จาก Binance สู่ PHP2Shell: ในยุค AI แนวป้องกันความปลอดภัยทางเว็บต้องถูกกำหนดใหม่

ผู้โจมตีได้เจาะลึกเข้าไปในห่วงโซ่ความเชื่อมั่น Vitalik ของ d/acc ก็พยายามที่จะผลักดันทิศทางการเร่งเทคโนโลยีกลับไปสู่การป้องกัน

เช้าวันที่ 30 ตุลาคม ตลาดคริปโตเกิดเหตุการณ์การขโมยเหรียญครั้งประวัติศาสตร์อีกครั้ง คราวนี้เป็น Binance

จากการสอบสวนเบื้องต้น ผู้โจมตีอาจเข้าถึงบริการบางอย่างได้โดยการแฮกแล็ปท็อปของวิศวกร DevOps (การพัฒนาระบบและการดำเนินงาน) และส่งธุรกรรมการถอนเงินที่ไม่ได้รับอนุญาต Binance ประเมินผลกระทบทั้งหมดของเหตุการณ์นี้สูงถึง 6.3 พันล้านดอลลาร์ และได้ร่วมกันระงับสินทรัพย์ที่เกี่ยวข้องประมาณ 3 พันล้านดอลลาร์

พูดถึงเรื่องนี้ ในปีที่ผ่านมา เหตุการณ์ด้านความปลอดภัยของตลาดแลกเปลี่ยนชั้นนำได้เกิดขึ้นอย่างหนาแน่นจนทำให้รู้สึกหมดหวัง:

เมื่อปีที่แล้ว Bybit ประสบปัญหาการขโมยสินทรัพย์ประมาณ 1.46 พันล้านดอลลาร์ ในเดือนกันยายนปีนี้ Bitget ก็มีสินทรัพย์ประมาณ 387.5 ล้านดอลลาร์ถูกโอนโดยไม่ได้รับอนุญาต และตอนนี้ Binance ก็ถูกดึงเข้าไปในพายุใหม่

หากเราสังเกตเหตุการณ์ด้านความปลอดภัยในช่วงนี้ จะพบแนวโน้มที่ชัดเจน: ผู้โจมตีเริ่มไม่ไปโจมตีการเข้ารหัสและคีย์ส่วนตัวโดยตรง แต่กลับมุ่งเน้นไปที่ทั้งห่วงโซ่ความเชื่อมั่น ------ ตั้งแต่ปลายทางของพนักงาน ผลิตภัณฑ์ด้านความปลอดภัยของบุคคลที่สาม ไปจนถึงซอฟต์แวร์ซัพพลายเชน คอนเทนเนอร์บริการ และกระบวนการอนุมัติการทำธุรกรรม หากมีรอยรั่วในขั้นตอนใดขั้นตอนหนึ่ง แนวป้องกันทั้งหมดอาจล้มเหลว

การพัฒนา AI อย่างรวดเร็ว ยังทำให้ความเสี่ยงนี้ขยายตัวมากขึ้น

เมื่อวันที่ 22 ตุลาคม Vitalik Buterin ผู้ร่วมก่อตั้ง Ethereum ได้เสนอการวินิจฉัยใหม่: ในยุค AI อนาคตของความปลอดภัยทางไซเบอร์อาจเป็นประโยชน์ต่อฝ่ายป้องกัน แต่ช่วงการเปลี่ยนผ่านไปสู่อนาคตนี้จะยากลำบากมาก

หนึ่ง จาก Bybit สู่ PHP2Shell: ผู้โจมตีเจาะลึกเข้าไปในห่วงโซ่ความเชื่อมั่น

ย้อนกลับไปดูเหตุการณ์เหล่านี้

เส้นทางการโจมตีของพวกเขาไม่เหมือนกัน แต่มีจุดร่วมคือ ผู้โจมตีไม่ได้พึ่งพาการแฮกคีย์ส่วนตัวหรือทำลายโปรโตคอลบล็อกเชนพื้นฐาน แต่พวกเขาเพียงแค่พบจุดที่ถูกเชื่อถือในระบบ

