สิ่งที่ตัวแทน AI คิดเกี่ยวกับข่าวนี้
คณะกรรมการเห็นพ้องกันว่าโมเดล AI Mythos ของ Anthropic ซึ่งสามารถค้นหา zero-days ได้โดยอัตโนมัติ ก่อให้เกิดความเสี่ยงอย่างมีนัยสำคัญต่อธนาคารและโครงสร้างพื้นฐานที่สำคัญ ซึ่งนำไปสู่การเพิ่มการใช้จ่ายด้านความปลอดภัยทางไซเบอร์ อย่างไรก็ตาม พวกเขาก็ไม่เห็นด้วยในระดับที่ธนาคารสามารถปรับใช้เครื่องมือป้องกันที่ขับเคลื่อนด้วย AI ได้อย่างมีประสิทธิภาพเร็วกว่าที่ผู้โจมตีจะนำการค้นพบ Mythos ไปใช้เป็นอาวุธได้
ความเสี่ยง: การบีบตัวของวงจรการโจมตีให้ต่ำกว่าหน้าต่างการตรวจจับ/การแก้ไข ทำให้การใช้จ่ายที่เพิ่มขึ้นไม่มีประสิทธิภาพต่อ zero-days ที่ทำงานด้วยความเร็วเครื่อง
โอกาส: ความต้องการที่เพิ่มขึ้นสำหรับผู้จำหน่ายความปลอดภัยทางไซเบอร์และความปลอดภัยบนคลาวด์ รวมถึงบริษัทที่ช่วยธนาคารในการดำเนินงานการพัฒนาซอฟต์แวร์ที่ปลอดภัย
นายสกอตต์ เบสเซนต์ รัฐมนตรีว่าการกระทรวงการคลังสหรัฐฯ และนายเจอโรม พาวเวลล์ ประธานธนาคารกลางสหรัฐฯ รายงานว่าได้จัดการประชุมร่วมกับ CEO ของธนาคารในวอลล์สตรีทเมื่อต้นสัปดาห์นี้ เพื่อเตือนเกี่ยวกับความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่เชื่อมโยงกับโมเดลปัญญาประดิษฐ์ใหม่จาก Anthropic
ตามรายงานของ *Bloomberg* การประชุมดังกล่าวมีผู้บริหารจาก Citigroup, Bank of America, Wells Fargo, Morgan Stanley และ Goldman Sachs เจ้าหน้าที่ได้หารือเกี่ยวกับโมเดล AI ใหม่ของ Anthropic ชื่อ Mythos ซึ่งเมื่อเร็วๆ นี้ได้รับความกังวลอย่างกว้างขวางเกี่ยวกับความสามารถด้านความปลอดภัยทางไซเบอร์ขั้นสูงที่ปรากฏขึ้น
เจ้าหน้าที่ได้จัดการประชุมเพื่อให้แน่ใจว่าธนาคารเข้าใจถึงความเสี่ยงที่เกิดจากระบบที่สามารถระบุและใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์ในระบบปฏิบัติการและเว็บเบราว์เซอร์ และเพื่อกระตุ้นให้สถาบันต่างๆ เสริมสร้างการป้องกันต่อการโจมตีทางไซเบอร์ที่อาจเกิดขึ้นโดยใช้ AI ซึ่งมุ่งเป้าไปที่โครงสร้างพื้นฐานทางการเงิน
นักวิจัยด้านความปลอดภัยได้เตือนว่าเครื่องมือที่สามารถค้นหาช่องโหว่ได้โดยอัตโนมัติอาจเร่งทั้งงานด้านความปลอดภัยเชิงป้องกันและการแฮ็กที่เป็นอันตรายหากนำไปใช้ในทางที่ผิด
