ยินดีต้อนรับสู่การแข่งขันด้านปัญญาประดิษฐ์ (AI) ในด้านความปลอดภัยทางไซเบอร์ขององค์กร: ใครเป็นผู้ชนะ?

เดือนแห่งการสร้างความตระหนักรู้ด้านความปลอดภัยทางไซเบอร์อาจไม่ดึงดูดใจเท่ากับกิจกรรมอื่นๆ ในเดือนตุลาคม เช่น การชมใบไม้เปลี่ยนสี หรือการกินขนมฮาโลวีนอย่างจุใจ แต่ก็สามารถกระตุ้นให้ผู้นำองค์กรและผู้บริโภคมีส่วนร่วมในพิธีกรรมที่สำคัญ นั่นคือ การทบทวนแนวทางในการรับมือกับความปลอดภัยทางไซเบอร์ของตนเอง

และมีหลายสิ่งหลายอย่างให้เราได้ทบทวนตลอดปีที่ผ่านมา โดยเฉพาะอย่างยิ่งบริษัทต่างๆ ควรตั้งคำถามกับตัวเองในเดือนนี้ (และทุกๆ เดือน): สถานการณ์ภัยคุกคามทางออนไลน์เปลี่ยนแปลงไปอย่างไรบ้าง? และแนวทางการรักษาความปลอดภัยของบริษัทคุณนั้นเพียงพอที่จะตามทันการเปลี่ยนแปลงเหล่านั้นหรือไม่?

ปฏิเสธไม่ได้เลยว่า ปัญญาประดิษฐ์ (AI) คือสิ่งที่พลิกโฉมวงการมากที่สุดในปีนี้ เครื่องมือ AI รวมถึงแบบจำลองภาษาขนาดใหญ่ (LLM) เช่น ChatGPT ได้เพิ่มขีดความสามารถของผู้โจมตีอย่างมหาศาล ในขณะเดียวกัน จำนวนบริษัทที่นำ AI มาใช้ในการดำเนินธุรกิจประจำวันก็เพิ่มมากขึ้นเรื่อยๆ ซึ่งผลักดันให้ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ต้องปกป้องพรมแดนใหม่ๆ ที่ยังไม่มีแบบอย่างมาก่อนว่าควรทำอย่างไร ในขณะเดียวกัน ผู้บริโภคก็ตกอยู่ท่ามกลางสภาพแวดล้อมของปัญญาประดิษฐ์ที่เปลี่ยนแปลงอย่างรวดเร็วนี้

พลวัตเหล่านี้เป็นสิ่งที่อยู่ในใจของผู้เข้าร่วม งาน Black Hat Conference ประจำปีนี้ที่ลาสเวกัสกว่า 20,000 คน ตั้งแต่บูธที่โดดเด่นสะดุดตาในพื้นที่จัดแสดงธุรกิจ ไปจนถึงงานวิจัยล้ำสมัยที่นำเสนอในการบรรยาย และแม้แต่การสนทนาเงียบๆ ระหว่างนั้น ปัญญาประดิษฐ์ (AI) ก็เป็นหัวข้อหลักในการสนทนา

ในการกล่าวปาฐกถาเปิดงาน Mikko Hyppönen นักวิจัยด้านความปลอดภัยทางไซเบอร์ที่มีประสบการณ์ยาวนาน กล่าวว่า AI คือ "การปฏิวัติทางเทคโนโลยีครั้งยิ่งใหญ่ที่สุด" ที่เขาเคยเห็นในชีวิต โดยระบุว่านักวิจัยที่ใช้ LLM ได้ค้นพบช่องโหว่ Zero Day ไปแล้วหลายสิบช่อง ซึ่งเป็นศัพท์เฉพาะในอุตสาหกรรมที่หมายถึงจุดอ่อนที่ตรวจไม่พบในซอฟต์แวร์หรือโค้ด

ฮิปโปเนนกล่าวว่า “เมื่อนักวิจัยค้นพบช่องโหว่ด้านความปลอดภัยใน AI นั่นเป็นเรื่องดี เพราะเราสามารถแก้ไขได้” “เมื่อผู้โจมตีทำเช่นเดียวกัน นั่นเป็นเรื่องที่แย่มาก” เรื่องนั้นก็จะเกิดขึ้นเช่นกัน”

