แอนโทรปิก (Anthropic) เสนอรัฐบาลออกกฎกำกับเอไอที่มีผลบังคับใช้จริง พร้อมเร่งความร่วมมือกับภาคการเงินในช่วง 12 เดือนข้างหน้า หลังเทคโนโลยีเพิ่มความเสี่ยงให้ระบบธนาคาร ทั้งจากความเร็วในการโจมตี การใช้ผู้ให้บริการร่วมกัน และความเหลื่อมล้ำในการเข้าถึงเครื่องมือป้องกันภัยไซเบอร์
KEY POINTS
- Anthropic เรียกร้องให้รัฐบาลออกกฎหมายควบคุมเอไอที่มีผลบังคับใช้จริง เนื่องจากมาตรการโดยสมัครใจของเอกชนอาจไม่เพียงพอต่อการรับมือภัยคุกคามทางไซเบอร์
- มีความกังวลว่า เอไออาจถูกใช้เป็นเครื่องมือโจมตีระบบการเงิน ซึ่งจะสร้างความเสียหายรุนแรงต่อสถาบันการเงินได้
- เสนอให้รัฐบาล บริษัทเทคโนโลยี สถาบันการเงิน ร่วมมือกันป้องกันภัยไซเบอร์ภายใน 12 เดือนข้างหน้า ก่อนเอไอจะมีความสามารถสูงขึ้น
ไมเคิล เซลลิตโต (Michael Sellitto) หัวหน้าฝ่ายกิจการระดับโลกของแอนโทรปิก (Anthropic) บริษัทผู้พัฒนาปัญญาประดิษฐ์ เรียกร้องให้รัฐบาลออกกฎระเบียบที่สามารถบังคับใช้ได้จริง เพื่อรับมือความเสี่ยงจากเอไอที่มีความสามารถสูง โดยเฉพาะภัยคุกคามทางไซเบอร์ที่อาจสร้างความเสียหายรุนแรงต่อระบบการเงิน ชีวิตของประชาชน และสังคม
เซลลิตโต กล่าวระหว่างการเสวนาในการประชุมประจำปีของกองทุนการเงินระหว่างประเทศ (IMF) และธนาคารโลก (World Bank) ว่า แม้บริษัทผู้พัฒนาเอไอจะดำเนินมาตรการด้านความปลอดภัย ทั้งการทดสอบโมเดล เปิดให้ผู้เชี่ยวชาญภายนอกเข้าประเมิน และร่วมมือกับหน่วยงานภาครัฐแล้วก็ตาม แต่การกำกับดูแลที่อาศัยความสมัครใจของบริษัทเอกชนเพียงอย่างเดียวอาจไม่เพียงพอสำหรับจัดการความเสี่ยงที่มีผลกระทบร้ายแรง
“การสร้างแรงจูงใจให้บริษัทดำเนินการอย่างรับผิดชอบเป็นเรื่องที่ดี การส่งเสริมความโปร่งใสก็เป็นเรื่องที่ดี แต่ท้ายที่สุด หากเรากำลังพูดถึงความเสี่ยงระดับหายนะ ไม่ว่าจะเป็นความเสี่ยงต่อระบบการเงิน ชีวิตของผู้คน หรือสังคม เราจำเป็นต้องมีกฎระเบียบที่มีอำนาจบังคับใช้จริง” เซลลิตโต กล่าว
เขายังเสนอให้หน่วยงานรัฐ บริษัทเทคโนโลยี และสถาบันการเงินเร่งดำเนินมาตรการป้องกันภัยไซเบอร์ร่วมกันในช่วง 12 เดือนข้างหน้า เนื่องจากขณะนี้ยังเป็นช่วงที่ฝ่ายป้องกันมีโอกาสเตรียมความพร้อม ก่อนที่ความสามารถของเครื่องมือเอไอขั้นสูงจะเพิ่มความเสี่ยงในการโจมตีระบบต่างๆ มากขึ้น
คำกล่าวดังกล่าวเกิดขึ้นระหว่างการเสวนาหัวข้อ Artificial Intelligence and Escalating Cyber Risks: Implications for Macroeconomic and Financial Stability ซึ่งหารือเกี่ยวกับผลกระทบของเอไอและภัยคุกคามทางไซเบอร์ที่เพิ่มขึ้นต่อเสถียรภาพเศรษฐกิจมหภาคและระบบการเงิน โดยมี โบ หลี่ (Bo Li) รองกรรมการผู้จัดการ IMF เป็นผู้ดำเนินรายการ
