สรุปสั้น
รายงาน Global Digital Trust Insights ประจำปี 2027 ของบริษัท PwC ซึ่งสำรวจผู้นำธุรกิจและเทคโนโลยีเกือบ 4,000 รายในกว่า 70 ประเทศ สะท้อนภาพว่าองค์กรทั่วโลกจำนวนมากยังนำเทคโนโลยีใหม่มาป้องกันตัวได้ช้ากว่าที่ผู้โจมตีนำเทคโนโลยีใหม่มาใช้โจมตี โดยปัญญาประดิษฐ์ (AI) กลายเป็นศูนย์กลางของรายงานฉบับนี้ นอกจากปริมาณและความเร็วของการโจมตีที่ใช้ AI ช่วยจะเพิ่มขึ้นแล้ว ผู้นำยังระบุว่าการโจมตีที่พุ่งเป้าไปยังระบบ AI ขององค์กรเองคือภัยที่พวกเขาพร้อมรับมือน้อยที่สุด ความกังวลอันดับต้น ๆ ได้แก่ การถูกยึดครองด้วย botnet อัตโนมัติ (53%) การโจมตีเชิงปฏิปักษ์ (adversarial attacks 52%) และการวางยาข้อมูล (data poisoning 52%)
ขณะเดียวกันภัยจากควอนตัมก็กำลังคืบคลานเข้ามา บริษัท PwC เตือนว่าถึงเวลาที่องค์กรต้องเตรียมตัวแล้ว แต่กลับมีเพียง 21% ของผู้ตอบแบบสำรวจที่ลงมือใช้มาตรการเข้ารหัสที่ต้านทานควอนตัมได้ ท่ามกลางความเสี่ยงแบบ “harvest now, decrypt later” ที่ผู้โจมตีขโมยข้อมูลที่เข้ารหัสไว้ในวันนี้เพื่อรอถอดรหัสในวันที่คอมพิวเตอร์ควอนตัมทำได้ (Q-day) สารสำคัญของรายงานจึงเรียบง่ายแต่หนักแน่น นั่นคือ เรามีเทคโนโลยีที่จะเสริมความมั่นคงปลอดภัยอยู่แล้ว แต่ทั่วโลกยังมีองค์กรนำมาใช้จริงน้อยเกินไป
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 1 ตุลาคม 2569 ว่า รายงาน Global Digital Trust Insights 2027 ของบริษัท PwC ชี้ให้เห็นช่องว่างระหว่างความตระหนักกับการลงมือจริงในการรับมือภัยที่ขับเคลื่อนด้วย AI โดย AI ถูกมองว่าเป็นทั้งแนวป้องกันอันดับหนึ่งสำหรับการตรวจจับและแจ้งเตือนภัย และเป็นแหล่งความเสี่ยงใหม่ไปพร้อมกัน อย่างไรก็ตาม มีผู้นำเพียง 22% เท่านั้นที่ยอมใช้ “การทำงานอัตโนมัติเต็มรูปแบบโดย AI agent ในการป้องกันภัยไซเบอร์โดยไม่ต้องให้มนุษย์อนุมัติ” โดย 55% ให้เหตุผลว่าติดปัญหาด้านความน่าเชื่อถือและความสมบูรณ์ของเทคโนโลยี และอีก 44% ชี้ว่าขาดทักษะบุคลากรในการกำกับดูแลและควบคุม AI
รายงานยังหยิบยกคำกล่าวของบริษัท OpenAI เมื่อปลายปี 2025 ที่ว่า prompt engineering นั้นเหมือน social engineering ที่ไม่น่าจะแก้ได้เบ็ดเสร็จ เมื่อถูกผู้โจมตีนำมาใช้จะเรียกว่า prompt injection ซึ่งสามารถทำให้ข้อมูลรั่วไหลหรือสั่งรันคำสั่งที่ไม่ได้รับอนุญาตได้ และยากที่จะป้องกันได้อย่างสมบูรณ์ โดย prompt injection ยังติดอันดับ 1 ในรายการภัย 10 อันดับของ OWASP สำหรับแอปพลิเคชันที่ใช้ LLM อีกด้วย ในแง่ความรับผิดชอบ รายงานพบว่ายังไม่มีรูปแบบการถือครองที่ชัดเจน โดย 29% ของผู้นำเชื่อว่าอยู่ที่ฝ่าย CIO/CTO หรือสายเทคนิค 26% มองว่าอยู่ที่ผู้นำหรือฝ่าย AI โดยเฉพาะ และน่าแปลกที่มีเพียง 17% ที่เห็นว่าเป็นหน้าที่ของ CISO หรือฝ่ายความมั่นคงปลอดภัยไซเบอร์
