ปิดช่องโหว่โครงสร้างพื้นฐาน เหตุผลที่ การกำกับดูแล AI ต้องทำร่วมกัน

เมื่อภัยคุกคามไซเบอร์พุ่งเป้าโครงสร้างพื้นฐาน รัฐและเอกชนต้องร่วมมือกันปิดช่องโหว่ ด้วยโมเดล การกำกับดูแล AI แบบ Co-governance

ในรอบปีที่ผ่านมา เอเชียตะวันออกเฉียงใต้ดึงดูดเงินลงทุนด้านโครงสร้างพื้นฐาน AI มากกว่า 55,000 ล้านดอลลาร์สหรัฐ และคาดว่าจะเติบโตขึ้น 180% ภายในปี 2573 ซึ่งรวดเร็วกว่าภูมิภาคอื่นในเอเชียแปซิฟิก

AI ไม่ได้เป็นเพียงฟีเจอร์หรือส่วนเสริมสำหรับโครงสร้างพื้นฐานระบบไอทีอีกต่อไป แต่กำลังกลายเป็นหัวใจหลักในการดำเนินงานของระบบ สำหรับประเทศไทย หน่วยงานภาครัฐ เช่น กรมศุลกากรได้นำ AI มาใช้ในการวิเคราะห์สินค้าส่งออก เพื่อเพิ่มประสิทธิภาพในการจัดเก็บภาษี รวมถึงการคัดกรองยาเสพติดและสินค้าผิดกฎหมาย

มาเลเซียที่กำลังขยายโครงสร้างพื้นฐานและโครงข่ายไฟฟ้า โดยนำ AI มาใช้เป็นส่วนหนึ่งของระบบการบริการจัดการพลังงาน ขณะที่เวียดนามเป็นประเทศแรกในภูมิภาคที่ผ่านร่างกฎหมาย AI ส่วนอินโดนีเซียกำลังจะนำ AI มาใช้ในระบบขนส่ง ระบบพลังงาน และบริการสาธารณะ

สิงคโปร์เป็นผู้นำในภูมิภาคสำหรับการเปลี่ยนแปลงนี้ โครงการ AI แห่งชาติที่ระบุไว้ในงบประมาณปี 2573 ครอบคลุมการนำ AI ไปใช้ภาคการผลิตขั้นสูง การเชื่อมต่อเครือข่าย การเงิน และสาธารณสุข ซึ่งสะท้อนให้เห็นว่า AI ได้ฝังตัวอยู่ในกลไกหลักของระบบเศรษฐกิจแล้ว สำนักงานเทคโนโลยีของรัฐบาล (Government Technology Agency) กำลังพัฒนาระบบทะเบียน AI agent เพื่อติดตามว่า AI agent แต่ละตัวเป็นของหน่วยงานใดและทำหน้าที่อะไร

โดยระบบนี้จะครอบคลุม AI agent ที่ใช้งานอยู่ทั่วทั้งหน่วยงานภาครัฐซึ่งมีเจ้าหน้าที่กว่า 150,000 คน สะท้อนให้เห็นว่า agentic AI ไม่ใช่แค่แนวคิดนำร่องอีกต่อไป แต่กลายเป็นระบบที่ถูกใช้งานจริงในการปฏิบัติงาน

เมื่อมีการนำ AI มาใช้มากขึ้น รัฐบาลต่างๆ จึงต้องเร่งเสริมความแข็งแกร่งควบคู่กับความเสถียรและการดูแลระบบมากขึ้น ในสิงคโปร์ หน่วยงานความมั่นคงปลอดภัยไซเบอร์แห่งสิงคโปร์ (Cyber Security Agency of Singapore) ได้ประกาศแผนยกระดับมาตรฐานความมั่นคงปลอดภัยไซเบอร์สำหรับผู้ดูแลโครงสร้างพื้นฐานข้อมูลสำคัญ (Critical Information Infrastructure หรือ CII) โดยกำหนดให้ต้องได้รับการรับรอง Cyber Trust Mark ในระดับสูงสุดภายในปี 2570 เพื่อเสริมสร้างรากฐานความปลอดภัยไซเบอร์และรับมือกับความเสี่ยงในห่วงโซ่อุปทาน

