เมื่อวันศุกร์ที่ผ่านมา Anthropic เปิดเผยว่า Project Glasswing ได้ช่วยค้นพบช่องโหว่ที่มีความรุนแรงระดับสูง หรือระดับ Critical มากกว่า 10,000 รายการ ในกลุ่มซอฟต์แวร์ระดับโลกที่มีความสำคัญเชิงระบบอย่างมาก นับตั้งแต่โครงการด้านความปลอดภัยทางไซเบอร์ดังกล่าวเริ่มดำเนินการเมื่อเดือนที่ผ่านมา
Project Glasswing เป็นความพยายามเชิงป้องกันที่ริเริ่มโดยบริษัทด้านปัญญาประดิษฐ์ (AI) แห่งนี้ เพื่อรักษาความปลอดภัยของโครงสร้างพื้นฐานกลุ่มซอฟต์แวร์ที่สำคัญระดับโลก โครงการนี้ให้สิทธิ์พันธมิตรกลุ่มเล็ก ๆ จำนวนประมาณ 50 ราย ในการเข้าถึง Claude Mythos Preview ก่อนใครแบบ Exclusive และเป็นโมเดลระดับแนวหน้าที่มีขีดความสามารถในการตรวจหาช่องโหว่ในซอฟต์แวร์ที่มีการใช้งานกันอย่างแพร่หลายได้โดยอัตโนมัติ ก่อนที่ผู้ไม่หวังดีจะสามารถนำช่องโหว่เหล่านั้นไปใช้ในการโจมตี
จากช่องโหว่ทั้งหมดที่ตรวจพบ มีจำนวน 6,202 รายการที่ถูกจัดประเภทเป็นช่องโหว่ที่มีความรุนแรงระดับสูง หรือระดับ Critical ซึ่งส่งผลกระทบต่อโครงการ Open-source มากกว่า 1,000 โครงการ การวิเคราะห์กลุ่มช่องโหว่ที่เข้าข่ายในขั้นตอนต่อมา ยืนยันว่ามีจำนวน 1,726 รายการที่เป็นช่องโหว่จริง โดยมีช่องโหว่จำนวน 1,094 รายการที่ได้รับการประเมินว่ามีความรุนแรงในระดับสูง หรือระดับ Critical
หนึ่งในช่องโหว่ที่ตรวจพบคือช่องโหว่ระดับ Critical ใน WolfSSL (มีหมายเลข CVE-2026-5194, คะแนน CVSS: 9.1) ซึ่งอาจทำให้ผู้โจมตีสามารถปลอมแปลง Certificates และสวมรอยเป็นบริการที่ถูกต้องตามระบบได้ โดยสรุปแล้ว การดำเนินการเหล่านี้ส่งผลให้มีการออกแพตช์แก้ไขช่องโหว่ที่ต้นทางจำนวน 97 รายการ และมีการออกประกาศแจ้งเตือนด้านความปลอดภัยจำนวน 88 ฉบับ
Anthropic ยอมรับว่า "ความง่ายในการค้นหาช่องโหว่เมื่อเทียบกับความยากในการแก้ไขนั้น ถือเป็นความท้าทายหลักสำหรับความปลอดภัยทางไซเบอร์ การรับมือกับความท้าทายนี้ได้สำเร็จจะทำให้ซอฟต์แวร์ของเรามีความปลอดภัยมากกว่าที่เคยเป็นมา"
ความเคลื่อนไหวดังกล่าวเกิดขึ้นในช่วงที่ผู้พัฒนาซอฟต์แวร์กำลังทยอยปล่อยแพตช์แก้ไขออกมามากกว่าที่เคยเป็นมา ซึ่งเป็นผลมาจากการใช้ AI เข้ามาช่วยค้นหาช่องโหว่ที่เพิ่มสูงขึ้นอย่างรวดเร็ว โดย Microsoft ระบุว่าจำนวนแพตช์อัปเดตใหม่ ๆ ที่บริษัทคาดว่าจะปล่อยออกมาในแต่ละเดือนนั้นมีแนวโน้มเพิ่มสูงขึ้นอย่างต่อเนื่องไปอีกระยะหนึ่ง
XBOW เป็นแพลตฟอร์มความปลอดภัยเชิงรุกแบบอัตโนมัติ ได้อธิบายถึง Mythos Preview ว่าเป็นความก้าวหน้าครั้งสำคัญ ที่ทำได้ดีกว่าโมเดลก่อนหน้าอย่างมากในการค้นหากลุ่มช่องโหว่ที่เข้าข่าย และมีความเชี่ยวชาญในการวิเคราะห์ Source code ด้วยมุมมองด้านความปลอดภัย นอกจากนี้ การวิเคราะห์เมื่อเร็ว ๆ นี้ยังพบว่า โมเดลดังกล่าวมีความเชี่ยวชาญในการนำช่องโหว่มาสร้างเป็น End-to-End Attack Chains อีกด้วย
