ทำเนียบขาวสหรัฐฯ มอบ NSA คุมมาตรฐานทดสอบความปลอดภัยไซเบอร์ของ AI ขั้นสูง

ทำเนียบขาวสหรัฐฯ เดินหน้าวางระบบประเมิน ‘ความสามารถด้านความปลอดภัยไซเบอร์’ ของโมเดลปัญญาประดิษฐ์ (AI) สมรรถนะสูง ผ่านมาตรฐานทดสอบที่ ‘ไม่เปิดเผยต่อสาธารณะ’ โดยออกแบบให้เป็นขั้นตอน ‘ตรวจสอบล่วงหน้าแบบสมัครใจ’ ที่บริษัทผู้พัฒนาสามารถหารือกับรัฐบาลได้ก่อน ไม่ใช่ระบบขอใบอนุญาตภาคบังคับ

ในคำสั่งบริหารเลขที่ 14409 ลงวันที่ 2 มิถุนายน ทำเนียบขาวสั่งให้พัฒนาและดูแลขั้นตอน ‘การทำเบนช์มาร์กแบบไม่เปิดเผย’ เพื่อกำหนดว่าโมเดลใดเข้าข่าย ‘โมเดล AI แนวหน้าเป้าหมาย’ (Covered Frontier Model) โดยให้ผู้อำนวยการหน่วยงานความมั่นคงแห่งชาติ (NSA) เป็นผู้ตัดสินร่วมกับผู้อำนวยการไซเบอร์แห่งชาติ ที่ปรึกษาด้านวิทยาศาสตร์และเทคโนโลยีของทำเนียบขาว และผู้อำนวยการหน่วยงานความปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA)

กระทรวงการคลัง กระทรวงความมั่นคงแห่งมาตุภูมิ CISA และสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ร่วมอยู่ในระบบนี้ด้วย ไซเบอร์ซีเคียวริตี้ไดฟ์ (Cybersecurity Dive) รายงานว่าขั้นตอนนี้คือความเคลื่อนไหวเพื่อประเมินขีดความสามารถด้านไซเบอร์ของโมเดล AI แนวหน้าอย่างเป็นทางการมากขึ้น

คำว่า ‘โมเดล AI แนวหน้า’ โดยทั่วไปหมายถึงโมเดลขนาดใหญ่รุ่นล่าสุดที่มีประสิทธิภาพและขอบเขตการใช้งานกว้าง โดยคำสั่งบริหารฉบับนี้เจาะจงไปที่โมเดลซึ่งสามารถประเมิน ‘ขีดความสามารถเชิงรุก-เชิงรับ’ และความเสี่ยงในการถูกนำไปใช้ในทางที่ผิดด้านความปลอดภัยไซเบอร์

หัวใจสำคัญของมาตรการนี้คือ ‘การตรวจสอบล่วงหน้าโดยสมัครใจ’ บริษัทผู้พัฒนา AI สามารถหารือกับรัฐบาลกลางได้ว่าโมเดลที่กำลังพัฒนาอยู่เข้าข่ายเป็นโมเดลแนวหน้าเป้าหมายหรือไม่ และยังรวมถึงการให้สิทธิ์เข้าถึงโมเดลแก่ภาครัฐนานสูงสุด 30 วัน ก่อนที่จะเปิดให้พันธมิตรที่เชื่อถือได้เข้าถึง

ขั้นตอนการเข้าถึงมาพร้อมเงื่อนไขด้านการรักษาความลับ ความปลอดภัยไซเบอร์ การจัดการความเสี่ยงจากบุคคลภายใน การคุ้มครองทรัพย์สินทางปัญญา และการไม่เปิดเผยข้อมูล สะท้อนแนวคิดว่าแม้รัฐบาลจะเข้าตรวจสอบโมเดล ก็ต้องดูแลทั้งความลับทางธุรกิจและมาตรการควบคุมความปลอดภัยไปพร้อมกัน

ทำเนียบขาวระบุไว้ในคำสั่งบริหารฉบับเดียวกันว่า ข้อกำหนดนี้ ‘ไม่ควร’ ถูกตีความว่าเป็นการสร้างระบบใบอนุญาตภาคบังคับ การอนุมัติล่วงหน้า หรือเงื่อนไขการอนุญาตจากรัฐบาลสำหรับการพัฒนา เผยแพร่ และนำโมเดล AI ไปใช้งาน ซึ่งต่อเนื่องมาจากแนวนโยบายก่อนหน้านี้ที่เน้นการตรวจสอบล่วงหน้าแบบสมัครใจสำหรับ AI แนวหน้าแบบปิด

