AI ความมั่นคงปลอดภัย เปลี่ยนทีมไซเบอร์ให้ล่าช่องโหว่ก่อนแฮ็กเกอร์

Cyber Verification Program คืออะไร และทำไมจึงสำคัญต่อเกมรับไซเบอร์ยุค AI

Cyber Verification Program คือโครงการที่เปิดให้ทีมไซเบอร์ที่ผ่านการรับรองเข้าถึงโมเดล AI ความมั่นคงปลอดภัยระดับแนวหน้า เพื่อใช้ตรวจสอบความปลอดภัย วิเคราะห์ภัยคุกคาม ค้นหาช่องโหว่ และทำการทดสอบเจาะระบบภายใต้กรอบควบคุมที่เข้มงวด โดยมีโครงสร้างการให้สิทธิ์หลายระดับเพื่อบาลานซ์ระหว่างการใช้ AI เชิงป้องกันและความเสี่ยงจากการใช้งานเชิงโจมตีที่ผิดวัตถุประสงค์ สิ่งที่น่าสนใจคือ Anthropic ไม่เลือกปิดกั้น AI ด้านไซเบอร์ทั้งหมด แต่ปรับโครงสร้าง Cyber Verification Program ใหม่รวมโครงการเดิม 2 โครงการเข้าด้วยกัน และประกาศเปิดตัวโครงสร้างใหม่ในชื่อ CVP เมื่อวันที่ 6 ตุลาคมที่ผ่านมา จุดยืนนี้สะท้อนมุมมองว่าหากเราไม่ปล่อยให้ผู้เชี่ยวชาญใช้ AI เพื่อสำรวจช่องโหว่ก่อน คนที่ได้เปรียบจะกลายเป็นผู้โจมตีที่ไม่เคารพกติกา การเปิดสิทธิ์ให้ทีมไซเบอร์เข้าถึงโมเดลขั้นสูงจึงไม่ใช่ความเสี่ยงล้วนๆ แต่เป็นการเสริมด่านป้องกันเชิงรุกให้ระบบซอฟต์แวร์สำคัญทั่วโลก

สามระดับการเข้าถึง: จากการป้องกันสู่การเจาะระบบด้วย Frontier AI

หัวใจของโครงสร้างใหม่คือการแบ่งสิทธิ์เข้าถึงออกเป็น 3 ระดับที่สะท้อนความเข้มของงานไซเบอร์และการผ่อนปรนข้อจำกัดการใช้งานโมเดล AI ความมั่นคงปลอดภัยทีละขั้น ระดับ Defense Access เน้นงานเชิงรับ เช่น การตอบสนองต่อเหตุการณ์ การวิเคราะห์และวิศวกรรมย้อนกลับมัลแวร์ รวมถึงการยืนยันช่องโหว่ เปิดรับทีมความปลอดภัยขององค์กร ผู้ดูแลโครงสร้างพื้นฐานสำคัญ ผู้ดูแลโอเพนซอร์ส และนักวิจัยอิสระที่มีประวัติการรายงานช่องโหว่อย่างเป็นทางการ ระดับ Red Team Access ขยับไปสู่การเจาะระบบและจำลองสถานการณ์โจมตีแบบเรดทีมในระบบที่ได้รับอนุญาต โดยข้อจำกัดด้านไซเบอร์ถูกลดลงอย่างเห็นได้ชัด ในการทดสอบ CyScenarioBench พบว่าเมื่ออยู่ในระดับ Red Team โมเดล Claude Opus 5.5 สามารถดำเนินการทดสอบจนจบได้ 34 จาก 50 ครั้ง คิดเป็นอัตราความสำเร็จ 67.6% ซึ่งเทียบเท่ากับการทำงานของโมเดลเมื่อไม่มีมาตรการป้องกันเลย ส่วนระดับ Specialized Access เป็นชั้นสูงสุดสำหรับองค์กรที่ได้รับอนุมัติให้ทดสอบระบบที่มีผลต่อความปลอดภัยในชีวิตและโครงสร้างพื้นฐานขั้นวิกฤต เช่น โครงข่ายไฟฟ้า ระบบการบิน และระบบการโอนเงินระหว่างธนาคาร โดย Anthropic จะร่วมตรวจสอบคุณสมบัติอย่างเข้มงวดกับรัฐบาลสหรัฐฯ และย้ายพันธมิตรเดิมจาก Project Glasswing เข้าสู่ระดับนี้โดยตรง

Project Glasswing: หลักฐานว่าการใช้ AI ตรวจโค้ดเชิงรุกได้ผลจริง

การผนวก Project Glasswing เข้า Cyber Verification Program คือสัญญาณชัดเจนว่าแนวทางใช้ AI เพื่อค้นหาช่องโหว่เชิงรุกได้พิสูจน์ตัวเองแล้ว Anthropic ระบุว่าองค์กรพันธมิตรภายใต้โครงการ Glasswing ซึ่งออกแบบมาเพื่อยกระดับความปลอดภัยของซอฟต์แวร์ระบบวิกฤตทั่วโลก สามารถตรวจพบช่องโหว่ที่ผ่านการยืนยันแล้วอย่างน้อย 129,000 รายการ ระหว่างเดือนเมษายนถึงกรกฎาคม ขณะเดียวกันการสแกนโค้ดโอเพนซอร์สของบริษัทเองพบช่องโหว่อีก 5,500 รายการจนถึงเดือนตุลาคม และในบรรดาช่องโหว่ทั้งหมดมีมากกว่า 33,000 รายการถูกจัดให้อยู่ในระดับวิกฤตหรือสูง ตัวเลขเหล่านี้มาจากรายงานของพันธมิตรเพียงบางส่วน และบริษัทเชื่อว่าผลกระทบจริงอาจสูงกว่าที่รายงานอย่างน้อย 5 เท่า นี่คือคำยืนยันเชิงข้อมูลว่าการให้ทีมไซเบอร์ใช้ Frontier AI ตรวจสอบความปลอดภัยของโค้ดเชิงรุกสามารถค้นหาช่องโหว่ที่อาจหลุดรอดจากเครื่องมือแบบเดิมจำนวนมาก และช่วยให้ระบบสำคัญอุดรูรั่วได้ก่อนที่ผู้โจมตีจะมีโอกาสใช้ประโยชน์จากจุดอ่อนเหล่านั้น

