OpenAI ถูกเปิดเผยว่าอยู่ระหว่างเจรจาซื้อกิจการ Trail of Bits ทำไมบริษัทโมเดลถึงเริ่มแย่งทีมความปลอดภัย?

ต้นฉบับ | Odaily星球日报（@OdailyChina）

ผู้เขียน | 速递侠@Odaily星球日报

จากรายงานของสื่อต่างประเทศ The Information OpenAI กำลังอยู่ในการเจรจาเพื่อเข้าซื้อกิจการบริษัทความมั่นคงปลอดภัยไซเบอร์สัญชาติอเมริกัน Trail of Bits ในระยะเริ่มต้น ยังไม่มีการเปิดเผยมูลค่าดีล และทั้งสองฝ่ายยังไม่ยืนยันข่าวนี้ต่อสาธารณะรายงานระบุว่า เป้าหมายหลักของดีลที่อาจเกิดขึ้นนี้ คือการช่วยให้ OpenAI สร้างสายธุรกิจความมั่นคงปลอดภัยไซเบอร์ที่สมบูรณ์ยิ่งขึ้น

Trail of Bits ก่อตั้งขึ้นในปี 2012 เริ่มต้นโดยนักวิจัยด้านความปลอดภัยสามคนโดยไม่มีการระดมทุนจากภายนอก ปัจจุบันมีพนักงานประมาณสี่สิบคน บริษัทไม่ได้ขายจุดขายเรื่อง "ออกรายงานเร็ว" แต่ผสานการวิจัย การพัฒนาเครื่องมือ และการตรวจสอบจริงเข้าไว้ด้วยกัน มีความเชี่ยวชาญสะสมเชิงลึกในด้านวิทยาการเข้ารหัสลับ ระบบระดับล่าง ความมั่นคงปลอดภัยของแอปพลิเคชัน และความมั่นคงปลอดภัยบล็อกเชน โดยเฉพาะในด้านการตรวจสอบสัญญาอัจฉริยะที่มีชื่อเสียงค่อนข้างแข็งแกร่ง โครงการอย่าง Uniswap, Aave, Worldcoin, Arbitrum ต่างเคยว่าจ้างให้บริษัทตรวจสอบ เครื่องมือโอเพนซอร์สที่บริษัทดูแลเองอย่าง Slither, Echidna, Manticore ได้กลายเป็นเครื่องมือมาตรฐานที่ทีมบล็อกเชนจำนวนไม่น้อยใช้งานเป็นประจำ

ข้อมูลสาธารณะแสดงให้เห็นว่า รายชื่อลูกค้าของ Trail of Bits ไม่ได้จำกัดอยู่แค่โครงการคริปโตเท่านั้น บริษัทเข้าร่วมโครงการที่เกี่ยวข้องกับ DARPA มาเป็นเวลานาน เคยได้อันดับที่ดีในการแข่งขัน Cyber Grand Challenge และในปีหลัง ๆ ยังได้เข้าร่วม AI Cyber Challenge ด้วย วิธีการที่บริษัททำมาโดยตลอดคือนำวิธีการที่ตกผลึกจากการวิจัยออกมาเปิดเป็นโอเพนซอร์ส แทนที่จะล็อกความรู้ไว้ในรายงานให้ลูกค้าเท่านั้น สไตล์นี้ทำให้บริษัทค่อนข้างพิเศษในวงการความปลอดภัย กล่าวคือ ทั้งรับงานตรวจสอบแบบปรับแต่งเฉพาะในราคาสูง และส่งเครื่องมือกับงานวิจัยออกสู่สาธารณะอย่างต่อเนื่อง

ที่จริงแล้วตั้งแต่เดือนมิถุนายนของปีนี้ ทั้งสองฝ่ายก็มีความร่วมมือจริงเกิดขึ้นแล้ว OpenAI กับ Trail of Bits ได้ร่วมกันเปิดตัวโครงการริเริ่ม "Patch the Planet" ซึ่งเป็นส่วนหนึ่งของแผน Daybreak ของ OpenAI มีจุดมุ่งหมายเพื่อใช้โมเดลที่ OpenAI มีความสามารถค่อนข้างแข็งแกร่งในตอนนั้น (รวมถึง GPT-5.5-Cyber) ไปสแกนโครงการโอเพนซอร์ส จากนั้นวิศวกรของ Trail of Bits จะทำการตรวจสอบ ทำซ้ำ เขียนแพตช์ และประสานงานกับผู้ดูแลเพื่อรวมโค้ด แทนที่จะโยนผลลัพธ์จากโมเดลให้โครงการโอเพนซอร์สโดยตรง

