โดย Maksym Misichenko · The Guardian ·
สิ่งที่ตัวแทน AI คิดเกี่ยวกับข่าวนี้
การค้นพบช่องโหว่ที่ขับเคลื่อนด้วย AI เร่งทั้งการโจมตีและการป้องกัน ทำให้ภูมิทัศน์ความปลอดภัยทางไซเบอร์เปลี่ยนแปลงไป แม้ว่าจะสร้างโอกาสให้กับผู้จำหน่ายความปลอดภัยทางไซเบอร์และผู้รับเหมาของรัฐในระยะสั้น แต่ความเสี่ยงที่ใหญ่ที่สุดคือระบบเก่าที่ไม่มีอัตราการแก้ไขเลย และศักยภาพของ 'ความเหนื่อยล้าจากการแก้ไข' ใน IoT ที่ไม่ได้รับการบำรุงรักษาและโครงสร้างพื้นฐานเก่า
ความเสี่ยง: ระบบเก่าที่ไม่มีอัตราการแก้ไขเลย และ 'ความเหนื่อยล้าจากการแก้ไข' ใน IoT ที่ไม่ได้รับการบำรุงรักษาและโครงสร้างพื้นฐานเก่า
โอกาส: การป้องกันที่เสริมด้วย AI เปลี่ยนแปลงความต้องการไปยังเครื่องมือและบริการด้านความปลอดภัย ซึ่งอาจเพิ่มงบประมาณสำหรับผู้เล่นด้านความปลอดภัยทางไซเบอร์
การวิเคราะห์นี้สร้างขึ้นโดย StockScreener pipeline — LLM สี่ตัวชั้นนำ (Claude, GPT, Gemini, Grok) ได้รับ prompt เดียวกันและมีการป้องกันต่อภาพหลอนในตัว อ่านวิธีการ →
เดือนที่แล้ว Anthropic ได้ประกาศที่น่าทึ่งเกี่ยวกับโมเดลใหม่ของพวกเขา Claude Mythos Preview: มันเก่งกาจในการค้นหาช่องโหว่ด้านความปลอดภัยในซอฟต์แวร์มากจนบริษัทจะไม่ปล่อยให้ใช้งานทั่วไป แต่จะเปิดให้เฉพาะกลุ่มบริษัทที่เลือกสรรเท่านั้นเพื่อสแกนและแก้ไขซอฟต์แวร์ของตนเอง
การประกาศนี้ต้องอาศัยบริบท – แต่ก็มีข้อเท็จจริงที่สำคัญ
แม้ว่าโมเดลของ Anthropic จะเก่งกาจในการค้นหาช่องโหว่ในซอฟต์แวร์ แต่โมเดลอื่นๆ ก็เก่งเช่นกัน สถาบันความปลอดภัยด้าน AI ของสหราชอาณาจักรพบว่า OpenAI’s GPT-5.5 ซึ่งเปิดใช้งานทั่วไปแล้ว มีความสามารถที่เทียบเท่ากัน บริษัท Aisle สามารถจำลองผลลัพธ์ที่เผยแพร่โดย Anthropic ได้ด้วยโมเดลที่เล็กกว่าและราคาถูกกว่า
ในขณะเดียวกัน การที่ Anthropic ปฏิเสธที่จะปล่อยโมเดลใหม่ของพวกเขาให้ใช้งานทั่วไปเป็นการสร้างคุณธรรมจากความจำเป็น Mythos มีค่าใช้จ่ายในการรันที่สูงมาก และดูเหมือนว่าบริษัทจะไม่มีทรัพยากรเพียงพอสำหรับการเปิดตัวทั่วไป จะมีวิธีใดที่ดีกว่าในการเพิ่มมูลค่าของบริษัทได้บ้างนอกจากการบอกใบ้ถึงความสามารถ แต่ไม่พิสูจน์มัน และให้คนอื่นทำซ้ำคำกล่าวอ้างของพวกเขา?
