OSS VRP คืออะไร และทำไมการพักโครงการครั้งนี้จึงน่ากังวล
โครงการ Open Source Software Vulnerability Reward Program หรือ OSS VRP คือ bug bounty program ที่มอบรางวัลให้ผู้ค้นพบช่องโหว่ในซอฟต์แวร์โอเพนซอร์สของ Google โดยใช้โมเดลการร่วมมือกับนักวิจัยและนักพัฒนาเพื่อยกระดับ open source security ผ่านการ vulnerability reporting ที่เปิดรับจากสาธารณะ แนวคิดสำคัญคือใช้พลังของชุมชนสายความปลอดภัยช่วยตรวจสอบโค้ดจำนวนมหาศาลที่องค์กรเดียวไม่อาจดูแลได้ในเวลาอันจำกัด แต่เมื่อเครื่องมือ AI ทำให้การส่งรายงานเป็นเรื่องง่ายมาก โครงสร้างแบบ crowdsourced นี้กลับเริ่มถูกถล่มด้วย AI-generated spam จนสัญญาณที่มีค่าถูกกลบด้วยเสียงรบกวน
ประเด็นที่ควรกระตุกต่อมคิดคือ การตัดสินใจของ Google ในวันที่ 3 ตุลาคม 2026 ที่ประกาศสั่งระงับการรับรายงานช่องโหว่ใน OSS VRP แบบไม่มีกำหนด นี่ไม่ใช่แค่การพักโครงการหนึ่งรายการ แต่คือการยอมรับว่าระบบความปลอดภัยที่พึ่งพาการมีส่วนร่วมจากมวลชนเริ่มรับมือกับ AI ไม่ไหว เมื่อ bug bounty program ที่ออกแบบมาเพื่อดึงพลังจากแฮกเกอร์สายขาวถูกบังคับให้หยุด เพราะไม่อาจแยกสแปมออกจากรายงานจริงได้ นั่นสะท้อนว่าพื้นฐานการออกแบบแพลตฟอร์ม crowdsourced security ยังไม่ทันกับยุคที่ใครก็สามารถสั่งให้โมเดลภาษาผลิต “รายงานช่องโหว่” จำนวนมากได้ภายในไม่กี่นาที
คลื่นรายงานขยะจาก AI: เมื่อจำนวนมากกว่าคุณภาพ
หัวใจของปัญหานี้คือคลื่นรายงานขยะที่สร้างด้วยปัญญาประดิษฐ์ หรือ AI-generated spam ที่ทะลักเข้าสู่ระบบ OSS VRP จนโครงการต้องหยุดรับข้อมูลชั่วคราว ผู้ใช้จำนวนมากนำสคริปต์อัตโนมัติไปสั่งให้โมเดลภาษาขนาดใหญ่สแกนโค้ดโอเพนซอร์สและผลิตรายงานนับหมื่นฉบับ ซึ่งส่วนใหญ่เป็นรายงานเท็จ รายงานที่โจมตีไม่ได้จริง หรือถึงขั้นเป็นภาพหลอนที่โมเดลแต่งโค้ดปลอมขึ้นมาเอง แน่นอนว่าผู้ส่งหวังจะคว้ารางวัลจาก bug bounty program แต่ต้นทุนที่แท้จริงกลับถูกผลักไปให้ทีมวิศวกรความปลอดภัยที่ต้องตรวจสอบทุกเคส