การเร่งงานในสัปดาห์แรกครอบคลุม 19 โครงการ รวมถึงไลบรารีพื้นฐานและองค์ประกอบโครงสร้างพื้นฐานอย่าง cURL, Python, Go, pyca/cryptography, Sigstore, aiohttp, NATS เป็นต้น จากข้อมูลที่ Trail of Bits เปิดเผย ความร่วมมือครั้งนี้พบปัญหาหลายร้อยรายการ ส่ง Pull Request 64 รายการ และ Issue 51 รายการ โดยในจำนวนนี้มี 37 แพตช์ที่ถูกรวมแล้วในขณะที่ประกาศ การติดตามในภายหลังแสดงให้เห็นว่าถึงราวกลางเดือนกันยายน ในบรรดา PR 186 รายการที่มีผลลัพธ์แล้ว ประมาณ 68% ถูกรวมโดยผู้ดูแล โดยส่วนใหญ่เป็นข้อเสนอเดิมที่ได้รับการยอมรับโดยแทบไม่มีการแก้ไขที่เกี่ยวข้องกับความปลอดภัย เหตุผลหลักที่ผู้ดูแลปิด PR ที่ไม่ได้ถูกรวม คือถูกแทนที่ด้วยงานอื่นหรืออยู่นอกขอบเขต มีน้อยมากที่ถูกปฏิเสธด้วยเหตุผลทางเทคนิคอย่างชัดเจน

ผู้ดูแลโครงการโอเพนซอร์สต้องเผชิญกับปัญหา "รายงานมากเกินไป คนไม่พอ" มาเป็นเวลานาน โมเดลสามารถเร่งการค้นพบได้ แต่ก็ขยายสัญญาณรบกวนให้มากขึ้นด้วย Trail of Bits ทำหน้าที่เป็นชั้นกรองและทำงานแพตช์ตรงกลาง เท่ากับผูก "การค้นพบ" และ "การแก้ไข" เข้าไว้ด้วยกัน ผู้ดูแลโครงการบางรายให้ข้อมูลย้อนหลังว่า เมื่อเทียบกับรายงาน AI จำนวนมากที่เคยได้รับในอดีต ครั้งนี้รายงานมีคุณภาพสูงกว่า มีการทำซ้ำที่ถูกต้องและคำอธิบายผลกระทบที่ชัดเจน

สำหรับ OpenAI ความร่วมมือครั้งนี้เท่ากับเป็นการทดสอบประสิทธิภาพของโมเดลในงานด้านความปลอดภัยในสถานการณ์จริง และยังพิสูจน์ว่าการผสมผสาน "โมเดล + วิศวกรความปลอดภัยมืออาชีพ" สามารถเดินหน้าได้จริงหรือไม่ หากการเข้าซื้อกิจการเกิดขึ้นในที่สุด สิ่งที่ OpenAI จะได้มาคือกลุ่มคนที่ทำงานวิจัยความปลอดภัยระดับรากฐานมาอย่างยาวนาน เขียนเครื่องมือเป็น และคุ้นเคยกับการทำงานร่วมกับชุมชนโอเพนซอร์ส

ในปัจจุบัน บริษัทโมเดลต้องเผชิญแรงกดดันด้านความปลอดภัยไม่น้อย เมื่อความสามารถของโมเดลเพิ่มขึ้น ก็ยิ่งใช้ค้นหาช่องโหว่ได้ แต่ก็ยิ่งถูกใช้โจมตีได้ง่ายขึ้นด้วย OpenAI เองก็ผลักดันผลิตภัณฑ์ด้านการป้องกันอย่าง Daybreak เช่นกัน การดึงทีมอย่าง Trail of Bits เข้ามาไว้ในบ้าน เท่ากับเติมกำลังวิจัยภายในที่สามารถผลิตขีดความสามารถและเครื่องมือด้านความปลอดภัยได้อย่างต่อเนื่อง

ในมุมที่กว้างขึ้น การที่บริษัทแบบดั้งเดิมเสริมขีดความสามารถด้านความปลอดภัยคริปโตหรือบนเชนผ่านการเข้าซื้อกิจการนั้นเกิดขึ้นมาแล้วหลายรอบ