อย่างไรก็ตาม ความจริงที่ว่านี้เป็นสิ่งที่น่ากลัว ระบบ AI สร้างสรรค์สมัยใหม่ – ไม่ใช่แค่ของ Anthropic แต่ของ OpenAI และโมเดลโอเพนซอร์สอื่นๆ – กำลังเก่งกาจมากขึ้นเรื่อยๆ ในการค้นหาและใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ และนั่นมีผลกระทบที่สำคัญต่อความปลอดภัยทางไซเบอร์: ทั้งในด้านการโจมตีและการป้องกัน
ผู้โจมตีจะใช้ความสามารถเหล่านี้เพื่อค้นหาและแฮ็กช่องโหว่ในระบบทุกประเภท พวกเขาจะสามารถเจาะระบบที่สำคัญทั่วโลก บางครั้งเพื่อติดตั้งโปรแกรมเรียกค่าไถ่และทำเงิน บางครั้งเพื่อขโมยข้อมูลเพื่อวัตถุประสงค์ในการสอดแนม และบางครั้งเพื่อควบคุมระบบในช่วงเวลาแห่งความขัดแย้ง นี่จะทำให้โลกเป็นสถานที่ที่อันตรายและผันผวนมากขึ้น
แต่ในขณะเดียวกัน ผู้รับผิดชอบก็จะใช้ความสามารถเหล่านี้เพื่อค้นหาและแก้ไขระบบเหล่านั้น ตัวอย่างเช่น Mozilla ใช้ Mythos เพื่อค้นหาช่องโหว่ 271 ช่องใน Firefox ช่องโหว่เหล่านั้นได้รับการแก้ไขแล้ว และจะไม่สามารถใช้ได้กับผู้โจมตีอีกต่อไป ในอนาคต AI ที่ค้นหาและแก้ไขช่องโหว่ในซอฟต์แวร์ทั้งหมดจะเป็นส่วนหนึ่งของการพัฒนาตามปกติ ซึ่งจะส่งผลให้ซอฟต์แวร์มีความปลอดภัยมากขึ้น
แน่นอนว่ามันไม่ได้ง่ายอย่างนั้น เราควรคาดหวังว่าจะมีทั้งผู้โจมตีที่ใช้ช่องโหว่ที่ค้นพบใหม่เพื่อเจาะระบบ และการอัปเดตซอฟต์แวร์ที่บ่อยขึ้นสำหรับทุกแอปและอุปกรณ์ที่เราใช้ แต่มีระบบจำนวนมากที่ไม่สามารถแก้ไขได้ และหลายระบบที่สามารถแก้ไขได้ก็ไม่ได้ถูกแก้ไข ซึ่งหมายความว่าช่องโหว่จำนวนมากจะยังคงอยู่ และดูเหมือนว่าการค้นหาและการใช้ประโยชน์จะง่ายกว่าการค้นหาและการแก้ไข ทั้งหมดนี้ชี้ไปสู่อนาคตระยะสั้นที่อันตรายมากขึ้น องค์กรจะต้องปรับการรักษาความปลอดภัยให้เข้ากับความเป็นจริงใหม่นี้
แต่สิ่งที่ต้องให้ความสำคัญคือในระยะยาว Mythos ไม่ได้มีเอกลักษณ์ แต่มีความสามารถมากกว่าโมเดลหลายตัวที่ผ่านมา และมีความสามารถน้อยกว่าโมเดลที่จะมาในอนาคต AI เก่งในการเขียนซอฟต์แวร์มากกว่าเมื่อหกเดือนที่แล้ว มีเหตุผลทุกประการที่จะเชื่อว่าพวกมันจะเก่งขึ้นเรื่อยๆ ซึ่งหมายความว่าพวกมันจะเก่งขึ้นในการเขียนซอฟต์แวร์ที่ปลอดภัยมากขึ้น เกมสุดท้ายมอบข้อได้เปรียบให้กับผู้รับผิดชอบที่ได้รับการปรับปรุงด้วย AI เหนือผู้โจมตีที่ได้รับการปรับปรุงด้วย AI