• ในเหตุการณ์ Bybit ผู้โจมตีได้แฮกอุปกรณ์ของนักพัฒนาคนหนึ่งใน Safe ผ่านวิธีการทางสังคม และได้รับข้อมูลการเข้าถึงที่เกี่ยวข้อง จากนั้นจึงควบคุมทรัพยากรด้านหน้าในโครงสร้างพื้นฐานของกระเป๋า Safe;
• ในเหตุการณ์ Bitget ผู้โจมตีใช้ช่องโหว่ของผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อเข้าถึงข้อมูลการเข้าถึงระดับสูงภายใน และจากนั้นใช้คำสั่งถอนเงินปลอมเพื่อหลีกเลี่ยงกลไกการควบคุมความเสี่ยงที่มีอยู่;
• ในเหตุการณ์ล่าสุดของ Binance เส้นทางการโจมตีอาจเริ่มจากการแฮกแล็ปท็อปของวิศวกร DevOps;

เหตุการณ์ทั้งสามนี้เกี่ยวข้องกับโครงสร้างพื้นฐานกระเป๋าเงินของบุคคลที่สาม ผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม และสภาพแวดล้อมการพัฒนาภายใน

นี่จึงอธิบายได้ว่าทำไมกระเป๋าเงินเย็นแบบดั้งเดิมและกลไกการลงนามหลายลายเซ็นจึงไม่สามารถแก้ปัญหาทั้งหมดได้ เพราะ สิ่งที่ผู้โจมตีใช้จริงๆ คือจุดเชื่อมั่นที่สามารถส่งผลต่อการดำเนินการทำธุรกรรมสุดท้าย แต่ไม่ได้รับการตรวจสอบอย่างเพียงพอ

และวิกฤตห่วงโซ่ความเชื่อมั่นแบบนี้ไม่ได้มีอยู่เฉพาะในตลาดแลกเปลี่ยนคริปโต

เพียงสัปดาห์ก่อนที่ Binance จะถูกโจมตี ผู้ก่อตั้ง Binance CZ ได้ทวีตเตือนทุกคนว่าควรระมัดระวังในการเข้าถึงเว็บไซต์ใดๆ ในอีกไม่กี่วันข้างหน้า ------ ขณะนั้นช่องโหว่ระดับสูงที่มีความเสี่ยงสูงสองรายการใน PHP2Shell (CVE-2026-109618 และ CVE-2026-109619 คะแนน CVSS v4.0 สูงถึง 9.2) กำลังสร้างความตื่นตระหนกทั่วทั้งเว็บ

ในฐานะที่เป็นภาษาที่ให้บริการโอเพ่นซอร์สประมาณ 70% ของเว็บไซต์ทั่วโลก แพลตฟอร์มหลักเช่น WordPress, Magento, Drupal ต่างสร้างขึ้นบน PHP

และช่องโหว่ที่ซ่อนอยู่มากว่าสิบปีในด้านการจัดการหน่วยความจำและการรีเซ็ตสถานะทั่วโลก อนุญาตให้ผู้โจมตีสามารถดำเนินการรหัสระยะไกล (RCE) ได้โดยไม่ต้องมีการรับรองตัวตน เพียงแค่การร้องขอเว็บเฉพาะครั้งเดียว ก็สามารถเข้าควบคุมเซิร์ฟเวอร์และฝังประตูหลังหรือขโมยข้อมูลประจำตัวของผู้ใช้

ข้อมูลการสแกนจากหน่วยงานความปลอดภัย Palo Alto Networks และ Censys แสดงให้เห็นว่ามีตัวอย่างที่เปิดเผยต่อสาธารณะทั่วโลกมากกว่า 22.6 ล้านถึง 36.7 ล้านตัวอย่างที่อยู่ในระยะเสี่ยง