ผู้ร่วมเสวนาประกอบด้วย มาร์ลีน อัมสตัด (Marlene Amstad) ประธานหน่วยงานกำกับดูแลตลาดการเงินสวิตเซอร์แลนด์ (FINMA), อันเดรีย เมคเลอร์ (Andrea Maechler) รองผู้จัดการทั่วไปธนาคารเพื่อการชำระหนี้ระหว่างประเทศ (BIS), เปาโล ปิกเคตตี (Paulo Picchetti) รองผู้ว่าการธนาคารกลางบราซิล และไมเคิล เซลลิตโต จากแอนโทรปิก
การหารือมุ่งพิจารณาว่า ความสามารถของเอไอที่พัฒนาอย่างรวดเร็วกำลังเปลี่ยนรูปแบบภัยคุกคามทางไซเบอร์อย่างไร และผู้กำหนดนโยบายควรเตรียมรับมืออย่างไร ทั้งในประเทศเศรษฐกิจพัฒนาแล้วและประเทศตลาดเกิดใหม่ ซึ่งมีข้อจำกัดด้านเทคโนโลยีและทรัพยากรแตกต่างกัน
Anthropic บอกว่า 12 เดือนข้างหน้า คือช่วงที่ต้องเร่งรับมือ
เซลลิตโต มองว่าช่วง 12 เดือนข้างหน้าเป็นเวลาสำคัญที่บริษัทเทคโนโลยี รัฐบาล และสถาบันการเงินควรเร่งทำงานร่วมกันเพื่อค้นหาและแก้ไขช่องโหว่ เพราะขณะนี้ฝ่ายป้องกันยังมีข้อได้เปรียบอยู่บางส่วน
เหตุผลคือ เอไอที่มีความสามารถสูงบางประเภทยังไม่ได้เปิดให้ทุกคนเข้าถึงได้อย่างอิสระ ผู้ใช้ต้องผ่านกระบวนการตรวจสอบหรือยืนยันตัวตนที่เรียกว่า Know Your Customer (KYC) ก่อน จึงจะสามารถเข้าถึงความสามารถบางอย่างของเทคโนโลยีได้ การมีเงื่อนไขเหล่านี้ช่วยให้บริษัทผู้พัฒนาเอไอยังสามารถควบคุมการเข้าถึงเครื่องมือบางประเภท ขณะเดียวกันก็เปิดโอกาสให้หน่วยงานที่มีหน้าที่ป้องกันภัยไซเบอร์เตรียมรับมือได้ ก่อนที่เทคโนโลยีจะมีความสามารถสูงขึ้นและอาจถูกนำไปใช้โจมตีได้ง่ายกว่าเดิม
“ผมคิดว่าเราจำเป็นต้องเร่งดำเนินการอย่างจริงจังในช่วง 12 เดือนข้างหน้า โดยทำงานร่วมกันระหว่างภาคส่วนต่างๆ เพื่อรับมือปัญหาเหล่านี้ล่วงหน้า ขณะที่เรายังมีข้อได้เปรียบในฐานะฝ่ายป้องกัน และยังมีช่วงเวลาสำหรับเตรียมความพร้อมได้” เซลลิตโต กล่าว
อย่างไรก็ตาม ระยะเวลา 12 เดือนที่เซลลิตโตพูดถึงไม่ได้หมายความว่าจะเกิดการโจมตีครั้งใหญ่หลังจากนั้น แต่เป็นกรอบเวลาที่เขาเสนอให้ทุกฝ่ายเร่งเตรียมความพร้อม ขณะที่เครื่องมือเอไอขั้นสูงบางประเภทยังมีข้อจำกัดในการเข้าถึง
เซลลิตโต อธิบายด้วยว่า บริษัทผู้พัฒนาเอไอไม่ได้รู้ทุกอย่างเกี่ยวกับระบบที่เทคโนโลยีของตนอาจส่งผลกระทบ ตัวอย่างเช่น Anthropic อาจรู้ว่าโมเดลเอไอสามารถทำอะไรได้บ้าง และมีแนวโน้มจะเก่งขึ้นอย่างไร แต่ไม่ได้มีความเชี่ยวชาญเท่าธนาคารกลางในการระบุว่าระบบชำระเงินส่วนใดสำคัญที่สุด หรือหากระบบใดหยุดทำงานแล้วจะกระทบสถาบันการเงินอื่นตามไปด้วย