ความจำเป็นเร่งด่วนของมาตรการเหล่านี้มีเหตุมีผลและความจำเป็นที่ชัดเจน เพราะแม้แต่หน่วยงานกำกับดูแลที่มีความพร้อมที่สุด ก็ยังไม่สามารถรับมือกับความเปลี่ยนแปลงที่เกิดขึ้นในยุค AI ได้ Frontier AI ได้เปลี่ยนแปลงรูปแบบและสภาพแวดล้อมของภัยคุกคามไปอย่างสิ้นเชิง ทำให้ความมั่นคงปลอดภัยไซเบอร์กลายเป็นการต่อสู้แบบเรียลไทม์ระหว่าง AI ต่อ AI

โดย AI agent ที่ทำงานอัตโนมัติสามารถโจมตีช่องโหว่และขโมยข้อมูลสำคัญได้ภายในเวลาไม่กี่นาที ทำให้กรอบเวลาการรายงาน 72 ชั่วโมงที่เป็นพื้นฐานของกรอบกำกับดูแลส่วนใหญ่ไม่มีความหมายอีกต่อไป ระบบการกำกับดูแลแบบเดิมที่ออกแบบมาสำหรับโลกที่ภัยคุกคามเคลื่อนไหวด้วยความเร็วระดับมนุษย์นั้นไม่ได้ถูกออกแบบมาเพื่อรองรับสถานการณ์เช่นนี้ คำถามจึงไม่ใช่ว่า ควรจะต้องทำหรือไม่ แต่คือ จะทำอย่างไรให้รับมือกับภัยคุกคามจากระบบ AI นี้ได้ทัน

อีกประเด็นหนึ่งที่ต้องพิจารณาคือ ระบบ AI จำนวนมากที่ฝังตัวอยู่ในโครงสร้างพื้นฐานสำคัญในปัจจุบันถูกสร้าง ฝึกฝน อัปเดต หรือโฮสต์อยู่นอกองค์กร และบางครั้งอยู่นอกประเทศที่ใช้งานด้วยซ้ำ สิ่งนี้สร้างความไม่สบายใจให้กับรัฐบาล เพราะเมื่อระบบล้มเหลว หน่วยงานรัฐยังคงต้องรับผิดชอบกับสิ่งที่เกิดขึ้น แต่กลับสามารถมองเห็นระบบได้อย่างจำกัดว่าระบบเหล่านั้นทำงานอย่างไร (Limited Visibility) งานวิจัยทั่วภูมิภาคเอเชียแปซิฟิกชี้ให้เห็นว่า ช่องว่างในการเข้าถึงระบบนี้เป็นจุดอ่อนเชิงโครงสร้าง เนื่องจาก AI กำลังกลายเป็นโครงสร้างพื้นฐานในตัวของมันเอง

เหตุใดความร่วมมือระหว่างภาครัฐและเอกชนในรูปแบบเดิมจึงไม่เพียงพออีกต่อไป

ในทางทฤษฎี ความร่วมมือระหว่างภาครัฐและเอกชนควรจะต้องปิดช่องว่างนี้ได้ แต่ในทางปฏิบัติ ความร่วมมือส่วนใหญ่ในภูมิภาคยังคงเป็นแบบธุรกรรมมากกว่าเชิงยุทธศาสตร์ โดยความร่วมมือจริงที่เกิดขึ้นมักจำกัดอยู่ที่ การจัดซื้อจัดจ้าง โครงการนำร่อง และข้อผูกพันตามสัญญา โดยให้ความสนใจต่อการบริหารจัดการระบบ AI ในระยะยาวน้อยมาก

การกำกับดูแลของรัฐก็มักจะเป็นแบบการตั้งรับเช่นกัน รัฐบาลและภาคเอกชนมักจะร่วมมือกันรับมือกับภัยคุกคามภายหลังจากเหตุการณ์เกิดขึ้นแล้ว แทนที่จะบริหารความเสี่ยงและเรียนรู้ร่วมกันอย่างต่อเนื่อง รูปแบบนี้อาจเคยได้ผลกับโครงสร้างพื้นฐานไอทีแบบ static หรือเทคโนโลยีที่คาดการณ์ได้ แต่ไม่เหมาะสมกับการรับมือกับ AI ซึ่งมีความสามารถในการปรับตัวและสร้างผลกระทบต่อเนื่องเป็นลูกโซ่ไปยังระบบอื่นๆ ที่เชื่อมโยงกัน

