Cybersecurity & Digital Trust

มีรายงานว่าโอเพนเอไอได้ปลดพนักงานเกือบครึ่งหนึ่งของทีมความปลอดภัยและการจัดแนว โดยนักวิจัยด้านการจัดแนวและความปลอดภัยสามคนออกจากบริษัทหลังจากถูกกล่าวหาว่ารั่วไหลข้อมูลความปลอดภัยภายในที่เป็นความลับให้กับทีมประเมินความปลอดภัยภายนอก การลาออกครั้งนี้เกิดขึ้นขณะที่โอเพนเอไอเตรียมเข้าจดทะเบียนในตลาดหลักทรัพย์ซึ่งมีมูลค่าประเมินราว 1.5 ล้านล้านดอลลาร์ และตามหลังรายงานที่ว่าผู้บริหารระดับสูงปฏิเสธที่จะทำงานร่วมกับทีมความปลอดภัยและการจัดแนว เนื่องจากกังวลว่าจะทำให้ความคืบหน้าชะลอตัว การออกครั้งนี้ยังเกิดขึ้นหลังจากการโจมตีของเอไอเอเจนต์อย่างรุนแรงหลายครั้งในช่วงสี่สัปดาห์ที่ผ่านมา ซึ่งโมเดลที่ฝึกภายในหลุดออกจากสภาพแวดล้อมแซนด์บ็อกซ์และแฮ็กบริษัทและแพลตฟอร์มจริง โดยเหตุการณ์ที่ฮักกิงเฟซมีโมเดลที่เชื่อมโยงกับการแฮ็กของเอเจนต์อีกหลายหมื่นครั้งทั้งที่โอเพนเอไอและแอนโทรปิก ขณะที่เมตาแยกต่างหากได้ปลดทีมความปลอดภัยและการจัดแนวของตนชื่อเวอร์ชูเอไอ ซึ่งเพิ่งจ้างมาเพียงสามเดือน ทำให้จำนวนนักวิจัยด้านความปลอดภัยเอไอที่ถูกปลดรวมอยู่ที่ 5 ถึง 10 คน ในข่าวอื่นของโอเพนเอไอ หุ้นเซเรบราสร่วงลง 52% นับตั้งแต่เข้าจดทะเบียน และร่วง 20% ในช่วงสองวันที่ผ่านมา หลังจากโอเพนเอไอใช้ชิปของเอ็นวิเดียแทนชิปของเซเรบราสสำหรับผลิตภัณฑ์โหมดอัลตราใหม่ ซึ่งให้ผลลัพธ์ 300 โทเคนต่อวินาที และดีราจ มาลิก ประธานเจ้าหน้าที่ฝ่ายปฏิบัติการของเซเรบราส ขายหุ้นมูลค่า 78 ล้านดอลลาร์ก่อนที่ข่าวจะประกาศ เอเจนต์มิวส์ของเมตามียอดดาวน์โหลด 5 ล้านครั้ง และผู้ใช้พร้อมกัน 3 ล้านคนต่อสัปดาห์ ซึ่งเป็นการเติบโตเร็วที่สุดของผลิตภัณฑ์เอไอนับตั้งแต่แชตจีพีทีเปิดตัวในปี 2022 และซักเคอร์เบิร์กประกาศมิวส์สำหรับองค์กร ซึ่งเชื่อมต่อกับเครื่องมือธุรกิจรวมถึงสแล็ก เซลส์ฟอร์ซ และสไตรป์ ทาวุสเปิดตัวโมเดลปฏิสัมพันธ์กับมนุษย์ชื่อกริฟฟิน ซึ่งทำให้ผู้ทดสอบ 48% จาก 54 คนเชื่อว่าเป็นมนุษย์โดยไม่มีการเตือนล่วงหน้า และข้อตกลงทำเนียบขาวว่าด้วยซูเปอร์อินเทลลิเจนซ์ได้ลงนามโดยเจนเซน หวง อีลอน มัสก์ สุนดาร์ พิชัย ฮก ตัน มาร์ก ซักเคอร์เบิร์ก และเจฟฟ์ เบโซส โดยกำหนดการควบคุมภายใน ทีมตรวจสอบภายในอิสระ ผู้ตรวจสอบภายนอกบุคคลที่สาม และคณะกรรมการบริษัทอิสระเพื่อกำกับดูแลห้องปฏิบัติการเอไอ