เขาจึงต้องการให้บริษัทพัฒนาเอไอทำงานร่วมกับหน่วยงานกำกับดูแลและผู้เชี่ยวชาญเฉพาะด้าน เพื่อระบุว่าควรป้องกันระบบใดก่อน รวมถึงร่วมกันวางแผนและฝึกซ้อมรับมือหากเกิดการโจมตีขึ้นจริง
ในส่วนของ Anthropic เซลลิตโตเปิดเผยว่า บริษัททำงานร่วมกับสถาบันด้านความปลอดภัยเอไอในสหรัฐ สหราชอาณาจักร และประเทศอื่นๆ เพื่อทดสอบโมเดลระหว่างการพัฒนา พร้อมเปิดให้ผู้ประเมินอิสระเข้ามาทดสอบและให้ข้อสรุปของตนเองเกี่ยวกับความสามารถและความปลอดภัยของเทคโนโลยี
บริษัทยังประกาศเปิดให้ผู้ตรวจสอบจาก Accenture และองค์กรภายนอกอีกแห่งในพื้นที่อ่าวซานฟรานซิสโกเข้ามาตรวจสอบการทำงานภายในบริษัท โดยสามารถเข้าถึงข้อมูลในลักษณะใกล้เคียงกับพนักงาน เพื่อตรวจสอบว่า Anthropic ปฏิบัติตามข้อผูกพันด้านความปลอดภัยและกฎระเบียบที่เกี่ยวข้องจริงหรือไม่
เซลลิตโต ระบุว่า ผู้บริหารของบริษัทพัฒนาเอไอระดับแนวหน้ารายอื่นบางแห่งก็แสดงความสนใจจะใช้แนวทางคล้ายกัน
นอกจากนี้ Anthropic ยังเปิดโครงการใหม่ให้หน่วยงานจากภาคส่วนต่างๆ ยื่นขอเข้าถึงเครื่องมือเอไอสำหรับป้องกันภัยไซเบอร์ โดยแบ่งระดับการตรวจสอบตัวตนตามความสามารถของเครื่องมือที่ต้องการใช้ และกำลังพิจารณาคำขอเพื่อขยายการเข้าถึงเครื่องมือเหล่านี้
จากหลายวันเหลือไม่กี่วินาที ธนาคารอาจไม่มีเวลาตั้งตัว
มาร์ลีน อัมสตัด อธิบายว่า เอไอกำลังเปลี่ยนวิธีการโจมตีทางไซเบอร์อย่างมาก เพราะช่วยให้ผู้โจมตีทำงานได้เร็วขึ้น ถูกลง และขยายการโจมตีไปยังเป้าหมายจำนวนมากได้ง่ายกว่าเดิม
ตัวอย่างที่เห็นภาพคือ การหลอกลวงทางออนไลน์ เดิมผู้โจมตีอาจต้องเสียเวลาเขียนข้อความหลอกลวงหรือเตรียมข้อมูลของเหยื่อแต่ละคน แต่เอไอสามารถช่วยสร้างข้อความที่เจาะจงถึงบุคคลได้ง่ายขึ้น รวมถึงทำให้การใช้เสียงและวิดีโอปลอมเพื่อหลอกเอาเงินสะดวกกว่าเดิม
ปัญหาอีกอย่างคือ ความเร็วในการใช้ช่องโหว่ของระบบคอมพิวเตอร์ อัมสตัดระบุว่า ระยะเวลาตั้งแต่มีการค้นพบช่องโหว่จนถึงเวลาที่ผู้โจมตีนำช่องโหว่นั้นไปใช้ อาจลดลงจากเดิมที่กินเวลาหลายวัน เหลือเพียงไม่กี่นาทีหรือไม่กี่วินาที
ความเร็วระดับนี้สร้างความท้าทายให้หน่วยงานกำกับดูแล เพราะในอดีต หากธนาคารมีปัญหารุนแรงจนต้องเข้าสู่กระบวนการแก้ไขวิกฤต อาจมีเวลาช่วงสุดสัปดาห์ให้จัดการก่อนธนาคารเปิดทำการอีกครั้ง แต่ภัยไซเบอร์ไม่ได้เปิดโอกาสให้รอได้นานขนาดนั้น
