Claude Mythos รุ่นองค์กรขุดช่องโหว่ร้ายแรงเกิน 1 หมื่นรายการ: Anthropic ร่วมมือกับ 13 บรรษัทยักษ์ใหญ่ตั้งพันธมิตรความปลอดภัย AI

ช่วงนี้ Anthropic เล่นอะไรใหญ่ แต่ครั้งนี้ไม่ได้แค่ปล่อยโมเดลใหม่ง่าย ๆ

วันที่ 7 เมษายน มันรวมตัวกับกลุ่มบริษัทที่คุณฝันไปก็ไม่คิดว่าจะยืนอยู่ด้วยกันได้——AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks——ประกาศก่อตั้งพันธมิตรด้านความปลอดภัยชื่อ Project Glasswing ภารกิจมีอย่างเดียว: ใช้ AI แก้ปัญหาความปลอดภัยของซอฟต์แวร์ที่สำคัญที่สุดของโลก

วันเดียวกันนั้น Anthropic ยังเผยอีกข่าวใหญ่: พวกเขาใช้โมเดลตระกูล Claude สแกนความปลอดภัยโค้ดเบสระดับองค์กรขนาดใหญ่ ผลพบ ช่องโหว่ร้ายแรงมากกว่า 10,000 รายการ.

ข่าวสองชิ้นนี้มาพร้อมกัน วงการความปลอดภัยทั้งวงระเบิด

ช่องโหว่ร้ายแรงกว่าหมื่นรายการถูกขุดออกมาได้อย่างไร

ต้องเริ่มจากงานวิจัยด้านความปลอดภัย AI ของ Anthropic

Claude Mythos คือโมเดลเฉพาะทางด้านวิจัยความปลอดภัยที่ Anthropic เคาะขัดอยู่ภายในมาตลอด ต่างจาก Claude ทั่วไปตรงที่มันถูกออปไทม์สำหรับสถานการณ์ reverse engineering โค้ด การค้นพบช่องโหว่ และ penetration testing โดยเฉพาะ สามารถไล่หาจุดช่องโหว่ที่เป็นภัยจริงจากโค้ดเบสขนาดใหญ่ได้อัตโนมัติ

ก่อนโปรเจกต์ Glasswing จะเปิดตัว ทีม Anthropic ใช้ Claude Mythos ทำ "การทดสอบแรงกระแทก" กับโค้ดเบสระดับองค์กรชุดหนึ่งก่อน——ผลออกมาจนขนลุก:ช่องโหว่ร้ายแรงมากกว่าหมื่นรายการ ครอบคลุมหลายประเภท ตั้งแต่การเลี่ยงผ่านการยืนยันตัวตน memory corruption ไปจนถึงการโจมตีผ่านซัพพลายเชน

ช่องโหว่เหล่านี้ไม่ได้ถูกหาด้วยสแกนเนอร์แบบดั้งเดิม ไม่ใช่ฝีมือวิศวกรความปลอดภัยที่ขุดด้วยมือเปล่า แต่คือรันออกมาโดยโมเดล AI อัตโนมัติ

เทียบกับวิธีเดิม: ทีมความปลอดภัยมืออาชีพทำ audit โค้ดองค์กรครบวงจรหนึ่งครั้ง ใช้เวลาหน่วยเป็นเดือน ค่าใช้จ่ายหลักแสนดอลลาร์ขึ้นไป Claude Mythos บนโค้ดเบสขนาดเท่ากัน สามารถบีบเวลาลงเหลือหน่วยเป็นวันหรือน้อยกว่านั้นได้

นี่คือความต่างระดับปริมาณของเครื่องมือวิจัยความปลอดภัย AI

Claude Mythos รุนแรงแค่ไหนกันแน่

พาดหัวข่าวของ The New York Times วันที่ 7 เมษายน เขียนประโยคเดียวตรง ๆ:"Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning"——พูดตรง ๆ คือโมเดลนี้แรงจน Anthropic เองรู้สึกว่าไม่เหมาะจะเผยแพร่สู่สาธารณะ

BBC ตามด้วยการเขียนบทความไล่ติดตามโดยเฉพาะ พาดหัวว่า:"What is Anthropic's Claude Mythos and what risks does it pose?"

