OpenAI จ้างทีม DOGE แฮ็ก Anthropic เสริมความปลอดภัย

วงการปัญญาประดิษฐ์กำลังเข้าสู่ช่วงที่การแข่งขันไม่ได้จำกัดอยู่แค่ความสามารถของโมเดล แต่รวมถึงการปกป้องระบบจากการโจมตีทางไซเบอร์ด้วย ล่าสุด OpenAI ประกาศร่วมงานกับ Cathedral บริษัทความปลอดภัยไซเบอร์ที่ก่อตั้งโดยอดีตบุคลากรจาก Department of Government Efficiency หรือ DOGE โดยทีมนี้เป็นที่รู้จักจากการทดสอบเจาะระบบของ Anthropic ภายใต้โครงการค้นหาช่องโหว่ การเคลื่อนไหวดังกล่าวทำให้หลายคนสนใจว่า OpenAI จะนำประสบการณ์ของทีมที่เคยเจาะระบบจริงมาใช้ยกระดับความปลอดภัยของผลิตภัณฑ์ AI ได้อย่างไร

ประเด็นนี้มีความน่าสนใจเป็นพิเศษ เพราะ Cathedral ไม่ใช่บริษัทไซเบอร์ทั่วไป ทีมงานของบริษัทมีพื้นฐานทั้งด้านซอฟต์แวร์ การป้องกันระบบสำคัญ และการทำงานในหน่วยงานรัฐ การที่ OpenAI จ้างทีม DOGE แฮ็ก Anthropic เสริมความปลอดภัย จึงสะท้อนแนวคิดว่า วิธีรับมือแฮ็กเกอร์ที่มีประสิทธิภาพอาจต้องเริ่มจากการคิดแบบเดียวกับผู้โจมตี แล้วเปลี่ยนความรู้นั้นให้กลายเป็นแนวทางป้องกันเชิงรุก

OpenAI จ้างทีม DOGE แฮ็ก Anthropic เสริมความปลอดภัย

ตามข้อมูลที่เปิดเผย Cathedral เคยทดสอบเจาะระบบส่วนตัวของ Anthropic ในโครงการ bug bounty หรือโครงการที่เปิดให้นักวิจัยค้นหาและรายงานช่องโหว่ โดย Cathedral ระบุว่าสามารถเข้าถึงข้อมูลสำคัญบางส่วน เช่น ข้อความใน Slack ข้อเสนองาน และบันทึกการประชุมได้ภายในเวลาไม่ถึงสิบสองชั่วโมง อย่างไรก็ตาม Anthropic ชี้แจงว่าการทดสอบใช้เวลาหลายวัน และระบบที่มีความละเอียดอ่อนที่สุด เช่น น้ำหนักโมเดลและบทสนทนาของ Claude ไม่ได้รับผลกระทบ

Anthropic ยังระบุว่าแนวทางของ Cathedral มีลักษณะผิดปกติและอาจอยู่นอกขอบเขตของกติกา bug bounty เนื่องจากอาศัยช่องโหว่จากผู้ให้บริการภายนอกหลายราย เหตุการณ์นี้จึงไม่ได้มีเพียงคำถามว่าทีมสามารถเจาะระบบได้เร็วแค่ไหน แต่ยังเกี่ยวข้องกับขอบเขตของการทดสอบ ความยินยอม และความรับผิดชอบของนักวิจัยความปลอดภัยด้วย

เหตุผลที่ OpenAI เลือกทีม DOGE แฮ็ก Anthropic เสริมความปลอดภัย

OpenAI ระบุว่า Cathedral จะทำงานร่วมกับทีมภายใน โดยใช้โมเดลของ OpenAI เพื่อท้าทายระบบป้องกัน ค้นหาจุดอ่อน และช่วยรักษาความปลอดภัยของแพลตฟอร์ม แนวทางนี้เป็นการสร้างวงจรป้องกันอย่างต่อเนื่อง แทนที่จะรอให้เกิดเหตุโจมตีเสียก่อนแล้วค่อยแก้ไข การทดสอบในลักษณะ red team ยังช่วยจำลองสถานการณ์ที่ซับซ้อน ซึ่งการตรวจสอบด้วยรายการเช็กแบบเดิมอาจมองไม่เห็น

