TechCrunch รายงานว่า AI แบบสร้างเนื้อหากำลังผลักดันปัญหาความปลอดภัยขององค์กรให้อยู่ในลำดับความสำคัญที่สูงขึ้น Francis de Souza หัวหน้าเจ้าหน้าที่ปฏิบัติการของ Google Cloud กล่าวในการประชุมหนึ่งว่า เมื่อองค์กรขับเคลื่อน AI ไม่สามารถปล่อยให้ความปลอดภัยเป็นเรื่องรองหรือมอบให้พนักงานแต่ละคนจัดการเองตามใจชอบ ตามที่เขาบอก กลยุทธ์ AI ต้องดำเนินการควบคู่ไปกับกลยุทธ์ข้อมูลและกลยุทธ์ความปลอดภัย
บทความชี้ให้เห็นว่าการตัดสินใจชุดนี้ไม่ใช่สิ่งใหม่ แต่หลังจากเครื่องมือ AI เข้าสู่กระบวนการขององค์กรอย่างรวดเร็ว ความเสี่ยงจึงเปิดเผยเร็วขึ้น de Souza ได้เน้นย้ำถึงปัญหา “AI แบบเงา” ซึ่งพนักงานหลีกเลี่ยงการกำกับดูแลของบริษัทและใช้เครื่องมือ AI ที่ออกแบบมาสำหรับบุคคลทั่วไปโดยตรง การกระทำดังกล่าวทำให้องค์กรยากต่อการตรวจสอบ การควบคุมสิทธิ์ และการจัดการข้อมูลอย่างเป็นระบบ
พื้นที่โจมตีไม่ได้จำกัดอยู่แค่เครือข่ายดั้งเดิมอีกต่อไป
เดอ ซูซา มองว่า รูปแบบการป้องกันแบบเดิมไม่ทันต่อจังหวะปัจจุบัน บทความอ้างคำพูดของเขาว่า ช่วงเวลาเฉลี่ยระหว่างระบบถูกโจมตีครั้งแรกจนถึงการโจมตีเข้าสู่ขั้นตอนถัดไป ได้ลดลงจาก 8 ชั่วโมงเหลือเพียง 22 วินาที ในขณะเดียวกัน สิ่งที่องค์กรต้องปกป้องก็ไม่ได้จำกัดอยู่แค่เครือข่ายและอุปกรณ์ปลายทางอีกต่อไป
จุดเสี่ยงปัจจุบันยังรวมถึงโมเดล ท่อข้อมูลการฝึกอบรม ตัวแทนอัจฉริยะ และคำสั่งนำทางที่เป็นส่วนใหม่ๆ โดยเฉพาะตัวแทนอัจฉริยะที่ทำงานภายในองค์กร อาจค้นพบคลังข้อมูลที่ไม่ได้รับความสนใจมานานหลายปี และเปิดเผยข้อมูลที่ละเอียดอ่อนซึ่งเคยถูกซ่อนไว้อีกครั้ง
Google สนับสนุนการป้องกันแบบแพลตฟอร์ม
วิธีการที่ de Souza เสนอคือการให้การป้องกันเปลี่ยนไปสู่รูปแบบ “เครื่องต่อเครื่อง” เขาชี้ว่า บริษัทจำเป็นต้องใช้วิธีการแบบแพลตฟอร์มเพื่อรักษาแนวทางด้านความปลอดภัยที่สอดคล้องกันระหว่างสภาพแวดล้อมคลาวด์ต่างๆ และโมเดลต่างๆ แทนการแก้จุดอ่อนทีละจุดหลังจากเปิดใช้งานธุรกิจ
เขายังระบุว่า นี่ไม่ใช่แค่งานของทีมความปลอดภัยอีกต่อไป แต่เป็นประเด็นที่คณะกรรมการและผู้บริหารต้องมีส่วนร่วมโดยตรง เนื่องจาก AI กำลังเปลี่ยนวิธีการเข้าถึงระบบภายในองค์กร ทำให้กระบวนการด้านความปลอดภัยที่พึ่งพาการตอบสนองด้วยมนุษย์ยากขึ้นในการจัดการอย่างทันเวลา
อย่างไรก็ตาม บทความยังระบุว่า อุตสาหกรรมยังขาดบุคลากรที่เพียงพอในการตรวจสอบระบบดังกล่าว ลี คิสส์เนอร์ หัวหน้าเจ้าหน้าที่ความปลอดภัยข้อมูลของ LinkedIn กล่าวกับนิวยอร์กไทม์สเมื่อสัปดาห์นี้ว่า ความเร็วในการเพิ่มขึ้นของช่องโหว่ที่เกิดจาก AI ยังคงเร็วกว่าความสามารถของทีมความปลอดภัยในการจัดการ ซึ่งอุตสาหกรรมอาจต้องใช้เวลาอีกหลายปีกว่าจะสร้างความเข้าใจด้านความปลอดภัยของ AI ที่มั่นคงขึ้น
เหตุการณ์ Gemini เปิดเผยช่องว่างในการดำเนินการของแพลตฟอร์ม