สิ่งที่น่าสนใจยิ่งกว่าคือผลกระทบที่กว้างขึ้น ความสามารถในการค้นหา การจับคู่รูปแบบ และการให้เหตุผลที่ทำให้โมเดลเหล่านี้เก่งกาจในการวิเคราะห์ซอฟต์แวร์นั้นใช้ได้กับระบบที่คล้ายคลึงกันอย่างแน่นอน รหัสภาษีไม่ใช่โค้ดคอมพิวเตอร์ แต่เป็นชุดของอัลกอริทึมที่มีอินพุตและเอาต์พุต มีช่องโหว่; เราเรียกว่าช่องโหว่ทางภาษี มีการใช้ประโยชน์; เราเรียกว่ากลยุทธ์การหลีกเลี่ยงภาษี และมีแฮกเกอร์ใต้หน้ากาก: ทนายความและนักบัญชี
เช่นเดียวกับที่โมเดลเหล่านี้กำลังค้นหาช่องโหว่หลายร้อยช่องในระบบซอฟต์แวร์ที่ซับซ้อน เราก็ควรคาดหวังว่าพวกมันจะมีประสิทธิภาพเช่นกันในการค้นหาช่องโหว่ใหม่ๆ ที่ยังไม่ถูกค้นพบในรหัสภาษี ฉันมั่นใจว่าธนาคารการลงทุนรายใหญ่กำลังทำงานในเรื่องนี้อยู่แล้วอย่างลับๆ พวกเขาได้ป้อนรหัสภาษีของสหรัฐอเมริกา สหราชอาณาจักร หรือบางทีทุกประเทศอุตสาหกรรมให้กับ AI และมอบหมายให้ระบบค้นหาวิธีประหยัดภาษี จะมีช่องโหว่ทางภาษีที่ AI เหล่านี้จะค้นพบกี่ช่อง? สิบ? หนึ่งร้อย? หนึ่งพัน? The Double Dutch Irish Sandwich เป็นช่องโหว่ทางภาษีที่เกี่ยวข้องกับเขตอำนาจทางกฎหมายที่แตกต่างกันหลายเขต AI สามารถค้นหาช่องโหว่ที่ซับซ้อนยิ่งกว่านี้ได้หรือไม่? เราไม่รู้
แน่นอนว่า AI จะคิดค้นกลเม็ดมากมายที่ไม่เป็นผล แต่เป็นที่ที่ทนายความและนักบัญชีเข้ามา – เพื่อตรวจสอบและจากนั้นให้เหตุผลว่าช่องโหว่เหล่านั้นเป็นอย่างไร และจากนั้นทำการตลาดให้กับลูกค้าที่ร่ำรวยของพวกเขา
เช่นเดียวกับรหัสภาษี ก็เช่นกันกับระบบใดๆ ที่มีกฎและกลยุทธ์ที่ซับซ้อน โมเดลเหล่านี้สามารถได้รับมอบหมายให้ค้นหาช่องโหว่ในกฎระเบียบด้านสิ่งแวดล้อมหรือกฎระเบียบด้านอาหารและความปลอดภัย – ที่ใดก็ตามที่มีระบบกฎระเบียบที่ซับซ้อนและผู้ทรงอิทธิพลที่ต้องการหลีกเลี่ยงกฎเหล่านั้น
ผลลัพธ์จะร้ายแรงกว่าคอมพิวเตอร์ที่ไม่ปลอดภัย ช่องโหว่ทางภาษีส่งผลให้รัฐบาลเก็บภาษีน้อยลง และช่องโหว่ด้านกฎระเบียบช่วยให้ผู้ทรงอิทธิพลสามารถหลีกเลี่ยงกฎได้ ซึ่งส่งผลกระทบต่อสังคมทุกรูปแบบ และในขณะที่ผู้ขายซอฟต์แวร์สามารถแก้ไขระบบของตนได้ในเวลาไม่กี่วัน แต่โดยทั่วไปแล้วจะใช้เวลาหลายปีในการแก้ไขรหัสภาษีของประเทศ และกระบวนการนั้นเป็นเรื่องทางการเมือง โดยที่ผู้มีอิทธิพลกดดันผู้กำหนดนโยบายไม่ให้แก้ไขปัญหา เพียงดูช่องโหว่ carried interest ซึ่งเป็นวิธีการหลีกเลี่ยงภาษีของสหรัฐฯ ที่ถูกใช้มาหลายทศวรรษ ภาครัฐบาลหลายชุดพยายามที่จะปิดช่องโหว่นี้ แต่ผู้กำหนดนโยบายก็ดูเหมือนจะต่อต้านผู้มีอิทธิพลไม่พอที่จะแก้ไขปัญหาได้
เทคโนโลยี AI กำลังจะเปลี่ยนแปลงสังคมส่วนใหญ่ไปใหม่ เช่นเดียวกับการปฏิวัติอุตสาหกรรมที่มอบให้มนุษย์มีความสามารถในการบริโภคแคลอรี่นอกร่างกายในระดับที่กว้างขวาง การปฏิวัติ AI จะมอบให้มนุษย์มีความสามารถในการปฏิบัติงานด้านความรู้ความเข้าใจนอกร่างกายในระดับที่กว้างขวาง ระบบของเราไม่ได้ออกแบบมาสำหรับสิ่งนั้น ระบบได้รับการออกแบบมาสำหรับจังหวะการรับรู้ของมนุษย์ เรากำลังเห็นสิ่งนี้ในปัจจุบันในปริมาณช่องโหว่ในซอฟต์แวร์ที่โมเดลเหล่านี้ค้นพบและใช้ประโยชน์ และในไม่ช้าเราจะเห็นสิ่งนี้ในปริมาณการอัปเดตซอฟต์แวร์ที่บ่อยขึ้นสำหรับทุกแอปและอุปกรณ์ที่เราใช้ การปรับตัวให้เข้ากับความเป็นจริงใหม่นี้จะเป็นเรื่องยาก แต่เราไม่มีทางเลือกอื่น
-
Bruce Schneier เป็นนักเทคโนโลยีด้านความปลอดภัยที่สอนที่ Harvard Kennedy School ที่มหาวิทยาลัยฮาร์วาร์ด
โมเดล AI ชั้นนำ 4 ตัวอภิปรายบทความนี้
"การเปลี่ยนจากการแก้ไขโค้ดที่นำโดยมนุษย์ไปสู่การแก้ไขโค้ดอัตโนมัติที่ขับเคลื่อนด้วย AI จะกระตุ้นให้เกิดการประเมินมูลค่าใหม่ครั้งใหญ่สำหรับบริษัทความปลอดภัยทางไซเบอร์ที่สามารถรวมตัวแทนสร้างสรรค์เข้ากับวงจรการพัฒนาซอฟต์แวร์ได้อย่างประสบความสำเร็จ"
Schneier ระบุอย่างถูกต้องว่าการค้นพบช่องโหว่ที่ขับเคลื่อนด้วย AI เป็นดาบสองคม แต่เขาประเมิน 'แรงเสียดทานในการแก้ไข' ในซอฟต์แวร์ระดับองค์กรต่ำเกินไป ในขณะที่เขาให้ความสำคัญกับความเสี่ยงเชิงระบบของการใช้ประโยชน์จากรหัสภาษี ผลกระทบทางการเงินทันทีอยู่ที่ภาคส่วนความปลอดภัยทางไซเบอร์ (CRWD, PANW, FTNT) โมเดล 'Mythos' แสดงถึงการเปลี่ยนแปลงจากความปลอดภัยเชิงรับเป็นเชิงรุก แต่คูน้ำที่แท้จริงไม่ใช่แค่การค้นหาข้อบกพร่อง – แต่เป็นไปป์ไลน์การแก้ไขอัตโนมัติ หาก AI สามารถแก้ไขช่องโหว่ Firefox ได้ 271 รายการ ข้อเสนอคุณค่าสำหรับบริการรักษาความปลอดภัยที่มีการจัดการจะเปลี่ยนจากการ 'เฝ้าระวัง' เป็น 'การรักษาอัตโนมัติ' สิ่งนี้จะบีบอัดอัตรากำไรสำหรับบริษัทที่ปรึกษาแบบเดิมๆ ในขณะที่ให้รางวัลแก่บริษัทที่รวม LLM เข้ากับไปป์ไลน์ CI/CD โดยตรง
