ทำไมต้องทำตอนนี้
- โมเดลเอไอแนวหน้าใช้เจาะช่องโหว่ได้ง่ายขึ้น ขณะที่ฝั่งป้องกันยังเข้าไม่ถึงเครื่องมือพอ
- Anthropic บอกว่าจากบทเรียน Project Glasswing ยังลดความเสี่ยงไซเบอร์ได้ไม่พอ และช่วงระหว่างเจอช่องโหว่กับแก้จริงมักกินเวลานานเป็นเดือน
- บริษัทคาดว่าอีกสองปีเอไอจะเอื้อฝั่งป้องกันมากกว่า แต่ช่วงใกล้ๆ นี้อาจยังไม่เป็นแบบนั้น
โครงสร้างพื้นฐานสำคัญ
- เปิด Critical Infrastructure Defense Program หรือ CIDP นำโมเดล Claude แนวหน้า วิศวกรลงพื้นที่ และงานวิจัยภัยคุกคามไปให้ผู้ให้บริการที่องค์กรโครงสร้างพื้นฐานไว้ใจ
- โฟกัสระบบปฏิบัติการ (OT) อย่างโครงข่ายไฟฟ้า ระบบน้ำ และเครือข่ายขนส่ง รวมถึงระบบของรัฐ
- พาร์ตเนอร์ตั้งต้นมี Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC และ Rockwell Automation
- หลายพาร์ตเนอร์เริ่มใช้ Claude ช่วยหาและแก้ช่องโหว่ให้ลูกค้าแล้ว
- ก่อนหน้านี้ Anthropic เปิดโปรแกรมช่วยรัฐท้องถิ่นไปแล้ว และบอกว่าครอบคลุมรัฐในสหรัฐมากกว่าครึ่ง รวมถึงผู้ดูแลโครงสร้างพื้นฐานสาธารณะรายใหญ่บางแห่ง
โอเพนซอร์ส
- เปิด OSS Scanner ให้โปรเจกต์โอเพนซอร์สสมัครรับการสแกนช่องโหว่เป็นระยะจากโมเดลที่เก่งที่สุดของบริษัท รวมถึง Claude Mythos โดยไม่คิดเงิน
- รายงานส่งตรงจากโมเดล ไม่ผ่านคนตรวจก่อน จึงเร็วขึ้น แต่บางรายงานอาจผิดหรือจัดระดับความรุนแรงแรงเกินจริง Anthropic คาดอัตราเจอของจริงสูงกว่า 90%
- แต่ละรายงานมีวิธีทำซ้ำอธิบายช่องโหว่ และแพตช์แนะนำถ้ามี
- โปรเจกต์ที่สมัครได้ต้องมีผลกระทบต่อโครงสร้างพื้นฐานและความปลอดภัยของผู้ใช้สูง คล้ายเกณฑ์ของ OSS-Fuzz ของ Google
- ช่วงทดสอบกับผู้เชี่ยวชาญ 97 ช่องโหว่ระดับวิกฤตและสูงจาก 48 โปรเจกต์ ผ่านเกณฑ์ CVD ของบริษัท 85 รายการ (88%)
- ตัวอย่างที่ผู้ดูแลให้ฟีดแบ็ก เช่น PostgreSQL, OpenSSL, wolfSSL (74 รายงาน เกือบทั้งหมดใช้ได้ กลายเป็น CVE 5 ราย) และ HotCRP
- โปรเจกต์ที่ไม่พร้อมรับรายงานจำนวนมาก บริษัทยังส่งแบบคนตรวจผ่านกระบวนการ CVD ตามเดิม
ตัวเลขจาก Glasswing ที่โยงเรื่องนี้
- สแกนแล้วเจอช่องโหว่ผู้สมัครกว่า 29,000 ราย แต่คนตรวจได้ราว 6,000
- ส่งรายงานตรงให้ผู้ดูแลที่ขอไปแล้วเกือบ 5,000 ราย
สรุป
Anthropic ไม่ได้ปล่อยโมเดลใหม่รอบนี้ แต่เปิดภารกิจระยะยาวช่วยฝั่งป้องกันทั้งโครงข่ายไฟฟ้า-น้ำ-ขนส่ง และโอเพนซอร์ส เริ่มด้วยพาร์ตเนอร์อุตสาหกรรม 11 รายกับเครื่องสแกนฟรีให้ผู้ดูแลโค้ดสาธารณะ ต้องดูต่อว่าจะขยายภาคและอัตราแพตช์จริงได้เร็วแค่ไหน
แหล่ง: Anthropic · 8 ต.ค. 2026