การเปิดเผยช่องโหว่ใน 13 องค์กร Glasswing สูงกว่ากลุ่มจีนราว 120% ตามการประเมิน

การเปิดเผยช่องโหว่ในองค์กรที่เข้าร่วม Project Glasswing สูงกว่ากลุ่มบริษัทจีนราว 120% ตามการประเมิน ขณะที่ไม่พบความล่าช้าในการแก้ไขหรือออกแพตช์จากผู้ผลิตซอฟต์แวร์และดิสทริบิวชัน Linux อย่างมีนัยสำคัญทางสถิติ

โทมัส มอสก์ (Thomas Mosk) นักวิจัยจากมหาวิทยาลัยควีนแมรีแห่งลอนดอน เผยแพร่บทความวิจัยฉบับก่อนตีพิมพ์เมื่อวันที่ 4 พ.ย. โดยวิเคราะห์ข้อมูลตั้งแต่เดือน ต.ค. 2025 ถึง ก.ย. 2026 ครอบคลุมองค์กรที่เกี่ยวข้องกับ Project Glasswing 13 แห่ง และบริษัทจีน 267 แห่ง

งานวิจัยประเมินว่าการเปลี่ยนแปลงของการเปิดเผยช่องโหว่ในสองกลุ่มแตกต่างกันราว 120% เมื่อคำนวณจากค่าเฉลี่ยก่อนเข้าร่วมโครงการที่ 29 รายการต่อเดือนต่อองค์กร จะเท่ากับมีการเปิดเผยเพิ่มขึ้นราว 36 รายการต่อองค์กรต่อเดือน

ช่องโหว่ที่มีผลกระทบสูงก็มีการเปิดเผยเพิ่มขึ้นราว 150% เมื่อเทียบกับกลุ่มบริษัทจีน งานวิจัยนิยามผลกระทบสูงว่าเป็นช่องโหว่ที่คะแนนผลกระทบด้านการรักษาความลับ ความถูกต้องครบถ้วน หรือความพร้อมใช้งาน สูงกว่าค่ามัธยฐานของช่องโหว่ที่เปิดเผยระหว่างเดือน ม.ค. 2024 ถึง ต.ค. 2026

แอนโทรปิก (Anthropic) ประกาศโครงการ Glasswing เมื่อวันที่ 7 เม.ย. 2026 ผู้เข้าร่วมบางรายใช้ Claude Mythos Preview เพื่อค้นหาช่องโหว่ในซอฟต์แวร์ของตนเองและซอฟต์แวร์โอเพนซอร์ส

องค์กรที่เข้าร่วมไม่ได้ถูกสุ่มเลือก และบริษัทจีนในกลุ่มเปรียบเทียบอยู่ภายใต้กฎและแนวปฏิบัติการเปิดเผยข้อมูลที่ต่างกัน อีกทั้งไม่ได้หมายความว่าบริษัทจีนไม่ใช้ AI งานวิจัยจึงประเมินความแตกต่างระหว่างองค์กรที่เข้าถึงโมเดลหนึ่งกับกลุ่มเปรียบเทียบ ไม่ได้วัดผลของการใช้ AI โดยรวม

การวิเคราะห์ระยะเวลาการแก้ไขแบ่งเป็นสองเส้นทาง ได้แก่ ข้อมูลช่องโหว่ 658 รายการที่แจ้งต่อ Zero Day Initiative (ZDI) เพื่อประเมินเวลาที่ผู้ผลิตใช้แก้ไข และช่องโหว่ 14,855 รายการที่ Debian, Ubuntu, Red Hat และ SUSE ติดตาม เพื่อวิเคราะห์การออกแพตช์ของดิสทริบิวชัน Linux

ทั้งสองเส้นทางไม่พบความล่าช้าในการแก้ไขอย่างมีนัยสำคัญทางสถิติ ระยะเวลามัธยฐานก่อนดิสทริบิวชันออกแพตช์อยู่ที่ 1 วัน อย่างไรก็ตาม งานวิจัยยังไม่อาจตัดความเป็นไปได้ที่สัดส่วนการแก้ไขภายใน 90 วันลดลงราว 11 จุดเปอร์เซ็นต์