ที่น่าตกใจยิ่งกว่านั้น ตามข้อมูลจากหน่วยงานความปลอดภัย ช่องโหว่สถานะหน่วยความจำพื้นฐานทั้งสองที่หลับใหลมากว่าสิบปีและยากที่จะตรวจจับโดยผู้ตรวจสอบมนุษย์ กำลังถูกค้นพบด้วยเทคโนโลยี AI กล่าวอีกนัยหนึ่ง AI ได้ลดอุปสรรคในการเปลี่ยนข้อบกพร่องในตรรกะพื้นฐานที่ซ่อนอยู่ให้กลายเป็นอาวุธการโจมตีที่ใช้ได้

ก่อนหน้านี้เราได้พูดคุยกันหลายครั้งเกี่ยวกับการเปลี่ยนแปลงสามประการของวิธีการโจมตีทางไซเบอร์ในยุค AI (อ่านเพิ่มเติมที่ "เมื่อแฮกเกอร์ใช้ AI อย่างมีประสิทธิภาพมากขึ้น การแข่งขันอาวุธระหว่าง 'หอกและโล่' ใน Web3 จะพัฒนาไปอย่างไร?"):

• การขุดช่องโหว่วันศูนย์ (0-day) แบบ 'อุตสาหกรรม': ในอดีต การค้นหาช่องโหว่ในระดับหน่วยความจำลึกใน PHP หรือเฟิร์มแวร์ต้องใช้ผู้เชี่ยวชาญด้านความปลอดภัยชั้นนำใช้เวลาหลายเดือนในการตรวจสอบโค้ดด้วยตนเองและการทดสอบแบบสุ่ม (Fuzzing) แต่ตอนนี้ AI สามารถสแกนคลังโค้ดโอเพ่นซอร์สทั่วโลกได้ตลอด 24 ชั่วโมงในต้นทุนที่ต่ำมาก และเปลี่ยนบั๊กที่ซ่อนอยู่มากว่าสิบปีให้กลายเป็นอาวุธที่ร้ายแรง
• การบีบอัด 'หน้าต่างแพตช์' (N-day) อย่างสุดขีด: เมื่อข้อมูลช่องโหว่รั่วไหลหรือโค้ดแพตช์ถูกส่ง ผู้โจมตีที่มีเจตนาร้ายสามารถใช้ AI ในการย้อนกลับแพตช์ สร้าง Exploit แบบใหม่โดยอัตโนมัติ และทำการสแกนและฉีดอัตโนมัติทั่วทั้งเว็บในไม่กี่นาที ตารางการอัปเกรดที่ทีมปฏิบัติการดั้งเดิมคำนวณเป็นวันหรือสัปดาห์จะไม่มีความหมายเมื่อเผชิญกับสคริปต์การโจมตี AI ที่ตอบสนองในระดับมิลลิวินาที
• ซัพพลายเชนซอฟต์แวร์และ DevOps กลายเป็นจุดเปราะบางอันดับหนึ่ง: ระบบ Web3 และการเงินสมัยใหม่ไม่ได้ถูกสร้างขึ้นในสุญญากาศ ปฏิสัมพันธ์ด้านหน้า คอนเทนเนอร์ด้านหลัง แพ็คเกจการพึ่งพา NPM/PyPI ของบุคคลที่สาม และสภาพแวดล้อมการพัฒนาท้องถิ่นของวิศวกร ล้วนเป็นซัพพลายเชนโอเพ่นซอร์สที่มีขนาดใหญ่และเปราะบางอย่างยิ่ง

เช่นเดียวกับเหตุการณ์ที่ DevOps ของ Binance ถูกเจาะหรือการเปลี่ยนแปลงซัพพลายเชนด้านหน้าของ Bybit เนื่องจากการโจมตีบนบล็อกเชนสามารถแปลงเป็นเงินสดได้ง่ายที่สุด อุตสาหกรรมคริปโตจึงกำลังประสบกับ "คลื่นการโจมตี AI ที่คล้ายกับการแพร่ระบาดทั่วโลก"

