เมื่อ AI กลายเป็นอาวุธไซเบอร์ โลกกำลังเข้าสู่ยุคที่ “ช่องโหว่” เกิดขึ้นเร็วกว่าที่มนุษย์จะมองเห็น

ในโลกการเงิน ความเสี่ยงที่มองไม่เห็นมักน่ากลัวกว่าความเสี่ยงที่อยู่ตรงหน้า สำหรับธนาคารขนาดใหญ่อย่าง JPMorgan Chase ภัยไซเบอร์ไม่ใช่เรื่องใหม่ บริษัทใช้ทรัพยากรมหาศาลในการป้องกันระบบจากการโจรกรรมข้อมูล การโจมตีโครงสร้างพื้นฐาน และภัยคุกคามดิจิทัลมานานหลายปี

แต่ Jamie Dimon ประธานและซีอีโอของ JPMorgan Chase กำลังชี้ให้เห็นว่าเกมกำลังเปลี่ยนไป สิ่งที่เปลี่ยนไม่ได้มีเพียงความสามารถของแฮกเกอร์ หากแต่เป็นความสามารถของ “AI” ที่กำลังเข้ามาอยู่ตรงกลางของสมรภูมิไซเบอร์

คำเตือนของ Dimon มีน้ำหนักเพราะเขาไม่ได้มองเรื่องนี้จากห้องทดลอง AI แต่จากมุมของผู้บริหารองค์กรที่ต้องปกป้องเงิน ข้อมูล และธุรกรรมของผู้คนจำนวนมหาศาล

ในการให้สัมภาษณ์เมื่อวันที่ 6 ตุลาคม เขาประเมินว่าความเสี่ยงด้านไซเบอร์เพิ่มขึ้นอย่างมากหลังการเกิดขึ้นของระบบ AI ขั้นสูงอย่าง Mythos และกล่าวถึงความเสี่ยงที่อาจเพิ่มขึ้นหลายเท่าตัว

คำถามสำคัญจึงไม่ใช่เพียงว่า “AI จะเก่งขึ้นแค่ไหน?” แต่คือ “เมื่อ AI เก่งขึ้น โลกดิจิทัลจะปลอดภัยขึ้นหรืออันตรายขึ้น?”

จากแฮกเกอร์ที่เป็นมนุษย์ สู่ AI ที่สามารถลงมือทำเอง

ในอดีต การโจมตีทางไซเบอร์ส่วนใหญ่ต้องอาศัยมนุษย์เป็นผู้ควบคุม ตั้งแต่การค้นหาระบบที่มีช่องโหว่ ไปจนถึงการตัดสินใจว่าจะโจมตีอย่างไร เครื่องมืออัตโนมัติมีอยู่แล้ว แต่โดยทั่วไปยังต้องทำงานภายใต้คำสั่งและการกำกับของคน

AI รุ่นใหม่กำลังเปลี่ยนสมการนี้ เพราะมันไม่ได้ทำหน้าที่เพียงตอบคำถามหรือสร้างข้อความอีกต่อไป แต่สามารถวิเคราะห์ข้อมูล เขียนและตรวจสอบโปรแกรม ค้นหาความผิดปกติ และในบางสภาพแวดล้อมสามารถโต้ตอบกับระบบคอมพิวเตอร์และอินเทอร์เน็ตได้

นี่คือเหตุผลที่คำว่า AI agent กลายเป็นแนวคิดสำคัญของความปลอดภัยไซเบอร์ ความแตกต่างอยู่ตรงคำว่า “ลงมือทำ”

AI แบบดั้งเดิมอาจบอกมนุษย์ว่า “นี่คือปัญหา และนี่คือวิธีแก้” แต่ AI agent สามารถถูกออกแบบให้ทำงานต่อจากคำแนะนำนั้นได้ ความสามารถนี้มีประโยชน์มหาศาลต่อธุรกิจ แต่ในอีกด้านหนึ่ง หากระบบถูกใช้ผิดวัตถุประสงค์หรือมีการตั้งค่าสิทธิ์ที่กว้างเกินไป ผลกระทบก็สามารถเกิดขึ้นได้เร็วกว่าเดิมมาก

ประเด็นไม่ได้อยู่เพียงว่า AI รู้วิธีโจมตีหรือไม่ แต่อยู่ที่ว่า AI จะค้นพบวิธีที่มนุษย์ไม่เคยคิดถึงหรือไม่