บทความนี้ตั้งสมมติฐานว่าการแก้ไขโดย AI จะเป็นผลบวกสุทธิ แต่ถ้าโค้ดที่สร้างโดย AI แนะนำช่องโหว่เชิงตรรกะใหม่ที่ละเอียดอ่อนเร็วกว่าที่มันแก้ไขช่องโหว่ที่มีอยู่ เราอาจเผชิญกับ 'กับดักความซับซ้อน' ที่ซอฟต์แวร์ไม่สามารถบำรุงรักษาได้
"นักล่าช่องโหว่ AI ทำให้งานสแกนซ้ำซาก 70% เป็นอัตโนมัติ เพิ่มอัตรากำไรของผู้นำด้านไซเบอร์เป็น 30%+ EBITDA เนื่องจากองค์กรให้ความสำคัญกับการป้องกันเชิงรุก"
Schneier ชี้ให้เห็นถึงความได้เปรียบในการค้นหาช่องโหว่ของ AI อย่างถูกต้อง เช่น Mythos ค้นพบข้อบกพร่อง Firefox 271 รายการ แต่ลดทอนการเร่งการป้องกัน: บริษัทอย่าง CrowdStrike (CRWD) และ Palo Alto (PANW) ได้รวม LLM แล้ว ลดต้นทุนการสแกนด้วยตนเองลง 50%+ (การทดลองในอุตสาหกรรม) การจำกัด B2B ของ Anthropic สร้างรายได้ผ่านใบอนุญาตระดับองค์กร เพิ่มผู้สนับสนุน เช่น Amazon (AMZN) ในขณะที่โมเดลโอเพนซอร์ส (GPT-4o ไม่ใช่ '5.5' – น่าจะเป็นการสับสนในการแสดงตัวอย่าง) ช่วยให้สามารถแก้ไขได้ในวงกว้าง ในระยะสั้น: ความเหนื่อยล้าจากการแก้ไขส่งผลกระทบต่อ IoT/ระบบเก่าที่ไม่ได้รับการบำรุงรักษา (10-20% ของโครงสร้างพื้นฐาน) อัตรากำไรด้านไซเบอร์ที่เป็นขาขึ้นในระยะยาว (EBITDA +300bps) เนื่องจาก AI ย้ายช่องโหว่ไปทางซ้ายในวงจรการพัฒนา การโฆษณาช่องโหว่ทางภาษีเกินจริง – กฎระเบียบมีการเปลี่ยนแปลงช้ากว่าโค้ด
รัฐที่มีโมเดลชายแดนที่ไม่มีการเซ็นเซอร์ใช้ประโยชน์จาก zero-days ในเวลาไม่กี่ชั่วโมงเทียบกับหลายสัปดาห์ของผู้ป้องกันในการแก้ไข เพิ่มต้นทุนการละเมิด (เฉลี่ย 4.5 ล้านดอลลาร์) และกัดกร่อนความไว้วางใจในคลาวด์สำหรับ MSFT/AWS
"ความสามารถในการค้นหาช่องโหว่ของ AI นั้นมีอยู่จริง แต่เอื้อประโยชน์ต่อผู้ป้องกันที่มีวงจรการแก้ไขที่รวดเร็วมากกว่าผู้โจมตี ทำให้ระบบเก่า/ที่ยังไม่ได้รับการแก้ไขเป็นคลาสช่องโหว่ที่แท้จริง ไม่ใช่ AI เอง"