จากข้อมูลรวมของแต่ละฝ่าย ความสามารถหลักของ Claude Mythos กระจุกอยู่สามทิศทาง:

– การเข้าใจและถอดรหัสโค้ด: อ่านโครงสร้างโค้ดเบสองค์กรที่ซับซ้อนให้เข้าใจ และหาข้อบกพร่องด้านความปลอดภัยที่ซ่อนอยู่ได้
– การประเมินว่าช่องโหว่เอาไปใช้ได้จริงหรือไม่: ไม่ใช่แค่หาเจอ แต่ตัดสินได้ด้วยว่าช่องโหว่นี้ใช้ได้จริงหรือไม่ในสถานการณ์การโจมตีจริง
– การสแกนอัตโนมัติขนาดใหญ่: รันกับโค้ดเบสทั้งชุดได้ในครั้งเดียว ไม่ต้องไล่ตรวจทีละขั้นด้วยมือ

ชุดความสามารถแบบนี้หมายความว่าอะไร?

หมายความว่างานที่เมื่อก่อนทีมความปลอดภัยหนึ่งทีมต้องใช้สามเดือน ตอนนี้ AI อาจรันให้เสร็จภายในหลายวัน และ AI ไม่รู้จักเหนื่อยล้า ไม่สแกนพลาด ไม่มีอาการหนุบหนับกลัวความซับซ้อนของโค้ด

Project Glasswing: พันธมิตรความปลอดภัย AI มาจากไหน

มีความสามารถ AI เพียงอย่างเดียวยังไม่พอ Anthropic ดึง 13 ยักษ์ใหญ่เทคโนโลยีมาร่วมเปิดตัว Project Glasswing

รายชื่อชุดนี้เองก็คุ้มค่าที่จะจิบให้เพลิน:

– ผู้ให้บริการคลาวด์: AWS, Microsoft Azure
– บริษัทด้านความปลอดภัย: CrowdStrike, Palo Alto Networks
– ชิป/ฮาร์ดแวร์: Broadcom, NVIDIA
– ผู้ใช้องค์กร: JPMorgan Chase
– โครงสร้างพื้นฐานโอเพนซอร์ส: Linux Foundation
– ระบบปฏิบัติการ: Apple
– อุปกรณ์เครือข่าย: Cisco
– บริษัท AI: Anthropic, Google

ชุดรวมนี้หมายความว่าอะไร? หมายถึงพวกเขาไม่ได้ทำแค่วิจัยทฤษฎี แต่จะทะลุให้ครบทั้งสาย ตั้งแต่ชั้นชิป ชั้นระบบปฏิบัติการ ชั้นคลาวด์ ไปจนถึงชั้นแอปพลิเคชัน เพื่อทำให้ความสามารถด้านความปลอดภัย AI ลงมือใช้ได้จริง

แผนหลักของ Glasswing ประกอบด้วย:

– สร้างชุดมาตรฐานประเมินความปลอดภัยโค้ดที่ขับเคลื่อนด้วย AI
– ผลักดันการ audit ความปลอดภัยซอฟต์แวร์โอเพนซอร์สสำคัญ
– แบ่งปันข่าวกรองช่องโหว่ร้ายแรงที่ AI ค้นพบ
– ให้การปกป้องด้านความปลอดภัย AI แก่โครงสร้างพื้นฐานสำคัญของโลก

พูดตรง ๆ ก็คือ อยากสร้าง "พันธมิตรความมั่นคงปลอดภัยไซเบอร์" ยุค AI ขึ้นมา ใช้ AI ต่อกรกับความเสี่ยงด้านความปลอดภัยที่ AI นำมา

คำถามจริงที่ซ่อนอยู่หลังช่องโหว่หมื่นรายการ

การขุดได้ช่องโหว่หมื่นรายการตัวมันเองไม่ใช่ข่าว วงการความปลอดภัยขุดช่องโหว่กันทุกวัน