เมื่อ AI มองเห็น “จุดอ่อน” ที่มนุษย์มองไม่เห็น

ระบบอย่าง Mythos ถูกจับตามองเพราะสะท้อนศักยภาพของ AI ในการวิเคราะห์และค้นหาช่องโหว่ของซอฟต์แวร์ ช่องโหว่ทางไซเบอร์จำนวนมากเปรียบเสมือนรอยร้าวเล็ก ๆ ในกำแพง คนทั่วไปอาจมองไม่เห็น แต่ระบบที่สามารถตรวจสอบโค้ดจำนวนมหาศาลและเชื่อมโยงข้อมูลหลายส่วนเข้าด้วยกันอาจมองเห็นรูปแบบเหล่านั้นได้

ในด้านหนึ่ง นี่เป็นข่าวดี เพราะ AI แบบเดียวกันสามารถนำมาใช้เพื่อค้นหาช่องโหว่ก่อนที่ผู้โจมตีจะพบมัน และช่วยให้องค์กรอุดช่องโหว่ได้รวดเร็วขึ้น แต่ปัญหาคือเทคโนโลยีชนิดเดียวกันสามารถสร้างประโยชน์และความเสี่ยงได้พร้อมกัน

นี่คือแนวคิดที่สำคัญมากสำหรับโลกธุรกิจ เพราะเมื่อ AI ทำให้ต้นทุนของการค้นหาและทดลองลดลง ความได้เปรียบไม่ได้ตกอยู่กับฝ่ายป้องกันเพียงฝ่ายเดียว ผู้โจมตีก็ได้รับประโยชน์จากความเร็วแบบเดียวกัน

AI จึงไม่ได้เพียงเพิ่ม “พลัง” ให้กับผู้โจมตี แต่อาจเปลี่ยน เศรษฐศาสตร์ของการโจมตีทางไซเบอร์ ด้วย

ทำไมคำเตือนของ Dimon จึงน่าสนใจ

สิ่งที่น่าสนใจที่สุดในคำพูดของ Dimon อาจไม่ใช่ตัวเลขที่ใช้ประเมินความเสี่ยง แต่คือท่าทีของเขาต่อปัญหา เขาไม่ได้เสนอให้หยุด AI และไม่ได้เรียกร้องให้ธุรกิจตื่นตระหนกกับเทคโนโลยี แต่เน้นว่าความเสี่ยงต้องถูกจัดการอย่างจริงจัง

นี่เป็นมุมมองแบบนักบริหารมากกว่านักพยากรณ์วันสิ้นโลก หลักคิดคือ หาก AI กำลังกลายเป็นโครงสร้างพื้นฐานใหม่ของธุรกิจ ความปลอดภัยก็ต้องถูกออกแบบให้เป็นส่วนหนึ่งของโครงสร้างพื้นฐานนั้นตั้งแต่ต้น

สำหรับองค์กร นี่หมายความว่าความปลอดภัยของ AI ไม่ควรถูกโยนให้ฝ่าย IT เพียงฝ่ายเดียว เพราะเมื่อ AI เข้าไปเกี่ยวข้องกับข้อมูล ลูกค้า การเงิน การตลาด ทรัพยากรบุคคล และการตัดสินใจทางธุรกิจ ความเสี่ยงก็กลายเป็นเรื่องของผู้บริหารทั้งองค์กร

ภัยไม่ได้อยู่เฉพาะในห้องเซิร์ฟเวอร์

สิ่งที่ทำให้เรื่องนี้สำคัญคือสัญญาณจากโลกจริงกำลังปรากฏขึ้นพร้อมกับการพัฒนาอย่างรวดเร็วของ AI เหตุการณ์ด้านความปลอดภัยหลายกรณีทำให้นักวิจัยและหน่วยงานกำกับดูแลต้องพิจารณาความเป็นไปได้ว่า AI อาจช่วยให้ผู้โจมตีค้นหาจุดอ่อนของระบบได้รวดเร็วขึ้น

อย่างไรก็ตาม การพบพฤติกรรมที่ไม่คาดคิดของโมเดลไม่ได้หมายความว่า AI มี “เจตนา” จะทำร้ายใคร ประเด็นที่สำคัญกว่าคือ ระบบที่มีความสามารถสูงอาจสร้างผลลัพธ์ที่มนุษย์ไม่ได้คาดการณ์ไว้ และเมื่อระบบนั้นได้รับสิทธิ์เข้าถึงโลกจริง ผลกระทบก็อาจเกิดขึ้นจริงเช่นกัน

นี่คือเหตุผลที่แนวคิดเรื่องสิทธิ์การเข้าถึง การแบ่งขอบเขตของระบบ การตรวจสอบกิจกรรม และการมีมนุษย์กำกับจึงมีความสำคัญมากขึ้นตามระดับความสามารถของ AI

