กระแสข่าวเกี่ยวกับช่องโหว่ความปลอดภัยระดับ Zero-day ที่ขับเคลื่อนด้วยเทคโนโลยี AI กำลังทำให้หลายองค์กรเกิดความกังวลว่า การพึ่งพาซอฟต์แวร์โอเพ่นซอร์ส (Open Source) จะกลายเป็นความเสี่ยงที่มากเกินไปหรือไม่ เนื่องจากปัจจุบันโอเพ่นซอร์สได้กลายเป็นรากฐานสำคัญ โดยครองสัดส่วนเฉลี่ยมากกว่า 3 ใน 4 ของคลังซอร์สโค้ด (Codebase) ทั้งหมดที่ใช้ในการพัฒนาระบบไอทีและแอปพลิเคชันภายในองค์กรยุคใหม่ ไม่ว่าจะเป็นระบบปฏิบัติการ Linux, แอปพลิเคชันเซิร์ฟเวอร์, ฐานข้อมูล หรือโครงสร้างเครือข่าย
ทว่าในความเป็นจริง ซอฟต์แวร์โอเพ่นซอร์สยังคงมีความปลอดภัยที่แข็งแกร่งโดยเนื้อแท้และมีโครงสร้างความปลอดภัยฝังตัวอยู่ตั้งแต่ระดับรากฐาน แตกต่างจาก “ซอฟต์แวร์กรรมสิทธิ์” (Proprietary Software) ที่เปรียบเสมือนกล่องดำ ซึ่งควบคุมโดยเวนเดอร์ผู้ขายเพียงรายเดียว เมื่อตรวจพบช่องโหว่ ปัญหาดังกล่าวมักถูกปิดเป็นความลับ ทำให้ความเสี่ยงถูกย้ายไปอยู่ในจุดที่มองไม่เห็นและกลายเป็นสิ่งที่ไม่สามารถคาดเดาได้ เปิดโอกาสให้ภัยคุกคามแพร่กระจายในมุมมืด
สะท้อนให้เห็นว่าข้อได้เปรียบเด่นชัดของโอเพ่นซอร์สคือแนวคิด “เมื่อมีคนช่วยกันตรวจโค้ดมากพอ บั๊กย่อมไม่มีที่ให้ซ่อน” ความโปร่งใสและการระดมสมองจากชุมชนนักพัฒนาทั่วโลกทำให้ทุกคนสามารถค้นหาและรายงานปัญหาได้ ยิ่งในปัจจุบันมีการนำ AI เข้ามาช่วยเพิ่มประสิทธิภาพในการตรวจสอบโค้ด ยิ่งช่วยให้การตรวจพบช่องโหว่ร้ายแรงทำได้รวดเร็วขึ้นภายในเวลาไม่กี่ชั่วโมง แทนที่จะเป็นหลายเดือนเหมือนในอดีต
อย่างไรก็ตาม สถิติตั้งแต่ปี 2016 เป็นต้นมา พบว่าจำนวนช่องโหว่ความปลอดภัยที่ถูกเปิดเผยต่อสาธารณะ (CVEs) พุ่งสูงขึ้นมากกว่า 520% แต่กลับมีช่องโหว่ที่ถูกค้นพบโดย AI ได้รับการแก้ไขหรือทำการแพตช์ (Patch) ไม่ถึง 1% ความท้าทายในปัจจุบันจึงตกไปอยู่ที่ขีดความสามารถของแต่ละองค์กร ว่าจะสามารถนำตัวแก้ไข (Fixes) มาทดสอบและใช้งานได้ทันท่วงทีหรือไม่ เนื่องจากข้อจำกัดเดิมที่แต่ละองค์กรต่างคนต่างตรวจหาช่องโหว่และพัฒนาแพตช์แยกกันในพื้นที่ปิด ส่งผลให้เกิดการทำงานที่ซ้ำซ้อนด้วยต้นทุนที่สูงลิ่ว แต่ระบบนิเวศในภาพรวมยังคงเผชิญความเสี่ยง
เพื่อปิดช่องโหว่และปกป้องซัพพลายเชนของซอฟต์แวร์ 5 ขั้นตอนสำคัญที่องค์กรสามารถลงมือปฏิบัติได้ทันที มีดังนี้
- เลือกใช้แพลตฟอร์มจากเวนเดอร์ที่มีความรับผิดชอบ: ตรวจสอบให้แน่ใจว่าเวนเดอร์ผู้ดูแลระบบเป็นผู้ที่มีส่วนร่วมอย่างจริงจังในโครงการโอเพ่นซอร์สต้นน้ำ มีการนำแพตช์จากเวอร์ชันล่าสุดย้อนไปติดตั้งให้เวอร์ชันเก่า (Security Backports) และแจ้งเตือนช่องโหว่อย่างรับผิดชอบ
- จัดทำรายการส่วนประกอบที่ต้องพึ่งพากันทั้งหมด: ตรวจสอบพอร์ตโฟลิโอของแอปพลิเคชันเพื่อสร้างฐานข้อมูลอ้างอิง (Baseline) ระบุไลบรารีโอเพ่นซอร์ส ส่วนประกอบที่เกี่ยวเนื่อง (Transitive Dependency) และเวอร์ชันที่ถูกล็อกไว้ (Pinned Version) ที่ใช้งานจริง
- วัดรอบระยะเวลาการแพตช์จนถึงการนำไปใช้จริง: ประเมินระยะเวลาที่แพตช์จากต้นทางต้องใช้ในการผ่านระบบสแกนความปลอดภัย การทดสอบ และการอนุมัติภายใน จนถึงการเปิดใช้งานจริงบนระบบ เพื่อตั้งเป้าหมายลดระยะเวลานี้ลง