การจ้างผู้เชี่ยวชาญภายนอกยังช่วยให้ OpenAI ได้มุมมองใหม่ ทีมรักษาความปลอดภัยภายในอาจคุ้นเคยกับสถาปัตยกรรม ระบบ และกระบวนการทำงานของบริษัทมากเกินไป จนมองข้ามความเสี่ยงบางอย่างได้ ขณะที่ทีมอิสระสามารถตั้งคำถามที่ตรงกว่า ทดลองเส้นทางโจมตีที่ไม่คาดคิด และตรวจสอบการเชื่อมต่อระหว่างระบบ AI กับบริการภายนอกอย่างละเอียด

• ค้นหาช่องโหว่เชิงรุก: ทดสอบระบบก่อนที่ผู้โจมตีจริงจะพบจุดอ่อน
• จำลองการโจมตีหลายรูปแบบ: ตรวจสอบทั้งแอปพลิเคชัน อินเทอร์เฟซ API ผู้ให้บริการภายนอก และสิทธิ์การเข้าถึง
• ใช้ AI ช่วยตรวจสอบ: นำโมเดลมาเร่งการวิเคราะห์โค้ด บันทึกระบบ และรูปแบบการทำงานที่ผิดปกติ
• สร้างความปลอดภัยแบบต่อเนื่อง: ปรับปรุงระบบเป็นวงจร ไม่ใช่การตรวจเพียงครั้งเดียว

OpenAI ยังประกาศเพิ่มรางวัลสำหรับรายงานช่องโหว่ระดับวิกฤตมากกว่าสี่เท่า การเพิ่มแรงจูงใจให้ผู้เชี่ยวชาญภายนอกเข้ามาช่วยตรวจสอบอาจทำให้บริษัทได้รับข้อมูลที่มีคุณค่ามากขึ้น ก่อนที่ช่องโหว่จะถูกนำไปใช้ในทางเสียหาย อย่างไรก็ตาม รายละเอียดเกี่ยวกับจำนวนเงินรางวัลใหม่ยังไม่ได้รับการอธิบายอย่างชัดเจน จึงควรรอติดตามข้อมูลอย่างเป็นทางการเพิ่มเติม

Cathedral คือใคร และเกี่ยวข้องกับ DOGE อย่างไร

Cathedral ก่อตั้งขึ้นโดย Gavin Kliger, Luke Farritor, Marko Elez และ Jack Stein ซึ่งเคยทำงานเป็นผู้ช่วยหรือเจ้าหน้าที่รุ่นเยาว์ภายใต้ DOGE หน่วยงานที่มีภารกิจลดค่าใช้จ่ายของรัฐบาลสหรัฐฯ ผู้ก่อตั้งแต่ละคนมีประสบการณ์แตกต่างกัน ทั้งการพัฒนาซอฟต์แวร์ บริษัทเทคโนโลยี อุตสาหกรรมอวกาศ และโครงการที่ใช้ AI แก้ปัญหาซับซ้อน

Gavin Kliger ซึ่งเป็นประธานเจ้าหน้าที่บริหารของ Cathedral เคยทำงานเป็นวิศวกรซอฟต์แวร์อาวุโสที่ Databricks และเคยดำรงตำแหน่งด้านข้อมูลในกระทรวงกลาโหมสหรัฐฯ ส่วน Luke Farritor เคยฝึกงานกับ SpaceX และได้รับทุน Thiel Fellowship นอกจากนี้ เขายังเป็นส่วนหนึ่งของทีมที่ชนะการแข่งขัน Vesuvius Challenge ซึ่งใช้ AI ช่วยอ่านข้อความจากม้วนกระดาษโบราณที่ถูกเถ้าภูเขาไฟเผาไหม้

Marko Elez เคยทำงานกับ SpaceX, X และ xAI และเคยเป็นข่าวจากประเด็นโพสต์บนบัญชีออนไลน์ที่มีเนื้อหาเหยียดเชื้อชาติ ขณะที่ข้อมูลเกี่ยวกับ Jack Stein ยังมีไม่มากนัก ความหลากหลายของประสบการณ์เหล่านี้ทำให้ Cathedral มีภาพลักษณ์เป็นบริษัทที่รวมคนเก่งด้านเทคนิค รัฐบาล และการปฏิบัติการไซเบอร์ไว้ด้วยกัน