เดนมาร์กเผชิญเหตุข้อมูลส่วนบุคคลรั่วไหลครั้งใหญ่ หลังบุคคลที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลประชาชนประมาณ 8.8 ล้านรายในฐานข้อมูลทะเบียนราษฎรกลางของประเทศ โดยครอบคลุมชื่อ ที่อยู่ และหมายเลขประจำตัวประชาชน รัฐบาลเดนมาร์กเปิดเผยเมื่อวันจันทร์ว่า ผู้ก่อเหตุซึ่งยังไม่สามารถระบุตัวตนได้นำสิทธิ์การเข้าถึงระบบอย่างถูกต้องของบริษัทเอกชนแห่งหนึ่งในเดนมาร์กไปใช้ในทางที่ผิดเพื่อค้นหาข้อมูลใน Central Person Register หรือ CPR ขณะนี้บริษัทดังกล่าวถูกระงับการเข้าถึงระบบแล้ว และตำรวจกำลังสอบสวนเหตุการณ์ โดยทางการระบุว่ายังเร็วเกินไปที่จะสรุปว่าใครอยู่เบื้องหลัง Christina Egelund รัฐมนตรีว่าการกระทรวงดิจิทัลของเดนมาร์ก ระบุว่าเหตุการณ์นี้ถือเป็นเรื่องร้ายแรงอย่างยิ่ง พร้อมสั่งให้ตรวจสอบระบบรักษาความปลอดภัยของ CPR อย่างครอบคลุม และเรียกร้องให้ประชาชนระวังโทรศัพท์หรืออีเมลที่น่าสงสัยซึ่งอาจนำข้อมูลที่รั่วไหลไปใช้หลอกลวง ทั้งนี้ หน่วยงานที่ดูแลระบบตรวจพบความเคลื่อนไหวผิดปกติครั้งแรกเมื่อวันที่ 2 ต.ค. ก่อนพบว่ามีการค้นหาข้อมูลโดยไม่ได้รับอนุญาตในช่วงเดือน ก.ย. และผู้ที่ลงทะเบียนขอปกปิดชื่อและที่อยู่ในระบบไม่ได้รับผลกระทบจากเหตุครั้งนี้

ทางการญี่ปุ่นมีแผนแก้ไขกฎหมายความมั่นคงทางเศรษฐกิจเพื่อกำหนดให้บริษัทและองค์กรที่ถือครองบิ๊กดาต้าต้องแจ้งภาครัฐก่อนส่งต่อหรือเปิดเผยข้อมูลส่วนบุคคลที่ละเอียดอ่อนให้แก่บุคคลที่สาม โดยสำนักข่าวเกียวโดรายงานว่ารัฐบาลตั้งเป้าเสนอร่างกฎหมายแก้ไขต่อที่ประชุมรัฐสภาสมัยสามัญในปีหน้า ท่ามกลางความกังวลว่าผู้ไม่หวังดีในต่างประเทศอาจนำข้อมูลไปใช้ในทางที่ผิดเนื่องจากเทคโนโลยีปัญญาประดิษฐ์มีความก้าวหน้ามากขึ้น ซึ่งอาจเป็นภัยคุกคามต่อความมั่นคงแห่งชาติ สำหรับข้อมูลส่วนบุคคลที่ละเอียดอ่อนนั้นครอบคลุมถึงประวัติการรักษาพยาบาล ข้อมูลตำแหน่งที่ตั้ง ข้อมูลชีวมิติ เช่น ลายนิ้วมือและข้อมูลการจดจำใบหน้า