บทความระบุว่า คำแนะนำด้านความปลอดภัยที่ Google Cloud นำเสนอต่อภายนอกนั้นสมเหตุสมผล แต่แพลตฟอร์มเองก็มีช่องโหว่ที่ชัดเจนในระดับการดำเนินการ The Register ได้รายงานอย่างต่อเนื่องว่า นักพัฒนาหลายคนของ Google Cloud ได้รับใบแจ้งหนี้ในระดับหลายหมื่นดอลลาร์สหรัฐ เนื่องจากการเรียกใช้ Gemini API โดยไม่ได้รับอนุญาต โดยบางคนก่อนหน้านี้ไม่ได้เปิดใช้งานบริการดังกล่าวอย่างตั้งใจ
รายงานระบุว่า กรณีเหล่านี้ส่วนใหญ่เกี่ยวข้องกับคีย์ API ที่เปิดเผยต่อสาธารณะ คีย์ดังกล่าวเดิมใช้สำหรับ Google Maps และถูกวางไว้ในตำแหน่งที่เปิดเผยตามคำแนะนำของ Google ก่อนหน้านี้ ต่อมา Google ได้ขยายขอบเขตการเรียกใช้งานคีย์เหล่านี้ แต่นักพัฒนาไม่ได้รับข้อมูลอย่างชัดเจนเกี่ยวกับการเปลี่ยนแปลงนี้ ทำให้ผู้โจมตีสามารถใช้ช่องโหว่นี้เข้าถึงบริการของ Gemini และสร้างค่าใช้จ่ายสูง
- Prentus ระบุว่าถูกปลอมแปลงเป็นจำนวน 10,138 ดอลลาร์ภายใน 30 นาที
- นักพัฒนาอีกคนได้รับใบแจ้งหนี้ประมาณ 17,000 ดอลลาร์ออสเตรเลีย
- หลังจากเพิ่มระดับอัตโนมัติ เงินทุนจริงสูงสุดสามารถถึง 100,000 ดอลลาร์สหรัฐ
หลังจากได้รับการรายงานโดยสื่อ โกเกิลได้คืนเงินให้กับนักพัฒนาที่เกี่ยวข้องแล้ว แต่ไม่มีแผนที่จะปรับนโยบายการเรียกเก็บเงินอัตโนมัติระดับการอัปเกรด บริษัทอธิบายว่า แพลตฟอร์มให้ความสำคัญกับการหลีกเลี่ยงการหยุดให้บริการมากกว่าการบังคับใช้อย่างเคร่งครัดตามขีดจำกัดงบประมาณที่ผู้ใช้ตั้งไว้
หลังจากลบคีย์แล้วยังมีช่วงเวลาที่ยังใช้งานได้
บทความยังอ้างถึงการวิจัยของบริษัทด้านความปลอดภัย Aikido ซึ่งระบุว่า แม้ผู้พัฒนาจะลบกุญแจที่รั่วไหลทันทีที่พบ ผู้โจมตียังสามารถใช้งานกุญแจนั้นต่อได้นานสุดถึง 23 นาที เนื่องจากการยกเลิกของ Google จะค่อยๆ แพร่กระจายผ่านโครงสร้างพื้นฐาน ไม่ได้ทำงานทันที
นักวิจัยของ Aikido โจเซฟ ลีออน ระบุว่า ในช่วงเวลานี้ ความเสถียรของการตรวจสอบคำขอยังไม่แน่นอน แต่ในช่วงเวลาบางช่วง อัตราความสำเร็จยังสามารถสูงกว่า 90% ผู้โจมตีสามารถใช้ช่องว่างนี้เพื่อส่งออกไฟล์ต่อหรืออ่านข้อมูลการสนทนาในแคชของ Gemini
เลออนยังชี้ให้เห็นว่ารูปแบบใบรับรองใหม่บางส่วนของ Google ไม่มีปัญหาเดียวกันนี้ ตัวอย่างเช่น ใบรับรอง API ของบัญชีบริการสามารถเพิกถอนได้ภายในประมาณ 5 วินาที ขณะที่กุญแจ AQ รุ่นใหม่ของ Gemini จะหมดอายุภายในประมาณ 1 นาที ซึ่งหมายความว่าช่วงเวลา 23 นาทีสำหรับกุญแจเก่าอาจไม่ใช่ปัญหาทางเทคนิคที่แก้ไม่ได้ แต่น่าจะเป็นผลมาจากการตั้งลำดับความสำคัญของแพลตฟอร์ม
ข้อมูลเพิ่มเติม: บทความนี้เป็นบทความความเห็นจากสื่อต่างประเทศ โดยจุดหลักไม่ใช่การปฏิเสธคำแนะนำด้านความปลอดภัยของ Google แต่เป็นการชี้ให้เห็นว่า แพลตฟอร์มยังคงมีช่องว่างในความเร็วในการตอบสนองด้านผลิตภัณฑ์ การเรียกเก็บเงิน และการจัดการกุญแจ ขณะที่ส่งเสริมให้ธุรกิจดำเนินการป้องกันล่วงหน้า