มุมมองและข้อสังเกต
บริษัท PwC ตั้งข้อสังเกตว่าแม้ปัจจุบันเสียงส่วนใหญ่ยังลังเลที่จะมอบการตัดสินใจให้ AI agent แบบอัตโนมัติเต็มที่ แต่ก็น่าคิดว่าท่าทีนี้จะยืนระยะได้แค่ไหน เพราะการโจมตีที่ใช้ AI ช่วยกำลังพัฒนาทั้งความเร็ว ขนาด และความซับซ้อน เร็วเกินกว่าที่มนุษย์จะรับมือได้โดยปราศจากความเร็วฝั่งป้องกันที่ทัดเทียม มีเพียงการป้องกันด้วย agent อัตโนมัติเท่านั้นที่จะไล่ตามความเร็วนี้ทัน แต่ agent ก็ไม่ถือว่าอัตโนมัติอย่างแท้จริงหากยังต้องมีมนุษย์คอยอนุมัติ ทั้งนี้ การเปิดให้ AI ทำงานอัตโนมัติเต็มที่ก็จะเพิ่มพื้นที่การโจมตีขององค์กรไปพร้อมกัน
นาง Morgan Adamski ผู้นำด้านความเสี่ยงไซเบอร์ ข้อมูล และเทคโนโลยีของบริษัท PwC ให้ความเห็นว่า “เทคโนโลยีเคลื่อนไปเร็วอย่างเหลือเชื่อ แต่พื้นฐานของความมั่นคงปลอดภัยไซเบอร์ไม่ได้เปลี่ยนไป คุณจะลงทุนกับ AI และเครื่องมือล่าสุดมากแค่ไหนก็ได้ แต่ถ้าข้างใต้ไม่มีข้อมูลที่ปลอดภัย ความต่อเนื่องของการดำเนินงาน ความรับผิดชอบที่ชัดเจน และสุขอนามัยไซเบอร์ที่แข็งแรง คุณก็กำลังสร้างบนรากฐานที่อ่อนแอ เป้าหมายไม่ใช่การชะลอนวัตกรรม แต่คือการทำให้องค์กรยืดหยุ่นพอที่จะตามให้ทัน”
ผลกระทบ
รายงานฉบับนี้สะท้อนว่าช่องว่างที่แท้จริงขององค์กรทั่วโลกไม่ใช่การขาดเทคโนโลยี แต่คือการลงมือใช้จริงที่ล่าช้า การสำรวจขนาดใหญ่เช่นนี้มีประโยชน์ในการสะท้อนภาพรวมความคิดเห็น แต่ก็เป็นเพียงภาพนิ่ง ณ ช่วงเวลาหนึ่งที่อาจล้าสมัยเมื่อถึงมือผู้อ่าน โดยเฉพาะเรื่อง AI ที่พัฒนาเร็วมาก ยิ่งไปกว่านั้น การรับรู้ว่าองค์กรอื่นก็ยังล่าช้าเหมือนกันอาจบั่นทอนความรู้สึกเร่งด่วนที่ควรมี และทำให้องค์กรเลื่อนการลงมือของตนเองออกไปอีก ประเด็นที่ควรให้น้ำหนักจึงเป็นเรื่องพื้นฐาน ทั้งการปกป้องข้อมูลองค์กรด้วยการเข้ารหัส การวางแผนย้ายไปสู่การเข้ารหัสต้านควอนตัมตั้งแต่วันนี้ และการกำหนดผู้รับผิดชอบด้านความมั่นคงของระบบ AI ให้ชัดเจน ก่อนที่ภัย harvest now, decrypt later จะทำให้ข้อมูลที่ขโมยไปในวันนี้ถูกถอดรหัสได้ในอนาคต
คำแนะนำ
องค์กรควรเริ่มจัดทำบัญชีข้อมูลและระบบเข้ารหัสที่ใช้อยู่ (cryptographic inventory) เพื่อประเมินว่าส่วนใดต้องย้ายไปสู่การเข้ารหัสต้านควอนตัม (post-quantum cryptography) ก่อน พร้อมวางแผนการเปลี่ยนผ่านอย่างเป็นขั้นตอนตั้งแต่ตอนนี้แทนที่จะรอถึงวัน Q-day ในด้าน AI ควรกำหนดเจ้าภาพผู้รับผิดชอบความมั่นคงของระบบ AI อย่างชัดเจน วางมาตรการป้องกัน prompt injection และการวางยาข้อมูล ทดสอบความทนทานของโมเดลต่อการโจมตีเชิงปฏิปักษ์ และพิจารณาใช้ AI ช่วยป้องกันแบบมีมนุษย์กำกับในจุดวิกฤต ควบคู่กับการเสริมพื้นฐานด้านสุขอนามัยไซเบอร์และความต่อเนื่องในการดำเนินงานให้แข็งแรง