แน่นอนว่าไม่ใช่การโจมตีทั้งหมดที่กล่าวถึงข้างต้นจะถูกดำเนินการหรือดำเนินการโดย AI แต่ AI กำลังขยายขีดความสามารถของทั้งผู้โจมตีและฝ่ายป้องกัน ในขณะที่ในระบบวิศวกรรมซอฟต์แวร์ที่มีอยู่ ผลกระทบนี้กลับทำให้ความไม่สมดุลเชิงโครงสร้างระหว่างทั้งสองฝ่ายรุนแรงขึ้น

สอง Vitalik: อนาคตอาจเป็นประโยชน์ต่อฝ่ายป้องกัน แต่ 'ช่วงการเปลี่ยนผ่าน' จะยากลำบากอย่างยิ่ง

เมื่อเผชิญกับการอภิปรายในอุตสาหกรรมที่เกิดจากการค้นพบช่องโหว่พื้นฐานเช่น PHP2Shell โดย AI Vitalik Buterin ในวันที่ 22 ตุลาคม ได้ให้การวินิจฉัยที่เยือกเย็นมาก: อนาคตระยะยาวของความปลอดภัยทางไซเบอร์อาจสร้างรูปแบบที่เป็นประโยชน์ต่อฝ่ายป้องกัน แต่ช่วงการเปลี่ยนผ่านจะยากลำบากมาก

ทำไม?

เพราะในระบบวิศวกรรมซอฟต์แวร์ในปัจจุบัน ทั้งสองฝ่ายมีความไม่สมดุลตามธรรมชาติ ระบบซอฟต์แวร์ขนาดใหญ่หนึ่งระบบอาจมีโค้ดประวัติศาสตร์หลายล้านบรรทัด การพึ่งพาภายนอกหลายร้อยรายการ และเส้นทางการอนุญาตและการดำเนินการที่ซับซ้อนมากมาย

ฝ่ายป้องกันต้องมั่นใจว่าทุกจุดสำคัญมีความปลอดภัยเพียงพอ ในขณะที่ผู้โจมตีเพียงแค่ต้องหาจุดที่ยังไม่ถูกค้นพบหนึ่งจุด

Vitalik เน้นย้ำว่า การพึ่งพานักวิจัยด้านความปลอดภัยในการค้นพบช่องโหว่ในซอฟต์แวร์ที่เผยแพร่ก่อนที่แฮกเกอร์จะทำไม่ได้สร้างความได้เปรียบในการป้องกันจริงๆ เพราะหากทั้งสองฝ่ายใช้ AI ที่มีความสามารถสูงขึ้นเรื่อยๆ ในทางปฏิบัติแล้วมันก็ยังเป็นการแข่งกันว่าใครจะหาช่องโหว่ได้เร็วกว่า

สิ่งที่ต้องเปลี่ยนแปลงจริงๆ คือวิธีการสร้างซอฟต์แวร์ เช่นเดียวกับสองทิศทางหลักที่เขาเสนอ การตรวจสอบอย่างเป็นทางการ (Formal Verification) และการลดขนาดฐานการคอมพิวเตอร์ที่เชื่อถือได้ (Trusted Computing Base, TCB)

ประการแรกคือการตรวจสอบอย่างเป็นทางการ ซึ่งมีเป้าหมายเพื่อใช้การพิสูจน์ทางคณิตศาสตร์แทน 'การแก้ไขปัญหาด้วยประสบการณ์'

การทดสอบซอฟต์แวร์แบบดั้งเดิมสามารถพิสูจน์ได้เพียงว่า 'ไม่มีบั๊กในสถานการณ์ที่ทดสอบ' แต่ไม่สามารถพิสูจน์ได้ว่า 'โค้ดไม่มีบั๊กอย่างแน่นอน' ในขณะที่การตรวจสอบอย่างเป็นทางการใช้ตรรกะทางคณิตศาสตร์ที่เข้มงวดเพื่อพิสูจน์ว่าโค้ดโปรแกรมในทุกการป้อนข้อมูลและการเปลี่ยนแปลงสถานะเป็นไปตามมาตรฐานความปลอดภัยที่คาดหวังอย่างเคร่งครัด ไม่มีข้อบกพร่องเช่นการล้นหน่วยความจำ สถานะไม่ได้ถูกรีเซ็ต (เช่น PHP2Shell) หรือการเข้าซ้ำทางตรรกะ