ความปลอดภัย AI กำลังกลายเป็นภารกิจระดับอุตสาหกรรม

ความร่วมมือครั้งนี้เกิดขึ้นในช่วงที่ภาคความปลอดภัยไซเบอร์เผชิญความเสี่ยงเพิ่มขึ้น นักวิจัยเพิ่งค้นพบช่องโหว่สำคัญใน PHP ซึ่งเป็นภาษาที่อยู่เบื้องหลังเว็บไซต์จำนวนมากทั่วโลก เหตุการณ์ดังกล่าวทำให้หลายองค์กรต้องเร่งอัปเดตระบบและวางมาตรการป้องกัน เพราะหากช่องโหว่ถูกนำไปใช้ในวงกว้าง ผลกระทบอาจเกิดขึ้นอย่างรวดเร็ว

OpenAI เองเคยระบุว่าโมเดลของบริษัทมีส่วนช่วยค้นพบช่องโหว่ในซอฟต์แวร์ และได้เปิดตัวความพยายามในลักษณะ “patch the planet” เพื่อช่วยค้นหาและแก้ไขจุดอ่อนในซอฟต์แวร์ที่ใช้กันแพร่หลาย แนวคิดนี้แสดงให้เห็นว่า AI สามารถมีบทบาททั้งในฐานะเครื่องมือของผู้โจมตีและเครื่องมือของฝ่ายป้องกัน

ปัญหาคือเมื่อ AI มีความสามารถมากขึ้น ผู้ไม่หวังดีก็อาจใช้ AI เพื่อสร้างโค้ดอันตราย วิเคราะห์เป้าหมาย ค้นหาช่องโหว่ หรือปรับข้อความหลอกลวงให้แนบเนียนขึ้น ดังนั้น บริษัท AI จึงต้องลงทุนในระบบรักษาความปลอดภัยมากกว่าการป้องกันข้อมูลรั่วไหลเพียงอย่างเดียว แต่ต้องตรวจสอบพฤติกรรมของโมเดล สิทธิ์การเข้าถึงข้อมูล ระบบปลั๊กอิน และการเชื่อมต่อกับบริการภายนอกอย่างรอบด้าน

การที่ OpenAI จ้างทีม DOGE แฮ็ก Anthropic เสริมความปลอดภัย อาจถูกมองว่าเป็นการตัดสินใจที่กล้าหาญ เพราะประสบการณ์ของ Cathedral มาพร้อมคำถามเกี่ยวกับขอบเขตการทดสอบ แต่ในอีกมุมหนึ่ง ความร่วมมือแบบนี้อาจช่วยให้บริษัทเห็นจุดอ่อนก่อนเกิดเหตุจริง สิ่งสำคัญคือ OpenAI ต้องกำหนดกติกาที่ชัดเจน บันทึกการทดสอบอย่างโปร่งใส จำกัดสิทธิ์ของผู้ตรวจสอบ และแจ้งผลกระทบต่อบุคคลที่เกี่ยวข้องอย่างรับผิดชอบ

สำหรับผู้ใช้งานทั่วไป ข่าวนี้เป็นเครื่องเตือนใจว่าไม่ควรเชื่อว่าระบบ AI ใดปลอดภัยโดยสมบูรณ์ แม้บริษัทเทคโนโลยีรายใหญ่จะมีทีมวิศวกรจำนวนมากก็ตาม ผู้ใช้ควรเปิดการยืนยันตัวตนหลายขั้นตอน ใช้รหัสผ่านที่ไม่ซ้ำกัน ระวังการแชร์ข้อมูลลับกับเครื่องมือ AI และอัปเดตซอฟต์แวร์เป็นประจำ ในขณะเดียวกัน บริษัทต่าง ๆ ควรมีแผนรับมือเหตุการณ์และทบทวนสิทธิ์การเข้าถึงข้อมูลอย่างสม่ำเสมอ

ในมุมมองของผู้เขียน การป้องกันที่ดีที่สุดไม่ใช่การรอให้ระบบถูกเจาะแล้วค่อยแก้ แต่คือการทดสอบอย่างมีขอบเขตและต่อเนื่อง ความร่วมมือระหว่าง OpenAI กับ Cathedral จึงอาจเป็นก้าวสำคัญของแนวคิด security by design หากดำเนินการอย่างโปร่งใส รอบคอบ และให้ความสำคัญกับผลกระทบต่อผู้ใช้ ทุกบริษัท AI ควรนำบทเรียนนี้ไปปรับใช้ เพื่อให้ความก้าวหน้าของเทคโนโลยีเดินหน้าไปพร้อมกับความปลอดภัย

ที่มา – OpenAI Hires DOGE Alumni Who Hacked Into Anthropic to Strengthen Security