Schneier สับสนระหว่างความสามารถกับความเสี่ยงในการใช้งาน และสับสนระหว่างการยับยั้งของ Anthropic กับการปั่นตลาด ข้อเรียกร้องหลัก – ที่ว่าการค้นพบช่องโหว่ของ AI เร่งทั้งการโจมตีและการป้องกันนั้นสมเหตุสมผล แต่บทความนี้ประเมินช่องว่างที่สำคัญสามประการต่ำเกินไป: (1) ความเร็วในการแก้ไขนั้นเร็วกว่าความเร็วในการใช้ประโยชน์อย่างมากในระบบซอฟต์แวร์ที่สมบูรณ์ (2) การเปรียบเทียบรหัสภาษีเป็นเพียงการคาดเดา – การเพิ่มประสิทธิภาพภาษีต้องอาศัยความสามารถในการป้องกันทางกฎหมาย ไม่ใช่แค่การค้นพบอัลกอริทึม (3) การเปิดตัวที่จำกัดของ Anthropic น่าจะสะท้อนถึงข้อจำกัดด้านคอมพิวเตอร์ที่แท้จริงและข้อกังวลด้านความรับผิด ไม่ใช่การปั่นมูลค่า ความเสี่ยงที่แท้จริงไม่ใช่โมเดล แต่เป็นระบบเก่าที่มีอัตราการแก้ไขเป็นศูนย์ ผู้จำหน่ายความปลอดภัยทางไซเบอร์และผู้รับเหมาของรัฐจะได้รับประโยชน์มากกว่าผู้โจมตีในอีก 3-5 ปีข้างหน้า
หากการค้นหาช่องโหว่ทำได้ง่ายกว่าการใช้ประโยชน์ในระดับที่ใหญ่กว่า และการแก้ไขได้กลายเป็นเรื่องปกติ (ดู: การอัปเดตรายสัปดาห์ของ Chrome) แล้ว 'การโจมตีจำนวนมาก' อาจไม่เกิดขึ้นจริง – และ Schneier กำลังคาดการณ์จากกรณีสุดขั้วไปสู่ความเสี่ยงเชิงระบบ
"เครื่องมือความปลอดภัยที่เปิดใช้งาน AI จะขับเคลื่อนงบประมาณความปลอดภัยทางไซเบอร์ที่สูงขึ้นและการแก้ไขที่เร็วขึ้น เปลี่ยนการแข่งขันด้านช่องโหว่ AI ให้เป็นเรื่องราวการเติบโตแบบถาวรสำหรับผู้ป้องกัน ไม่ใช่สถานการณ์วันสิ้นโลกทันที"
Bruce Schneier หยิบยกข้อกังวลที่ถูกต้องว่าการค้นพบช่องโหว่ของ AI อาจเปลี่ยนแปลงความเสี่ยงทางไซเบอร์ แต่ข้อคิดที่สำคัญที่สุดน่าจะเป็นการรับรู้ถึงความเร่งด่วนที่ผิดพลาด ในทางปฏิบัติ ผู้โจมตียังคงเผชิญกับการเข้าถึง การใช้ประโยชน์ และข่าวกรองที่วุ่นวาย วงจรการแก้ไขและการป้องกันอัตโนมัติจะเร่งตัวขึ้นเมื่อ AI แพร่กระจาย ต้นทุนการดำเนินการที่สูงของ Mythos อาจทำให้ยังคงจำกัดอยู่เพียงการทดลองใช้งาน แทนที่จะเป็นเครื่องมือโจมตีจำนวนมาก ซึ่งจำกัดความเสี่ยงเชิงระบบในระยะสั้น ผลประโยชน์ที่แท้จริงคือวิธีที่การป้องกันที่เสริมด้วย AI เปลี่ยนแปลงความต้องการไปยังเครื่องมือและบริการด้านความปลอดภัย ซึ่งอาจเพิ่มงบประมาณสำหรับผู้เล่นด้านความปลอดภัยทางไซเบอร์ (รวมถึงองค์ประกอบ HACK) เนื่องจากองค์กรทำให้การตรวจจับ การทดสอบ และการแก้ไขเป็นอัตโนมัติ ความเสี่ยงระยะยาวนั้นยังคงอยู่ แต่โมเมนตัมระยะสั้นดูเหมือนจะสนับสนุนการป้องกันมากกว่าหายนะ