ในอดีต การตรวจสอบอย่างเป็นทางการมีค่าใช้จ่ายสูงมาก ปริมาณโค้ดที่ใช้ในการเขียนการพิสูจน์ทางคณิตศาสตร์มักจะมากกว่าหลายเท่าของโค้ดธุรกิจ จึงมีเพียงอุตสาหกรรมการบินและอวกาศหรือโปรโตคอลการเข้ารหัสหลักเท่านั้นที่สามารถใช้ได้

แต่ในยุค AI AI ไม่เพียงแต่สามารถค้นหาช่องโหว่ แต่ยังสามารถเป็นผู้ช่วยที่ยอดเยี่ยมในการเขียนการพิสูจน์การตรวจสอบอย่างเป็นทางการ ดังนั้น Vitalik จึงคาดการณ์ว่าในอนาคต 'การตรวจสอบอย่างเป็นทางการที่ช่วยโดย AI' จะกลายเป็นรูปแบบสุดท้ายของการพัฒนาซอฟต์แวร์ ------ ไม่ว่าจะเป็นโปรโตคอลการสื่อสารเข้ารหัสเช่น Signal, TLS, ZK-EVM หรือสมาร์ทคอนแทรกต์ในระดับแอปพลิเคชัน ก็สามารถสร้างการพิสูจน์ความปลอดภัยทางคณิตศาสตร์แบบ end-to-end โดยอัตโนมัติผ่าน AI ก่อนที่จะปล่อยโค้ด

เมื่อโค้ดได้รับการพิสูจน์ทางคณิตศาสตร์ว่า 'ไม่มีที่ติ' ผู้โจมตีที่มีพลังการคำนวณ AI ที่แข็งแกร่งเพียงใดก็ไม่สามารถค้นหาช่องโหวตที่ไม่มีอยู่ได้

ประการที่สองคือการลดขนาดฐานการคอมพิวเตอร์ที่เชื่อถือได้ (TCB) ซึ่งมีเป้าหมายเพื่อลดพื้นที่ที่ถูกโจมตีให้เหลือน้อยที่สุด

TCB คืออะไร? กล่าวง่ายๆ คือระบบที่ต้องการความปลอดภัย 'ต้องเชื่อมั่นว่าไม่เกิดข้อผิดพลาด' ของซอฟต์แวร์และฮาร์ดแวร์ทั้งหมดที่เกี่ยวข้อง

ย้อนกลับไปดูเหตุการณ์ความปลอดภัย 6.3 พันล้านดอลลาร์ของ Binance และเหตุการณ์การโจรกรรมลายเซ็นของ Bybit: ทำไมอัลกอริธึมคีย์ส่วนตัวพื้นฐานไม่ถูกทำลาย แต่สินทรัพย์กลับสูญหาย? เพราะ TCB ของพวกเขามีขนาดใหญ่เกินไป ------ กลุ่มคอนเทนเนอร์ขนาดใหญ่ ท่อสิทธิ์การดำเนินงานที่ซับซ้อน ระบบปฏิบัติการแล็ปท็อปของนักพัฒนา และไลบรารี JavaScript ที่เรนเดอร์ด้านหน้า ทั้งหมดนี้ถูกนำมารวมกันในห่วงโซ่ความเชื่อมั่นที่ 'หากถูกโจมตีจะทำให้สูญเสียเงินทุน'

แนวคิดหลักของการลดขนาด TCB คือการทำการลบและแยกส่วน: ฟังก์ชันที่เกี่ยวข้องกับการปกป้องคีย์ส่วนตัว การตรวจสอบลายเซ็น และการอนุญาตหลัก จะถูกจำกัดให้อยู่ในสภาพแวดล้อมที่มีขนาดเล็กกว่า ขอบเขตที่ชัดเจนกว่า และสามารถรับการตรวจสอบอย่างเข้มงวดได้ ฟังก์ชันที่ซับซ้อนอื่นๆ จะถูกดำเนินการในสภาพแวดล้อมที่มีสิทธิ์จำกัดให้มากที่สุด