สิ่งที่ควรระวังจริง ๆ คือความหมายที่ซ่อนอยู่หลังตัวเลขนี้

หนึ่ง ปริมาณของช่องโหว่เกินคาดมาก

เมื่อก่อนทุกคนรู้ว่าโค้ดเบสองค์กรมีช่องโหว่ แต่ระดับ "ร้ายแรงเกิน 10,000" บอกอะไร? บอกว่าการตรวจสอบความปลอดภัยในกระบวนการพัฒนาที่มีอยู่ ไม่เพียงพออย่างสิ้นเชิง เขียนโค้ดเสร็จ สแกนเนอร์รันผ่านหนึ่งรอบ ก็ผ่าน——แต่ของที่หลุดก็ยังหลุดอยู่ดี การเข้ามาของ AI ทำให้ปัญหานี้ถูกเปิดโปงได้ราบคาบยิ่งขึ้น

สอง การกระจายตัวของช่องโหว่บอกอะไร

Anthropic ไม่ได้เผยแพร่ว่าช่องโหว่ประเภทไหนเยอะที่สุด แต่จากองค์ประกอบของผู้ร่วม Glasswing เราคาดได้ว่า: ช่องโหว่ซัพพลายเชน (เพราะมี Linux Foundation), ช่องโหว่การยืนยันตัวตน (เพราะมีผู้ให้บริการคลาวด์และองค์กร), ช่องโหว่โครงสร้างพื้นฐาน (เพราะมีผู้ผลิตชิปและระบบปฏิบัติการ) น่าจะเป็นทิศทางหลัก

สาม "การค้นพบ" ไม่เท่ากับ "การแก้ไข"

ขุดเจอช่องโหว่เป็นแค่ก้าวแรก ช่องโหว่ร้ายแรงหมื่นรายการ ใครแก้? แก้นานแค่ไหน? ช่องโหว่เก่า ๆ ในโค้ดเบสองค์กรจำนวนมากอาจมีอยู่มาห้าถึงสิบปีแล้ว แก้หนึ่งจุดยังต้องระวังไม่ทำลายฟังก์ชันที่มีอยู่

ดาบสองคมของเครื่องมือความปลอดภัย AI

พูดถึงตรงนี้ มีเรื่องต้องเอ่ย: Claude Mythos ใช้ขุดช่องโหว่ได้ ก็แปลว่าคนอื่นก็สามารถใช้ AI แบบคล้ายกันไปขุดช่องโหว่ได้เช่นกัน

ครั้งนี้ Anthropic เลือกไม่เผยแพร่ Claude Mythos สู่สาธารณะ โดยให้เหตุผลว่า "อันตรายเกินไป" ซึ่งเป็นสายเดียวกับแนวทางยุค Claude Opus 4 ของเขา——ประเมินความเสี่ยงก่อน แล้วค่อยตัดสินระดับการเปิด

แต่ประเด็นคือ:

– บริษัทอื่นจะสร้างโมเดลที่คล้ายกันหรือแรงกว่านี้ออกมาไหม?
– ถ้าโมเดลพวกนี้ตกไปอยู่ในมือผู้โจมตีล่ะ?
– องค์กรจะรีบใช้ AI อุดช่องโหว่ของตัวเองให้ทันก่อนผู้โจมตีได้ไหม?

Glasswing แท้จริงแล้วก็คือคำตอบของคำถามนี้:แทนที่จะปล่อยให้ความสามารถด้านความปลอดภัย AI กระจุกอยู่ในมือบริษัทไม่กี่แห่ง ไม่เท่ารวมพลทั้งอุตสาหกรรมสร้างแนวป้องกันไปด้วยกัน ผู้โจมตีมี AI ผู้ป้องกันต้องมีด้วย และต้องเร็วกว่า แม่นกว่า เป็นระบบกว่า

นักพัฒนาทั่วไปควรมองอย่างไร

ถ้าคุณเป็นนักพัฒนาหรือวิศวกรความปลอดภัย เรื่องนี้มีหลายชั้นความหมาย:

ระยะสั้น: กลไกแบ่งปันช่องโหว่ของ Glasswing จะครอบคลุมโปรเจกต์โอเพนซอร์สสำคัญและโครงสร้างพื้นฐานก่อน ส่วนสายผลิตภัณฑ์ที่คุณรับผิดชอบเอง ยังคาดหวังอะไรไม่ได้เท่าไหร่ในตอนนี้ แต่ติดตามมาตรฐานทางเทคนิคและวิธีจัดเกรดช่องโหว่ที่พวกเขาจะประกาศตามหลังได้

ระยะกลาง: โมเดลเฉพาะทางด้านความปลอดภัยอย่าง Claude Mythos จะเดินเข้าเครื่องมือความปลอดภัยขององค์กรทีละขั้น คุณอาจได้เห็นความสามารถ AI แบบนี้ถูกฝังอยู่ในปลั๊กอิน IDE และกระบวนการสแกนความปลอดภัย CI/CD ในอนาคต เตรียมความเข้าใจทิศทางนี้ล่วงหน้าไม่มีความเสียหาย

ระยะยาว: แข่งขันแบบอาวุธรอบใหม่ระหว่างงานวิจัยความปลอดภัย AI กับงานวิจัยการโจมตีด้วย AI จะร้อนแรงขึ้นเรื่อย ๆ ฝ่ายป้องกันมีความสามารถ AI แข็งแรงขึ้น ฝ่ายโจมตีก็วิวัฒน์สมนัยกัน การก่อตั้ง Glasswing ชี้ว่าบรรษัทใหญ่รับปัญหานี้ในระดับกลยุทธ์แล้ว

ทำไมช่วงเวลานี้ถึงสำคัญ

ปี 2026 AI Agent เริ่มถูกเสียบเข้ากับ workflow ขององค์กรจำนวนมาก——ตั้งแต่การสร้างโค้ดถึงการประมวลผลข้อมูล จากระบบภายในถึงการสื่อสารกับลูกค้า โมเดลอย่าง Claude และ GPT ลงลึกในกระบวนการธุรกิจหลักขององค์กรไปแล้ว

เมื่อ AI เริ่มจัดการข้อมูลอ่อนไหว เขียนโค้ดสำคัญ เสียบเข้าระบบ production ช่องโหว่ความปลอดภัยของ AI เอง และช่องโหว่ที่ AI ค้นพบ ก็กลายเป็นสองหน้าของเรื่องเดียวกัน.

Glasswing และช่องโหว่หมื่นรายการนั้น คือก้อนหินที่ Anthropic ขว้างลงน้ำ——พวกเขาอยากให้ทั้งอุตสาหกรรมตระหนักว่า: ความปลอดภัย AI ไม่ใช่ปัญหาทางเทคนิค แต่เป็นปัญหาของระบบนิเวศ

บริษัทเดียวแก้ไม่ได้ ต้องรวมพลทั้งอุตสาหกรรมมาแก้ไปด้วยกัน

ซึ่งก็อธิบายได้ว่าทำไม Apple, Microsoft, Google บริษัทที่ปกติไม่เห็นหน้ากันขาบ ถึงนั่งรวมกันได้ที่โต๊ะเดียว

ปิดท้ายสักหน่อย

ช่องโหว่ร้ายแรงหมื่นรายการ ไม่ใช่ตัวเลขที่เอาไว้สร้างความวิตกกังวล

มันคือการที่ Anthropic ใช้ AI ทำ "การตรวจสุขภาพ" ขนาดใหญ่ครั้งหนึ่ง แล้วบอกผลกับทั้งโลก รายงานตรวจสุขภาพออกมาแล้ว ประเด็นคือคุณกำลังจะรับมือยังไง?

จะรอมาตรฐานของ Glasswing ลงพื้น หรือจะเริ่มตั้งแต่วันนี้ใช้เครื่องมือ AI สแกนโค้ดเบสของตัวเองให้ครบวงจรสักครั้ง?

ทางเลือกนี้ ต้องเป็นคุณตัดสินใจเอง