“ในภาคธนาคาร เรามักพูดถึงการใช้เวลาช่วงสุดสัปดาห์เพื่อแก้ไขวิกฤติ แต่เมื่อเป็นความเสี่ยงจากเอไอหรือความปลอดภัยทางไซเบอร์ เราอาจไม่มีเวลาช่วงสุดสัปดาห์ให้ใช้แก้ปัญหาอีกต่อไป” อัมสตัด กล่าว เธอยังเตือนว่า ปัญหาที่น่ากังวลไม่แพ้การถูกโจมตีจริง คือความเชื่อมั่นของประชาชนที่อาจหายไปเพียงเพราะมีข่าวลือว่าธนาคารถูกแฮก
ลองพิจารณาความแตกต่างระหว่างความเสี่ยงสองประเภท หากประชาชนกังวลว่าธนาคารมีเงินไม่ เพียงพอ ธนาคารยังสามารถแสดงข้อมูลเงินกองทุนหรือสภาพคล่องเพื่อยืนยันฐานะทางการเงินได้ แต่หากมีข่าวลือว่าระบบถูกเจาะ การพิสูจน์ว่าไม่มีใครแอบเข้ามาในระบบหรือไม่มีข้อมูลใดถูกเข้าถึงโดยไม่ได้รับอนุญาต กลับทำได้ยากกว่ามาก
“เรามีวิธีให้ธนาคารและบริษัทประกันภัยพิสูจน์ได้ว่ามีสภาพคล่องเพียงพอ มีเงินกองทุนเพียงพอ แต่การพิสูจน์ว่าคุณไม่ได้รับผลกระทบจากการโจมตีทางไซเบอร์อาจเป็นเรื่องที่ท้าทายอย่างมาก” อัมสตัด กล่าว สำหรับเธอ ความเสี่ยงจากการสูญเสียความเชื่อมั่น แม้ยังไม่มีเหตุการณ์โจมตีที่ได้รับการยืนยัน อาจเป็นปัญหาที่จัดการได้ยากที่สุด
ธนาคารอาจมีระบบดี แต่พลาดเพราะบริษัทที่จ้างมา
อีกประเด็นที่อัมสตัดกังวลคือ ความปลอดภัยของบริษัทเทคโนโลยีภายนอกที่ธนาคารใช้บริการ
ธนาคารหนึ่งแห่งไม่ได้พัฒนาทุกระบบขึ้นมาเองทั้งหมด บางส่วนอาจใช้ซอฟต์แวร์สำเร็จรูป บางส่วนจ้างบริษัทภายนอกดูแล และบริษัทเหล่านั้นอาจใช้บริการจากบริษัทอื่นต่ออีกทอดหนึ่ง ปัญหาคือ จุดอ่อนที่ผู้โจมตีใช้เข้าสู่ระบบอาจไม่ได้อยู่ในธนาคาร แต่อยู่ในระบบของบริษัทที่ธนาคารจ้างมา หรือแม้แต่บริษัทที่ผู้รับจ้างรายนั้นไปใช้บริการต่ออีกที
อัมสตัด อธิบายว่า หน่วยงานกำกับดูแลมักมีข้อมูลเกี่ยวกับความปลอดภัยของสถาบันการเงินโดยตรงค่อนข้างมาก แต่กลับมองเห็นความเสี่ยงของเครือข่ายผู้ให้บริการภายนอกได้น้อยกว่า โดยเฉพาะเมื่อผู้ให้บริการเกี่ยวข้องกันผ่านสัญญาหลายชั้น
นอกจากนี้ ซอฟต์แวร์หรือระบบที่ดูเหมือนไม่สำคัญต่อธุรกิจหลัก อาจถูกใช้อยู่ในหลายองค์กรพร้อมกัน เมื่อเกิดช่องโหว่ขึ้นจึงอาจส่งผลกระทบเป็นวงกว้างอย่างที่ไม่คาดคิด
ที่ผ่านมา หน่วยงานกำกับดูแลมักกำหนดมาตรการเข้มงวดเป็นพิเศษกับธนาคารขนาดใหญ่ที่มีความสำคัญต่อระบบการเงิน แต่เมื่อเป็นเรื่องภัยไซเบอร์ การแบ่งว่าธนาคารหรือระบบใดสำคัญมากน้อยเพียงใดอาจใช้ไม่ได้ตรงไปตรงมา เพราะแม้แต่ระบบขนาดเล็กก็อาจเชื่อมโยงกับสถาบันการเงินจำนวนมาก
เมื่อ โบ หลี่ ถามว่า ความแตกต่างด้านความพร้อมรับมือภัยไซเบอร์ระหว่างสถาบันการเงินขนาดใหญ่กับขนาดเล็กกำลังเพิ่มขึ้นหรือไม่ อัมสตัดตอบว่า “น่าเสียดายที่เป็นเช่นนั้น”