ข้อมูลพันธุกรรม ตลอดจนประวัติการทำธุรกรรมทางการเงิน แหล่งข่าวระบุว่าข้อกำหนดในการรายงานจะพิจารณาจากปริมาณข้อมูลที่องค์กรถือครองอยู่ ซึ่งคาดว่าจะครอบคลุมองค์กรหลายร้อยแห่ง รวมถึงธนาคารและโรงพยาบาล และรัฐบาลยังวางแผนบังคับใช้ข้อกำหนดดังกล่าวในกรณีที่องค์กรนำข้อมูลไปจัดเก็บไว้กับบริการคลาวด์ภายนอกหรือศูนย์ข้อมูลด้วย นอกจากนี้รัฐบาลกำลังพิจารณาจัดตั้งระบบประเมินว่าควรอนุญาตให้ส่งต่อข้อมูลได้หรือไม่ โดยพิจารณาจากปัจจัยด้านความมั่นคงแห่งชาติเป็นหลัก คณะผู้เชี่ยวชาญคาดว่าจะเริ่มหารือกันในปลายเดือนนี้เกี่ยวกับระบบที่เสนอ รวมถึงบทลงโทษสำหรับผู้ที่หลีกเลี่ยงการรายงาน ก่อนเสนอร่างกฎหมายต่อรัฐสภาในปีหน้า และมีแนวโน้มหารือเกี่ยวกับการกำกับดูแลผู้ให้บริการศูนย์ข้อมูลและผู้ให้บริการคลาวด์ โดยพยายามหลีกเลี่ยงไม่ให้กระทบต่อกิจกรรมทางธุรกิจของบริษัทเหล่านี้โดยไม่จำเป็น ทั้งนี้ การแพร่หลายของ Generative AI ทำให้ข้อมูลส่วนบุคคลกลายเป็นทรัพยากรเชิงยุทธศาสตร์ที่มีผลกระทบทั้งมิติทางเศรษฐกิจและความมั่นคงแห่งชาติ เนื่องจากชุดข้อมูลขนาดใหญ่อาจมีข้อมูลที่ถูกนำไปใช้สอดส่องหรือแบล็กเมลบุคคลต่าง ๆ รวมถึงผู้ที่มีส่วนเกี่ยวข้องในการตัดสินใจที่สำคัญ โดยกฎหมายส่งเสริมความมั่นคงทางเศรษฐกิจซึ่งมีผลบังคับใช้ในปี 2565 ครอบคลุมมาตรการสนับสนุนการพัฒนาเทคโนโลยีสำคัญ การเสริมสร้างห่วงโซ่อุปทานให้แข็งแกร่ง ตลอดจนการตรวจสอบอุปกรณ์ที่ใช้โดยบริษัทที่ดำเนินงานด้านโครงสร้างพื้นฐานสำคัญล่วงหน้า

รัฐบาลรัฐนิวเซาท์เวลส์ของออสเตรเลียเปิดเผยว่า AI Agent ของบริษัทโอเพนเอไอได้เจาะระบบเว็บไซต์ของรัฐบาลเป็นครั้งที่สอง โดยสำนักมุขมนตรีแห่งรัฐนิวเซาท์เวลส์ระบุว่าเมื่อวานนี้ได้รับแจ้งเตือนจากโอเพนเอไอว่าเมื่อเดือนมิถุนายน มี AI Agent ที่เคลื่อนไหวผิดปกติเข้าสู่เว็บแอปพลิเคชันของสำนักงานอุทยานแห่งชาติและสัตว์ป่า ซึ่งเป็นระบบที่เก็บรวบรวมข้อมูลประวัติและข้อมูลเกี่ยวกับเหตุไฟป่า ขณะที่กระทรวงการเปลี่ยนแปลงสภาพภูมิอากาศ พลังงาน สิ่งแวดล้อม และน้ำ ของรัฐนิวเซาท์เวลส์กำลังประสานงานร่วมกับหน่วยงานความมั่นคงทางไซเบอร์ของรัฐบาลกลางเพื่อประเมินผลกระทบจากการเจาะระบบดังกล่าว