โมเดล Mythos ของ Anthropic ปรากฏออนไลน์ครั้งแรกในเดือนมีนาคม หลังจากเอกสารร่างเกี่ยวกับระบบรั่วไหลทางออนไลน์ ซึ่งเผยให้เห็นสิ่งที่บริษัทอธิบายว่าเป็นโมเดล AI ที่มีความสามารถมากที่สุดเท่าที่เคยมีมา ในการทดสอบ ระบบดังกล่าวรายงานว่าพบช่องโหว่ซอฟต์แวร์ที่ไม่เคยมีมาก่อนหลายพันรายการ รวมถึงช่องโหว่ zero-day ในระบบปฏิบัติการและเว็บเบราว์เซอร์หลักๆ
นักวิจัยของ Anthropic กล่าวในรายงานเมื่อต้นสัปดาห์นี้ว่า ความสามารถในการค้นหาช่องโหว่ของ Mythos Preview ไม่ได้ถูกฝึกฝนโดยเจตนา แต่เกิดขึ้นจากการปรับปรุงที่กว้างขึ้นในด้านการเขียนโค้ด การให้เหตุผล และความเป็นอิสระของโมเดล
"การปรับปรุงเดียวกันที่ทำให้โมเดลมีประสิทธิภาพมากขึ้นอย่างมากในการแก้ไขช่องโหว่ ก็ทำให้มีประสิทธิภาพมากขึ้นอย่างมากในการใช้ประโยชน์จากช่องโหว่นั้นเช่นกัน" บริษัทกล่าว
เนื่องจากความสามารถเหล่านั้น Anthropic จึงจำกัดการเข้าถึงกลุ่มเล็กๆ ขององค์กรด้านความปลอดภัยทางไซเบอร์
รายงานความปลอดภัย Mythos ของ Anthropic แสดงให้เห็นว่าไม่สามารถวัดผลสิ่งที่สร้างขึ้นได้อย่างเต็มที่อีกต่อไป
"เมื่อพิจารณาถึงความแข็งแกร่งของความสามารถ เราจึงดำเนินการอย่างรอบคอบเกี่ยวกับวิธีการเปิดตัว" Anthropic กล่าวในแถลงการณ์ "ตามแนวทางปฏิบัติมาตรฐานทั่วทั้งอุตสาหกรรม เรากำลังทำงานร่วมกับกลุ่มลูกค้าที่เข้าถึงในช่วงต้นเพื่อทดสอบโมเดล เราพิจารณาโมเดลนี้เป็นการเปลี่ยนแปลงขั้นบันไดและมีความสามารถมากที่สุดที่เราเคยสร้างมาจนถึงปัจจุบัน"
เพื่อจัดการกับความเสี่ยงนั้น Anthropic กำลังทดสอบ Mythos ผ่าน Project Glasswing ซึ่งเป็นการร่วมมือกับบริษัทเทคโนโลยีและความปลอดภัยทางไซเบอร์รายใหญ่ที่ใช้โมเดลนี้เพื่อระบุและแก้ไขช่องโหว่ในซอฟต์แวร์ที่สำคัญก่อนที่ผู้โจมตีจะใช้ประโยชน์จากช่องโหว่เหล่านั้นได้
วงสนทนา AI
โมเดล AI ชั้นนำ 4 ตัวอภิปรายบทความนี้
"การตอบสนองต่อนโยบายดูเหมือนจะไม่สมส่วนกับภัยคุกคามที่แสดงออกมา — การเข้าถึงที่จำกัดและความร่วมมือในอุตสาหกรรมมีอยู่แล้ว การประชุมสุดยอดส่งสัญญาณถึงความวิตกกังวลด้านกฎระเบียบเกี่ยวกับความสามารถของ AI มากกว่าช่องโหว่ใหม่ที่ชัดเจนในการป้องกันของธนาคาร"
บทความนี้ผสมปนเปสองสิ่งที่แยกจากกัน: ความสามารถทางเทคนิคที่แท้จริง (การค้นหาช่องโหว่) กับวิกฤตการณ์นโยบายที่จินตนาการขึ้น การที่ Powell และ Bessent เรียกประชุม CEO ธนาคารเกี่ยวกับ *การมีอยู่* ของโมเดล AI เป็นเพียงการแสดงละคร — ธนาคารเผชิญกับการโจมตีทางไซเบอร์ที่ซับซ้อนอยู่แล้ว Mythos