Agentic Cybersecurity อนาคตความปลอดภัยไซเบอร์ด้วย AI (The Future of AI-Driven Cybersecurity)

อย่างไรก็ตาม มีเพียง 22% ที่พร้อมอนุญาตให้ AI Agent ดำเนินการป้องกันภัยไซเบอร์ได้อย่างอัตโนมัติโดยไม่ต้องมีมนุษย์กำกับ

ประเด็นสำคัญสำหรับ CISO คือ การสร้างสมดุลระหว่างประสิทธิภาพของ AI กับความเสี่ยงจากการให้อำนาจระบบอัตโนมัติที่อาจจะมากเกินไป โดยต้องรักษาพื้นฐานด้านความปลอดภัย การกำกับดูแล และการตรวจสอบ พร้อมปรับการลงทุนจากงานคัดกรองการแจ้งเตือนด้วยคนไปสู่การควบคุมภัยคุกคามอัตโนมัติและการกำกับดูแล AI Agent

โดย AI Agent เข้ามาช่วยเสริมภารกิจสำคัญอย่างการรักษาความมั่นคงปลอดภัยไซเบอร์ในหลายมิติ อาทิ

คัดกรองและตรวจสอบการแจ้งเตือน (Alert Triage and Investigation)

AI Agent สามารถรับช่วงงานที่เคยใช้เวลาของนักวิเคราะห์จำนวนมาก เช่น การตรวจสอบการแจ้งเตือน การวิเคราะห์คำสั่งที่น่าสงสัย การสร้างแผนผังกระบวนการทำงานของโปรแกรม และการสรุปผลพร้อมเสนอแนวทางตอบสนองให้มนุษย์พิจารณา ช่วยลดภาระงานและทำให้ทีมรักษาความปลอดภัยตอบสนองได้รวดเร็วขึ้น

วิเคราะห์ข่าวกรองภัยคุกคามและตรวจสอบความปลอดภัยเชิงรุก

AI Agent สามารถรวบรวมและสังเคราะห์ข้อมูลข่าวกรองภัยคุกคาม ตรวจสอบการออกแบบผลิตภัณฑ์ให้เป็นไปตามข้อกำหนดด้านความปลอดภัย สร้างการทดสอบ ตรวจจับการเปลี่ยนแปลงการตั้งค่าที่ไม่เป็นไปตามมาตรฐาน และช่วยจัดทำหรือตรวจสอบแพตช์เพื่อแก้ไขช่องโหว่

วิเคราะห์มัลแวร์และตรวจสอบตัวบ่งชี้การโจมตี

AI Agent สามารถช่วยวิเคราะห์โค้ดมัลแวร์ที่ซับซ้อน แยกการโจมตีหลายขั้นตอน ค้นหา Indicators of Compromise (IoCs) และเชื่อมโยงไปยังโครงสร้างพื้นฐานที่เกี่ยวข้องได้ภายในไม่กี่นาที แทนที่จะใช้เวลาหลายชั่วโมง อย่างไรก็ตามการดำเนินงานยังต้องมีนักวิเคราะห์คอยตรวจสอบผลลัพธ์

ติดตามการโจมตีทางดิจิทัล

AI Agent สามารถช่วยค้นหาและจัดทำข้อมูลสินทรัพย์ดิจิทัลที่ถูกเปิดเผย ตรวจหาคีย์ที่รั่วไหล และจัดลำดับความสำคัญของสินทรัพย์หรือช่องโหว่ที่มีความเสี่ยงสูง เพื่อให้ทีมงานมุ่งแก้ไขปัญหาที่ผู้โจมตีสามารถใช้ประโยชน์ได้จริง

รายงาน Verizon Data Breach Investigations ล่าสุดระบุว่า Ransomware เกี่ยวข้องกับการละเมิดข้อมูล 48% เพิ่มขึ้นจาก 44% ในปีก่อนหน้า ภัยคุกคามประเภทนี้ต้องอาศัยการตรวจจับพฤติกรรมผิดปกติที่รวดเร็ว เช่น การเข้ารหัสไฟล์จำนวนมาก การเปลี่ยนชื่อไฟล์เป็นวงกว้าง และการลบไฟล์ เพื่อหยุดการโจมตีก่อนที่จะสร้างความเสียหายอย่างรุนแรง

AI Agent สามารถตรวจจับพฤติกรรมที่บ่งชี้ถึงการโจมตี เช่น การเปลี่ยนชื่อไฟล์จำนวนมากและการลบข้อมูลสำรอง จากนั้นสั่งยุติกระบวนการที่เกี่ยวข้อง แยกอุปกรณ์ออกจากเครือข่ายผ่านระบบ EDR เพิกถอนเซสชันของผู้ใช้ผ่านระบบ Identity Provider (IdP) บล็อกการสื่อสารกับเซิร์ฟเวอร์ควบคุมของผู้โจมตี (C2) ผ่าน DNS และตรวจสอบอุปกรณ์อื่นเพื่อหาพฤติกรรมแบบเดียวกันได้อย่างรวดเร็ว

แนวทางใช้งาน AI Agent อย่างปลอดภัยเพื่อลดความเสี่ยงจากการโจมตี

- กำหนดตัวตนและสิทธิ์การเข้าถึงอย่างเข้มงวด AI Agent ต้องได้รับการดูแลในฐานะผู้ปฏิบัติงานที่สามารถดำเนินการจริง ไม่ใช่เพียงเครื่องมือให้คำแนะนำ องค์กรควรใช้หลัก Least Privilege จำกัดสิทธิ์ตามหน้าที่ ควบคุมการเชื่อมต่อเครือข่ายภายนอก แบ่งแยกเครือข่ายตามความเหมาะสม และบันทึกกิจกรรมของ Agent ทุกตัว 