แม้ว่าเบราว์เซอร์ ปลั๊กอิน บริการด้านหน้า หรือ AI Agent จะถูกโจมตี ก็ไม่ควรมีความสามารถในการเข้าถึงทรัพย์สินของผู้ใช้โดยไม่มีข้อจำกัด

จากมุมมองนี้ นี่คือคุณค่าของกระเป๋าเงินที่ไม่ต้องดูแลอย่าง imToken การใช้การแลกเปลี่ยนแบบรวมศูนย์ ผู้ใช้ต้องผ่านบัญชีแพลตฟอร์ม กระเป๋าเงินที่ดูแล และระบบการถอนภายใน; แต่ การใช้ imToken ผู้ใช้สามารถเก็บกุญแจส่วนตัวได้ด้วยตนเอง จัดการสินทรัพย์บนบล็อกเชนและเริ่มทำธุรกรรมโดยตรง ลดขั้นตอนการดูแลแบบรวมศูนย์

ดังนั้น โซ่ความไว้วางใจที่สั้นลงหมายถึงความเสี่ยงระดับแพลตฟอร์มที่น้อยลง และไม่ต้องกังวลเกี่ยวกับการระงับการถอนหรือการแช่แข็งยอดคงเหลือในบัญชีแพลตฟอร์ม แน่นอนว่าผู้ใช้ต้องรับผิดชอบในการเก็บรักษากุญแจส่วนตัวและความปลอดภัยของอุปกรณ์ด้วย

สาม: จากการเร่งความเร็วทางเทคนิคสู่การเร่งความเร็วเชิงป้องกัน: ทำไมเราจึงต้องการ d/acc?

หากการตรวจสอบรูปแบบและการลด TCB ตอบคำถามว่า "เทคโนโลยีจะปลอดภัยขึ้นได้อย่างไร" d/acc ที่ Vitalik ส่งเสริมมายาวนานพยายามตอบคำถามที่กว้างขึ้น:

เมื่อ AI และเทคโนโลยีล้ำสมัยอื่น ๆ กำลังเปลี่ยนแปลงโลกอย่างรวดเร็ว เราควรจัดลำดับความสำคัญในการพัฒนาเทคโนโลยีอย่างไร?

d/acc ย่อมาจาก Defensive Accelerationism ซึ่งมักเรียกว่า "การเร่งความเร็วเชิงป้องกัน" Vitalik ได้นำเสนอแนวคิดนี้อย่างเป็นระบบในปี 2023 และได้อธิบายเพิ่มเติมใน "d/acc: one year later" ในปี 2025

มันไม่ได้ต่อต้านความก้าวหน้าทางเทคโนโลยี แต่เน้นการเร่งความเร็วที่เลือกสรร: พัฒนาเทคโนโลยีที่สามารถเสริมสร้างความสามารถในการป้องกันของสังคม กระจายอำนาจ และลดความเสี่ยงเชิงระบบ

เมื่อเปรียบเทียบกับ e/acc ที่เน้นการเร่งความเร็วอย่างเต็มที่ d/acc จะมุ่งเน้นไปที่ว่าเทคโนโลยีกำลังเสริมสร้างความสามารถในการโจมตีหรือเพิ่มความสามารถในการป้องกัน (อ่านเพิ่มเติม "เมื่อ Web3 ปะทะ d/acc: ในยุคการเร่งความเร็วทางเทคโนโลยี Crypto สามารถทำอะไรได้บ้าง?")