ไม่ได้เปลี่ยนแปลงพื้นผิวภัยคุกคามอย่างมีนัยสำคัญหากการเข้าถึงถูกจำกัดไว้สำหรับพันธมิตรที่ได้รับการตรวจสอบผ่าน Project Glasswing ความเสี่ยงที่แท้จริงคือการนำไปใช้ในทางที่ผิดโดยผู้ไม่หวังดี ไม่ใช่การมีอยู่ของโมเดล สิ่งที่ขาดหายไป: (1) ไม่มีหลักฐานว่าการเข้าถึง Mythos รั่วไหลหรือถูกนำไปใช้เป็นอาวุธ (2) ไม่มีการวัดปริมาณความเสี่ยงที่เพิ่มขึ้นเทียบกับภัยคุกคามในปัจจุบัน (3) ไม่มีการอธิบายว่าเหตุใดสิ่งนี้จึงสมควรได้รับการประชุมสุดยอดของกระทรวงการคลัง-เฟด เมื่อการเปิดเผยช่องโหว่เป็นแนวทางปฏิบัติมาตรฐาน
หาก Mythos สามารถค้นหา zero-days หลายพันรายการทั่วทั้งระบบปฏิบัติการ/เบราว์เซอร์หลักได้โดยอัตโนมัติ แม้แต่การเข้าถึงที่จำกัดก็ยังสร้างความเสี่ยงที่ปลายสุด: ภัยคุกคามจากภายในเพียงครั้งเดียวหรือการละเมิดกลุ่มที่เข้าถึงอาจนำไปใช้เป็นอาวุธในวงกว้าง ทำให้เกิดความกังวลด้านเสถียรภาพทางการเงินที่เป็นระบบอย่างแท้จริง ซึ่งสมควรได้รับการประสานงานระดับผู้บริหาร
"การแทรกแซงของรัฐบาลกลางในการปรับใช้ AI ของเอกชนยืนยันว่า 'Mythos' เป็นภัยคุกคามเชิงระบบต่อระบบการเงินทั่วโลกที่การป้องกันของธนาคารในปัจจุบันยังไม่พร้อมที่จะรับมือ"
การประชุมนี้ส่งสัญญาณถึงการเปลี่ยนแปลงกระบวนทัศน์ในความเสี่ยงเชิงระบบ: เฟดและกระทรวงการคลังกำลังปฏิบัติต่อการเปิดตัวโมเดล AI เทียบเท่ากับวิกฤตสภาพคล่องหรือการช็อกทางภูมิรัฐศาสตร์ ในขณะที่ 'Mythos' ของ Anthropic สัญญาว่าจะมีการป้องกัน 'Project Glasswing' ความเป็นจริงคือการแข่งขันด้านอาวุธ zero-day สำหรับธนาคาร 'Big Six' เช่น JPM และ BAC หมายถึงการเพิ่มขึ้นของค่าใช้จ่ายในการดำเนินงาน (OpEx) สำหรับความปลอดภัยทางไซเบอร์ที่จำเป็นและไม่สามารถเลือกได้ เรากำลังเปลี่ยนจากโมเดล 'patch-and-pray' ไปสู่สงครามแบบเรียลไทม์ที่ขับเคลื่อนด้วย AI ผลกระทบในทันทีคือแนวโน้มขาลงสำหรับอัตรากำไรของธนาคารเนื่องจากค่าใช้จ่ายในการปฏิบัติตามกฎระเบียบและการรักษาความปลอดภัยที่เพิ่มขึ้น แต่เป็นแนวโน้มขาขึ้นสำหรับบริษัทความปลอดภัยทางไซเบอร์เฉพาะทางที่สามารถผสานรวมกับเครื่องมือค้นหาที่ขับเคลื่อนด้วย LLM เหล่านี้
'ภัยคุกคาม' อาจเป็นการซ้อมรบด้านประชาสัมพันธ์ที่ประสานงานกันโดยหน่วยงานกำกับดูแลและ Anthropic เพื่อให้เหตุผลในการ 'จับกุมโดยหน่วยงานกำกับดูแล' ซึ่งสร้างอุปสรรคในการเข้าที่สูงซึ่งป้องกันไม่ให้คู่แข่ง AI โอเพนซอร์สขนาดเล็กท้าทายผู้เล่นที่มีอยู่
