การตรวจหาช่องโหว่โดยอัตโนมัติกำลังเผชิญกับปัญหาคอขวดในการคัดกรองและการแก้ไข

ปัญหาเรื่องขนาดที่ล้นหลามของการค้นหาช่องโหว่โดยอัตโนมัติ

การบูรณาการระบบสแกนอัตโนมัติและเครื่องมือค้นหาช่องโหว่ขั้นสูง เช่น ระบบที่ถูกวิเคราะห์ใน Project Glasswing ได้เร่งอัตราการตรวจพบ zero-day และข้อบกพร่องในซอร์สโค้ดให้เร็วขึ้นอย่างมาก อย่างไรก็ตาม ทีมรักษาความปลอดภัยกำลังเผชิญกับอุปสรรคสำคัญในการปฏิบัติงาน นั่นคือปัญหาคอขวดจากการคัดกรองโดยมนุษย์ แม้จะมีรายงานที่ไหลทะลักออกมาจากระบบอัตโนมัติ แต่ผลการประเมินล่าสุดเผยให้เห็นว่ามีช่องโหว่เพียงส่วนน้อยเท่านั้นที่เข้าสู่กระบวนการเปิดเผยข้อมูลอย่างเป็นทางการ (coordinated disclosure) และมีเพียงเสี้ยวเล็กๆ เท่านั้นที่ได้รับการแก้ไขอย่างสำเร็จ

ระบบอัตโนมัติสามารถค้นพบเส้นทางของโค้ดและข้อบกพร่องที่อาจเกิดขึ้นในซอฟต์แวร์ได้นับพันรายการภายในเวลาไม่กี่วินาที แต่การตรวจสอบความเป็นไปได้ในการโจมตี (exploitability) การยืนยันกรณีเฉพาะ (edge cases) การกำหนดคะแนนความรุนแรง และการพัฒนาแพตช์ซอฟต์แวร์ที่ทนทาน ยังคงจำเป็นต้องอาศัยวิศวกรที่มีประสบการณ์ ผู้ดูแลซอฟต์แวร์และนักวิเคราะห์ความปลอดภัยพบว่ารายการงานค้าง (backlogs) ของพวกเขานั้นเต็มไปด้วยผลลัพธ์ที่เป็นบวกปลอม (false positives) ข้อมูลที่ซ้ำซ้อน หรือปัญหาทางสถาปัตยกรรมที่ซับซ้อนซึ่งไม่สามารถแก้ไขได้ในเวลาอันสั้น ความแตกต่างที่เพิ่มมากขึ้นระหว่างความเร็วในการตรวจหาช่องโหว่กับความสามารถในการแก้ไขโดยมนุษย์นี้ ถือเป็นภัยคุกคามร้ายแรงต่อระบบนิเวศของซอฟต์แวร์ในระดับองค์กร

ข้อเสนอแนะเชิงกลยุทธ์สำหรับผู้นำด้านความปลอดภัย

องค์กรต้องปรับเปลี่ยนโปรแกรม AppSec ของตนเพื่อป้องกันการเป็นอัมพาตในการปฏิบัติงาน:

• เน้นความเป็นไปได้ในการโจมตีมากกว่าปริมาณ: เปลี่ยนเวิร์กโฟลว์การคัดกรองจากคะแนน Common Vulnerability Scoring System (CVSS) แบบทั่วไป ไปสู่โมเดลความเสี่ยงตามบริบท เช่น แคตตาล็อก Known Exploited Vulnerabilities (KEV) และระบบ Exploit Prediction Scoring System (EPSS)
• ยกระดับการกรองโดยอัตโนมัติ: ปรับใช้ไปป์ไลน์การตรวจสอบชั้นที่สองที่สามารถยืนยัน proof-of-concepts (PoCs) ที่ทำซ้ำได้จริงก่อนที่จะมอบหมายงานให้กับวิศวกร
• สนับสนุนผู้ดูแล Open-Source: องค์กรที่ใช้ซอฟต์แวร์ควรจัดสรรทรัพยากรโดยตรงหรือชั่วโมงการทำงานของวิศวกรความปลอดภัยเฉพาะทาง เพื่อสนับสนุนที่เก็บซอฟต์แวร์ต้นทาง (upstream repositories) ของบุคคลที่สามที่ธุรกิจหลักขององค์กรต้องพึ่งพา

---

แหล่งที่มา: Dark Reading เผยแพร่ครั้งแรก: Wed, 09 Sep 2026 21:19:55 GMT บทความต้นฉบับ: อ่านต้นฉบับ