ในมุมมองของ d/acc ระบบการป้องกันนี้ครอบคลุมการสร้างความลึกในสี่มิติ:

• การป้องกันทางเครือข่าย: ลดอัตราความสำเร็จของการโจมตีทางเครือข่ายโดยใช้การเข้ารหัส การตรวจสอบรูปแบบ การแยกซอฟต์แวร์ และการตรวจจับช่องโหว่ เพื่อปกป้องสินทรัพย์ดิจิทัลและข้อมูล;
• การป้องกันทางชีวภาพ: เพิ่มความสามารถในการตอบสนองต่อความเสี่ยงด้านความปลอดภัยทางชีวภาพของสังคมโดยการตรวจสอบเชื้อโรค การตรวจสอบอากาศ การพัฒนาวัคซีน และเทคโนโลยีสาธารณสุข;
• การป้องกันทางกายภาพ: ลดความเปราะบางของสิ่งอำนวยความสะดวกที่สำคัญในโลกแห่งความเป็นจริงเมื่อถูกโจมตี โดยใช้พลังงานแบบกระจาย เครือข่ายการสื่อสารที่ทนทาน และการสร้างความยืดหยุ่นของโครงสร้างพื้นฐาน;
• การป้องกันข้อมูล: ต่อต้านข้อมูลเท็จ การปลอมแปลงลึก และการจัดการข้อมูลในระดับใหญ่ โดยใช้การปกป้องความเป็นส่วนตัว การตรวจสอบแหล่งข้อมูล และกลไกการทำงานร่วมกันแบบกระจาย;

พื้นที่เหล่านี้ดูเหมือนจะมีความแตกต่างกันมาก แต่ทั้งหมดมีเป้าหมายเดียวกันคือ ในขณะที่เทคโนโลยีเสริมสร้างความสามารถของบุคคลและองค์กร ก็ทำให้พวกเขามีความสามารถในการป้องกันตนเองที่ตรงกัน เพื่อไม่ให้เทคโนโลยีที่ทรงพลังมากขึ้นถูกควบคุมโดยกลุ่มที่มีทรัพยากรและอำนาจเพียงไม่กี่กลุ่ม

ในระหว่างการอภิปรายเกี่ยวกับช่องโหว่ PHP นี้ Vitalik ได้ย้ำถึงข้อเสนอที่เข้มงวดของเขาภายใต้กรอบ d/acc ------ ในการเผชิญกับการโจมตีที่ไม่สมดุลจาก AI ล้ำสมัย ควรระมัดระวังในการผลักดัน AI ที่มีความเสี่ยงสูงในช่วงที่จำเป็น; ในขณะเดียวกัน สังคมควรลงทุนทรัพยากรเกินกว่า 1% ของ GDP อย่างเป็นระบบในด้านความปลอดภัยทางไซเบอร์ ความปลอดภัยทางชีวภาพ และการเสริมความปลอดภัยในโลกทางกายภาพ

ทำไมจึงต้องการการลงทุนระบบขนาดใหญ่เช่นนี้?

เพราะผลประโยชน์จากความก้าวหน้าทางเทคโนโลยีมักจะถูกตลาดกำหนดราคาและทำการค้าอย่างรวดเร็ว แต่คุณค่าของโครงสร้างพื้นฐานด้านความปลอดภัยมักถูกประเมินต่ำ

บริษัทต่าง ๆ ยินดีที่จะลงทุนเงินจำนวนมากในโมเดล AI ที่ทรงพลังขึ้น ความเร็วในการคำนวณที่เร็วขึ้น และเครื่องมือพัฒนาซอฟต์แวร์ที่มีประสิทธิภาพมากขึ้น แต่ไม่จำเป็นต้องยินดีที่จะสนับสนุนการบำรุงรักษาซอฟต์แวร์โอเพนซอร์สในระยะยาว การตรวจสอบรูปแบบ และการตรวจสอบความปลอดภัยในระดับเดียวกัน หากไม่แก้ไขการจัดสรรทรัพยากรนี้อย่างกระตือรือร้น อาคารดิจิทัลที่สร้างขึ้นบนพื้นฐานโอเพนซอร์สที่เปราะบางจะมีความเสี่ยงมากขึ้นเรื่อย ๆ