- ทำไปป์ไลน์การประกอบและติดตั้งซอฟต์แวร์ให้อยู่ในรูปแบบอัตโนมัติ: เตรียมสภาพแวดล้อมสำหรับการ Rebuild แอปพลิเคชันและการ Redeploy แบบอัตโนมัติ เพื่อให้สามารถปรับใช้แพ็คเกจที่ปลอดภัยได้อย่างรวดเร็วในระดับชั่วโมง
- ใช้โซลูชันด้านความปลอดภัยแบบเชิงรุก: เลือกใช้โซลูชันซัพพลายเชนเชิงรุกที่มาพร้อม Zero-CVE Baselines และการปกป้องระบบขณะทำงาน (Runtime Protection) เพื่อเพิ่มความเร็วในการขับเคลื่อนงาน
เพื่อเร่งการเปลี่ยนแปลงนี้ให้เท่าทันภัยคุกคาม ล่าสุด ไอบีเอ็ม (IBM) และ เร้ดแฮท (Red Hat) ได้เปิดตัว Project Lightwell ซึ่งเป็นความร่วมมือร่วมทุนมูลค่า 5 พันล้านเหรียญสหรัฐฯ โดยได้รับการสนับสนุนจากกองกำลังวิศวกรกว่า 20,000 คนทั่วโลก เพื่อสร้างกลไกแก้ไขช่องโหว่ (Remediation Engine) สำหรับยกระดับความปลอดภัยของซัพพลายเชนซอฟต์แวร์ในยุค AI
Project Lightwell จะช่วยขยายวินัยทางวิศวกรรมในการส่งแพตช์ความปลอดภัยจากเวอร์ชันใหม่ล่าสุดย้อนกลับไปแก้ไขให้กับซอฟต์แวร์เวอร์ชันเก่า (Backporting) จากระดับระบบปฏิบัติการขึ้นไปสู่ระดับแอปพลิเคชันเฟรมเวิร์กและกลุ่ม Dependency ที่กว้างขึ้น เริ่มจาก Maven/Java และขยายไปยัง PyPI และ npm โดยการผสานพลังของ AI ในการประมวลผลภัยคุกคามร่วมกับความเชี่ยวชาญของวิศวกรมนุษย์ เพื่อเจาะลึกเข้าไปแก้ไข (Surgical Fixes) บนเวอร์ชันที่มีเสถียรภาพอย่างแม่นยำ ลดความเสี่ยงจากการสุ่มอัปเดตเวอร์ชันใหม่ที่อาจทำให้ระบบเสียหาย
ที่สำคัญ Project Lightwell ดำเนินงานภายใต้หลักการส่งตัวแก้ไขคืนกลับไปยังโครงการโอเพ่นซอร์สต้นทางเสมอ (Upstream-Always Mandate) เพื่อให้ฟิกซ์ดังกล่าวกลายเป็นส่วนหนึ่งของซอร์สโค้ดสาธารณะ (Public Codebase) ไม่เกิดการแยกโค้ดไปทำเองเป็นการภายใน ซึ่งจะช่วยทำลายวงจรภาระด้านต้นทุนและการดูแลระบบในระยะยาวขององค์กร
นอกจากนี้ โปรเจกต์ดังกล่าวยังร่วมมือกับกลุ่มผู้นำด้านการเงินและโครงสร้างพื้นฐานที่สำคัญ เพื่อจัดตั้งศูนย์กลางการแลกเปลี่ยนข้อมูลระดับองค์กรที่ปลอดภัย มอบความสามารถในการแชร์การค้นพบช่องโหว่ใหม่และรับแพตช์ก่อนการเปิดเผยสู่สาธารณะ ทุกแพตช์จะถูกส่งมอบในรูปแบบพร้อมใช้งานบนระบบจริง (Production-Ready) มีการทำ Cryptographic Signature คู่กับ Machine-Readable SBOM และรายงานเตือนภัยด้านความปลอดภัย (Security Advisories) เพื่อตอบโจทย์ด้านการปฏิบัติตามกฎระเบียบ
ความร่วมมือในศูนย์กลางข้อมูลแห่งนี้จึงไม่ใช่เพียงแค่การปกป้องเป็นรายองค์กร แต่เป็นการส่งคืนความก้าวหน้าด้านความปลอดภัยกลับสู่ชุมชนอย่างเป็นระบบ เพื่อช่วยให้เทคโนโลยีโอเพ่นซอร์สซึ่งเป็นรากฐานขององค์กรยุคใหม่มีความปลอดภัยและยั่งยืนสำหรับทุกคน
บทความโดย นายคริส ไรท์, ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยี และรองประธานอาวุโสฝ่ายวิศวกรรมระดับโลก, เร้ดแฮท
–LY คอร์ปอเรชัน กางโรดแมป AX ดัน ‘Agent i’ พลิกโฉมวงการ AI ชูระบบคิดล่วงหน้าก่อนผู้ใช้ค้นหา