ปัญหานี้ยิ่งซับซ้อนมากขึ้นไปอีกจากความแตกต่างในการเข้าถึงข้อมูลของภาครัฐและเอกชน บริษัทที่สร้างและรันระบบเหล่านี้เข้าใจระบบอย่างลึกซึ้ง ในขณะที่หน่วยงานกำกับดูแลมักมองเห็นเพียงผลลัพธ์ ไม่ใช่วิธีการทำงานจริงของระบบ

เมื่อมองเห็นระบบได้อย่างจำกัด ในการพัฒนา อัปเดต หรือทดสอบโมเดล AI หน่วยงานกำกับดูแลจึงต้องคอยตอบสนองต่อผลลัพธ์แทนที่จะป้องกันความเสี่ยงล่วงหน้า ในสถานการณ์เช่นนี้ ไม่มีฝ่ายใดสามารถคาดการณ์หรือจัดการความล้มเหลวของระบบที่อาจจะลุกลาม ไปทั่วอุตสาหกรรมได้ด้วยตัวเอง

ขณะที่ประเทศชั้นนำอย่างสิงคโปร์ ก้าวหน้าไปไกลกว่าประเทศอื่น ตั้งแต่ Cyber Trust Mark ไปจนถึงระบบทะเบียน AI agent ใหม่ สะท้อนความเข้าใจว่าการรับรองความน่าเชื่อถือต้องเริ่มต้นตั้งแต่ก่อนนำไปใช้งาน ไม่ใช่ตามแก้ไขเมื่อเกิดปัญหา

แต่ถึงแม้ว่าจะมีความพยายามในการเตรียมความพร้อมแค่ไหน สิงคโปร์ก็ยังคงเผชิญกับข้อจำกัดในห่วงโซ่อุปทานของ AI ที่เปลี่ยนแปลงตลอดเวลา การพึ่งพาระบบข้ามพรมแดน และความซับซ้อนของเทคโนโลยี ในการป้องกันภัยคุกคามจาก AI จึงต้องมีโมเดล “การกำกับดูแลร่วมกัน” (Co-governance) ที่มีการแบ่งปันความเสี่ยงในลักษณะที่ค่อยเป็นค่อยไปมากขึ้น เพื่อจัดการภัยคุกคามเชิงโครงสร้างอย่างเต็มรูปแบบ

โมเดลการกำกับดูแลร่วมกันเป็นอย่างไร (Co-Governance)

การจัดการกับช่องว่างนี้ ประเทศในภูมิภาคเอเชียแปซิฟิกต้องก้าวข้ามจากการปฏิบัติตามกฎระเบียบ ไปสู่ “การกำกับดูแลร่วมกัน” (co-governance) ซึ่งเป็นแนวทางที่รัฐบาลและเอกชนทำงานควบคู่กัน กรอบการกำกับดูแล Agentic AI Governance Framework หรือกรอบการกำกับดูแล Agentic AI ที่สิงคโปร์ประกาศล่าสุดของเป็นต้นแบบที่ดีที่สร้างขึ้นบนรากฐานที่สำคัญ 4 ประการ ได้แก่

1.การประเมินและกำหนดขอบเขตความเสี่ยงล่วงหน้า

2.การรับประกันความรับผิดชอบของมนุษย์

3.การนำมาตรการควบคุมทางเทคนิคมาใช้

4.การส่งเสริมความรับผิดชอบต่อระบบของผู้ใช้งาน

โครงสร้างนี้ ได้ถูกพัฒนาร่วมกันระหว่างหน่วยงานรัฐและภาคเอกชน และเป็นสิ่งที่ประเทศต่างๆ ควรนำไปปรับใช้ โดยมีมนุษย์เป็นศูนย์กลาง (Human-centric) เพื่อให้แน่ใจว่า AI จะเข้ามาช่วยเพิ่มศักยภาพการทำงานให้กับมนุษย์แทนที่จะเข้ามาแย่งการตัดสินใจที่สำคัญและมีความเสี่ยงสูง