เขียนในตอนท้าย

จากความเสี่ยงของโครงสร้างพื้นฐานอินเทอร์เน็ตทั่วโลกที่เปิดเผยโดย PHP2Shell ไปจนถึงเหตุการณ์ด้านความปลอดภัยที่สำคัญที่เกิดขึ้นกับ Bybit, Bitget และ Binance สถานการณ์ความปลอดภัยทางไซเบอร์ในปี 2026 กำลังเตือนทุกคนด้วยค่าใช้จ่ายที่แท้จริง:

การแข่งขันระหว่างการโจมตีและการป้องกันในยุค AI ไม่ได้เป็นเพียงการเปรียบเทียบว่าใครสามารถค้นพบช่องโหว่ได้เร็วกว่า แต่ยังขึ้นอยู่กับว่า ระบบซอฟต์แวร์ทั้งหมดสามารถสร้างระบบการป้องกันที่เชื่อถือได้เพียงพอได้หรือไม่

ความปลอดภัยไม่สามารถเป็นสิ่งที่ทำได้เพียงครั้งเดียว แต่ก็ไม่ได้หมายความว่ามันเป็นสงครามที่ไม่สามารถชนะได้

ในช่วงหลายทศวรรษที่ผ่านมา การเข้ารหัสได้พิสูจน์แล้วว่าความสามารถในการป้องกันบางอย่างสามารถสร้างการรับประกันความปลอดภัยที่แข็งแกร่งมากผ่านหลักการทางคณิตศาสตร์ แทนที่จะพึ่งพาการลงทุนของผู้ป้องกันมากขึ้น

การรวมกันของ AI กับการตรวจสอบรูปแบบ การคำนวณที่เชื่อถือได้ขั้นต่ำ และเทคโนโลยีอื่น ๆ มีโอกาสที่จะขยายแนวคิดนี้ไปยังระบบซอฟต์แวร์ทั้งหมด

สำหรับผู้ใช้ทั่วไป แนวคิดด้านความปลอดภัยนี้สามารถนำไปใช้ในการเลือกวิธีการจัดการสินทรัพย์ได้เช่นกัน

การเลือกกระเป๋าเงินที่ไม่ต้องดูแลเช่น imToken แท้จริงแล้วคือการเก็บรักษาสิทธิ์ในการควบคุมสินทรัพย์ไว้ในมือของตนเอง ลดการพึ่งพาแพลตฟอร์มรวมศูนย์และระบบการดำเนินงานภายใน แน่นอนว่านี่หมายความว่าผู้ใช้ต้องให้ความสำคัญกับการเก็บรักษาคำพูดผ่านการช่วยจำ ความปลอดภัยของอุปกรณ์ และการอนุญาตธุรกรรมในแต่ละครั้งมากขึ้น แต่ในที่สุดแล้ว ว่าสินทรัพย์จะสามารถควบคุมได้หรือไม่นั้น ไม่ขึ้นอยู่กับว่าแพลตฟอร์มรวมศูนย์ใดทำงานได้ตามปกติหรือไม่

อาจเป็นไปได้ว่านี่คือความหมายที่ Vitalik กล่าวถึงว่า จุดจบของความปลอดภัยทางไซเบอร์อาจเป็นประโยชน์ต่อฝ่ายป้องกัน: ไม่ใช่การรอคอยวันหนึ่งที่ AI จะไม่สามารถค้นพบช่องโหว่ได้อีก แต่คือการทำให้ระบบที่เราพึ่งพาในการดำเนินงานสามารถทำงานได้อย่างเชื่อถือได้ แม้จะเผชิญกับผู้โจมตีที่ฉลาดขึ้นเรื่อย ๆ โดยอาศัยแกนที่เชื่อถือได้ที่เล็กลง ขอบเขตสิทธิ์ที่เข้มงวดขึ้น และกลไกความปลอดภัยที่สามารถตรวจสอบได้

ความก้าวหน้าทางเทคโนโลยีควรได้รับการเร่ง แต่ความสามารถในการปกป้องผลลัพธ์ทางเทคโนโลยีและสินทรัพย์ของบุคคลก็ต้องได้รับการเร่งเช่นกัน.