งานวิจัยติดตามเฉพาะช่องโหว่ที่เปิดเผยแล้วและเส้นทางการแก้ไขที่วัดได้ ไม่ได้วิเคราะห์จำนวนช่องโหว่ที่ยังไม่เปิดเผย หรือว่าผู้ใช้ปลายทางติดตั้งแพตช์แล้วหรือไม่

แอนโทรปิกระบุในการอัปเดตเมื่อวันที่ 22 พ.ค. ว่าพาร์ตเนอร์ราว 50 รายค้นพบช่องโหว่ระดับความเสี่ยงสูงและวิกฤตกว่า 10,000 รายการ ตัวเลขนี้เป็นจำนวนที่บริษัทนับจากการค้นพบ จึงเป็นคนละตัวชี้วัดกับช่องโหว่ที่เปิดเผยจริง และจำนวนที่พบในกลุ่มตัวอย่าง 13 องค์กรของงานวิจัย

งานวิจัยแยกช่องโหว่ที่เพิ่งค้นพบออกจากช่องโหว่ที่ทราบอยู่แล้วแต่ยังไม่เปิดเผย ระยะเวลามัธยฐานตั้งแต่การจองหมายเลขระบุช่องโหว่จนถึงการเปิดเผยลดจาก 75 วันก่อนองค์กรเข้าถึงโมเดล เหลือ 22 วันหลังจากนั้น ซึ่งสอดคล้องกับการค้นพบช่องโหว่ใหม่ที่เพิ่มขึ้นมากกว่า อย่างไรก็ตาม ช่วงเวลาดังกล่าวเพียงอย่างเดียวไม่สามารถบอกได้ว่าช่องโหว่ถูกค้นพบครั้งแรกเมื่อใด

สัดส่วนช่องโหว่ที่ถูกนำไปใช้โจมตีจริงภายในหนึ่งเดือนหลังเปิดเผยลดลง แต่จำนวนช่องโหว่ที่ถูกใช้โจมตีไม่ได้เปลี่ยนแปลงอย่างมีนัยสำคัญทางสถิติ เมื่อจำนวนการเปิดเผยเพิ่มขึ้น สัดส่วนของช่องโหว่ที่ถูกใช้โจมตีอาจลดลงได้ จึงไม่อาจสรุปจากสัดส่วนที่ลดลงเพียงอย่างเดียวว่าการโจมตีจริงลดลง

ในกรณีแยกต่างหากของวงการสินทรัพย์ดิจิทัล Project Loupe เปิดเผยผลการทดสอบเมื่อวันที่ 22 ก.ค. ซึ่งครอบคลุมโครงการโอเพนซอร์สของบิตคอยน์(BTC) 7 โครงการ จากรายการที่พบ 643 รายการ มี 51 รายการเกี่ยวข้องกับความปลอดภัย และ 10 รายการถูกจัดเป็นความเสี่ยงสูงขึ้นไป โดยมีการแก้ไขปัญหามากกว่า 70 รายการ

Bitcoin Core เผยแพร่คำแนะนำด้านความปลอดภัย 3 ฉบับเมื่อวันที่ 28 ต.ค. โดยระบุว่าการสแกนอัตโนมัติด้วย LLM ของ Project Loupe พบข้อบกพร่อง การแก้ไขถูกรวมไว้ในเวอร์ชัน 29.5, 30.4, 31.2 และ 32.1 อย่างไรก็ตาม คำแนะนำระบุว่าข้อบกพร่องรายการที่สามอาจยังส่งผลต่อระบบ 32 บิตและอุปกรณ์จัดเก็บข้อมูล FAT32

การค้นพบช่องโหว่และออกแพตช์ กับการกู้คืนระบบจริงในสภาพแวดล้อมการใช้งาน เป็นคนละขั้นตอนกัน