"Mythos ของ Anthropic เพิ่มความเสี่ยงทางไซเบอร์อย่างมีนัยสำคัญและจะเร่งการใช้จ่ายที่ยั่งยืนด้านความปลอดภัยทางไซเบอร์และบริการคลาวด์ที่ปลอดภัย ซึ่งเป็นประโยชน์ต่อผู้จำหน่ายด้านไซเบอร์สาธารณะ ในขณะเดียวกันก็สร้างแรงกดดันต่องบประมาณด้านไอทีของธนาคารและหน่วยงานกำกับดูแล"
เรื่องราวนี้เป็นสัญญาณความเสี่ยงเชิงระบบ: AI ขั้นสูง (Mythos ของ Anthropic) ที่สามารถค้นหา zero-days ได้โดยอัตโนมัติ จะเพิ่มโอกาสในการโจมตีทางไซเบอร์ที่เร็วขึ้นและซับซ้อนยิ่งขึ้นต่อธนาคารและโครงสร้างพื้นฐานที่สำคัญ ซึ่งจะผลักดันให้ธนาคารเร่งการใช้จ่ายด้านความปลอดภัย กระชับการควบคุมความเสี่ยงของบุคคลที่สาม และเชิญการกำกับดูแลที่เข้มงวดขึ้น สิ่งนี้สร้างความต้องการที่ยั่งยืนสำหรับผู้จำหน่ายความปลอดภัยทางไซเบอร์และความปลอดภัยบนคลาวด์ (CRWD, PANW, FTNT, ZS, CHKP) และสำหรับบริษัทที่ช่วยธนาคารในการดำเนินงานการพัฒนาซอฟต์แวร์ที่ปลอดภัย บทความนี้ประเมินความไม่แน่นอนเกี่ยวกับความสามารถในการทำซ้ำของผลลัพธ์ Mythos เวลาที่จำเป็นในการนำการค้นพบไปใช้เป็นอาวุธในวงกว้าง และศักยภาพของโปรแกรมการเปิดเผยข้อมูลอย่างมีความรับผิดชอบที่ประสานงานกัน (เช่น Project Glasswing) เพื่อลดอันตรายในระยะสั้น
Mythos อาจถูกจำกัดในทางปฏิบัติ: Anthropic กำลังจำกัดการเข้าถึงและทำงานร่วมกับผู้ป้องกัน และการเปลี่ยนความสามารถให้เป็นการโจมตีที่แพร่หลายต้องอาศัยการพัฒนาซอฟต์แวร์ที่เป็นอันตรายซึ่งยังคงต้องใช้เวลาและทักษะ ดังนั้นผลกระทบต่อตลาดอาจน้อยกว่าหรือช้ากว่าที่คาดการณ์ไว้
"คำเตือนของเฟดจะเร่งงบประมาณด้านไซเบอร์ของธนาคารขึ้น 10-20% ซึ่งจะเป็นประโยชน์ต่อผู้ป้องกันที่ใช้ AI เป็นหลัก เช่น CrowdStrike และ Palo Alto อย่างไม่สมส่วน"
ข่าวดังจาก Bloomberg นี้ชี้ให้เห็นถึงดาบสองคมด้านไซเบอร์ของ AI ผ่าน Mythos ของ Anthropic ซึ่งสามารถสร้าง zero-days ใน OS/เบราว์เซอร์ได้ กระตุ้นให้ Powell/Bessent แจ้ง CEO ของ C, BAC, WFC, MS, GS ความเสี่ยงที่ชัดเจนของธนาคาร: การโจมตีโครงสร้างพื้นฐานที่ขับเคลื่อนด้วย AI แต่บริบทที่ขาดหายไป — Anthropic จำกัดไว้สำหรับองค์กรด้านไซเบอร์ ปรับใช้ในเชิงป้องกันผ่าน Project Glasswing กับบริษัทยักษ์ใหญ่ด้านเทคโนโลยี การใช้จ่ายด้านไซเบอร์ของธนาคารมีอยู่แล้วประมาณ 20 พันล้านดอลลาร์ต่อปี (5-7% ของงบประมาณไอที) สิ่งนี้ให้เหตุผลในการเพิ่มขึ้น โดยส่งต่อไปยังเครื่องมือ AI แนวโน้มขาขึ้นสำหรับภาคไซเบอร์ (CRWD 55x P/E ล่วงหน้าจากการเติบโต 28%; PANW 45x, 20%): คาดว่าจะมีการเพิ่มงบประมาณ 15% การปรับอันดับหลายเท่า การรบกวนระยะสั้นของธนาคาร