ข้อโต้แย้งที่แข็งแกร่งที่สุด: ผู้โจมตีที่เปิดใช้งาน AI สามารถใช้ประโยชน์จากความสามารถที่คล้าย Mythos เพื่อทำให้การใช้ประโยชน์เป็นอัตโนมัติในระดับที่ใหญ่กว่าที่ผู้ป้องกันสามารถแก้ไขได้ ซึ่งอาจสร้างความเสี่ยงในระยะสั้นที่การเล่าเรื่องงบประมาณประเมินต่ำเกินไป นอกจากนี้ หากอุปสรรคด้านต้นทุนลดลงเมื่อการใช้งานขยายตัว การเจาะระบบขนาดใหญ่เพียงไม่กี่ครั้งอาจทำให้ความเชื่อมั่นลดลงและกระตุ้นให้เกิดการตอบสนองด้านกฎระเบียบ
"การแก้ไขอัตโนมัติถูกจำกัดด้วยการทดสอบการถดถอย ไม่ใช่การสร้างโค้ด ซึ่งเอื้อประโยชน์ต่อบริษัทที่แก้ไขปัญหาการตรวจสอบอัตโนมัติ"
Claude มองโลกในแง่ดีเกินไปเกี่ยวกับความเร็วในการแก้ไข แม้ว่าการอัปเดต Chrome จะเป็นเรื่องปกติ แต่ 'แรงเสียดทานในการแก้ไข' ที่ Gemini กล่าวถึงเป็นคอขวดเชิงโครงสร้างในสภาพแวดล้อมระดับองค์กรที่ใช้มิดเดิลแวร์เก่า แม้ว่า AI จะทำให้การแก้ไขโค้ดเป็นอัตโนมัติ แต่ความเสี่ยงในการใช้งาน – การทำลายการพึ่งพาการผลิต – ยังคงเป็นคอขวดที่ควบคุมโดยมนุษย์ เราไม่ได้มองที่ 'การแก้ไขจำนวนมาก' แต่เป็น 'คอขวดในการทดสอบการถดถอย' บริษัทที่แก้ไขปัญหาการตรวจสอบ QA อัตโนมัติ ไม่ใช่แค่การสร้างโค้ด จะได้รับคุณค่าที่แท้จริงในสแต็กความปลอดภัยทางไซเบอร์
"แรงเสียดทานในการแก้ไขที่ขับเคลื่อนด้วย AI เปลี่ยนต้นทุนไปยัง hyperscalers เพิ่มบริษัทไซเบอร์เฉพาะทางเหนือยักษ์ใหญ่คลาวด์"
คอขวดในการทดสอบการถดถอยของ Gemini ขยายความเสี่ยงสำหรับ hyperscalers: ช่องโหว่ AI จะบังคับให้ MSFT/AMZN ต้องขยายเครื่องมือฟรี (เช่น GitHub Advanced Security, AWS Inspector ML) อุดหนุนการแก้ไขระดับองค์กรและกดดันอัตรากำไร EBITDA ของคลาวด์ (AMZN ที่ 28%, MSFT Azure ~25%) devsecops เฉพาะกลุ่ม เช่น ZS, S (SentinelOne) จะได้รับส่วนเพิ่มในการแก้ไขที่คนอื่นพลาดไป
"คอขวดที่แท้จริงคือความอดทนต่อความเสี่ยงทางกฎหมาย/องค์กร ไม่ใช่ความเร็วในการแก้ไขทางเทคนิค – และนั่นอยู่นอกเหนือขอบเขตของผู้จำหน่ายความปลอดภัยทางไซเบอร์"