การสืบสวนในขณะนี้ยังไม่พบหลักฐานการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต ก่อนหน้านี้นายกรัฐมนตรีแอนโทนี อัลบาเนซี เพิ่งเปิดเผยเมื่อเดือนกันยายนว่า AI Agent ของโอเพนเอไอได้แฮกเข้าระบบพอร์ทัลข้อมูลเมดิแคร์ซึ่งเป็นระบบประกันสุขภาพภาครัฐของออสเตรเลีย โดยเหตุการณ์ดังกล่าวเกิดขึ้นในเดือนมิถุนายนเช่นกัน และสำนักงานสถิติและวิจัยอาชญากรรมของรัฐก็ได้รับผลกระทบด้วย ต่อมาในช่วงปลายเดือนกันยายน โอเพนเอไอได้ออกแถลงการณ์ขอโทษ พร้อมชี้แจงว่าเหตุการณ์เกิดขึ้นระหว่างการฝึกฝนระบบภายในบริษัท และยืนยันว่าจะร่วมมือกับออสเตรเลียในการพัฒนาแนวทางปฏิบัติจริงเพื่อช่วยให้ผู้พัฒนา AI และหน่วยงานรัฐบาลตรวจจับและเปิดเผยเหตุการณ์ภัยคุกคามทางไซเบอร์ได้อย่างมีประสิทธิภาพ

OpenAI แจ้งเตือนองค์กรมากกว่า 100 แห่งเกี่ยวกับเหตุการณ์ที่ AI Agent ของบริษัททำงานโดยไม่ได้รับอนุญาต ท่ามกลางความกังวลที่เพิ่มขึ้นในอุตสาหกรรมปัญญาประดิษฐ์เกี่ยวกับความสามารถในการควบคุม AI Agent ที่มีศักยภาพสูงขึ้นเรื่อย ๆ โดยอ้างอิงบล็อกของ OpenAI สำนักข่าวรอยเตอร์รายงานว่า บริษัทซึ่งพัฒนา ChatGPT กำลังดำเนินการตรวจสอบกิจกรรมของโมเดล AI ในวงกว้าง หลังเกิดเหตุ AI ของบริษัทเข้าแฮ็ก Hugging Face โดยไม่ได้ตั้งใจ ซึ่งนำไปสู่การตรวจสอบว่า AI Agent ของบริษัทอาจมีกิจกรรมที่ไม่ได้รับอนุญาตในกรณีอื่นอีกหรือไม่ OpenAI กำลังตรวจสอบข้อมูลปริมาณประมาณ 50 เพตะไบต์ เพื่อประเมินขอบเขตทั้งหมดของกิจกรรมจาก AI Agent ที่ทำงานนอกเหนือจากที่ตั้งใจไว้ โดยก่อนหน้านี้บริษัทระบุว่ากระบวนการตรวจสอบอาจต้องใช้เวลาหลายเดือน เนื่องจากข้อมูลที่ต้องตรวจสอบมีปริมาณมหาศาล บริษัทระบุว่าในบางกรณีโมเดล AI ใช้การเข้าถึงอินเทอร์เน็ตในลักษณะที่บริษัทไม่ได้ตั้งใจ หรือเมื่อพิจารณาย้อนกลับไปพบว่าระบบไม่ได้ถูกกำหนดข้อจำกัดที่เหมาะสมเพียงพอ และในช่วงหลายเดือนที่ผ่านมาได้เริ่มนำมาตรการด้านเทคนิคและการปฏิบัติงานชุดใหม่มาใช้ เพื่อป้องกันไม่ให้เกิดเหตุการณ์ในลักษณะเดียวกัน หรือช่วยให้สามารถตรวจพบความผิดปกติได้ตั้งแต่ระยะเริ่มต้น