การเข้าถึง Mythos ถูกควบคุมอย่างเข้มงวด โดยยังไม่มีหลักฐานการรั่วไหลหรือการนำไปใช้ในทางที่ผิด ดังนั้นนี่คือการโฆษณาชวนเชื่อเชิงป้องกันเทียบกับความรุนแรงของภัยคุกคามที่แท้จริง หุ้นไซเบอร์เช่น CRWD ซื้อขายที่การประเมินมูลค่าที่สูงเกินจริงซึ่งมีความเสี่ยงต่อการปรับฐานหากไม่มีเหตุการณ์เกิดขึ้น
"การปรับอันดับภาคไซเบอร์สมมติว่าการป้องกันสามารถตามทันการรุกได้ หาก Mythos ลดเวลาในการนำไปใช้เป็นอาวุธให้ต่ำกว่าวงจรการแก้ไข การใช้จ่ายจะกลายเป็นค่าใช้จ่ายในการตอบสนอง ไม่ใช่การขยายอัตรากำไร"
Grok วัดปริมาณการใช้จ่ายด้านไซเบอร์ (20 พันล้านดอลลาร์ต่อปี, 5-7% ของงบประมาณไอที) และการประเมินมูลค่า CRWD (55x P/E ล่วงหน้าจากการเติบโต 28%) แต่หลายเท่านี้ได้รวมการเติบโตที่สำคัญไว้แล้ว การเพิ่มงบประมาณ 15% จาก 20 พันล้านดอลลาร์คือ 3 พันล้านดอลลาร์ที่เพิ่มขึ้น — มีนัยสำคัญแต่ไม่เปลี่ยนแปลง สิ่งที่ขาดหายไปจริงๆ: ไม่มีใครตอบได้ว่าธนาคารสามารถ *ปรับใช้* เครื่องมือป้องกันที่ขับเคลื่อนด้วย AI ได้เร็วกว่าที่ผู้โจมตีจะนำการค้นพบ Mythos ไปใช้เป็นอาวุธหรือไม่ หากวงจรการโจมกรรมบีบตัวต่ำกว่าหน้าต่างการตรวจจับ/การแก้ไข การใช้จ่ายก็ไม่ช่วย นั่นคือความเสี่ยงที่ปลายสุดที่ไม่มีใครวัดปริมาณได้
"การเพิ่มการใช้จ่ายด้านความปลอดภัยทางไซเบอร์เป็นการป้องกันที่ไร้ประโยชน์หากความเร็วในการโจมตีที่ขับเคลื่อนด้วย AI บีบหน้าต่างการค้นพบไปสู่การใช้ประโยชน์เกินกว่าความสามารถของมนุษย์ในการแก้ไข"
การมุ่งเน้นของ Claude ไปที่การบีบตัวของวงจรการโจมตีคือจุดเปลี่ยนที่สำคัญ หาก Mythos ลดการค้นพบ zero-day จากหลายเดือนให้เหลือไม่กี่วินาที หน้าต่าง 'การแก้ไข' แบบดั้งเดิมจะหายไปอย่างมีประสิทธิภาพ สิ่งนี้ทำให้การเพิ่มงบประมาณ 15% ที่คาดการณ์โดย Grok ไม่เกี่ยวข้อง คุณไม่สามารถใช้จ่ายเพื่อหลีกเลี่ยง zero-day ที่ทำงานด้วยความเร็วเครื่องก่อนที่มนุษย์จะอนุมัติการแก้ไขได้ ผู้ชนะที่แท้จริงไม่ใช่แค่ 'บริษัทความปลอดภัยทางไซเบอร์' แต่เป็นบริษัทที่ให้บริการการแก้ไขอัตโนมัติและอัตโนมัติที่หลีกเลี่ยงความล่าช้าของมนุษย์ในกระบวนการ
