Claude Opus 4.6 ค้นพบช่องโหว่ Zero-Day กว่า 500 จุด ในซอฟต์แวร์โอเพ่นซอร์ส!

สร้างตำนานอีกแล้ว หลังจาก Anthropic ประกาศโมเดล Claude Opus 4.6 ไปได้ไม่นาน ก็ประกาศผลงานล่าสุดของโมเดลใหม่นี้ทันที ซึ่งเป็นการค้นพบช่องโหว่ความปลอดภัยรุนแรงสูงกว่า 500 จุดที่ไม่เคยรู้จักมาก่อน โดยไม่ต้องใช้คำสั่งพิเศษหรือเครื่องมือเฉพาะทาง การค้นพบนี้เปลี่ยนโฉมวงการความปลอดภัยไซเบอร์และ AI ในอนาคต

Anthropic เผยแพร่โพสต์บล็อกทางเทคนิคจากทีม Frontier Red Team ที่ทดสอบโมเดลในสภาพแวดล้อมแซนด์บ็อกซ์ โดยให้เข้าถึงโปรเจกต์โอเพ่นซอร์สและเครื่องมือวิเคราะห์มาตรฐาน เช่น debugger และ fuzzer โมเดลค้นพบช่องโหว่ในซอฟต์แวร์ยอดนิยมอย่าง GhostScript (เครื่องมือประมวลผล PDF/PostScript), OpenSC (CLI สำหรับสมาร์ทการ์ด) และ CGIF (ไลบรารีประมวลผลไฟล์ GIF)

Claude Opus 4.6 ค้นพบบักเก่าแก่หลายสิบปีได้อย่างไร?

สิ่งที่ทำให้ Claude Opus 4.6 แตกต่างจากเครื่องมือสแกนแบบดั้งเดิมคือ “วิธีคิดแบบมนุษย์” ไม่ใช่แค่ fuzzing แบบบังเอิญ แต่โมเดลอ่านโค้ด วิเคราะห์ประวัติ Git commit หาสัญญาณผิดปกติ แล้วสร้าง proof-of-concept (PoC) เพื่อยืนยัน

ตัวอย่างใน GhostScript: หลัง fuzzing และวิเคราะห์ด้วยมือไม่สำเร็จ โมเดลหันไปดู commit history พบแพตช์ความปลอดภัย แล้วสแกนโค้ดส่วนอื่นที่ยังไม่แพตช์ สุดท้ายสร้างไฟล์ที่ทำให้โปรแกรม crash บางช่องโหว่หลบรอดมานานหลายสิบปี Logan Graham หัวหน้าทีม Frontier Red Team กล่าวว่า “นี่อาจเป็นวิธีหลักในการรักษาความปลอดภัยโอเพ่นซอร์สในอนาคต”

มาตรการป้องกันการใช้งานในทางมิชอบ

Anthropic รู้ดีถึงความเสี่ยง dual-use จึงเพิ่ม 6 probes ใหม่ ที่ตรวจจับสัญญาณภายในโมเดลเพื่อป้องกันการใช้ในทางผิด รวมถึงระบบแทรกแซงแบบเรียลไทม์ (แต่ยอมรับว่าอาจรบกวนงานวิจัยที่ถูกต้อง)

ทั้ง 500+ ช่องโหว่ผ่านการยืนยันจากนักวิจัยภายในและภายนอก ก่อนรายงานให้ maintainer แล้ว แพตช์บางส่วนอัปเดตเรียบร้อย Anthropic ยังช่วยเหลือโปรเจกต์เหล่านี้ต่อไป

ผลกระทบต่อมาตรฐานความปลอดภัยไซเบอร์

นักวิจัยเตือนว่า กรอบการเปิดเผยช่องโหว่แบบเดิม (เช่น 90 วัน) อาจไม่ทันต่อความรวดเร็วของ AI ต้องพัฒนา workflow ใหม่ให้เร็วและรองรับปริมาณมหาศาล โดยที่ต้องเน้นโอเพ่นซอร์สก็เพราะมีการใช้งานกันทุกที่ ตั้งแต่ผู้ใช้ทั่วไปจนถึงระดับ Enterprise รวมไปถึงโครงสร้างพื้นฐานสำคัญต่าง ๆ ที่ทำให้ช่องโหว่เหล่านี้กระทบทั้งอินเทอร์เน็ตกันเลยทีเดียว

นั่นหมายความว่ากรอบของความปลอดภัยในยุค AI นั้นต้องแข้มงวดและรวดเร็วมากยิ่งขึ้น เพราะผู้โจมตีก็สามารถใช้ AI ขุดหาช่องโหว่ได้รวดเร็วกว่าที่เคย