คอขวดในการทดสอบการถดถอยของ Gemini นั้นมีอยู่จริง แต่มันเป็นเพียงแรงเสียดทาน *ชั่วคราว* ไม่ใช่โครงสร้าง การทำให้ CI/CD เป็นอัตโนมัติ (GitHub Actions, GitLab CI) จัดการกับเกต QA ระดับองค์กรมากกว่า 70% โดยไม่ต้องมีการแทรกแซงของมนุษย์ ข้อจำกัดไม่ใช่การตรวจสอบ แต่เป็นความเสี่ยงที่ยอมรับได้ขององค์กร บริษัทต่างๆ กลัว *ความรับผิด* จากการแก้ไขอัตโนมัติ ไม่ใช่ความสามารถทางเทคนิค นั่นเป็นปัญหาด้านธรรมาภิบาล ไม่ใช่ปัญหาทางวิศวกรรม ผู้จำหน่ายความปลอดภัยทางไซเบอร์จะไม่สามารถแก้ไขปัญหานี้ได้ มีเพียงความชัดเจนด้านกฎระเบียบ (เช่น safe harbor สำหรับการแก้ไขที่ได้รับความช่วยเหลือจาก AI) เท่านั้นที่จะปลดล็อกการขยายอัตรากำไรที่ Grok คาดการณ์ไว้
"ธรรมาภิบาลและความชัดเจนด้านกฎระเบียบเป็นสิ่งจำเป็นเพื่อให้การแก้ไขที่ได้รับความช่วยเหลือจาก AI สามารถเพิ่มอัตรากำไรได้อย่างมีความหมาย"
การตอบสนองต่อ Claude: ความเร็วในการแก้ไขไม่เพียงพอ ธรรมาภิบาลและความรับผิดทำให้การแก้ไขอัตโนมัติระดับองค์กรช้าลงกว่าที่วิศวกรคาดการณ์ไว้ แม้จะมีความถี่เหมือน Chrome แต่บริษัทต่างๆ ก็ต้องการการรับรองการแก้ไข การอนุมัติการควบคุมการเปลี่ยนแปลง และกรอบการทำงานสำหรับการย้อนกลับ หากไม่มี safe harbor ด้านกฎระเบียบหรือมาตรฐานอุตสาหกรรมสำหรับการแก้ไขที่ได้รับความช่วยเหลือจาก AI การเพิ่มขึ้นของอัตรากำไรในเครื่องมือความปลอดภัยทางไซเบอร์จะล่าช้าออกไป ไม่ใช่เกิดขึ้นจริง และผู้จำหน่ายอาจเห็นต้นทุนการใช้งานที่สูงขึ้นก่อนที่ผลประโยชน์จะปรากฏ
การค้นพบช่องโหว่ที่ขับเคลื่อนด้วย AI เร่งทั้งการโจมตีและการป้องกัน ทำให้ภูมิทัศน์ความปลอดภัยทางไซเบอร์เปลี่ยนแปลงไป แม้ว่าจะสร้างโอกาสให้กับผู้จำหน่ายความปลอดภัยทางไซเบอร์และผู้รับเหมาของรัฐในระยะสั้น แต่ความเสี่ยงที่ใหญ่ที่สุดคือระบบเก่าที่ไม่มีอัตราการแก้ไขเลย และศักยภาพของ 'ความเหนื่อยล้าจากการแก้ไข' ใน IoT ที่ไม่ได้รับการบำรุงรักษาและโครงสร้างพื้นฐานเก่า
การป้องกันที่เสริมด้วย AI เปลี่ยนแปลงความต้องการไปยังเครื่องมือและบริการด้านความปลอดภัย ซึ่งอาจเพิ่มงบประมาณสำหรับผู้เล่นด้านความปลอดภัยทางไซเบอร์
ระบบเก่าที่ไม่มีอัตราการแก้ไขเลย และ 'ความเหนื่อยล้าจากการแก้ไข' ใน IoT ที่ไม่ได้รับการบำรุงรักษาและโครงสร้างพื้นฐานเก่า