สรุปสั้น
นาย Brett Johnson ผู้ที่หน่วยสืบราชการลับสหรัฐเคยตั้งฉายาว่า “เจ้าพ่ออินเทอร์เน็ตคนแรก” จากการสร้างและบริหารชุมชนอาชญากรรมไซเบอร์ยุคแรกชื่อ Shadow Crew ก่อนจะเลิกและหันมาทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายและภาคธุรกิจ ให้สัมภาษณ์กับนางสาว Kristina Beek ของเว็บไซต์ Dark Reading เกี่ยวกับสิ่งที่เขานำเสนอในงาน Black Hat USA ที่ลาสเวกัสร่วมกับบริษัท Illumio ซึ่งเป็นการสาธิตว่าปัญญาประดิษฐ์ย่นเวลาที่ใช้ในการโจมตีลงได้อย่างไร
ประเด็นหลักของเขาคือ AI ไม่ได้เป็นตัวลงมือโจมตีเอง แต่ทำให้ทุกอย่างเร็วขึ้นจนผู้โจมตีลงมือได้เร็วกว่าและสำเร็จมากกว่าเดิม โดยงานที่เคยกินเวลามากที่สุดคือการหาข้อมูลว่าจะเจาะบริษัทไหน เล็งใครในองค์กร และอะไรคือทรัพย์สินที่มีค่าที่สุดของบริษัทนั้น ซึ่งต้องทำทั้งก่อนเข้าเครือข่ายและทำซ้ำอีกครั้งหลังเข้าไปได้แล้ว เมื่อ AI รับงานส่วนนี้ไป สิ่งที่เหลือให้ผู้โจมตีทำจึงเหลือเพียง “เข้าไปให้ได้แล้วลงมือ” ขณะที่ฝ่ายป้องกันเห็นผู้บุกรุกอยู่ข้างในแล้วยังต้องใช้เวลาตัดสินใจว่าจะทำอย่างไรต่อ
Johnson ยังระบุชัดว่าในมุมมองของเขา AI ในเวลานี้เป็นประโยชน์ต่อฝ่ายโจมตีมากกว่าฝ่ายป้องกัน เพราะระบบเรียนรู้ต้องเห็นการโจมตีเสียก่อนและการโจมตีนั้นต้องสำเร็จด้วย จึงเป็นการตั้งรับโดยธรรมชาติไม่ใช่การทำงานเชิงรุก ซึ่งเขาเชื่อว่าสภาพเช่นนี้จะดำเนินไปอีกราวสามถึงห้าปี หรืออาจถึงเจ็ดปี ก่อนที่สมการจะเปลี่ยน
รายละเอียดข่าว
เว็บไซต์ Dark Reading เผยแพร่บทสัมภาษณ์นี้เมื่อวันที่ 4 กันยายน 2569 ในรูปแบบวิดีโอพร้อมบทถอดความ โดยระบุว่าบทถอดความผ่านการเรียบเรียงเพื่อความชัดเจนและความยาว การสาธิตที่ Johnson พูดถึงเป็นงานที่ทำร่วมกับบริษัท Illumio ในงาน Black Hat USA จึงควรอ่านโดยเข้าใจว่าเป็นมุมมองของผู้เชี่ยวชาญที่ทำงานร่วมกับผู้จำหน่ายผลิตภัณฑ์ความปลอดภัย ไม่ใช่รายงานวิจัยที่มีข้อมูลตรวจสอบย้อนกลับได้
Johnson เปิดเรื่องด้วยการเปรียบเทียบกับกระแสเมตาเวิร์สที่เคยมีคำเตือนจำนวนมากว่าการฉ้อโกงจะย้ายไปเกิดที่นั่น ทั้งที่ในความเป็นจริงบางแพลตฟอร์มแทบไม่มีผู้ใช้ และระบุว่ากระแสเดียวกันเคยเกิดกับ AI ในช่วงแรกที่เทคโนโลยียังทำอะไรได้ไม่มาก แต่วันนี้สถานการณ์ต่างออกไปเพราะความสามารถของมันก้าวไปไกลกว่าคำว่าใช้งานได้แล้ว