พร้อมยืนยันว่าจะเดินหน้าปรับปรุงมาตรการดังกล่าวต่อไป สำหรับเหตุการณ์ที่เกี่ยวข้องกับ Hugging Face ยังคงเป็นกรณีรุนแรงที่สุดที่ OpenAI ตรวจพบว่าเกี่ยวข้องกับกิจกรรมของ AI Agent จากโมเดลของบริษัทจนถึงขณะนี้ โดยการตรวจสอบขอบเขตของเหตุการณ์และผลกระทบที่อาจเกิดขึ้นยังคงดำเนินต่อไป

โอเพนเอไอของสหรัฐฯ ประกาศเมื่อวันที่ 30 กันยายนว่า บริษัทได้รับการโจมตีแบบ 'กลั่นกรองโมเดล' ซึ่งเป็นการใช้ผลลัพธ์จากโมเดลเอไอของบริษัทไปฝึกโมเดลอื่นอย่างไม่ชอบด้วยกฎหมาย โดยบริษัทพิจารณาว่าการโจมตีครั้งนี้มาจากบุคคลที่เกี่ยวข้องกับมูนช็อตเอไอ สตาร์ทอัพด้านเอไอรายใหม่ของจีนเป็นหลัก โอเพนเอไอระบุว่าการโจมตีเริ่มขึ้นเมื่อวันที่ 1 กรกฎาคม โดยผู้โจมตีพยายามดึงกระบวนการคิดภายในของโมเดลเอไอของบริษัทออกมา แต่บริษัทสามารถสกัดกั้นได้สำเร็จเมื่อวันที่ 28 ของเดือนเดียวกัน มาตรการรับมือที่ดำเนินการ ได้แก่ การเข้มงวดกระบวนการลงทะเบียนใช้บริการ และการเพิ่มความเข้มข้นในการเฝ้าระวังเครือข่าย

ทรานส์ลูซ สถาบันวิจัยปัญญาประดิษฐ์ เปิดเผยเมื่อวันที่ 30 ว่า AI เอเจนต์ได้พยายามเจาะเว็บไซต์ของรัฐบาลแคนาดาแต่ไม่สำเร็จ ขณะที่รัฐบาลแคนาดาระบุว่าไม่พบสัญญาณว่าระบบของประเทศถูกบุกรุก ทรานส์ลูซระบุในบทความบล็อกว่า เอเจนต์เหล่านี้ได้พยายามเข้าถึงหอสมุดและจดหมายเหตุแห่งชาติแคนาดาเมื่อวันที่ 28 พฤษภาคมและวันที่ 9 มิถุนายน และได้รายงานต่อรัฐบาลแคนาดาเมื่อวันที่ 28 เดือนที่แล้ว สถาบันแห่งนี้ชี้ว่าวิธีการโจมตีสอดคล้องกับกิจกรรมของเอเจนต์ที่เคยตรวจพบในอดีตซึ่งสถาบันระบุว่าเป็นของโอเพนเอไอ แต่ไม่สามารถยืนยันได้อย่างแน่ชัดว่าการโจมตีครั้งนี้มาจากโอเพนเอไอ ศูนย์ความมั่นคงไซเบอร์แห่งแคนาดากล่าวในแถลงการณ์เมื่อวันที่ 29 ว่าได้รับทราบรายงานเกี่ยวกับกิจกรรมที่ต้องสงสัยว่าเกิดจาก AI เอเจนต์ แต่ในขณะนี้ยังไม่พบสัญญาณว่าระบบของรัฐบาลถูกบุกรุก โอเพนเอไอแถลงว่าได้รับทราบรายงานที่ว่าโมเดลของบริษัทพยายามเข้าถึงข้อมูลสาธารณะบนเว็บไซต์ของรัฐบาลแคนาดา และโฆษกกล่าวว่ากำลังตรวจสอบผลการค้นพบอย่างละเอียด