ประการแรก ทั้งสองฝ่ายต้องร่วมมือกันระบุความเสี่ยงตั้งแต่ต้น ซึ่งหมายถึงการทบทวนการออกแบบระบบ AI อย่างสม่ำเสมอ ทดสอบการประเมินความเสี่ยง และพยายามค้นหาจุดอ่อนก่อนที่ระบบจะถูกนำไปใช้งาน

ประการที่สอง การจำลองเหตุการณ์ (incident simulation) การทดสอบด้านไซเบอร์ที่จำลองเหตุการณ์การหยุดชะงักของระบบ ช่วยให้รัฐบาลและผู้ดำเนินการโครงสร้างพื้นฐานฝึกฝนและทดสอบความเสียหาย ช่องทางการสื่อสาร และการประสานงานข้ามหน่วยงาน ในกรณีที่ระบบเกิดล้มเหลวเพราะ AI

ประการที่สาม มาตรฐานและเกณฑ์การรับรองพื้นฐาน ต้องได้รับการพัฒนาร่วมกันโดยหน่วยงานรัฐและเอกชน เมื่อเกณฑ์ความปลอดภัยและมาตรฐานการประเมินถูกออกแบบร่วมกัน จะสะท้อนทั้งความคาดหวังของภาครัฐ และการปฏิบัติจริงของภาคเอกชน ซึ่งจะช่วยลดความเสี่ยง และความคลุมเครือในการสื่อสาร

ประการที่สี่ พื้นที่สำหรับทดสอบ AI (testbed) สำหรับโครงสร้างพื้นฐานสำคัญเป็นสิ่งจำเป็น พื้นที่ควบคุมเหล่านี้ช่วยให้องค์กรสามารถทดลองระบบใหม่หรือการอัปเดตได้อย่างปลอดภัยก่อนนำไปใช้งานจริง

ประการสุดท้าย การกำกับดูแลร่วมกัน ต้องมีวิธีการที่ชัดเจน สำหรับรัฐบาลในการทำความเข้าใจว่าระบบ AI ที่สำคัญๆ ทำงานอย่างไร เช่น โมเดลมาจากไหน ได้รับการอัปเดตอย่างไร และตอบสนองอย่างไรภายใต้แรงกดดัน เป้าหมายไม่ใช่การเปิดเผยเทคโนโลยีที่เป็นกรรมสิทธิ์ แต่เพื่อให้แน่ใจว่าระบบมีความน่าเชื่อถือก่อนที่จะนำไปใช้ เพื่อป้องกันปัญหาที่อาจเกิดขึ้น

ระบบทะเบียน AI agent ของสิงคโปร์เป็นตัวอย่างที่เป็นรูปธรรม ระบบนี้พัฒนาขึ้นและทดสอบใน regulatory sandbox ก่อนนำไปใช้จริง ช่วยให้รัฐบาลสามารถมองเห็นข้อมูลในเชิงโครงสร้างว่า ใครเป็นเจ้าของ และการทำงานของ AI agent ทำหน้าที่อะไรบ้าง ระบบนี้จะครอบคลุมการใช้งาน AI ของเจ้าหน้าที่รัฐกว่า 150,000 คน โดยที่ผู้ให้บริการระบบเปิดเผยข้อมูลที่จำเป็น เพื่อให้เกิดกลไกในการกำกับดูแลร่วมกัน

จุดเปลี่ยนสำคัญของภูมิภาคเอเชียแปซิฟิก

เดิมพันครั้งนี้สูงมากสำหรับภูมิภาคเอเชียแปซิฟิก เนื่องจากแนวทางการออกกฎหมาย AI ที่ต่างคนต่างทำส่งผลให้การป้องกันภัยคุกคามของแต่ละประเทศไม่เท่ากัน ก่อให้เกิดช่องว่างระหว่างพรมแดนที่แฮกเกอร์สามารถใช้ประโยชน์ในการโจมตีได้