ในอดีต เกมไซเบอร์เป็นการแข่งขันระหว่างมนุษย์กับมนุษย์ ผู้โจมตีใช้เครื่องมือ ขณะที่ฝ่ายป้องกันใช้ซอฟต์แวร์และผู้เชี่ยวชาญ แต่อนาคตอาจกลายเป็นการแข่งขันระหว่าง AI กับ AI

AI ของฝ่ายโจมตีจะค้นหาความผิดปกติ ขณะที่ AI ของฝ่ายป้องกันจะค้นหาความผิดปกติเช่นกัน ระบบหนึ่งอาจพยายามค้นหาจุดอ่อน ขณะที่อีกระบบพยายามตรวจจับและปิดมันก่อนที่จะถูกใช้ประโยชน์

ในมุมหนึ่ง นี่อาจเป็นข่าวดี เพราะ AI สามารถช่วยป้องกันระบบได้เร็วกว่าเดิมมาก การตรวจจับเหตุการณ์ผิดปกติ การวิเคราะห์ log จำนวนมหาศาล และการตอบสนองต่อภัยบางประเภทสามารถทำได้ในระดับที่มนุษย์เพียงอย่างเดียวทำได้ยาก

แต่การแข่งขันเช่นนี้สร้างคำถามใหม่ขึ้นมาเช่นกัน หากทั้งสองฝ่ายมี AI ที่ทำงานด้วยความเร็วสูง มนุษย์จะยังสามารถเข้าใจทุกสิ่งที่เกิดขึ้นได้ทันหรือไม่?

นี่อาจเป็นหนึ่งในโจทย์สำคัญที่สุดของทศวรรษหน้า เพราะความปลอดภัยในโลก AI อาจไม่ได้วัดกันเพียงว่าใครมีเทคโนโลยีที่ฉลาดกว่า แต่อาจวัดกันว่าใครสามารถควบคุมเทคโนโลยีของตัวเองได้ดีกว่า

จาก “ผู้ช่วย” สู่ “ผู้มีสิทธิ์ลงมือทำ”

สำหรับธุรกิจทั่วไป ความแตกต่างระหว่าง AI ที่ตอบคำถามกับ AI ที่ลงมือทำแทนมนุษย์มีความสำคัญอย่างมาก

AI ที่สามารถอ่านเอกสารภายในบริษัทอาจมีประโยชน์ แต่ AI ที่สามารถอ่านเอกสารและส่งอีเมลแทนพนักงานได้มีความเสี่ยงเพิ่มขึ้น AI ที่สามารถวิเคราะห์ข้อมูลมีประโยชน์ แต่ AI ที่สามารถเปลี่ยนแปลงฐานข้อมูลหรือสั่งซื้อสินค้าได้เองย่อมต้องมีการควบคุมที่เข้มงวดกว่า

• สิทธิ์การเข้าถึง — AI ควรเข้าถึงเฉพาะข้อมูลและระบบที่จำเป็นต่อภารกิจ
• ขอบเขตการตัดสินใจ — งานที่มีผลกระทบสูงควรมีจุดที่ต้องส่งกลับมาให้มนุษย์อนุมัติ
• การตรวจสอบย้อนหลัง — องค์กรควรสามารถรู้ได้ว่า AI ทำอะไร เมื่อใด และใช้ข้อมูลใดในการตัดสินใจ
• การแยกระบบ — ไม่ควรให้ AI ตัวเดียวมีสิทธิ์ครอบคลุมทุกระบบขององค์กร
• การทดสอบก่อนใช้งานจริง — ความสามารถใหม่ควรถูกทดสอบในสภาพแวดล้อมที่จำกัดก่อนให้สิทธิ์เข้าถึงระบบจริง

สิ่งที่ธุรกิจควรเรียนรู้จากคำเตือนนี้

บทเรียนจากเรื่องนี้ไม่ใช่ว่าธุรกิจควรหยุดใช้ AI ตรงกันข้าม องค์กรควรใช้ AI ต่อไป แต่ต้องเปลี่ยนวิธีคิดจาก “AI เป็นเครื่องมือเพิ่มประสิทธิภาพ” ไปสู่ “AI เป็นระบบที่ต้องบริหารความเสี่ยง”

การนำ AI เข้ามาในองค์กรจึงควรพิจารณาควบคู่กับคำถามเรื่องสิทธิ์การเข้าถึงข้อมูล ความเป็นส่วนตัว ความปลอดภัย และขอบเขตการตัดสินใจของ AI โดยเฉพาะเมื่อ AI เริ่มทำงานแทนมนุษย์ ไม่ใช่เพียงตอบคำถามมนุษย์

หลักการง่ายที่สุดอาจเป็นว่า ให้ AI มีสิทธิ์เท่าที่จำเป็น และเพิ่มระดับการกำกับตามความเสียหายที่อาจเกิดขึ้น

นี่คือแนวคิดที่มีความสำคัญมากกว่าการถามว่า “บริษัทใช้ AI หรือยัง?” เพราะคำถามที่เหมาะสมกว่าในยุคต่อไปคือ “บริษัทควบคุม AI ที่ตัวเองใช้อยู่ได้ดีแค่ไหน?”

