ข่าวเด่น
AI / Security
Anthropic แจกสแกนช่องโหว่ฟรีให้โอเพนซอร์ส แต่มีเงื่อนไขที่ต้องแลก
บริการชื่อ OSS Scanner เปิดให้โปรเจกต์โอเพนซอร์สสมัครรับการตรวจความปลอดภัยฟรี แต่ของฟรีแบบนี้มักมีดีลเบื้องหลังที่ต้องอ่านให้ครบ
ทีมข่าว เอไอไทย.com
⏱ อ่าน 3 นาที
โค้ดโอเพนซอร์สที่คนทั้งโลกใช้ร่วมกัน จะถูกตรวจโดยโมเดล AI ที่เราไม่รู้ว่ามองเห็นอะไรบ้าง — นี่คือคำถามที่ต้องคิดก่อนกดสมัคร
ถ้าคุณเคยใช้ไลบรารีโอเพนซอร์สในโปรเจกต์ตัวเอง — ซึ่งจริงๆ ก็คือทุกคนที่เขียนโค้ด — คุณน่าจะรู้ดีว่าช่องโหว่ความปลอดภัยในโค้ดพวกนี้มันน่ากลัวแค่ไหน เพราะกว่าจะมีคนเจอ มักต้องรอให้มีคนเอาไปใช้ในทางที่ผิดก่อน คราวนี้ Anthropic ออกมาประกาศว่าจะช่วยเรื่องนี้ ด้วยบริการใหม่ชื่อ OSS Scanner ที่จะสแกนหาช่องโหว่ความปลอดภัยให้โปรเจกต์โอเพนซอร์สแบบไม่คิดเงิน
ตัวบริการนี้ทำงานยังไง? Anthropic บอกว่าโปรเจกต์โอเพนซอร์สไหนก็ตามที่สมัครเข้าร่วม (opt-in) จะได้รับการสแกนความปลอดภัย "อย่างละเอียดและเป็นระยะ โดยโมเดลที่เก่งที่สุดของเรา โดยไม่มีค่าใช้จ่าย" — คำว่าโมเดลที่เก่งที่สุดของเรานี่ก็หมายถึงตระกูล Claude นั่นแหละ ซึ่งถ้าดูจากประสิทธิภาพด้านการเขียนโค้ดและวิเคราะห์โค้ดที่ผ่านมา ก็ถือว่าเป็นข้อเสนอที่ไม่เบาเลย
ประโยชน์ที่เห็นได้ชัดคือ ความเร็วในการตรวจจับช่องโหว่ ปกติแล้วโปรเจกต์โอเพนซอร์สจำนวนมากอาศัยคนดูแลแบบอาสาสมัคร ที่ไม่ได้มีเวลามานั่งไล่ตรวจโค้ดทุกบรรทัด การมี AI มาช่วยสแกนเป็นระยะแปลว่าช่องโหว่อาจถูกเจอเร็วขึ้น ถูกแจ้งเตือนก่อนที่แฮกเกอร์จะเจอ ซึ่งในโลกความปลอดภัย ทุกวินาทีก่อนที่แพตช์จะออกมามีค่ามหาศาล
แต่ประเด็นที่ The Verge ตั้งข้อสังเกตไว้ และผมคิดว่าเป็นจุดที่ต้องคิดหนักคือ "trade-off" หรือสิ่งที่ต้องแลกมานั่นเอง รายละเอียดตรงนี้ต้นฉบับตัดไว้กลางประโยค แต่การที่โปรเจกต์โอเพนซอร์สยอมให้โมเดล AI ของบริษัทเอกชนเข้ามาสแกนโค้ดของตัวเองเป็นระยะ มันมีคำถามตามมาเต็มไปหมด — โค้ดที่ถูกสแกนจะถูกเก็บไว้ที่ไหน นานแค่ไหน เอาไปเทรนโมเดลต่อหรือเปล่า และถ้าเจอช่องโหว่ ใครจะได้รู้ก่อนใคร
มองในมุมของ Anthropic เอง นี่ก็เป็นเกมที่ฉลาดไม่เบา การได้เข้าถึงโค้ดโอเพนซอร์สจำนวนมหาศาลแบบที่ถูกเชิญให้เข้ามาสแกนเอง มันทั้งช่วยสร้างภาพลักษณ์ว่าเป็นบริษัท AI ที่ห่วงเรื่องความปลอดภัย (ซึ่งเป็นจุดขายหลักของ Anthropic มาตลอด) และในทางอ้อมก็ได้ข้อมูลโค้ดจากหลากหลายภาษาและเฟรมเวิร์กมาปรับปรุงโมเดลของตัวเองด้วย — จะมากจะน้อยแค่ไหน อันนี้ไม่มีใครรู้เพราะรายละเอียดยังไม่ชัด
อีกเรื่องที่ต้องจับตาคือ โมเดล AI สแกนช่องโหว่นี่แม่นแค่ไหนกันแน่ เพราะการสแกนโค้ดด้วย AI ยังมีปัญหาเรื่อง false positive อยู่เยอะ — คือแจ้งเตือนว่ามีช่องโหว่ทั้งที่จริงๆ ไม่มี ซึ่งถ้าเกิดบ่อยเกินไป คนดูแลโปรเจกต์ก็จะเริ่มเมินการแจ้งเตือนไปเอง ซึ่งนั่นยิ่งอันตรายกว่าเดิม เพราะช่องโหว่จริงจะถูกมองข้ามไปด้วย
ข้อมูลโค้ดไปไหน
ต้นฉบับยังไม่ลงรายละเอียดว่าโค้ดที่ถูกสแกนจะถูกเก็บหรือนำไปใช้ต่อยังไง ซึ่งเป็นคำถามสำคัญที่สุดสำหรับโปรเจกต์ที่ดูแลโค้ดที่มีผู้ใช้งานเยอะ
ความแม่นของ AI
การสแกนด้วยโมเดลภาษายังเสี่ยงแจ้งเตือนผิดพลาด ถ้าเยอะเกินไปก็จะทำให้คนเลิกสนใจการแจ้งเตือนไปเลย
การพึ่งพาบริษัทเดียว
ถ้าโปรเจกต์โอเพนซอร์สจำนวนมากหันมาพึ่ง OSS Scanner แล้ววันหนึ่ง Anthropic เปลี่ยนนโยบายหรือเก็บเงินขึ้นมา ทางเลือกสำรองจะมีพอไหม
โดยรวมแล้ว OSS Scanner เป็นความเคลื่อนไหวที่น่าสนใจและมีศักยภาพช่วยยกระดับความปลอดภัยของระบบนิเวศโอเพนซอร์สได้จริง แต่ก็อย่าเพิ่งไปเชื่อว่าเป็นของฟรีที่ไร้เงื่อนไข เพราะในโลกของ AI ทุกวันนี้ ข้อมูลคือสินทรัพย์ที่มีค่าที่สุด และโค้ดโอเพนซอร์สก็เป็นข้อมูลก้อนใหญ่ที่ทุกบริษัท AI อยากเข้าถึง
ของฟรีจากบริษัท AI ไม่เคยฟรีจริง — คำถามไม่ใช่ว่าดีหรือไม่ดี แต่อยู่ที่ว่าราคาที่แท้จริงคืออะไร และคุณยอมจ่ายด้วยอะไรต่างหาก
ที่มา: The Verge — อ่านต้นฉบับ
ความคิดเห็น 3
กำลังโหลดความคิดเห็น...