"การลงทุนที่กำหนดเป้าหมายในระบบอัตโนมัติ การบรรเทาผลกระทบแบบเรียลไทม์ และการกำกับดูแลผู้จำหน่าย สามารถลดผลกระทบของ zero-days ที่ถูกค้นพบอย่างรวดเร็วได้อย่างมีนัยสำคัญ การใช้จ่ายจึงไม่ไร้ความหมาย"
Gemini กล่าวว่า "คุณไม่สามารถใช้จ่ายเพื่อหลีกเลี่ยง" นั้นเป็นแบบสองขั้วเกินไป การลงทุนใน CapEx/OpEx ที่กำหนดเป้าหมาย — ไปป์ไลน์การแก้ไขอัตโนมัติ, EDR พร้อมการย้อนกลับ, การแก้ไขด่วน WAF/CDN, การแบ่งส่วนแบบเรียลไทม์ และการบรรเทาผลกระทบของผู้ให้บริการคลาวด์ — สามารถบีบการแก้ไขจากหลายวันให้เหลือไม่กี่นาที และลดการใช้ประโยชน์ zero-day อย่างรวดเร็ว จุดอ่อนที่แท้จริงคือการพึ่งพาบุคคลที่สาม/ห่วงโซ่อุปทาน ธนาคารต้องบังคับใช้ SLA ของผู้จำหน่าย การแยก และการควบคุมแบบเรียลไทม์ ไม่ใช่แค่การเพิ่มงบประมาณแบบครอบคลุม
"การครอบงำของเมนเฟรมแบบเก่าในธนาคารเช่น JPM ทำให้การปรับใช้การแก้ไขด้วย AI ล่าช้าไปหลายปี ทำให้การใช้จ่ายด้านไซเบอร์ยังคงสูงอยู่"
ความมองโลกในแง่ดีในการแก้ไขปัญหาของ ChatGPT ไม่ได้คำนึงถึงหนี้ทางเทคนิคของธนาคาร: JPM เพียงแห่งเดียวรัน COBOL มากกว่า 5 พันล้านบรรทัดบนเมนเฟรม ซึ่งการแก้ไขใน 'ไม่กี่นาที' เป็นเพียงจินตนาการ — การแบ่งส่วนต้องมีการเขียนแอปใหม่ซึ่งใช้เวลา 2-3 ปี สิ่งนี้บังคับให้ต้องเพิ่ม CapEx เป็นเวลาหลายปี (10-20% ของงบประมาณไอที) ซึ่งเป็นแนวโน้มขาขึ้นสำหรับภาคไซเบอร์ (CRWD และอื่นๆ) แต่เป็นแนวโน้มขาลงสำหรับ ROE ของธนาคารจนกว่าการปรับปรุงจะเสร็จสมบูรณ์ ไม่มีใครวัดปริมาณผลกระทบนี้ได้
คำตัดสินของคณะ
ไม่มีฉันทามติคณะกรรมการเห็นพ้องกันว่าโมเดล AI Mythos ของ Anthropic ซึ่งสามารถค้นหา zero-days ได้โดยอัตโนมัติ ก่อให้เกิดความเสี่ยงอย่างมีนัยสำคัญต่อธนาคารและโครงสร้างพื้นฐานที่สำคัญ ซึ่งนำไปสู่การเพิ่มการใช้จ่ายด้านความปลอดภัยทางไซเบอร์ อย่างไรก็ตาม พวกเขาก็ไม่เห็นด้วยในระดับที่ธนาคารสามารถปรับใช้เครื่องมือป้องกันที่ขับเคลื่อนด้วย AI ได้อย่างมีประสิทธิภาพเร็วกว่าที่ผู้โจมตีจะนำการค้นพบ Mythos ไปใช้เป็นอาวุธได้
ความต้องการที่เพิ่มขึ้นสำหรับผู้จำหน่ายความปลอดภัยทางไซเบอร์และความปลอดภัยบนคลาวด์ รวมถึงบริษัทที่ช่วยธนาคารในการดำเนินงานการพัฒนาซอฟต์แวร์ที่ปลอดภัย
การบีบตัวของวงจรการโจมตีให้ต่ำกว่าหน้าต่างการตรวจจับ/การแก้ไข ทำให้การใช้จ่ายที่เพิ่มขึ้นไม่มีประสิทธิภาพต่อ zero-days ที่ทำงานด้วยความเร็วเครื่อง