ปัจจุบันมิจฉาชีพออนไลน์ใช้ LLM (Level Marketing Models) ในการเขียนอีเมลฟิชชิ่งที่น่าเชื่อถือและตรงเป้าหมายมากขึ้น และทำได้ในวงกว้างกว่าที่เคยทำได้หากไม่มีเครื่องมือ AI

ยุคสมัยของอีเมลทั่วไปที่เขียนไม่ดีและแม้แต่คนที่ไม่เชี่ยวชาญด้านเทคโนโลยีก็มองออกว่าเป็นกลโกงนั้นหมดไปแล้ว ปัจจุบันมิจฉาชีพที่ไม่ได้ใช้ภาษาอังกฤษเป็นภาษาแม่มีความเชี่ยวชาญในการปรับแต่งข้อความของตนด้วยภาษาทางการ (LLM) แล้ว

แม้แต่พวกมิจฉาชีพที่ปลอมตัวเป็นทหารที่ประจำการอยู่ต่างประเทศและเสนอโอกาสทางธุรกิจที่ดูดีเกินจริง (เพราะมันเป็นเช่นนั้นจริงๆ) ก็ยังใส่รายละเอียดส่วนบุคคลที่ได้จากปัญญาประดิษฐ์ (AI) ลงไปเพื่อให้ข้อความเหล่านั้นดูน่าเชื่อถือมากขึ้น

นอกจากนี้ พวกเขายังขยายขอบเขตการสื่อสารจากอีเมลไปสู่โซเชียลมีเดีย ข้อความ และแม้แต่การโทรศัพท์ ซึ่งปัจจุบันการสื่อสารของพวกเขาได้รับการพัฒนาอย่างดีแล้ว

ในขณะเดียวกัน ก็พบว่ามีการเพิ่มขึ้นของข้อความหลอกลวงที่มีเสียงหรือวิดีโอปลอมแปลง (deepfake) เมื่อปีที่แล้ว พนักงานคนหนึ่งในฮ่องกงถูก หลอกให้จ่ายเงิน 25 ล้านดอลลาร์ให้กับมิจฉาชีพ หลังจากที่เขาลงชื่อเข้าร่วมสิ่งที่เขาคิดว่าเป็นการสนทนาทางวิดีโอกับเจ้าหน้าที่ของบริษัทข้ามชาติ ซึ่งรวมถึงประธานเจ้าหน้าที่ฝ่ายการเงินด้วย แต่ปรากฏว่าบุคคลอื่นๆ ในการสนทนาทางโทรศัพท์นั้นเป็นภาพวิดีโอเสมือนจริงที่สร้างขึ้นใหม่โดยใช้เทคโนโลยี deepfake เลียนแบบบุคคลเหล่านั้น

ผู้บริโภคยังตกเป็นเป้าหมายของ การหลอกลวงด้วยเสียงปลอมแปลง (deepfake) อีกด้วย นั่นคือจุดที่อาชญากรไซเบอร์ใช้ AI สร้างเสียงปลอมของบุคคล โดยส่วนใหญ่จะเป็นคนอายุน้อย จากนั้นใช้เสียงที่เลียนแบบนั้นโทรหาคนในครอบครัว โดยอ้างว่าพวกเขาถูกลักพาตัวหรือถูกจำคุก เพื่อขู่กรรโชกเงินจากพวกเขา

ทั้งหมดนี้ทำให้ทั้งบริษัทและผู้บริโภคต่างรู้สึกหวาดกลัวอย่างเข้าใจได้ จากการศึกษาล่าสุดที่จัดทำขึ้นสำหรับ Mastercard ซึ่งสำรวจความคิดเห็นของผู้บริโภคประมาณ 13,000 คนทั่วโลก รวมถึงประมาณ 1,000 คนในสหรัฐอเมริกา พบว่าเนื้อหาปลอมที่สร้างโดย AI เป็นความกังวลอันดับ 1 เกี่ยวกับเรื่องการหลอกลวงในอนาคตสำหรับผู้บริโภค แต่มีเพียง 13% ของผู้ตอบแบบสอบถามเท่านั้นที่กล่าวว่าพวกเขามั่นใจมากในความสามารถของตนเองในการระบุภัยคุกคามหรือการหลอกลวงที่สร้างขึ้นโดย AI หากพวกเขาตกเป็นเป้าหมายของภัยคุกคามเหล่านั้น