ในปี 2021 Mastercard เข้าซื้อ CipherTrace ซึ่งทำเครื่องมือวิเคราะห์บล็อกเชนและต่อต้านการฟอกเงินสำหรับสกุลเงินคริปโต ให้บริการธนาคาร ตลาดแลกเปลี่ยน และหน่วยงานกำกับดูแลเป็นหลัก หลังการเข้าซื้อ ขีดความสามารถส่วนนี้ถูกผสานเข้ากับระบบควบคุมความเสี่ยงและการปฏิบัติตามกฎระเบียบด้านสินทรัพย์ดิจิทัลของ Mastercard

ในปี 2020 PwC สวิตเซอร์แลนด์ได้นำทีม ChainSecurity ที่แยกตัวออกมาจาก ETH Zurich เข้ามา เสริมความสามารถด้านการตรวจสอบสัญญาอัจฉริยะและการพิสูจน์เชิงรูปแบบ เพื่อให้บริการลูกค้าที่มีความต้องการเกี่ยวข้องกับสินทรัพย์คริปโต

ในเดือนกันยายนปีนี้ S&P Global ประกาศข้อตกลงเข้าซื้อ OpenZeppelin OpenZeppelin ดูแลไลบรารีสัญญาอัจฉริยะโอเพนซอร์สที่ถูกใช้งานอย่างแพร่หลาย และยังเคยตรวจสอบความปลอดภัยจำนวนมาก เจตนาของ S&P คือการนำความเสี่ยงทางเทคโนโลยีบนเชนเข้าสู่กรอบการจัดอันดับและการประเมินความเสี่ยงของตนเอง หลังการเข้าซื้อ OpenZeppelin จะยังดำเนินงานอย่างอิสระต่อไป โดยรักษาแบรนด์และผู้รับผิดชอบหลักไว้（แนะนำให้อ่าน《為世界評級的標普，買了家加密安全公司》）

จุดร่วมของดีลเหล่านี้ชัดเจนมาก ผู้เข้าซื้อส่วนใหญ่ไม่ได้ต้องการเปลี่ยนธุรกิจทั้งตัวไปทำคริปโต แต่เล็งเห็นขีดความสามารถเฉพาะทางที่ตนขาดไป ไม่ว่าจะเป็นการตรวจสอบเพื่อปฏิบัติตามกฎระเบียบ การตรวจสอบสัญญาอัจฉริยะ หรือความเสี่ยงทางเทคโนโลยีบนเชน เพื่อให้บริการลูกค้าสถาบันที่มีอยู่ หรือเสริมสร้างโครงสร้างพื้นฐานของตนเอง

หาก OpenAI ผลักดันดีลนี้ เป้าหมายก็คงคล้ายกัน กล่าวคือในระยะที่ความสามารถของโมเดลพุ่งสูงขึ้นอย่างรวดเร็วและความต้องการด้านความปลอดภัยเพิ่มขึ้นพร้อมกัน ก็เติมขีดความสามารถด้านการวิจัยและการดำเนินการด้านความปลอดภัยระดับมืออาชีพที่ผ่านการพิสูจน์แล้วเข้าสักหนึ่งส่วน ปัจจุบันการเจรจายังอยู่ในระยะเริ่มต้น ยังไม่มีการยืนยันอย่างเป็นทางการ และยังไม่มีข้อมูลราคารั่วไหลออกมา

สำหรับบริษัทอย่าง Trail of Bits ที่คุ้นเคยกับการเปิดเผยเครื่องมือและผลงานวิจัยต่อสาธารณะ หลังจากถูกหน่วยงานขนาดใหญ่กว่าเข้าเทคโอเวอร์ ระดับความเปิดกว้างของงานวิจัยจะเปลี่ยนแปลงหรือไม่ กลายเป็นจุดที่外界ให้ความสนใจ สำหรับระบบนิเวศความปลอดภัยโอเพนซอร์ส หากบริษัทโมเดลจำนวนมากขึ้นดึงทีมความปลอดภัยมืออาชีพเข้ามาไว้ในบ้านโดยตรง ในอนาคตจังหวะของ "การค้นพบช่องโหว่" และ "การแก้ไขช่องโหว่" อาจยิ่งห่างกันออกไป