เธอจึงเสนอให้หน่วยงานกำกับดูแลรู้มากขึ้นว่าสถาบันการเงินแต่ละแห่งกำลังใช้บริการเทคโนโลยีจากใคร รวมถึงมีข้อมูลเหตุการณ์โจมตีที่สามารถแลกเปลี่ยนกันได้ เพื่อให้มองเห็นว่าช่องโหว่หนึ่งอาจกำลังส่งผลกระทบต่อหลายสถาบันหรือหลายประเทศพร้อมกันหรือไม่
บทเรียนบราซิล เครื่องพิมพ์หนึ่งเครื่องอาจเป็นประตูเข้าเครือข่ายธนาคาร
เปาโล ปิกเคตตี รองผู้ว่าการธนาคารกลางบราซิล ยกกรณีของ Pix ระบบชำระเงินแบบทันทีของประเทศ ซึ่งเคยเผชิญเหตุการณ์โจมตีทางไซเบอร์หลายครั้ง โดยเหตุการณ์สำคัญส่วนหนึ่งเกิดขึ้นกับบริษัทผู้ให้บริการเทคโนโลยีที่เชื่อมต่อกับระบบ
Pix มีระบบหลักอยู่ที่ธนาคารกลาง แต่ธนาคารพาณิชย์และผู้ให้บริการชำระเงินบางรายไม่ได้เชื่อมต่อเข้าระบบหลักด้วยเทคโนโลยีของตนเองทั้งหมด เพราะมีบริษัทภายนอกให้บริการเชื่อมต่อแทน
วิธีนี้ช่วยลดต้นทุน โดยเฉพาะธนาคารหรือผู้ประกอบการรายเล็กที่ไม่มีเงินมากพอจะสร้างโครงสร้างพื้นฐานของตัวเอง และยังช่วยให้มีบริษัทเข้าร่วมระบบชำระเงินมากขึ้น เกิดการแข่งขันด้านค่าธรรมเนียมและบริการ แต่ปัญหาเกิดขึ้นเมื่อผู้ให้บริการบางรายมีความปลอดภัยไม่เพียงพอ ทำให้ช่องโหว่ของบริษัทหนึ่งกลายเป็นช่องทางโจมตีระบบที่เชื่อมต่อกันอยู่
ปิกเคตตี ยกตัวอย่างว่า บางครั้งผู้โจมตีไม่จำเป็นต้องเจาะระบบหลักที่มีการรักษาความปลอดภัยเข้มงวด แต่อาจมองหาอุปกรณ์ธรรมดาที่เชื่อมอยู่ในเครือข่าย เช่น เครื่องพิมพ์ หากอุปกรณ์นั้นมีช่องโหว่และเชื่อมต่อกับเซิร์ฟเวอร์ของผู้ให้บริการ ก็อาจถูกใช้เป็นทางผ่านเพื่อเข้าถึงระบบส่วนอื่นได้
ตัวอย่างเครื่องพิมพ์นี้เป็นการอธิบายลักษณะช่องโหว่ที่อาจเกิดขึ้น ไม่ใช่การยืนยันว่าเหตุโจมตี Pix เกิดจากเครื่องพิมพ์เครื่องใดเครื่องหนึ่ง
นอกจากปัญหาทางเทคนิคแล้ว บราซิลยังพบเหตุการณ์ที่เกี่ยวข้องกับบุคลากร ทั้งความประมาทและการทุจริต โดยปิกเคตตีเล่าว่ามีกรณีที่บุคคลขายข้อมูลรหัสผ่านสำหรับเข้าถึงระบบในราคาต่ำ ทำให้ผู้ไม่หวังดีสามารถนำข้อมูลไปใช้ก่อความเสียหายได้
เขาย้ำว่า เมื่อธนาคารต้องมอบข้อมูลรับรองสำหรับเชื่อมต่อระบบให้บริษัทภายนอก ก็ต้องมั่นใจว่าบริษัทเหล่านั้นจะไม่นำข้อมูลไปใช้ผิดวัตถุประสงค์ และต้องมีมาตรการป้องกันไม่ให้บุคลากรนำข้อมูลออกไปใช้ในทางที่ผิดด้วย
บทเรียนเหล่านี้ทำให้ธนาคารกลางบราซิลเริ่มเพิ่มความเข้มงวดกับผู้ที่จะเข้าร่วมระบบ Pix ทั้งข้อกำหนดเงินทุนขั้นต่ำและความพร้อมด้านเทคโนโลยี จากเดิมที่มุ่งเปิดให้ผู้ประกอบการเข้าร่วมจำนวนมากเพื่อส่งเสริมการแข่งขัน
