เจาะประเด็น
Security / AI
Google ทิ้งยุค Zero Trust แล้ว? เจอกับ Beyond Zero โมเดลความปลอดภัยที่ออกแบบมาเพื่อยุค AI
Zero Trust ยังใช้ได้อยู่ แต่ถ้าเอเจนต์ AI จะทำงานแทนมนุษย์ทั้งที ระบบรักษาความปลอดภัยแบบเดิมมันช้าเกินไป Google เลยต้องเขียนกติกาใหม่ทั้งกระดาน
ทีมข่าว เอไอไทย.com
⏱ อ่าน 4 นาที
ถ้าเรายังคิดเรื่องความปลอดภัยไซเบอร์แบบ "คนนั่งกด approve" อยู่ล่ะก็ เอเจนต์ AI ที่ทำงานด้วยความเร็วเครื่องจักรจะวิ่งไปไกลเกินกว่าที่เราจะตามทันไปแล้ว — คำถามคือ เราจะไว้ใจใครได้ยังไงในโลกที่ไม่มีมนุษย์คอยยืนยันทุกสเต็ป?
เอาล่ะ ถึงเวลาพูดกันตรงๆ เรื่องนี้ Google เขาทำอะไรกันแน่? หลายคนอาจจะเพิ่งเคยได้ยินชื่อ BeyondCorp ครั้งแรกตอนที่บริษัทอื่นเริ่มลอกเลียนแบบแนวคิด "Zero Trust" ไปใช้กันเกร่อ จริงๆ แล้ว BeyondCorp คือโปรเจกต์ปฏิวัติวงการของ Google ที่พลิกแนวคิดความปลอดภัยองค์กรจาก "ไว้ใจได้ถ้าอยู่ในเน็ตเวิร์ก" มาเป็น "ไม่ไว้ใจใครเลยแม้แต่ในระบบ" ซึ่งกลายเป็นมาตรฐานวงการไปแล้ว
แต่ตอนนี้ Google บอกว่า "เดี๋ยวก่อน โลกมันเปลี่ยนไปแล้ว" พวกเขาเพิ่งตีพิมพ์งานวิจัยชิ้นใหม่ชื่อ Beyond Zero ซึ่งนิยามตัวเองว่าเป็น "security model สำหรับยุค AI" โดยตรง ไม่ใช่แค่การอัปเกรดแพตช์เพิ่มฟีเจอร์เล็กๆ น้อยๆ แต่มันคือการรื้อโครงสร้างวิธีคิดเรื่องการอนุญาตเข้าถึงข้อมูลใหม่ทั้งระบบ
ฟังดูเว่อร์? ไม่เว่อร์หรอก เพราะถ้าเข้าใจบริบทจะเห็นว่ามันจำเป็นขนาดไหน ลองนึกภาพตามนะ — เดี๋ยวนี้เรามี AI agent ที่สามารถทำงานแทนเราได้หลายขั้นตอน เช่น อ่านอีเมล สรุปเอกสาร ส่งข้อความ หรือแม้แต่สั่งซื้อของ ตัวเอเจนต์เหล่านี้มันไม่ได้ทำงานแบบมนุษย์ที่ต้องล็อกอินเข้าไปทีละแอปฯ และคลิกทีละปุ่ม�
ปัญหาเดิมของ Zero Trust คือมันถูกออกแบบมาเพื่อ "มนุษย์" ที่เข้าถึง "แอปพลิเคชัน" แต่ในยุค AI เอเจนต์มันไม่ได้เข้าถึงแค่แอปฯ มันเข้าถึง "ทรัพยากร" (resources) และ "การกระทำ" (actions) ย่อยๆ หลายๆ อย่างต่อเนื่องกัน ตัวอย่างเช่น ถ้าเอเจนต์ได้รับสิทธิ์เข้าถึงระบบ HR มันอาจจะไม่ได้หยุดแค่อ่านข้อมูลพนักงาน แต่มันอาจจะไปแก้ไขเงินเดือนหรือส่งอีเมลหาคนทั้งบริษัท — ซึ่งการตัดสินใจแบบนี้มันต้องมีการควบคุมที่ละเอียดกว่าเดิมเยอะ