เมื่อความเร็วกลายเป็นทั้งข้อได้เปรียบและความเสี่ยง

สิ่งที่ทำให้ AI แตกต่างจากเครื่องมือไซเบอร์ในอดีตคือ ความเร็วและขนาด มนุษย์หนึ่งคนสามารถตรวจสอบระบบได้จำนวนหนึ่งต่อวัน แต่ AI สามารถวิเคราะห์ข้อมูลหรือโค้ดจำนวนมหาศาลได้ในเวลาสั้นกว่ามาก

หาก AI ถูกนำไปใช้ในทางที่ผิด สิ่งที่เคยต้องใช้ทีมงานจำนวนมากและเวลาหลายสัปดาห์อาจกลายเป็นกระบวนการที่รวดเร็วขึ้นอย่างมาก นั่นไม่ได้หมายความว่า AI จะทำให้การโจมตีทุกประเภทประสบความสำเร็จโดยอัตโนมัติ แต่หมายความว่า ต้นทุนในการทดลองและค้นหาจุดอ่อนอาจลดลง

และในโลกความปลอดภัยไซเบอร์ การลดต้นทุนของผู้โจมตีเพียงเล็กน้อยก็มีความหมายอย่างมาก

ความเสี่ยงของ AI ไม่ได้อยู่เพียงที่สิ่งที่มัน “รู้” แต่อยู่ที่สิ่งที่มัน “สามารถทำได้” เมื่อได้รับสิทธิ์เข้าถึงโลกจริง

ไม่จำเป็นต้องกลัว AI แต่ต้องจริงจังกับมัน

คำเตือนของ Jamie Dimon สะท้อนการเปลี่ยนแปลงครั้งสำคัญของยุค AI เทคโนโลยีที่สามารถช่วยค้นหายารักษาโรค วิเคราะห์ข้อมูลทางวิทยาศาสตร์ เพิ่มประสิทธิภาพธุรกิจ และป้องกันการโจมตีทางไซเบอร์ สามารถถูกนำไปใช้ในทิศทางตรงกันข้ามได้เช่นกัน

ความเสี่ยงไม่ได้เกิดขึ้นเพราะ AI “ชั่วร้าย” แต่มาจากข้อเท็จจริงที่ว่า ความสามารถของระบบกำลังเพิ่มขึ้นเร็วกว่ากฎเกณฑ์และระบบควบคุมบางส่วนที่เรามีอยู่

ดังนั้น Mythos หรือระบบ AI ขั้นสูงรุ่นใหม่ ๆ จึงเป็นมากกว่าชื่อของเทคโนโลยีหนึ่งตัว มันเป็นสัญลักษณ์ของคำถามที่โลกเทคโนโลยีกำลังเผชิญว่า เมื่อ AI สามารถค้นหาช่องโหว่ เขียนโค้ด ทำงานหลายขั้นตอน และโต้ตอบกับระบบต่าง ๆ ได้ด้วยตัวเอง เราจะสร้างโลกดิจิทัลที่ปลอดภัยพอสำหรับความสามารถระดับนั้นได้อย่างไร

คำตอบอาจไม่ได้อยู่ที่การหยุดความก้าวหน้า แต่อยู่ที่การสร้าง ความปลอดภัยให้ก้าวไปพร้อมกับความสามารถ

เพราะในยุคที่ AI สามารถช่วยปกป้องระบบได้ในเวลาเดียวกับที่มันสามารถสร้างความเสี่ยงใหม่ การแข่งขันที่แท้จริงอาจไม่ใช่การแข่งขันว่าใครสร้าง AI ที่ฉลาดที่สุด แต่อาจเป็นการแข่งขันว่า ใครสามารถสร้าง AI ที่ทรงพลังและควบคุมได้ดีที่สุด

และนั่นคือเหตุผลที่คำเตือนของ Dimon ควรถูกฟัง ไม่ใช่ด้วยความกลัว แต่ด้วยความตระหนักว่าโลกดิจิทัลกำลังเปลี่ยนกติกาอีกครั้ง