- ป้องกัน Prompt Injection และเนื้อหาที่ผู้โจมตีควบคุมได้ อีเมล เว็บไซต์ปลอม และไฟล์ที่ Agent ตรวจสอบอาจมีคำสั่งแฝงที่ออกแบบมาเพื่อหลอกให้ AI ทำงานผิดวัตถุประสงค์ องค์กรจึงต้องแยกเนื้อหาที่ไม่น่าเชื่อถือออกจากคำสั่งระบบ ตรวจสอบข้อมูลนำเข้าและผลลัพธ์ระหว่างการทำงาน และไม่ให้ Agent ที่อ่านเนื้อหาจากผู้โจมตีมีสิทธิ์ดำเนินการในวงกว้าง

- รักษามาตรการพื้นฐานที่ยังจำเป็นต่อการป้องกันภัยไซเบอร์ แม้ AI Agent จะช่วยตรวจจับสัญญาณเตือนของ Ransomware ได้อย่างรวดเร็ว แต่การสำรองข้อมูลที่ไม่สามารถแก้ไขหรือลบได้โดยง่าย (Immutable Backups) การยืนยันตัวตนหลายปัจจัย (MFA) และการติดตั้งแพตช์อย่างสม่ำเสมอ ยังคงเป็นองค์ประกอบสำคัญที่ช่วยจำกัดความเสียหายจากการโจมตี

AI Agent ควรถูกกำกับเหมือนพนักงานที่มีความสามารถในการปฏิบัติงานสูงและทำงานได้อย่างรวดเร็ว การเตรียมการก่อนมอบอำนาจให้ Agent ได้แก่ การระบุตัวตนที่ชัดเจน การกำหนดสิทธิ์อย่างละเอียด การทำให้การดำเนินการสามารถย้อนกลับได้ การบันทึกกิจกรรม การกำหนดขอบเขตการทำงาน และการใช้กลไกหยุดการทำงานเมื่อพบความผิดปกติ 

องค์กรควรเริ่มจากการให้ AI ช่วยงานและเสนอคำแนะนำ ก่อนพัฒนาไปสู่การดำเนินการอย่างอัตโนมัติ โดยควรต้องกำกับการดำเนินการภายในขอบเขตที่กำหนด เมื่อมีหลักฐานเพียงพอว่าระบบทำงานได้อย่างปลอดภัยและเชื่อถือได้

ประโยชน์ที่ได้จาก Agentic Cybersecurity

- ลดภาระงานและความเหนื่อยล้าจากการแจ้งเตือน (Alert Fatigue) AI Agent ช่วยคัดกรองการแจ้งเตือน ตรวจสอบเหตุการณ์ และรวบรวมข้อมูลที่เกี่ยวข้องโดยอัตโนมัติ ทำให้นักวิเคราะห์มีเวลามากขึ้นสำหรับงานสืบสวนเชิงลึกและการรับมือภัยคุกคามที่ซับซ้อน

- จัดลำดับความสำคัญของช่องโหว่จากความเสี่ยงที่เกิดขึ้นจริง องค์กรกำลังเผชิญกับจำนวนช่องโหว่ที่ต้องจัดการเพิ่มขึ้นอย่างมาก ปัญหาจึงไม่ได้อยู่ที่การค้นหาช่องโหว่เพียงอย่างเดียว แต่อยู่ที่การตัดสินใจว่าควรแก้ไขจุดใดก่อน

AI Agent สามารถผสานข้อมูลบริบทของโค้ด การเปิดเผยระบบต่อการโจมตี และข่าวกรองภัยคุกคาม เพื่อระบุช่องโหว่ที่ผู้โจมตีมีโอกาสใช้ประโยชน์ได้จริง พร้อมช่วยตรวจสอบและนำแนวทางแก้ไขไปใช้งาน

- ประเมินประสิทธิภาพจากผลลัพธ์ ไม่ใช่จำนวนกิจกรรม องค์กรควรติดตามตัวชี้วัด เช่น อัตราการแจ้งเตือนผิดพลาดและการพลาดตรวจจับภัยคุกคาม ระยะเวลาตรวจพบเหตุการณ์ ระยะเวลาแก้ไขปัญหา จำนวนชั่วโมงการทำงานของนักวิเคราะห์ที่ลดลง ระยะเวลาที่ระบบยังเปิดรับความเสี่ยง

และความครอบคลุมของการตรวจจับ หากตัวชี้วัดเหล่านี้ไม่ดีขึ้น การลงทุนอาจเป็นเพียงการเพิ่มเครื่องมือโดยไม่ได้ปรับปรุงระดับความปลอดภัยอย่างแท้จริง

ช่วงนี้เป็นการเปลี่ยนผ่านที่สำคัญจากการลงทุนที่เน้นจำนวนเครื่องมือและแรงงานสำหรับงานประจำ ไปสู่ระบบรักษาความปลอดภัยที่ใช้ AI ช่วยจัดการความเสี่ยงและควบคุมภัยคุกคามได้รวดเร็วขึ้น โดยยังอยู่ภายใต้การกำกับดูแลของมนุษย์ไว้ในจุดที่มีความเสี่ยงสูง

หลักคิดสำคัญคือ AI ต้องพิสูจน์ความน่าเชื่อถือก่อนที่จะได้รับอำนาจเพิ่มขึ้น และห้ามไม่ให้เพิ่มสิทธิ์ให้แก่ตัว AI เองโดยปราศจากการอนุมัติของมนุษย์