ผลลัพธ์คือวิศวกรต้องเสียเวลาหลายร้อยชั่วโมงไปกับการตรวจโค้ดปลอมและรายงานที่ไม่มีสาระ แทนที่จะมุ่งแก้ไขช่องโหว่ระดับวิกฤตจากนักวิจัยตัวจริง ระบบ vulnerability reporting ที่เคยช่วยเพิ่มความเร็วในการค้นพบช่องโหว่ กลับกลายเป็นคอขวดใหม่ เมื่อสัญญาณถูกกลบด้วย noise จาก AI อย่างรุนแรง ด้านหนึ่งเครื่องมือ AI กำลังช่วยองค์กรค้นพบช่องโหว่ได้มากขึ้น เห็นภาพจากกรณีที่มีโมเดลช่วยให้บริษัทหนึ่งเพิ่มจำนวนการอุดช่องโหว่จาก 79 รายการในเดือนมีนาคมเป็น 966 รายการในเดือนกันยายนภายในครึ่งปี แต่อีกด้านหนึ่ง เมื่อไม่มีเกณฑ์คัดกรองที่ดี AI ก็ทำให้แพลตฟอร์มท่วมไปด้วยข้อมูลที่ใช้การไม่ได้
ไม่ใช่แค่ Google: โอเพนซอร์สทั้งระบบกำลังสำลักสแปมจาก AI
การหยุด OSS VRP ของ Google เป็นเพียงตัวอย่างหนึ่งในภาพใหญ่ของวิกฤต open source security ที่พึ่งพา crowdsourced vulnerability reporting แพลตฟอร์มอื่นก็เริ่ม “สำลัก” AI-generated spam เช่นกัน ก่อนหน้านี้โครงการโอเพนซอร์สอย่าง curl เคยประกาศยกเลิก bug bounty program บนแพลตฟอร์มชื่อดัง เพราะถูกถล่มด้วยรายงานช่องโหว่ปลอมและปัญหาที่ไม่จริงจนโครงการไม่สามารถดำเนินต่อได้ ขณะที่ผู้นำรายชื่อเมลความปลอดภัยของ Linux ก็เคยออกมาบอกว่ารายงานที่ใช้ AI สร้างกำลังทำให้ลิสต์ “แทบจัดการไม่ได้เลย” จากความซ้ำซ้อนและความไม่มีคุณภาพของข้อมูล
คำเตือนที่น่าจดจำคือ ประโยคที่บอกว่า “Google is not the first company whose bug bounty program choked to death on AI slop” ซึ่งชี้ว่าปัญหานี้เป็นแนวโน้ม ไม่ใช่เหตุการณ์โดดเดี่ยว เครื่องมือ AI ที่ควรช่วยให้ผู้ดูแลโอเพนซอร์สค้นพบช่องโหว่เร็วขึ้น กลับถูกใช้แบบไร้การกลั่นกรอง หลายคนตั้ง prompt ง่ายๆ ปล่อยให้โมเดลวิเคราะห์แบบไม่มีบริบทและไม่มีการตรวจสอบของมนุษย์ ผลลัพธ์คือ “การค้นพบ” จำนวนมหาศาลที่ผิดพลาด ไม่สามารถยืนยันได้ หรือเป็นภาพหลอน รวมถึงแพตช์ที่ครึ่งหนึ่งไม่สามารถปิดช่องโหว่ได้ครบ 49.3 เปอร์เซ็นต์ของแพตช์ที่สร้างด้วย AI ยังปล่อยเส้นทางโจมตีบางส่วนไว้ตามผลการทดสอบหนึ่ง
ด้านมืดของ AI ในโลกความปลอดภัยไซเบอร์
สิ่งที่น่ากังวลที่สุดไม่ใช่แค่ภาระงานที่เพิ่มขึ้น แต่มุมที่บ่งชี้ว่า AI สามารถถูกใช้เป็นอาวุธเพื่อลดทอนโครงสร้างความปลอดภัยแบบ crowdsourced ได้จริง เหตุการณ์ OSS VRP สะท้อนด้านมืดของการนำ AI มาใช้ในวงการความปลอดภัยไซเบอร์โดยไร้ความรับผิดชอบ เมื่อใครก็สามารถกดปุ่มให้โมเดลผลิตรายงานช่องโหว่จำนวนมากไปท่วมแพลตฟอร์ม bug bounty ผลคืออาสาสมัคร นักวิจัย และวิศวกรต้องหันไปจัดการกับสแปมแทนการแก้ปัญหาจริง ในทางปฏิบัติ นี่ไม่ต่างจากการโจมตีเชิงโครงสร้าง ที่ทำให้ระบบรับแจ้งเตือนด้านความปลอดภัยด้อยประสิทธิภาพลง