ในอินโดนีเซีย โครงการนำร่องเมืองอัจฉริยะและการเพิ่มประสิทธิภาพโครงข่ายไฟฟ้ากำลังก้าวหน้าอย่างรวดเร็ว แต่ตัวกฎหมายและโครงสร้างพื้นฐานด้านความปลอดภัยไซเบอร์กลับมีความเหลื่อมล้ำสูงและพัฒนาตามไม่ทัน ในอินเดียความหลากหลายของระบบสหพันธรัฐส่งเสริมให้เกิดนวัตกรรมใหม่ๆ เป็นจำนวนมาก แต่ก็มีผลกระทบทำให้มาตรฐานด้านความปลอดภัยและความรับผิดชอบไม่ชัดเจน

ในออสเตรเลีย แม้จะมีพระราชบัญญัติความมั่นคงของโครงสร้างพื้นฐานสำคัญ (Security of Critical Infrastructure Act) แต่เครื่องมือในการตรวจสอบและการรับรองเฉพาะด้าน AI ยังอยู่ระหว่างการพัฒนา สิ่งนี้สะท้อนว่า ประเทศต่างๆ ในภูมิภาคยังคงเผชิญกับแรงกดดันที่แตกต่างกัน แต่ทุกประเทศมีความท้าทายเชิงโครงสร้างร่วมกันคือ ทุกประเทศกำลังนำ AI ไปใช้งานในระดับ โครงสร้างพื้นฐานสำคัญ ซึ่งเป็นการเปลี่ยนแปลงที่รวดเร็วกว่าที่การกำกับดูแลของภาครัฐจะตามทัน

ที่สำคัญคือ ช่องว่างด้านการกำกับดูแลนี้กำลังถูกแฮกเกอร์ใช้ประโยชน์ โดยนำ AI มาเป็นอาวุธในการโจมตีที่มีรวดเร็วและซับซ้อนมากขึ้น โดยใช้ AI ในการตรวจสอบช่องโหว่ทั้งในสภาพแวดล้อมด้าน IT และเทคโนโลยีเชิงปฏิบัติการ (OT)

เนื่องจากโครงสร้างพื้นฐานสำคัญส่วนใหญ่ดำเนินการโดยภาคเอกชน แต่ได้รับการดูแลโดยกรอบความมั่นคงแห่งชาติของรัฐ การป้องกันภัยคุกคามแบบไซโลจึงไม่เหมาะสมอีกต่อไป การป้องกันภัยคุกคามที่ขับเคลื่อนด้วย AI ต้องการการเปลี่ยนแปลงกระบวนทัศน์ในระดับโครงสร้าง

เราต้องก้าวข้าม “การปฏิบัติตามกฎระเบียบ” ไปสู่การบูรณาการการกำกับดูแลร่วมกันระหว่างภาครัฐและเอกชน มีเพียงแนวทางการป้องกันที่ออกแบบร่วมกันบนแพลตฟอร์มเดียวกันเท่านั้น ที่จะสามารถปิดช่องว่างของภัยคุกคามจาก AI ได้

ภูมิภาคนี้กำลังอยู่ระหว่าทางเลือกว่า จะเดินหน้าต่อไปแบบเดิม ตั้งรับเมื่อเกิดปัญหาเป็นครั้งๆ และเผชิญหน้ากับภัยคุกคามที่รุนแรงมากขึ้นเรื่อยๆ หรือจะสามารถก้าวไปสู่ทำงานร่วมกันได้ การกำกับดูแลร่วมกัน ช่วยให้สามารถแบ่งปันข่าวกรองภัยคุกคามแบบเรียลไทม์ พลิกโฉมความมั่นคงปลอดภัยไซเบอร์ภาครัฐจากการตั้งรับให้กลายเป็นการป้องกันเชิงรุกที่เป็นหนึ่งเดียว เรื่องนี้ไม่ใช่เป็นเพียงทฤษฎี แต่กำลังจะไปสู่การปฏิบัติอย่างเป็นรูปธรรม

บทความโดย โดย นิโคล ควินน์ (Nicole Quinn) Palo Alto Network