AI แบบ Agentic ปรับโฉมการจัดการภัยคุกคาม ลดเวลาตรวจจับจาก 43 วันเป็นชั่วโมง

การเปลี่ยนแปลงจาก AI assistive ไปสู่ AI agentic กำลังเปลี่ยนแปลงรูปแบบการจัดการภัยคุกคามขององค์กรอย่างมีนัยสำคัญ ทีมความปลอดภัยระดับกลางมักต้องดูแลเครื่องมือด้านความปลอดภัยมากกว่า 40 ตัว ซึ่งแม้จะให้ข้อมูลเชิงลึกที่ครอบคลุมแต่หลายระบบทำงานแยกกัน ส่งผลให้เกิดการเตือนซ้ำซ้อนและทำให้ระยะเวลาในการตรวจพบการรั่วไหลข้อมูลยังคงอยู่ที่ประมาณ 43 วัน ตามที่รายงานของ The Hacker News ระบุ

Overview

องค์กรขนาดใหญ่ส่วนใหญ่ใช้เครื่องมือด้านความปลอดภัยหลายชนิด เช่น ระบบตรวจจับการบุกรุก (IDS), ระบบจัดการเหตุการณ์และข้อมูลความปลอดภัย (SIEM), และเครื่องมือตรวจสอบพฤติกรรมของอุปกรณ์ (EDR) โดยจำนวนเครื่องมือที่ใช้ต่อทีมอาจเกิน 40 ตัว การทำงานแบบสโลว์โซล่ากลายเป็นจุดอ่อนสำคัญ เพราะข้อมูลจากแต่ละระบบมักไม่ได้เชื่อมต่อกันอย่างเต็มที่ ทำให้การวิเคราะห์ต้องอาศัยการคัดกรองข้อมูลจำนวนมากจากหลายแหล่ง

แม้ว่าจะมีการลงทุนอย่างต่อเนื่องในเทคโนโลยีใหม่ ๆ แต่การทำงานเป็นซิลโล (silo) ทำให้เกิด alert fatigue – นักวิเคราะห์ต้องเผชิญกับการเตือนที่ซ้ำซ้อนและไม่มีความสำคัญระดับเดียวกัน ส่งผลให้เวลาตอบสนองต่อเหตุการณ์ที่แท้จริงถูกบีบอัดลงอย่างต่อเนื่อง

Assistive AI in Security

AI assistive หมายถึงระบบที่ทำหน้าที่ช่วยเหลือนักวิเคราะห์โดยการคัดกรองข้อมูล, จัดลำดับความสำคัญของเหตุการณ์, หรือเสนอแนวทางการตอบสนองเบื้องต้น อย่างไรก็ตาม ระบบเหล่านี้ยังคงต้องอาศัยการตัดสินใจของมนุษย์เป็นขั้นสุดท้าย การทำงานของ AI จึงถูกจำกัดอยู่ในระดับ “เสนอ” (suggestion) มากกว่าการดำเนินการโดยอัตโนมัติ

การใช้ AI assistive ช่วยลดภาระงานบางส่วนได้บ้าง แต่ยังไม่สามารถขจัดปัญหา “เสียงรบกวน” (noise) ได้อย่างสมบูรณ์ นักวิเคราะห์ยังคงต้องใช้เวลานานในการแยกสัญญาณที่แท้จริงจากข้อมูลที่กองรวมอยู่

Rise of Agentic AI

AI agentic หรือที่เรียกกันว่า “อัตโนมัติเต็มรูปแบบ” มีความสามารถในการทำงานโดยอิสระจากคำสั่งของมนุษย์ ระบบสามารถทำการ detect, investigate, contain และ remediate ได้โดยอัตโนมัติ โดยอาศัยการเรียนรู้เชิงลึก (deep learning) และการประมวลผลแบบเรียลไทม์เพื่อสังเกตพฤติกรรมที่อาจเป็นภัยคุกคาม

การเปลี่ยนผ่านสู่ AI agentic มีเป้าหมายเพื่อลดระยะเวลา dwell time ของการรั่วไหลข้อมูลให้ต่ำกว่า 43 วัน และช่วยลดภาระการ triage ของนักวิเคราะห์ให้เหลือเพียงขั้นตอนตรวจสอบขั้นสุดท้ายเท่านั้น