ผลวิจัยด้านแพตช์จาก AI ยังตอกย้ำภาพนี้เพิ่มเติม มีการทดสอบพบว่าประมาณครึ่งหนึ่งของชุดแพตช์จาก AI ล้มเหลวในการอุดช่องโหว่ทั้งหมด 49.3 เปอร์เซ็นต์ยังปล่อยเส้นทางโจมตีอย่างน้อยหนึ่งเส้นทางอยู่ ขณะที่ 20.1 เปอร์เซ็นต์แม้จะแก้ปัญหาหลักแต่ไปเปลี่ยนพฤติกรรมของแอปพลิเคชัน และ 2.3 เปอร์เซ็นต์ถึงขั้นสร้างช่องโหว่ใหม่ ตัวเลขเหล่านี้สะท้อนว่า การใช้ AI โดยไม่มีบริบทและการตรวจสอบจากมนุษย์ทำให้ระบบป้องกันกลายเป็นแหล่งเสี่ยงใหม่ การอุดช่องโหว่แบบอัตโนมัติที่ดูเหมือน “ดีบนกระดาษ” สามารถแปรเปลี่ยนเป็นการเปิดช่องให้ผู้โจมตีได้หากไม่มีการออกแบบและตรวจทานอย่างรอบคอบ
หลังหยุดรับรายงาน: Google และอนาคตของ bug bounty ยุค AI
คำถามสำคัญคือ แล้วต่อไปองค์กรควรจัดการ bug bounty program และ open source security อย่างไรในโลกที่ AI สร้างทั้งโอกาสและสแปมไปพร้อมกัน Google ระบุว่าการพักรับรายงานช่องโหว่ในระดับผลิตภัณฑ์ของ OSS VRP จะยืดไปถึงต้นปี 2027 เพื่อปรับโครงสร้างเกณฑ์การรับข้อมูลและวางระบบคัดกรองอัตโนมัติ ข้อความประกาศหนึ่งระบุชัดว่า “This pause is due to a significant rise in automated submissions, the vast majority of which are not valid” และจะมีการให้ข้อมูลอัปเดตในไตรมาสแรกของปี 2027 นั่นหมายความว่าบริษัทกำลังยอมรับว่าจำเป็นต้องออกแบบระบบกรอง noise ใหม่ทั้งหมด
ในระหว่างพัก OSS VRP Google หันไปสนับสนุนให้ผู้ค้นพบช่องโหว่ส่งรายงานไปยังโปรแกรม VRP อื่นหรือใช้ Patch Rewards Program แทน พร้อมย้ำว่าการหยุดครั้งนี้ไม่กระทบต่อรายงานซัพพลายเชนหรือเคสที่ค้างอยู่ มองในมุมสร้างสรรค์ เหตุการณ์นี้คือโอกาสในการวางมาตรฐานใหม่ให้วงการ ตั้งแต่การกำหนดให้ทุก vulnerability reporting ต้องมีหลักฐานเชิงเทคนิคที่ชัดเจน ไปจนถึงการใช้ระบบจัดอันดับความน่าเชื่อถือของผู้ส่ง และฝังกลไกตรวจจับ AI-generated spam ตั้งแต่ต้นทาง หากทำสำเร็จ เราอาจเห็นยุคใหม่ของ bug bounty ที่ใช้ AI เป็นเครื่องมือช่วยมนุษย์มากกว่าปล่อยให้ AI เป็นผู้สร้างภาระงาน คำสรุปของเรื่องนี้ชัดเจนว่า ความปลอดภัยแบบ crowdsourced จะอยู่รอดในยุค AI ได้ก็ต่อเมื่อเราออกแบบระบบที่ให้รางวัลกับคุณภาพมากกว่าปริมาณ และไม่ปล่อยให้สแปมทำลายความร่วมมือของมนุษย์