ลดข้อจำกัดโมเดล เพื่อให้ทีมไซเบอร์เจาะก่อนแฮ็กเกอร์เจอ

จุดเปลี่ยนทางยุทธศาสตร์ของ Anthropic คือการยอมผ่อนปรนมาตรการความปลอดภัยของโมเดล Frontier AI สำหรับผู้เชี่ยวชาญที่ผ่านการตรวจสอบ แทนที่จะใช้ตัวจำแนกประเภทที่ปิดงานด้านไซเบอร์ส่วนใหญ่เหมือนรุ่นสาธารณะ บริษัทมองว่าความมั่นคงปลอดภัยทางไซเบอร์เป็นเทคโนโลยีใช้งานได้สองทาง จึงเลือกออกแบบ CVP เพื่อให้ทีมไซเบอร์ที่มีใบรับรองสามารถใช้โมเดลที่ทรงพลังที่สุดในกรอบควบคุมที่ชัดเจน การเปิดสิทธิ์ให้ใช้ Claude Opus 5.5, Claude Sonnet 5.5 และ Claude Mythos 5.1 ในทุกระดับของโครงสร้างใหม่ พร้อมคำมั่นว่าจะเพิ่มโมเดลรุ่นใหม่ในอนาคต แปลว่าทีมเจาะระบบและเรดทีมจะไม่ถูกล็อกอยู่กับ AI รุ่นเก่าที่มีข้อจำกัดสูงอีกต่อไป ในระดับ Defense Access แม้การทำงานเชิงรุกส่วนใหญ่ยังถูกบล็อกแบบเรียลไทม์ แต่ในระดับ Red Team ข้อจำกัดแทบหายไป ทำให้ทีมไซเบอร์สามารถจำลองแคมเปญโจมตีซับซ้อน ตรวจสอบความปลอดภัย และเจาะช่องโหว่ในสภาพแวดล้อมที่ใกล้เคียงการโจมตีจริง โดยยังอยู่ภายใต้การเฝ้าระวังและการเก็บข้อมูลสำหรับตรวจสอบการใช้ผิดวัตถุประสงค์ มุมมองเชิงวิจารณ์คือ หากไม่เปิดพื้นที่แบบนี้ให้ผู้เชี่ยวชาญใช้ AI เจาะระบบอย่างถูกกฎหมาย คนที่ได้ใช้ศักยภาพเต็มของ AI ก่อนจะกลายเป็นอาชญากรไซเบอร์ การลดข้อจำกัดแบบค่อยเป็นค่อยไปตามระดับสิทธิ์จึงเป็นทางสายกลางที่สมเหตุผลระหว่างความเสี่ยงกับความจำเป็นในการป้องกัน

อนาคตของ AI ความมั่นคงปลอดภัย: มาตรการคุมเข้มควบคู่การเปิดสิทธิ์

CVP ไม่ได้หยุดอยู่ที่การเปิดโมเดลให้ทีมไซเบอร์ใช้เท่านั้น แต่ยังวางกลไกกำกับการใช้งาน Frontier AI ในระยะยาวด้วย องค์กรที่ลงทะเบียนในโปรแกรมจะต้องยอมให้มีการจัดเก็บข้อมูลการใช้งานเพื่อให้ Anthropic สามารถเฝ้าระวังการนำ AI ไปใช้ในทางที่ผิดได้ และมีแผนเปิดฟีเจอร์ Enterprise Frontier Safeguards ช่วงปลายปี เพื่อให้ลูกค้าที่มีสิทธิ์สามารถเก็บข้อมูลดังกล่าวไว้ในคลาวด์ที่ตนควบคุมเอง พร้อมกันนี้ Anthropic เปิดให้ใช้งานโปรแกรมผ่านแพลตฟอร์ม AI หลักหลายราย ทำให้ CVP มีโอกาสกลายเป็นมาตรฐานกลางสำหรับการใช้ AI ค้นหาช่องโหว่และตรวจสอบความปลอดภัยในองค์กรขนาดใหญ่ ที่สำคัญ สมาชิกทั้งสามระดับจะได้รับสิทธิ์เข้าถึงโมเดล Frontier ปัจจุบันและรุ่นใหม่ที่จะเปิดตัวในอนาคต ซึ่งหมายความว่าทีมไซเบอร์ที่ผ่านการรับรองจะเติบโตไปพร้อมกับศักยภาพของโมเดลรุ่นถัดไปอย่างต่อเนื่อง เมื่อดูภาพรวม การขยาย CVP และการผนวก Glasswing เข้าโครงสร้างเดียวกันคือการประกาศชัดว่าเกมรับไซเบอร์ในยุค AI จะไม่ชนะด้วยไฟร์วอลล์หรือซอฟต์แวร์สแกนแบบเดิมอีกต่อไป แต่ต้องใช้ AI ระดับแนวหน้าในการค้นหาช่องโหว่เชิงรุกและพิสูจน์ภัยคุกคาม ก่อนที่ผู้โจมตีจะได้โอกาสลงมือ