เจาะประเด็น
DevSec / AI
ปัญหาซีเคร็ตรั่วไม่ใช่เพราะเดฟสะเพร่า แต่เพราะเครื่องมือตามไม่ทัน
GitHub ชี้ว่าเมื่อ AI เขียนโค้ดได้เร็วขึ้นเท่าไหร่ การปกป้องความลับในโค้ดก็ต้องเร็วตามให้ทัน ไม่ใช่ฝากความหวังไว้ที่ความรอบคอบของคนเพียงอย่างเดียว
ทีมข่าว เอไอไทย.com
⏱ อ่าน 3 นาที
ถ้าคนเขียนโค้ดเร็วขึ้นสิบเท่าด้วย AI แต่ระบบป้องกันความลับยังเดินด้วยความเร็วเดิม คำถามคือเรากำลังสร้างหนี้ tecnical debt ด้านความปลอดภัยไว้เท่าไหร่แล้ว
เราคุยกันตรงๆ นะ ปัญหาซีเคร็ตรั่วในโค้ดเนี่ย คนมักโยนความผิดให้เดฟว่าเขียนโค้ดไม่ระวัง เอาคีย์ API ไปแปะไว้ในไฟล์ แล้วก็ commit ขึ้น Git แบบไม่คิดอะไร แต่ GitHub ออกมาพูดในบล็อกของตัวเองว่า มุมมองนั้นมันล้าสมัยไปแล้ว ประเด็นไม่ใช่ว่าเดฟเริ่มสะเพร่ามากขึ้น แต่เป็นเพราะความเร็วในการสร้างโค้ดมันแซงระบบป้องกันไปไกลแล้วต่างหาก
คิดดูง่ายๆ สมัยก่อนเดฟคนนึงอาจเขียนโค้ดได้วันละไม่กี่ร้อยบรรทัด มีเวลาเหลือพอจะนั่งไล่เช็คว่ามีอะไรหลุดไปบ้าง แต่ยุคนี้ที่ GitHub Copilot หรือเครื่องมือ AI ช่วยเขียนโค้ดกลายเป็นเรื่องปกติ ปริมาณโค้ดที่เกิดขึ้นต่อวันมันพุ่งขึ้นแบบคนละมิติ งานที่เคยทำคนเดียวทั้งเดือน ตอนนี้เสร็จในไม่กี่ชั่วโมง นั่นแปลว่าจำนวนจุดที่ "ความลับ" อย่าง API key, token หรือรหัสผ่านอาจหลุดเข้าไปในโค้ด ก็เพิ่มตามแบบทวีคูณ
สิ่งที่ GitHub กำลังจะบอกก็คือ การฝากความปลอดภัยไว้กับ "ความรอบคอบของมนุษย์" อย่างเดียว มันสเกลไม่ทันกับปริมาณโค้ดที่ AI ผลิตออกมาแล้ว ต่อให้เดฟเก่งและระวังแค่ไหน แต่ถ้าต้องเขียนโค้ดเร็วขึ้น 10 เท่า โอกาสที่จะมีสักครั้งที่ลืมเช็คหรือพลาดไป ก็เพิ่มขึ้นเป็นเงาตามตัว นี่ไม่ใช่เรื่องของวินัยส่วนบุคคลอีกต่อไป แต่มันเป็นเรื่องเชิงระบบ
และประเด็นที่เจ็บกว่านั้นคือ เครื่องมือที่ทำให้เราสร้างซอฟต์แวร์ได้เร็วขึ้น กลับไม่ได้ช่วยแบกภาระในการปกป้องซอฟต์แวร์นั้นเท่าที่ควร GitHub เลยเสนอแนวคิดตรงๆ ว่าเครื่องมือเดียวกันที่เร่งการสร้างโค้ด ควรต้องรับงานด้านการป้องกันความลับไปด้วย ไม่ใช่ปล่อยให้เป็นหน้าที่ของคนที่ต้องมาตามเก็บทีหลัง
หลายคนอาจคิดว่านี่เป็นปัญหาเฉพาะทีม dev ในบริษัทเทค แต่จริงๆ แล้วซีเคร็ตรั่วในโค้ดคือหนึ่งในช่องโหว่ที่สร้างความเสียหายหนักที่สุดและเจอบ่อยที่สุดในวงการ ต้นทุนของการเอาคีย์ที่หลุดไปเปลี่ยนใหม่ทันทีที่รู้ตัว กับต้นทุนตอนที่แฮกเกอร์เจอมันก่อน แล้วกวาดข้อมูลลูกค้าหรือค่า cloud ไปเป็นแสนๆ มันต่างกันคนละโลก
พอ AI ทำให้โค้ดเกิดเร็วขึ้น จำนวน repo มากขึ้น จำนวน commit ถี่ขึ้น ช่องทางที่ความลับจะหลุดก็ยิ่งกว้างขึ้นเป็นเท่าตัว นี่คือเหตุผลที่การป้องกันความลับต้องถูกออกแบบให้ "สเกลตามซอฟต์แวร์" ไม่ใช่ตามความตั้งใจของคนเขียน ซึ่งหมายความว่ามันต้องเป็นระบบอัตโนมัติที่ทำงานตลอดเวลา ตรวจทุก commit สแกนทุก pull request และเตือนก่อนที่อะไรจะสายไป
ประโยคนี้แหละที่สรุปทุกอย่างได้ในบรรทัดเดียว เดฟไม่ได้แย่ลง แต่ระบบป้องกันมันวิ่งตามไม่ทันต่างหาก และถ้าปล่อยไว้แบบนี้ ต่อให้เครื่องมือ AI เก่งแค่ไหน เราก็จะได้ซอฟต์แวร์ที่ผลิตเร็วขึ้น แต่ก็เปราะบางขึ้นในอัตราที่น่ากลัวไม่แพ้กัน
พูดตรงๆ คือยุคที่ AI เขียนโค้ดแทนเราได้ การหวังพึ่งความรอบคอบของคนอย่างเดียวก็เท่ากับฝากความปลอดภัยทั้งบริษัทไว้กับความเหนื่อยของเดฟหนึ่งคน — ทางออกที่ยั่งยืนจริงๆ คือให้เครื่องมือที่เร่งการสร้าง รับผิดชอบการป้องกันไปพร้อมกันตั้งแต่ต้นน้ำ ไม่ใช่ปล่อยให้เป็นงานตามเก็บปลายน้ำที่ไม่มีวันตามทัน
ที่มา: GitHub Blog — อ่านต้นฉบับ
ความคิดเห็น 3
กำลังโหลดความคิดเห็น...