ดังนั้น Beyond Zero เลยย้ายจุดตัดสินใจ (access decisions) จากระดับแอปพลิเคชันลงไปสู่ระดับ "รายทรัพยากรและรายการกระทำ" ซึ่งหมายความว่าแทนที่จะบอกว่า "เอเจนต์นี้เข้าถึงระบบ CRM ได้" มันจะบอกได้ละเอียดกว่านั้น เช่น "เอเจนต์นี้อ่านข้อมูลลูกค้าได้ แต่แก้ไขหรือลบไม่ได้" และที่สำคัญคือมันผสมผสานการควบคุมแบบ static (กฎคงที่ที่ตั้งไว้ล่วงหน้า) เข้ากับการตัดสินใจแบบ dynamic (ที่ขับเคลื่อนโดย AI แบบเรียลไทม์)
นี่คือจุดที่ทำให้ Beyond Zero ต่างจากของเดิมโดยสิ้นเชิง — ระบบสามารถประเมินความเสี่ยง ณ ขณะนั้นๆ ได้ เช่น ถ้าเอเจนต์กำลังจะทำอะไรที่เสี่ยงสูง ระบบ AI ก็อาจจะชะลอหรือบล็อกการกระทำนั้นเอง โดยไม่ต้องรอมนุษย์มาอนุมัติ ซึ่ง Google เรียกว่า "machine-speed enforcement" — การบังคับใช้กฎที่เร็วเท่าความเร็วเครื่องจักร เพื่อให้ทันกับเอเจนต์ที่ทำงานเร็วระดับนั้น
พูดง่ายๆ คือ Google กำลังบอกว่า "ถ้าคุณยังคิดจะใช้ Zero Trust แบบเดิมกับ AI agent คุณจะโดนรถไฟชน" เพราะเอเจนต์มันไม่ได้ทำตามคำสั่งแบบตายตัว มันมีการตัดสินใจของมันเอง (autonomous) ดังนั้นระบบรักษาความปลอดภัยก็ต้องฉลาดและยืดหยุ่นพอที่จะตัดสินใจแทนได้เหมือนกัน แต่คำถามสำคัญคือ แล้วเราจะไว้ใจ AI ให้ตัดสินใจเรื่องความปลอดภัยแทนเราได้จริงเหรอ?
ถามแบบนี้ก็ต้องตอบตามตรงว่า มันคือการแลกเปลี่ยนระหว่างความปลอดภัยกับความเร็ว — ถ้าอยากได้ทั้งสองอย่าง ระบบต้องฉลาดพอที่จะรู้ว่าตอนไหนควรหยุด ตอนไหนควรปล่อย และตอนไหนควรส่งกลับไปถามมนุษย์ ซึ่ง Google กำลังสร้างรากฐานแนวคิดนี้ไว้ก่อนที่ปัญหาจะระเบิด เรียกว่า "คิดเผื่ออนาคต" ก็ว่าได้ แต่ก็ต้องจับตาดูว่าโมเดลนี้จะถูกนำไปใช้จริงในผลิตภัณฑ์ของตัวเองเมื่อไหร่ และบริษัทอื่นจะตามทันหรือไม่
เพราะถึงแม้แนวคิดจะดูดีบนกระดาษ แต่การจะพลิกโฉมระบบความปลอดภัยทั้งองค์กรที่ลงทุนไปมหาศาลกับโครงสร้างเดิม ไม่ใช่เรื่องที่ทำได้ในข้ามคืน และคงไม่ใช่ทุกองค์กรจะพร้อมทิ้ง "มนุษย์" ออกจากสมการตัดสินใจทั้งหมดในเร็วๆ นี้
Beyond Zero คือหมุดหมายสำคัญที่บอกว่าเกมความปลอดภัยกำลังเปลี่ยนสนาม — Zero Trust อาจไม่ตาย แต่จะกลายเป็นแค่องค์ประกอบหนึ่งของระบบที่ใหญ่และฉลาดกว่าเดิม ใครที่กำลังสร้าง product ที่ใช้ AI agent อยู่ตอนนี้ ถ้ายังคิดเรื่อง security แบบเดิมๆ ก็เตรียมตัวตกยุคได้เลย เพราะคู่แข่งที่เร็วกว่าและปลอดภัยกว่ากำลังมาแล้ว
ที่มา: InfoQ AI/ML — อ่านต้นฉบับ
ความคิดเห็น 6
กำลังโหลดความคิดเห็น...