preview สำหรับงานความปลอดภัยเชิงรับเท่านั้น หมายถึงการระบุ แก้ไข และรายงานช่องโหว่ในซอฟต์แวร์สำคัญ เงื่อนไขระบุห้ามใช้ในการปฏิบัติการโจมตีทางไซเบอร์อย่างเด็ดขาด Anthropic ทุ่มงบประมาณสูงถึง 100 ล้านดอลลาร์สหรัฐฯ ในรูปแบบเครดิตการใช้งานสำหรับโครงการนี้ และบริจาคอีก 4 ล้านดอลลาร์สหรัฐฯ ให้กับองค์กรความปลอดภัยแบบโอเพนซอร์ส

การมี ENISA เข้าร่วมหมายความว่าขณะนี้ EU สามารถใช้ศักยภาพด้านการป้องกันนี้กับโครงสร้างพื้นฐานสำคัญของตนเองได้แล้ว สถาบันต่างๆ ในยุโรปเผชิญความเสี่ยงที่แท้จริงจากฝ่ายตรงข้ามที่อาจเข้าถึงหรือเลียนแบบศักยภาพ AI ที่คล้ายคลึงกันนี้ ECB ได้เตือนธนาคารในยูโรโซนแล้วว่าภัยคุกคามไซเบอร์ที่ขับเคลื่อนด้วย AI โดยอ้างถึงเครื่องมือระดับเดียวกับ Mythos คือข้อกังวลอันดับต้นๆ การเข้าถึงของ ENISA จะช่วยให้มองเห็นภาพรวมของภัยคุกคามได้โดยตรง และสามารถทดสอบระบบป้องกันของยุโรปกับเครื่องสแกนช่องโหว่ AI ที่ล้ำหน้าที่สุดเท่าที่รู้จัก

สิ่งที่ข้อตกลงนี้ครอบคลุมไปไม่ถึง

ข้อตกลงนี้เป็นก้าวสำคัญสู่ความมั่นคงอธิปไตยทางไซเบอร์ของ EU แต่ขอบเขตยังมีจำกัด แม้ขณะนี้ ENISA จะมีที่ทางแล้ว แต่การเข้าถึงสำหรับสถาบันการเงินในยุโรปในวงกว้างและประเทศสมาชิกแต่ละประเทศยังคงไม่ได้รับการแก้ไข ในช่วงปลายเดือนพฤษภาคม 2026 การเจรจาเกี่ยวกับการทดสอบสำหรับธนาคารยุโรปยังคงหยุดชะงัก การเป็นสมาชิกของ ENISA ใน Project Glasswing ปิดช่องว่างทางการทูต แต่ยังไม่ได้ขยายขอบเขตการป้องกันของโมเดลนี้ไปทั่วยุโรป