พร้อมทั้งได้ให้คำอธิบายเบื้องต้นแก่เจ้าหน้าที่แคนาดาแล้ว ตามข้อมูลของทรานส์ลูซ arquivo.pt ซึ่งเป็นคลังเก็บเว็บไซต์ฟรีที่ดำเนินการโดยมูลนิธิวิทยาศาสตร์และเทคโนโลยีแห่งโปรตุเกส ได้บันทึกคำขอ 899 รายการที่ส่งไปยังบริการค้นหาคอลเลกชันของหอสมุดและจดหมายเหตุแห่งชาติแคนาดาเมื่อวันที่ 28 พฤษภาคมและวันที่ 9 มิถุนายน ซึ่งรวมถึงความพยายามแฮ็กแบบพื้นฐานหลายครั้งที่เชื่อว่าไม่ประสบความสำเร็จ เมื่อสัปดาห์ที่แล้ว รัฐบาลออสเตรเลียเปิดเผยว่าในเดือนมิถุนายน AI เอเจนต์ของโอเพนเอไอได้เจาะพอร์ทัลข้อมูลสุขภาพของรัฐบาลและเข้าถึงไฟล์อย่างไม่ได้รับอนุญาต และบริษัทได้ขอโทษเกี่ยวกับการแฮ็กครั้งนี้เมื่อวันที่ 29

คณะกรรมาธิการการค้าแห่งสหรัฐฯ หรือ FTC กำลังดำเนินการตรวจสอบบริษัทในอุตสาหกรรมปัญญาประดิษฐ์ ซึ่งรวมถึง Anthropic, OpenAI และผู้พัฒนา AI รายอื่น ๆ เพื่อประเมินความเสี่ยงจากเทคโนโลยีที่อาจเกิดขึ้นต่อผู้บริโภค โดยการตรวจสอบครั้งนี้ถือเป็นการบังคับใช้แนวทางตามกฎหมายอย่างเป็นทางการครั้งแรกของสหรัฐฯ เพื่อตรวจสอบ AI เอเจนต์ที่ทำงานนอกเหนือการควบคุม แหล่งข่าวระบุว่า FTC จะออกคำสั่งอย่างเป็นทางการเพื่อขอข้อมูล รวมถึงบังคับให้ผู้บริหารบริษัท AI เข้าชี้แจงต่อหน่วยงาน โดยครอบคลุมทั้ง Anthropic, OpenAI และ METR ซึ่งเป็นกลุ่มวิจัยด้านความปลอดภัยของ AI และทั้ง Anthropic และ OpenAI เคยใช้บริการของ METR เพื่อดำเนินการตรวจสอบเหตุการณ์ด้านความปลอดภัยที่เกี่ยวเนื่องกับเทคโนโลยี AI เอเจนต์ของบริษัท ทั้งนี้ แอนดรูว์ เฟอร์กูสัน ประธาน FTC แสดงความกังวลเกี่ยวกับบริษัทเหล่านี้อยู่ก่อนแล้ว ก่อนที่ AI เอเจนต์ของ OpenAI จะเจาะระบบแพลตฟอร์มโอเพนซอร์ส Hugging Face เมื่อเดือนก.ค. และเมื่อเกิดเหตุการณ์ดังกล่าวขึ้น จึงยิ่งเพิ่มความเร่งด่วนในการตรวจสอบปัญหานี้ เมื่อสัปดาห์ที่ผ่านมา เฟอร์กูสันยังให้สัมภาษณ์กับรอยเตอร์ว่า นักพัฒนาที่สั่งให้ AI เอเจนต์ทำการทดสอบด้านความปลอดภัยทางไซเบอร์จนส่งผลให้เกิดการแฮ็กระบบนั้น ควรต้องรับผิดชอบความเสียหายที่เกิดขึ้น และย้ำว่า สหรัฐฯ ควรพิจารณาใช้กฎหมายที่มีอยู่ก่อนที่จะออกกฎหมายใหม่เพื่อกำกับดูแล AI