Benefits and Risks

ข้อได้เปรียบของ AI agentic ได้แก่

• ลดเวลาตอบสนองต่อเหตุการณ์จากหลายวันเป็นชั่วโมงหรือแม้แต่นาที
• ลดภาระงานซ้ำซ้อนของนักวิเคราะห์ ทำให้สามารถมุ่งเน้นที่การวางแผนเชิงกลยุทธ์ได้
• เพิ่มความแม่นยำในการแยกแยะภัยคุกคามจริงจากสัญญาณรบกวน

อย่างไรก็ตาม การมอบอำนาจให้ AI ทำการตอบสนองอัตโนมัติอาจก่อให้เกิดความเสี่ยงด้าน false positive ที่อาจทำให้ระบบทำการปิดกั้นทรัพยากรที่สำคัญโดยไม่จำเป็น หรือแม้กระทั่งการทำให้ระบบสำคัญหยุดทำงานโดยไม่ได้ตั้งใจ ดังนั้นการตั้งค่าระดับความเชื่อมั่นและการตรวจสอบผลลัพธ์ของ AI จึงเป็นเรื่องที่ต้องให้ความสำคัญอย่างสูง

Impact on Security Operations

เมื่อ AI agentic เข้ามาแทนที่ขั้นตอนหลาย ๆ อย่างในกระบวนการจัดการภัยคุกคาม ทีม SOC (Security Operations Center) จะต้องปรับโครงสร้างการทำงานใหม่ นักวิเคราะห์อาจเปลี่ยนบทบาทจากการ “ตรวจจับและตอบสนอง” ไปเป็น “ควบคุมและตรวจสอบผลลัพธ์ของ AI” ซึ่งอาจลดอัตราการเกิดภาวะ burnout อย่างมีนัยสำคัญ

ในระดับองค์กร การนำ AI agentic ไปใช้ยังอาจส่งผลต่อการจัดสรรงบประมาณด้านความปลอดภัย เนื่องจากความต้องการลงทุนในโซลูชันอัตโนมัติที่มีความซับซ้อนสูงอาจเพิ่มค่าใช้จ่ายเบื้องต้น แต่ในระยะยาวคาดว่าจะทำให้ค่าใช้จ่ายในการจัดการเหตุการณ์และผลกระทบจากการรั่วไหลข้อมูลลดลง

Future Outlook

ตลาดเทคโนโลยีความปลอดภัยกำลังมองหาโซลูชันที่สามารถทำงานแบบ agentic อย่างเต็มรูปแบบ เพื่อตอบสนองต่อความซับซ้อนของภัยคุกคามที่เพิ่มขึ้นอย่างต่อเนื่อง ผู้ให้บริการหลายรายเริ่มประกาศแผนพัฒนาแพลตฟอร์ม AI agentic ที่สามารถทำงานร่วมกับเครื่องมือที่มีอยู่เดิมได้อย่างไร้รอยต่อ

อย่างไรก็ตาม ความสำเร็จของการเปลี่ยนผ่านนี้จะขึ้นอยู่กับการสร้างความเชื่อมั่นระหว่างมนุษย์และระบบอัตโนมัติ การกำหนดกรอบการทำงานที่ชัดเจนและการตรวจสอบผลลัพธ์อย่างต่อเนื่องจะเป็นปัจจัยสำคัญในการทำให้ AI agentic กลายเป็นส่วนหนึ่งของกระบวนการจัดการภัยคุกคามอย่างยั่งยืน

Summary

การเปลี่ยนจาก AI assistive ไปสู่ AI agentic มีศักยภาพในการลดระยะเวลา dwell time ของการรั่วไหลข้อมูลและบรรเทาภาระงานของนักวิเคราะห์ความปลอดภัย อย่างไรก็ตาม การนำ AI agentic มาใช้ต้องคำนึงถึงความเสี่ยงจากการทำงานอัตโนมัติที่อาจเกิด false positive และต้องมีการตรวจสอบอย่างต่อเนื่องเพื่อให้ได้ผลลัพธ์ที่แม่นยำและปลอดภัยต่อองค์กร.