เมื่อถูกถามว่าฝ่ายป้องกันใช้ AI ทำแบบเดียวกันได้หรือไม่ Johnson ตอบว่าทำได้และควรทำ พร้อมยกตัวเลขที่เขาอ้างว่าราว 90% ของการโจมตีทุกครั้งใช้ช่องโหว่ที่รู้จักกันอยู่แล้ว กว่า 41% ของเราเตอร์ทั้งหมดยังใช้รหัสผ่านค่าเริ่มต้น และการเจาะระบบส่วนใหญ่เริ่มจากการโจมตีแบบฟิชชิง ซึ่งหมายความว่าภูมิทัศน์ภัยคุกคามนั้นเป็นสิ่งที่รู้กันอยู่แล้ว องค์กรจึงใช้ AI สแกนหาว่าตัวเองมีช่องโหว่ตัวใดบ้างแล้วอุดมันเสียได้ ทั้งนี้ตัวเลขเหล่านี้เป็นสิ่งที่เขายกขึ้นมาในบทสนทนาโดยไม่ได้ระบุแหล่งอ้างอิง
ประโยคที่คมที่สุดของเขาอยู่ตรงเรื่องการอัปเดต โดยเขาระบุว่าการออกอัปเดตแต่ละครั้ง “คือการประกาศให้ผู้โจมตีทุกคนรู้ว่าควรไปเคาะประตูบานไหนเพื่อเข้ามา” องค์กรจำนวนมากได้รับอัปเดตแล้วปล่อยทิ้งไว้ไม่ลงมือ ซึ่งเขาสรุปว่าถ้าเรารู้ปัญหาแล้วไม่ทำอะไร ผู้โจมตีก็รู้ปัญหาเดียวกันและกำลังทำอะไรบางอย่างกับมันอยู่ ปัญหาจึงอยู่ที่การไม่ลงมือมากกว่าการไม่รู้
อีกประเด็นที่เขาย้ำคือการเปลี่ยนแปลงเชิงโครงสร้างในฝั่งผู้โจมตี จากเดิมที่ต้องมีทักษะทางเทคนิคระดับหนึ่งจึงจะก่ออาชญากรรมไซเบอร์ได้สำเร็จ ปัจจุบันน้ำหนักย้ายไปที่วิศวกรรมสังคม โดยบทสนทนาในฟอรัมและช่องทางต่าง ๆ วนอยู่กับคำถามว่าจะเป็นนักหลอกลวงที่มีประสิทธิภาพได้อย่างไร อย่างไรก็ตามเขาระบุว่าสาเหตุหลักที่ทำให้อาชญากรรมไซเบอร์เติบโตนั้นไม่ใช่ AI แต่คือสภาพแวดล้อมที่คนแบ่งปันข้อมูลและร่วมมือกันได้ดีกว่าฝั่งผู้ป้องกันมาก ผู้ที่ไม่รู้อะไรเลยสามารถซื้อคู่มือหรือเพียงเข้าไปพูดคุยในช่องทางเหล่านั้นแล้วมีคนสอนให้ ส่วนสิ่งที่ AI เพิ่มเข้ามาคือการทำหน้าที่สอนและช่วยให้ปกปิดตัวตนได้ดีขึ้น รวมถึงช่วยจัดทำรายชื่อเป้าหมายที่ควรลงมือ
AI ย่นเวลาตรงไหนของห่วงโซ่การโจมตี
ตามคำอธิบายของ Johnson เวลาที่ผู้โจมตีเคยต้องใช้แบ่งเป็นสองช่วงใหญ่ ช่วงแรกคือก่อนเข้าเครือข่าย ซึ่งต้องค้นว่าจะโจมตีบริษัทใด ใครในบริษัทนั้นคือเป้าหมายที่เข้าถึงได้ และสิ่งที่ต้องการคืออะไรระหว่างข้อมูล สิทธิ์เข้าถึง หรือเงินสด ช่วงที่สองคือหลังเข้าไปได้แล้ว ซึ่งยังต้องสำรวจต่อว่าอะไรอยู่ตรงไหนและอะไรคือทรัพย์สินที่มีค่าที่สุดขององค์กรนั้น