ขณะเดียวกัน บราซิลยังนำแมชชีนเลิร์นนิงและเอไอเข้ามาช่วยตรวจจับธุรกรรมต้องสงสัย โดยต่อยอดจากวิธีการทางสถิติที่ใช้ตรวจจับการฉ้อโกงในธุรกรรมบัตรเครดิต เพื่อให้ระบบสามารถแจ้งเตือนสถาบันการเงินเมื่อพบความผิดปกติ และเปิดโอกาสให้ตรวจสอบหรือหยุดความเสียหายได้ทันเวลา
ปิกเคตตี ระบุว่า ความเชื่อมั่นเป็นสิ่งสำคัญที่สุดอย่างหนึ่งของระบบชำระเงิน เพราะเมื่อผู้คนไม่เชื่อว่าระบบปลอดภัยแล้ว การเรียกความเชื่อมั่นกลับคืนมาเป็นเรื่องยากมาก
“เมื่อความเชื่อมั่นในระบบสูญเสียไปแล้ว การสร้างความเชื่อมั่นกลับคืนมาเป็นเรื่องที่ยากมาก ดังนั้นเราจึงพยายามทำทุกอย่างเท่าที่ทำได้เพื่อดำเนินมาตรการเชิงรุก แทนที่จะรอให้เกิดเหตุการณ์ขึ้นก่อนแล้วค่อยตามแก้ไขภายหลัง” เขากล่าว
ถ้าระบบการเงินของแต่ละประเทศเชื่อมกัน จุดอ่อนของประเทศหนึ่งก็อาจกระทบอีกประเทศ
อีกเรื่องที่ปิกเคตตีกังวลคือ การเข้าถึงเทคโนโลยีป้องกันภัยไซเบอร์ของประเทศตลาดเกิดใหม่ โดยยอมรับว่า บราซิลยังไม่สามารถเข้าถึงเครื่องมือรุ่นใหม่ล่าสุดบางประเภทที่ธนาคารและหน่วยงานต่างประเทศกำลังทดสอบอยู่ได้
เรื่องนี้สำคัญเพราะบราซิลกำลังพิจารณาเชื่อมต่อ Pix เข้ากับระบบชำระเงินของประเทศอื่น หากระบบต่างประเทศเชื่อมโยงเข้าด้วยกัน ความปลอดภัยก็จะไม่ได้ขึ้นอยู่กับประเทศใดประเทศหนึ่งอีกต่อไป
“เรากำลังพูดถึงการเชื่อมต่อ Pix เข้ากับระบบชำระเงินของต่างประเทศ จุดอ่อนที่สุดในห่วงโซ่ย่อมเป็นจุดที่กำหนดความเปราะบางของระบบทั้งหมด” ปิกเคตตี กล่าว พร้อมเสนอให้ทุกฝ่ายสามารถเข้าถึงเครื่องมือที่จำเป็นเพื่อยกระดับความปลอดภัยร่วมกัน
เมื่อถูกถามว่าธนาคารบราซิลใช้โมเดลเอไอแบบโอเพนซอร์สเพื่อป้องกันภัยไซเบอร์หรือไม่ ปิกเคตตีตอบว่ามีการใช้ทั้งโมเดลที่เปิดให้เข้าถึงได้และโมเดลเชิงพาณิชย์ แม้บางตัวจะไม่ใช่รุ่นใหม่ล่าสุด แต่ก็มีความสามารถมากพอสำหรับใช้งานด้านการป้องกัน
อันเดรีย เมคเลอร์ เห็นว่า ปัญหาสำคัญของภัยไซเบอร์ยุคเอไอไม่ได้อยู่ที่วิธีการแฮกแบบใหม่เสมอไป เพราะวิธีโจมตีหลายอย่างยังเป็นสิ่งที่เคยเกิดขึ้นอยู่แล้ว เช่น การขโมยข้อมูลเข้าสู่ระบบ การหลอกลวงทางออนไลน์ หรือการใช้ประโยชน์จากความผิดพลาดของมนุษย์
สิ่งที่เปลี่ยนไปคือ เอไอทำให้วิธีเหล่านั้นเกิดขึ้นได้รวดเร็วกว่าเดิมมาก และสามารถโจมตีหลายแห่งในเวลาเดียวกัน
“ความเปลี่ยนแปลงที่แท้จริงไม่ได้อยู่ที่เทคนิคการโจมตี เพราะหลายวิธีเป็นสิ่งที่เราคุ้นเคยอยู่แล้ว แต่ตอนนี้การโจมตีเหล่านี้สามารถเกิดขึ้นด้วยความเร็วระดับเครื่องจักร ดำเนินการคู่ขนานกันในหลายพื้นที่ และต้องใช้ความเชี่ยวชาญของมนุษย์น้อยลงกว่าในอดีตมาก” เมคเลอร์กล่าว