มาตรการด้านการป้องกันไซเบอร์ก็ถูกบรรจุไว้ด้วยเช่นกัน โดยรัฐมนตรีคลังได้รับมอบหมายให้หารือร่วมกับผู้อำนวยการไซเบอร์แห่งชาติ ผู้อำนวยการ NSA และผู้อำนวยการ CISA เพื่อจัดตั้ง ‘ศูนย์แลกเปลี่ยนข้อมูลความปลอดภัยไซเบอร์ด้าน AI’

หน่วยงานนี้จะดำเนินงานบนพื้นฐานความร่วมมือแบบสมัครใจระหว่างภาคอุตสาหกรรม AI กับผู้ดูแลโครงสร้างพื้นฐานสำคัญ โดยมีบทบาทด้านการสแกนช่องโหว่ซอฟต์แวร์ การตรวจสอบยืนยัน การจัดลำดับความสำคัญของแพตช์ และการสนับสนุนการนำไปใช้งานจริง

ในเดือนกรกฎาคม ทำเนียบขาวยังเปิดตัวโครงการ ‘Gold Eagle’ ซึ่งเป็นโมเดลประสานงานด้านช่องโหว่ไซเบอร์ที่อ้างอิงคำสั่งบริหารเลขที่ 14409 โดยมีเป้าหมายใช้ขีดความสามารถของ AI แนวหน้าลดการสแกนซ้ำซ้อน พร้อมส่งข้อมูลภัยคุกคามและแพตช์ที่จัดลำดับความสำคัญแล้วให้ทั้งหน่วยงานรัฐบาลกลางและผู้ดูแลระบบป้องกันภาคเอกชน

สำหรับภาคอุตสาหกรรม มาตรการนี้อาจมีผลสองด้าน ทั้งภาระด้านกฎระเบียบและการยกระดับมาตรฐานความปลอดภัยไปพร้อมกัน แม้จะเป็นขั้นตอนแบบสมัครใจ แต่หากมาตรฐานเบนช์มาร์กของรัฐบาลกลายเป็น ‘มาตรฐานโดยพฤตินัย’ ก็อาจส่งผลต่อวิธีที่บริษัท AI รายใหญ่เปิดเผยโมเดลและกระบวนการตรวจสอบความปลอดภัยของตน

ในทางกลับกัน หากรัฐบาลเข้ามาช่วยดูแลทั้งการรับมือช่องโหว่และการจัดลำดับความสำคัญของแพตช์ ผู้ดูแลโครงสร้างพื้นฐานสำคัญก็อาจได้ประโยชน์จากระบบป้องกันที่เป็นระเบียบมากขึ้น มาตรการนี้จึงถูกมองว่าสะท้อนทั้งความกังวลว่าโมเดล AI อาจถูกใช้เป็นเครื่องมือโจมตีไซเบอร์ และแนวโน้มที่จะนำเทคโนโลยีเดียวกันไปใช้กับระบบป้องกันอัตโนมัติ

ความคิดเห็น: สำหรับผู้อ่านนอกสหรัฐฯ มาตรการนี้มีนัยสำคัญในแง่ที่เป็น ‘จุดเริ่มต้นของมาตรฐานตรวจสอบความปลอดภัยโมเดล AI’ มากกว่าจะเป็นกฎระเบียบควบคุม AI โดยตรง หากสหรัฐฯ แยกประเภทโมเดลแนวหน้าออกมาต่างหากและประเมินขีดความสามารถด้านไซเบอร์ด้วยเบนช์มาร์กปิด ก็อาจส่งผลต่อวิธีที่บริษัท AI ทั่วโลกเปิดเผยข้อมูลด้านความปลอดภัยและร่วมมือกับภาครัฐ

อุตสาหกรรมคริปโตเองก็ไม่อาจแยกตัวจากแนวโน้มนี้ได้ เพราะกระดานเทรด ผู้ให้บริการดูแลสินทรัพย์ (Custody) กระเป๋าเงินดิจิทัล และบริษัทวิเคราะห์ข้อมูลบนเชน ต่างนำระบบตรวจจับภัยคุกคามด้วย AI มาผนวกเข้ากับโครงสร้างความปลอดภัยของตนเองมากขึ้นเรื่อยๆ

อย่างไรก็ตาม มาตรการนี้ ‘ไม่ได้’ พุ่งเป้าไปที่การกำกับดูแลสินทรัพย์ดิจิทัลโดยตรง แต่หากมาตรฐานความปลอดภัย AI ของสหรัฐฯ ขยายขอบเขตไปถึงโครงสร้างพื้นฐานภาคเอกชนและภาคการเงิน ก็อาจส่งผลทางอ้อมต่อมาตรฐานการดำเนินงานด้านความปลอดภัยของบริษัทโครงสร้างพื้นฐานสินทรัพย์ดิจิทัลเช่นกัน