สิ่งที่เปลี่ยนไปคือ AI ทำงานสองช่วงนี้แทนได้เกือบทั้งหมด เมื่อความได้เปรียบเชิงเวลาถูกโอนไปอยู่ฝั่งผู้โจมตี ผลลัพธ์คือช่องว่างระหว่างเวลาที่ผู้โจมตีต้องใช้กับเวลาที่ฝ่ายป้องกันต้องใช้ถ่างออกจากกัน โดยฝั่งป้องกันยังต้องผ่านขั้นตอนการตรวจสอบ การประเมิน และการตัดสินใจ ขณะที่ฝั่งโจมตีได้คำตอบมาพร้อมแล้วตั้งแต่ก่อนเริ่ม
เมื่อถูกถามว่าหากมีเครื่องมือระดับ Mythos ในมือตอนที่ยังอยู่ฝั่งตรงข้าม เขาจะทำอะไร Johnson ตอบตรง ๆ ว่าจะไปหาช่องโหว่ zero-day ที่ใช้โจมตีโครงสร้างพื้นฐานและโรงพยาบาลได้ แล้วโจมตีให้ระบบหยุดทำงานเพื่อเรียกค่าไถ่ พร้อมอธิบายตรรกะเบื้องหลังว่าที่ผ่านมาตลาดมืดบางแห่งไม่อนุญาตให้ขายสินค้าบางประเภทไม่ใช่เพราะมีศีลธรรม แต่เพราะกลัวผลทางกฎหมายที่อาจหนักถึงจำคุกตลอดชีวิต เมื่อใดที่ความกลัวผลที่ตามมามีน้ำหนักพอ ผู้โจมตีก็จะเลี่ยงเป้าหมายอย่างโรงพยาบาล
สิ่งที่เขากังวลคือเครื่องมือที่ลดกำแพงทักษะจะทำให้ใคร ๆ ก็ทำได้ ซึ่งแปลว่ากำไรโดยรวมของผู้ที่อยู่ในวงการมานานจะลดลง และเมื่อกำไรลดลงคนกลุ่มนี้จะต้องมองหาเป้าหมายที่ให้ผลตอบแทนสูงขึ้น ซึ่งท้ายที่สุดคือโรงพยาบาล โรงเรียน และโครงข่ายไฟฟ้า เขาย้ำด้วยว่าเคยมีกลุ่มแรนซัมแวร์ออกมาขอโทษหลังเครือข่ายพันธมิตรของตัวเองโจมตีโรงพยาบาล แต่เมื่อกำแพงทักษะต่ำลงจนใครก็ทำได้ กลไกควบคุมกันเองแบบนั้นจะหายไป
ผลกระทบ
สำหรับองค์กรที่วางแผนรับมือ ประเด็นที่ใช้ได้จริงที่สุดจากบทสัมภาษณ์นี้ไม่ใช่เรื่องความสามารถใหม่ของ AI แต่คือการที่เวลาในการตอบสนองกลายเป็นตัวแปรชี้ขาด เมื่อขั้นตอนสำรวจของผู้โจมตีหดสั้นลง กระบวนการภายในที่ออกแบบไว้บนสมมติฐานว่ามีเวลาหลายวันจะกลายเป็นจุดอ่อนโดยอัตโนมัติ โดยเฉพาะขั้นตอนอนุมัติการกักกันระบบและการประชุมประเมินสถานการณ์ตามรอบ
ในภาคสาธารณสุขที่ Johnson พูดถึงเป็นพิเศษ เขาชี้ปัญหาว่ากฎเกณฑ์เรื่องการอัปเดตเฟิร์มแวร์ของอุปกรณ์การแพทย์ทำให้ซอฟต์แวร์ในโรงพยาบาลมักตามหลังภาคส่วนอื่น เพราะต้องทำตามข้อกำหนดก่อนจึงจะอัปเดตได้ ซึ่งเป็นข้อจำกัดเชิงโครงสร้างที่แก้ด้วยการเร่งทีมไอทีอย่างเดียวไม่ได้ และต้องอาศัยการปรับกฎเกณฑ์ให้สอดคล้องกับความเป็นจริงด้านความปลอดภัย