เธออธิบายว่า ธนาคารหลายแห่งอาจใช้ซอฟต์แวร์ตัวเดียวกันหรือผู้ให้บริการเทคโนโลยีรายเดียวกัน หากมีช่องโหว่ในระบบนั้น ผู้โจมตีก็อาจใช้ช่องโหว่เดียวกันโจมตีหลายธนาคารได้ โดยไม่ต้องค้นหาช่องทางใหม่ทีละแห่ง
นอกจากนี้ ระบบการเงินยังเชื่อมโยงกันผ่านการชำระเงินและโอนเงินระหว่างธนาคาร รวมถึงธุรกรรมข้ามประเทศ หากมีธนาคารหรือผู้ให้บริการรายหนึ่งไม่สามารถดำเนินงานได้ ก็อาจกระทบต่อผู้ที่กำลังใช้บริการร่วมกับสถาบันนั้น
เมคเลอร์ จึงตั้งคำถามว่า หากเกิดการโจมตีหลายสถาบันพร้อมกัน ธนาคารกลางจะสามารถรักษาการทำงานของระบบชำระเงิน ความแน่นอนว่าธุรกรรมได้รับการชำระเสร็จสิ้น และความถูกต้องของข้อมูลการเงินได้หรือไม่ โดยไม่ทำให้ประชาชนสูญเสียความเชื่อมั่น
ต่อให้มีระบบป้องกันดี แต่ใครจะกล้าตัดสินใจ ‘ปิดระบบธนาคาร’?
ปัญหาอีกด้านที่เมคเลอร์พูดถึงไม่ใช่เรื่องความเก่งของเอไอ แต่เป็นการตัดสินใจของมนุษย์เมื่อเกิดเหตุการณ์ขึ้นจริง
สมมติว่าระบบตรวจพบการโจมตีที่อาจลุกลามไปยังระบบชำระเงินสำคัญ คำถามต่อมาคือใครมีอำนาจตัดสินใจหยุดให้บริการบางส่วน ใครต้องแจ้งหน่วยงานอื่น และจะทำอย่างไรไม่ให้มาตรการหยุดการโจมตีกลายเป็นสาเหตุที่ทำให้ระบบการเงินส่วนอื่นหยุดทำงานตามไปด้วย
เมคเลอร์ ระบุว่า เรื่องเหล่านี้ไม่ใช่สิ่งที่ทีมไอทีสามารถรับผิดชอบเพียงฝ่ายเดียว เพราะบางการตัดสินใจมีผลกระทบต่อโครงสร้างพื้นฐานสำคัญของประเทศ ผู้บริหารระดับสูงจึงต้องมีส่วนร่วมในการฝึกซ้อมรับมือด้วย
เธออธิบายว่า ธนาคารกลางมีประสบการณ์ในการรับมือวิกฤตอยู่แล้ว โดยในช่วงประมาณ 15 ปีที่ผ่านมา รวมถึงวิกฤตโควิด-19 ธนาคารกลางแสดงให้เห็นว่าสามารถปรับตัวและเปลี่ยนวิธีทำงานได้รวดเร็ว แม้มักถูกมองว่าเป็นองค์กรที่เคลื่อนไหวช้าในเรื่องเทคโนโลยี
BIS จึงพยายามนำเทคโนโลยีใหม่มาช่วยเตรียมความพร้อมผ่าน BIS Innovation Hub ซึ่งศึกษาเทคโนโลยีอย่างเอไอ ควอนตัม และโทเคนไนเซชัน หรือการนำสินทรัพย์และสิทธิต่างๆ มาแสดงในรูปแบบโทเคนดิจิทัล เพื่อช่วยให้ธนาคารกลางเข้าใจผลกระทบที่อาจเกิดขึ้น
หนึ่งในเครื่องมือที่ BIS ใช้ฝึกซ้อมรับมือภัยไซเบอร์คือ Digital Twin หรือระบบจำลองธนาคารกลางเสมือนจริง ทำให้สามารถทดสอบสถานการณ์โจมตีโดยไม่ต้องทดลองกับระบบการเงินจริง การจำลองนี้ไม่ได้ทดสอบเพียงว่าเทคโนโลยีสามารถตรวจพบหรือแก้ไขปัญหาได้หรือไม่ แต่ยังทดสอบด้วยว่าเมื่อเกิดเหตุการณ์ขึ้น ใครจะต้องโทรหาใคร ใครเป็นผู้ตัดสินใจ และทุกฝ่ายสามารถประสานงานได้ทันเวลาหรือไม่