Anthropic ระบุเพิ่มเติมว่า ประโยชน์ของ Mythos Preview ไม่ได้จำกัดอยู่แค่การค้นหาช่องโหว่ด้านความปลอดภัยเท่านั้น ในกรณีหนึ่ง มีรายงานว่าธนาคารพันธมิตรของ Glasswing ได้นำโมเดล AI นี้ไปประยุกต์ใช้เพื่อตรวจจับ และป้องกันการโอนเงินที่มีการฉ้อโกงมูลค่ากว่า 1.5 ล้านดอลลาร์ หลังจากที่ผู้ไม่หวังดีทำการโจมตีระบบบัญชีอีเมลของลูกค้า และปลอมแปลงเบอร์โทรศัพท์เพื่อทำการหลอกลวง
เนื่องจากโมเดลที่มีขีดความสามารถใกล้เคียงกับ Mythos อาจมีการเปิดให้ใช้งานในวงกว้างในอนาคตอันใกล้นี้ Anthropic จึงเรียกร้องให้ผู้พัฒนาซอฟต์แวร์ลดระยะเวลาของรอบการออกแพตช์อัปเดตให้สั้นลง และเตรียมออกแพตช์แก้ไขด้านความปลอดภัยให้พร้อมใช้งานโดยเร็วที่สุด ทั้งนี้ เป็นที่น่าสังเกตว่าเมื่อเร็ว ๆ นี้ Oracle ก็ได้เปลี่ยนมาใช้รอบการออกแพตช์อัปเดตแบบรายเดือน เพื่อรับมือกับช่องโหว่ด้านความปลอดภัยระดับ Critical แล้วเช่นกัน
Anthropic ระบุว่า "Network Defenders ควรลดระยะเวลาในการทดสอบ และการนำแพตช์ไปปรับใช้ให้สั้นลง ขั้นตอนเหล่านี้ครอบคลุมถึงการเสริมความปลอดภัยให้กับการตั้งค่า Default ของเครือข่าย, การบังคับใช้การยืนยันตัวตนแบบ MFA และการเก็บรักษาข้อมูล Logs อย่างครอบคลุมเพื่อการตรวจจับ และการตอบสนอง"
บริษัทด้าน AI แห่งนี้ยังระบุด้วยว่า ได้เปิดตัวโครงการ Cyber Verification Program ซึ่งอนุญาตให้ผู้เชี่ยวชาญด้านความปลอดภัยสามารถใช้โมเดลของตนได้โดยไม่มีข้อจำกัดสำหรับวัตถุประสงค์ที่ถูกต้องเหมาะสม เช่น การวิจัยช่องโหว่ (Vulnerability Research), การทดสอบเจาะระบบ (Penetration Testing) และการจำลองการโจมตี (Red Teaming) สิ่งนี้มีความคล้ายคลึงกับโครงการ Daybreak ของ OpenAI ที่เปิดให้ผู้ปกป้องระบบสามารถนำ GPT-5.5-Cyber ไปใช้ประโยชน์ในกระบวนการทำงานแบบเฉพาะทางได้เช่นกัน
โมเดลอย่าง Mythos Preview และ GPT-5.5-Cyber ยังไม่ได้เปิดให้บุคคลทั่วไปใช้งาน เนื่องจากความกังวลว่าในปัจจุบันยังไม่มีมาตรการป้องกันที่เพียงพอต่อการยับยั้งในการนำโมเดลเหล่านี้ไปใช้ในทางที่ผิดในวงกว้าง
Anthropic ชี้ให้เห็นว่า "Glasswing ช่วยให้ผู้ปกป้องภัยทางไซเบอร์ที่มีความสำคัญเชิงระบบระดับสูงสุด ได้รับความได้เปรียบแบบ Asymmetric อย่างไรก็ตาม ยังมีความจำเป็นเร่งด่วนที่องค์กรต่าง ๆ จะต้องยกระดับการป้องกันทางไซเบอร์ของตนให้ได้มากที่สุดเท่าที่จะเป็นไปได้ เราหวังว่าโมเดลที่มีให้ใช้งานโดยทั่วไปของเรา ตลอดจนเครื่องมือ ทรัพยากร และงานวิจัยใหม่ ๆ ที่เราจัดเตรียมไว้ให้ใช้งานควบคู่กัน จะช่วยสนับสนุนให้องค์กรเหล่านั้นสามารถยกระดับสถานะความปลอดภัยทางไซเบอร์ของตนให้ดียิ่งขึ้นได้"
ที่มา : Thehackernews
You must be logged in to post a comment.