CEO Checkmarx เตือน: แค่ค้นหาช่องโหว่ไม่พอ ต้องแก้ไขจุดเสี่ยงที่อาจถูกโจมตีจริง

การพัฒนาแอปพลิเคชันด้วย AI เร่งความเร็วอย่างมหาศาล แต่ขณะเดียวกันทีมรักษาความปลอดภัยหลายองค์กรกลับไม่ทันตามกระบวนการที่เพิ่มขึ้น ​Checkmarx CEO Sandeep Johri จึงเตือนว่าการระบุช่องโหว่เพียงอย่างเดียวยังไม่พอ ต้องมุ่งแก้ไขจุดเสี่ยงที่สามารถถูกโจมตีได้จริง

Overview

AI เข้ามาเป็นส่วนสำคัญของวงจรการพัฒนาโดยเฉพาะเครื่องมือเช่น Claude Code ที่ช่วยสร้างและตรวจสอบโค้ดภายในไม่กี่วินาที อย่างไรก็ตาม ความเร็วนี้ทำให้ทีมรักษาความปลอดภัยต้องเผชิญกับปริมาณงานที่เพิ่มขึ้นอย่างต่อเนื่อง ​ในขณะเดียวกัน Anthropic เปิดตัวโมเดล Claude Mythos ที่มุ่งเน้นด้านความปลอดภัย แต่บริษัทได้ระบุว่าโมเดลนี้อาจถูกใช้โดยผู้ประสงค์ร้าย จึงเปิดให้ใช้งานเฉพาะพันธมิตรที่ได้รับการคัดเลือกเท่านั้น

Key Details

• ปริมาณช่องโหว่: น้อยกว่า 10% ของบริษัทสามารถแก้ไข 90% ของช่องโหว่ที่ตรวจพบภายใน 90 วันได้ ซึ่งบ่งชี้ว่าจำนวนช่องโหว่โดยรวมกำลังเพิ่มขึ้น ไม่ใช่ว่าประสิทธิภาพการแก้ไขลดลง
• ผลของ Mythos: ประมาณ 50 พันธมิตรแรกของ Mythos พบ >10,000** ช่องโหว่ระดับสูงหรือวิกฤติ และอีกหลายพันช่องโหว่ระดับต่ำกว่า นั่นแสดงให้เห็นว่าเครื่องมือ AI สามารถค้นพบปัญหามากมายแต่ยังต้องการกระบวนการคัดกรองต่อไป

Impact on Development Speed

AI ทำให้การเขียนและปล่อยซอฟต์แวร์เร็วขึ้นหลายเท่า แต่ข้อมูลจาก Checkmarx ระบุว่าบริษัทที่ใช้ AI ในการสร้างโค้ด 81‑100% มีความเสี่ยงที่จะส่งมอบโค้ดที่มีช่องโหว่สูงกว่าองค์กรที่ใช้ AI เพียง 1‑20% ประมาณ สามเท่า** การเพิ่มความเร็วโดยไม่มีมาตรการตรวจสอบที่สอดคล้องกันทำให้ทีมรักษาความปลอดภัยต้องรับมือกับข้อมูลจำนวนมาก ซึ่งบางส่วนอาจเป็น “false positives” หรือช่องโหว่ที่ไม่มีความเสี่ยงจริง

Security Challenges

ความท้าทายหลักหลายประการปรากฏขึ้นเมื่อ AI เข้ามาแทนที่กระบวนการดั้งเดิม:

• การตามทันความเร็ว : ความเร็วของการพัฒนาเหนือกว่าความสามารถในการสแกนและตรวจสอบของเครื่องมือรักษาความปลอดภัย
• ข้อมูลล้น : ทีมต้องคัดกรอง “thousands of findings” ที่อาจไม่มีผลกระทบต่อความเสี่ยงจริง ทำให้ทรัพยากรถูกใช้ไปโดยไม่จำเป็น
• Bias ของการอัตโนมัติ : การพึ่งพา AI อย่างเต็มที่อาจสร้างความเชื่อใจเกินไปในผลลัพธ์ของโมเดล ส่งผลให้มองข้ามช่องโหว่สำคัญหรือรับรองข้อผิดพลาดเป็นจริง

Role of AI & Human Oversight

แม้ AI จะช่วยวิเคราะห์รูปแบบและเร่งกระบวนการแก้ไขได้ แต่ Checkmarx ย้ำว่าการตัดสินใจด้านความเสี่ยงยังต้องอาศัย มนุษย์ เพื่อให้ได้บริบทที่ครบถ้วน ​โมเดลระดับสูงสามารถค้นพบเส้นทางการโจมตีซับซ้อนได้ แต่ก็มีโอกาสให้ผลลัพธ์เปลี่ยนแปลงตามคำสั่ง (prompt) หรือพลาดช่องโหว่วิกฤติที่รู้จักแล้ว การผสมผสานระหว่าง AI‑driven capabilities กับแนวทางรักษาความปลอดภัยแบบดั้งเดิมจึงเป็นวิธีที่ดีที่สุดในการเร่งการแก้ไขโดยไม่สูญเสียความแม่นยำ

Future Outlook

Johri คาดว่าอุตสาหกรรมจะมุ่งเปลี่ยนจาก “จำนวนช่องโหว่” ไปสู่ “ความเสี่ยงที่สามารถถูกใช้โจมตีได้จริง” โดยการพัฒนากรอบงานใหม่เพื่อให้ทีมรักษาความปลอดภัยเข้ามาให้คำแนะนำตั้งแต่ช่วงต้นของวงจรการพัฒนา ​แนวคิดนี้สอดคล้องกับผลสำรวจว่าประมาณ 70% ของนักพัฒนาระบุว่าโค้ดที่สร้างโดย AI ทำให้เกิดช่องโหว่เพิ่มขึ้นในปี 2025 การจัดทำ governance** ที่ครอบคลุมสำหรับเครื่องมือ AI ทั้งหมด – โมเดล, ตัวแทน, ไลบรารี – จะเป็นกุญแจสำคัญเพื่อให้มั่นใจว่าการใช้ AI ไม่สร้าง “blind spots” ใหม่ให้กับองค์กร

Summary

AI เร่งการพัฒนาแอปพลิเคชันอย่างต่อเนื่อง แต่ทำให้จำนวนช่องโหว่เพิ่มขึ้นและทีมรักษาความปลอดภัยต้องเผชิญความท้าทายใหม่ ​ตามที่ Checkmarx CEO ชี้แจง การมุ่งแก้ไขจุดเสี่ยงที่เป็นจริงโดยอาศัยการร่วมมือระหว่าง AI และผู้เชี่ยวชาญมนุษย์จะเป็นแนวทางสำคัญต่อไป.