เมคเลอร์ ระบุว่า ธนาคารกลางมีกรอบรับมือวิกฤติอยู่แล้ว แต่จำเป็นต้องทดสอบให้บ่อยขึ้น เร็วขึ้น และครอบคลุมสถานการณ์ซับซ้อนมากขึ้น โดยเฉพาะเมื่อความเสี่ยงอาจขยายไปยังหลายประเทศในเวลาเดียวกัน
เธอยังยอมรับว่าธนาคารกลางในประเทศขนาดเล็กอาจมีข้อจำกัดด้านงบประมาณและการเข้าถึงโมเดลเอไอที่มีความสามารถสูงมากกว่าประเทศขนาดใหญ่ แต่การนำเอไอมาใช้เป็นเครื่องมือป้องกันก็อาจช่วยให้ประเทศเหล่านี้เพิ่มความสามารถในการรับมือได้
IMF ย้ำ ป้องกันไม่ให้ถูกแฮกอย่างเดียวไม่พอ ต้องรู้ว่าจะทำอย่างไรหลังถูกโจมตี
โบ หลี่ เสนอว่า การรับมือภัยไซเบอร์ต้องไม่หยุดอยู่แค่การพยายามป้องกันไม่ให้ระบบถูกเจาะ เพราะไม่มีมาตรการใดรับประกันได้ว่าจะป้องกันการโจมตีทั้งหมดได้เสมอไป
แนวทางที่ IMF ให้ความสำคัญจึงมี 3 ส่วน ได้แก่ การป้องกันไม่ให้เกิดเหตุ การจำกัดความเสียหายไม่ให้ลุกลาม และการกู้คืนระบบให้กลับมาใช้งานได้เร็วที่สุด
ตัวอย่างเช่น หากระบบชำระเงินถูกโจมตี นอกจากต้องพยายามสกัดผู้โจมตีแล้ว ยังต้องมีวิธีหยุดไม่ให้ปัญหาลามไปยังธนาคารอื่น และต้องเตรียมแผนให้ประชาชนสามารถกลับมาใช้บริการทางการเงินได้โดยเร็ว
อัมสตัดเห็นด้วยว่า การป้องกันเพียงอย่างเดียวไม่เพียงพอ และหน่วยงานกำกับดูแลจำเป็นต้องเตรียมมาตรการสำหรับวันที่เกิดการโจมตีขึ้นจริง
สำหรับบราซิล ปิกเคตตี ระบุว่า ธนาคารกลางเข้าร่วมการฝึกซ้อมร่วมกับหน่วยงานที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ระดับชาติ เพื่อคาดการณ์ภัยคุกคาม ฝึกตอบสนองต่อเหตุการณ์ และเตรียมวิธีควบคุมความเสียหายก่อนกู้คืนระบบ
ส่วนเมคเลอร์ มองว่า ความร่วมมือระหว่างธนาคารกลางเพียงอย่างเดียวยังไม่เพียงพอ เพราะแต่ละประเทศมีหน่วยงานกำกับดูแลหลายแห่ง และโครงสร้างพื้นฐานทางการเงินจำนวนมากก็ต้องพึ่งพาบริษัทเอกชน จึงจำเป็นต้องทำงานร่วมกันทั้งระหว่างประเทศ ระหว่างหน่วยงานภายในประเทศ และระหว่างภาครัฐกับภาคธุรกิจ
ในการเสวนาช่วงท้าย โบ หลี่ ขอให้ผู้ร่วมอภิปรายเสนอเรื่องสำคัญหนึ่งประการที่ควรเร่งดำเนินการในปีถัดไปเพื่อเพิ่มความพร้อมรับมือการโจมตีทางไซเบอร์ที่ใช้เอไอ
อัมสตัด เสนอให้เพิ่มความโปร่งใสของห่วงโซ่ผู้ให้บริการเทคโนโลยี เพื่อให้หน่วยงานกำกับดูแลรู้ว่าสถาบันการเงินแต่ละแห่งพึ่งพาบริษัทใดอยู่บ้าง ปิกเคตตี ให้ความสำคัญกับการแลกเปลี่ยนความรู้และเครื่องมือระหว่างประเทศ ขณะที่เมคเลอร์ ตอบด้วยคำสั้นๆ ว่า “ความร่วมมือ ความร่วมมือ และความร่วมมือ”