ประเด็นที่ควรค่าแก่การถกเถียงมากที่สุดคือคำวิจารณ์เรื่องการอบรมสร้างความตระหนักรู้ Johnson ระบุว่าเขาไม่เห็นด้วยกับรูปแบบที่ใช้กันอยู่ เพราะการโจมตีด้วยวิศวกรรมสังคมมุ่งให้เหยื่อตอบสนองด้วยอารมณ์และละทิ้งเหตุผล ขณะที่การอบรมทำงานอยู่ในระดับเหตุผลล้วน ๆ คนจึงเข้าใจเรื่องนี้ได้ดีในเชิงตรรกะแต่ไม่ได้เข้าใจในเชิงอารมณ์ เขาเห็นว่าการอบรมควรถูกออกแบบใหม่โดยมองจากมุมของผู้โจมตี ซึ่งเป็นข้อเสนอที่นำไปทดลองปรับใช้กับหลักสูตรอบรมพนักงานได้ทันที
ข้อจำกัดของเนื้อหาชุดนี้ที่ควรระบุไว้คือทั้งหมดเป็นความเห็นและประสบการณ์ส่วนบุคคลจากบทสัมภาษณ์ ไม่ใช่ข้อมูลจากการวิจัยที่มีระเบียบวิธี ตัวเลขที่ถูกอ้างระหว่างสนทนาไม่ได้ระบุแหล่งที่มา และการสาธิตที่กล่าวถึงทำร่วมกับผู้จำหน่ายผลิตภัณฑ์ความปลอดภัยรายหนึ่ง อีกทั้งข้อสรุปเรื่องความได้เปรียบของฝ่ายโจมตียังสวนทางกับงานวิจัยของ Unit 42 ที่ระบุว่ามัลแวร์ซึ่งอาศัย AI ยังไม่แพร่หลายในสภาพแวดล้อมจริง ตามที่เว็บไซต์นี้รายงานไว้ในโพสต์ 2026/09/029 ผู้อ่านจึงควรพิจารณาทั้งสองมุมประกอบกัน
คำแนะนำ
ควรทบทวนว่ากระบวนการตรวจจับและตอบสนองขององค์กรตั้งอยู่บนสมมติฐานเรื่องเวลาแบบใด แล้วซ้อมสถานการณ์ที่ผู้โจมตีเคลื่อนจากจุดเข้าไปถึงข้อมูลสำคัญภายในไม่กี่ชั่วโมง เพื่อดูว่าขั้นตอนอนุมัติใดกลายเป็นคอขวด และมอบอำนาจตัดสินใจกักกันระบบให้ทีมหน้างานได้ในระดับที่เหมาะสม
ควรให้ความสำคัญกับพื้นฐานที่ Johnson ชี้ว่าถูกใช้ในการโจมตีส่วนใหญ่ ทั้งช่องโหว่ที่มีแพตช์อยู่แล้วแต่ยังไม่ได้ติดตั้ง อุปกรณ์เครือข่ายที่ยังใช้รหัสผ่านค่าเริ่มต้น และเส้นทางเข้าผ่านฟิชชิง โดยกำหนดเวลาปิดช่องเหล่านี้เป็นตัวชี้วัดที่วัดผลได้ แทนการรอเครื่องมือใหม่มาแก้ปัญหาเดิม
สำหรับหลักสูตรอบรมพนักงาน ควรเพิ่มการฝึกที่จำลองแรงกดดันทางอารมณ์จริง เช่น สายโทรศัพท์ที่เร่งรัดให้ทำตามทันทีหรืออ้างเหตุฉุกเฉิน มากกว่าการทดสอบด้วยแบบสอบถามหลังดูวิดีโอ และประเมินผลจากพฤติกรรมที่พนักงานแสดงออกในสถานการณ์จำลอง ไม่ใช่จากคะแนนความเข้าใจเชิงเนื้อหา
องค์กรในภาคสาธารณสุขและโครงสร้างพื้นฐานสำคัญควรจัดทำบัญชีอุปกรณ์ที่ติดข้อจำกัดด้านการอัปเดตตามกฎเกณฑ์ แล้ววางมาตรการชดเชยรอบอุปกรณ์เหล่านั้น ทั้งการแบ่งส่วนเครือข่าย การจำกัดเส้นทางสื่อสาร และการเฝ้าระวังเฉพาะจุด เนื่องจากเป็นกลุ่มที่แพตช์ตามปกติไม่ได้และเป็นเป้าหมายที่มีแนวโน้มถูกเล็งมากขึ้น