ผู้ตอบแบบสอบถามส่วนใหญ่ระบุถึงความกังวลเกี่ยวกับการโจมตีที่ซับซ้อนมากขึ้นจากระบบ AI ที่ถูกแฮ็กและนำไปใช้ในทางที่ผิด การโจมตีทางไซเบอร์ขนาดใหญ่แบบอัตโนมัติ และอีเมลฟิชชิ่งที่สมจริงยิ่งขึ้นซึ่งสร้างขึ้นโดย AI

และผู้บริโภคที่วิตกกังวลอาจก่อให้เกิดปัญหาใหญ่หลวงต่อบริษัทที่ให้บริการพวกเขา หากผู้บริโภคไม่มั่นใจว่ากำลังติดต่อกับบริษัทที่ถูกต้องตามกฎหมาย หรือข้อมูลส่วนตัวของตนปลอดภัย พวกเขาก็อาจเลือกไปใช้บริการที่อื่นแทน  

อย่างน้อยในตอนนี้ ดูเหมือนว่าฝ่ายรับจะได้เปรียบ นอกเหนือจากการรักษาความปลอดภัยให้กับองค์ประกอบ AI ใหม่ในระบบของลูกค้าธุรกิจแล้ว บริษัทด้านความปลอดภัยทางไซเบอร์ยังได้ผนวกรวม AI เข้ากับผลิตภัณฑ์ของตนเอง โดยมีเป้าหมายเพื่อหยุดยั้งภัยคุกคามทางออนไลน์ได้รวดเร็วและมีประสิทธิภาพยิ่งขึ้น

ในขณะเดียวกัน มิจฉาชีพและอาชญากรไซเบอร์อื่นๆ ยังไม่มีแรงจูงใจมากพอที่จะคิดค้นวิธีการใหม่ๆ ในลักษณะเดียวกัน แม้ว่าพวกเขาจะใช้เครื่องมือ AI เพื่อทำงานให้เร็วขึ้นและขยายธุรกิจให้ใหญ่ขึ้น แต่ผู้เชี่ยวชาญกล่าวว่าโดยส่วนใหญ่แล้วพวกเขายังคงใช้กลโกงแบบเดิมๆ ที่ได้รับการปรับปรุงให้ดีขึ้นอยู่

นิโคล เพิร์ลรอธ อดีตนักข่าวสายความปลอดภัยทางไซเบอร์ ซึ่งปัจจุบันดำรงตำแหน่งหุ้นส่วนร่วมลงทุนที่ Ballistic Ventures และเป็นผู้นำกองทุนภารกิจด้านไซเบอร์ของตนเองชื่อ Silver Buckshot กล่าวในสุนทรพจน์หลักของเธอในงาน Black Hat ว่า เธอรู้สึกยินดีกับเทคโนโลยีใหม่ๆ ที่กำลังเกิดขึ้นในวงการความปลอดภัยทางไซเบอร์

เธอกล่าวถึงเทคโนโลยีตรวจจับ deepfake ที่ขับเคลื่อนด้วย AI รุ่นใหม่ที่กำลังจะเข้าสู่ตลาด และกล่าวว่า AI ได้ช่วย "ทำให้ ผลิตภัณฑ์และบริการด้านความปลอดภัยทางไซเบอร์ เป็นประชาธิปไตย" ทำให้บริษัทขนาดเล็กที่ไม่สามารถจ่ายได้ในอดีตสามารถเข้าถึงผลิตภัณฑ์และบริการเหล่านี้ได้ง่ายขึ้น

ฮิปโปเนนกล่าวว่า ปัจจุบันการหลอกลวงด้วยเทคโนโลยีดีพเฟค (deepfake) นั้นพบได้น้อยมาก แต่เสริมว่าเขาคาดการณ์ว่าการหลอกลวงทางออนไลน์ทุกประเภท รวมถึงแรนซัมแวร์ จะยิ่งทวีความรุนแรงขึ้นเรื่อยๆ เนื่องจากเทคโนโลยี AI พัฒนาดีขึ้นและมีราคาถูกลง

ข่าวดีก็คือ ฝ่ายป้องกันได้เปรียบในเรื่องปัญญาประดิษฐ์ (AI)

“ผู้โจมตีใช้ AI ด้วยเช่นกัน แต่พวกเขาเพิ่งเริ่มต้นเท่านั้น” เขากล่าว “จนถึงตอนนี้ เราพบเห็นเฉพาะการโจมตีด้วย AI ที่ค่อนข้างง่ายเท่านั้น” สถานการณ์จะเปลี่ยนแปลงไป แต่ตอนนี้ผมคิดว่าเราพร้อมรับมือแล้ว”