มัลแวร์ที่ถูกเขียนด้วยวิธี Vibe Coding กำลังระบาดเกลื่อนเน็ต

นักวิจัยเตือนว่า มัลแวร์ซึ่งสร้างขึ้นด้วยแนวทาง “Vibe Coding” หรือการสั่งให้ AI ช่วยเขียนโค้ด กำลังถูกตรวจพบมากขึ้นบนอินเทอร์เน็ต ภัยรูปแบบนี้ถูกเรียกว่า “Vibeware” และอาจทำให้การตรวจจับด้วยลายเซ็นหรือรูปแบบโค้ดแบบเดิมทำได้ยากขึ้น

ประเด็นสำคัญไม่ได้อยู่ที่มัลแวร์มีความสามารถใหม่อย่างที่ไม่เคยพบมาก่อน แต่อยู่ที่ AI ช่วยให้ผู้ไม่หวังดีสร้างมัลแวร์หลายเวอร์ชันที่ทำงานเหมือนกัน แต่มีโครงสร้างโค้ดแตกต่างกันได้อย่างรวดเร็ว

Vibe Coding คืออะไร?

Vibe Coding คือแนวทางการเขียนโปรแกรมที่ผู้ใช้บอกความต้องการผ่านคำสั่งภาษาธรรมชาติ หรือ Prompt แล้วให้เครื่องมือ AI ช่วยสร้าง แก้ไข และปรับปรุงโค้ดให้

วิธีนี้มีประโยชน์ต่อการพัฒนาซอฟต์แวร์ตามปกติ แต่เครื่องมือแบบเดียวกันอาจถูกนำไปใช้ในทางที่ผิด ตั้งแต่การสร้างสคริปต์อันตราย ไปจนถึงการดัดแปลงโค้ดเดิมให้กลายเป็นมัลแวร์หลายเวอร์ชัน

อย่างไรก็ตาม ไม่ได้หมายความว่าโปรแกรมทุกชิ้นที่สร้างด้วย Vibe Coding จะเป็นอันตราย คำว่า “Vibeware” ใช้กล่าวถึงกรณีที่ผู้ไม่หวังดีนำวิธีดังกล่าวมาใช้สร้างหรือปรับแต่งมัลแวร์โดยเฉพาะ

มัลแวร์จาก Vibe Coding ถูกพบมากขึ้น

จากรายงานที่เผยแพร่ผ่านเว็บไซต์ AOL ซึ่งกล่าวถึงข้อมูลจากบริษัทด้านความปลอดภัยไซเบอร์อย่าง Bitdefender และ McAfee พบสัญญาณการเพิ่มขึ้นของมัลแวร์ที่มีโค้ดบางส่วนถูกสร้างด้วย AI

นักวิจัยพบร่องรอยที่บ่งชี้ถึงการใช้ AI เช่น คำอธิบายภายในโค้ดที่เขียนเป็นระเบียบผิดปกติ การแบ่งส่วนโค้ดคล้ายเทมเพลต และข้อความชั่วคราวที่นักพัฒนามักใส่ไว้ก่อนแก้ไขภายหลัง

Bitdefender เรียกมัลแวร์ลักษณะนี้ว่า “Vibeware” โดยชี้ให้เห็นว่า AI สามารถช่วยสร้างมัลแวร์จำนวนมากในภาษาคอมพิวเตอร์หลายแบบได้อย่างรวดเร็ว แม้มัลแวร์บางตัวจะมีคุณภาพไม่สูง มีข้อผิดพลาด หรือทำงานไม่สมบูรณ์ก็ตาม

ทดลองสร้างมัลแวร์ด้วยคำสั่งเพียงไม่กี่ครั้ง

ทีมนักวิจัยจาก University College Cork หรือ UCC ประเทศไอร์แลนด์ ได้ทดลองใช้เครื่องมือ AI ช่วยสร้าง Shell Script อันตรายหลายเวอร์ชัน สำหรับขโมยข้อมูลอ่อนไหวจากระบบปฏิบัติการ Linux

สคริปต์แต่ละเวอร์ชันมีเป้าหมายและพฤติกรรมหลักเหมือนกัน แต่ใช้รูปแบบคำสั่งและโครงสร้างโค้ดแตกต่างกัน นักวิจัยพบว่าการเปลี่ยนโครงสร้างดังกล่าวช่วยให้ตัวอย่างบางส่วนหลบเลี่ยงระบบตรวจจับแบบ Static ซึ่งพึ่งพารูปแบบโค้ดที่ค่อนข้างตายตัวได้

รายงานระบุด้วยว่า การสร้างมัลแวร์ตัวอย่างสามารถเริ่มต้นได้ด้วย Prompt เพียง 2 คำสั่ง โดยทีมวิจัยใช้เครื่องมือช่วยเขียนโค้ด Cursor ซึ่งในช่วงเวลาที่ทำการทดลองไม่ได้ปฏิเสธหรือจำกัดคำสั่งเกี่ยวกับการสร้างมัลแวร์

จุดนี้ทำให้นักวิจัยกังวลว่า หากเครื่องมือ AI มีระบบป้องกันหรือ Guardrail ไม่รัดกุม อาจลดกำแพงด้านทักษะและทำให้ผู้ที่ไม่มีความเชี่ยวชาญในการเขียนโปรแกรมสามารถสร้างโค้ดอันตรายได้ง่ายขึ้น

ทำไมระบบตรวจจับแบบเดิมจึงตามได้ยาก?

การตรวจจับมัลแวร์แบบ Static จะตรวจสอบไฟล์โดยไม่ต้องรันโปรแกรม เครื่องมืออาจเปรียบเทียบค่าแฮช ลายเซ็น หรือรูปแบบโค้ดกับฐานข้อมูลของมัลแวร์ที่เคยพบมาก่อน

บางระบบใช้กฎของ YARA ซึ่งเป็นเครื่องมือแบบโอเพนซอร์สสำหรับค้นหาลักษณะเฉพาะภายในไฟล์ เช่น รูปแบบไบนารี ข้อความ หรือชุดคำสั่งที่เกี่ยวข้องกับมัลแวร์

ปัญหาคือ AI สามารถสร้างโค้ดหลายเวอร์ชันที่มีหน้าตาและโครงสร้างแตกต่างกัน แม้ทุกเวอร์ชันจะทำสิ่งเดียวกัน ส่งผลให้การตรวจจับที่พึ่งพารูปแบบคงที่เพียงอย่างเดียวอาจพลาดมัลแวร์บางตัวได้

ส่วนการตรวจจับแบบ Dynamic จะนำไฟล์ไปทำงานภายในสภาพแวดล้อมควบคุมหรือ Sandbox แล้วเฝ้าดูพฤติกรรม เช่น การพยายามอ่านข้อมูลสำคัญ ดาวน์โหลดไฟล์เพิ่มเติม ติดต่อเซิร์ฟเวอร์ภายนอก หรือแก้ไขการตั้งค่าระบบ

แม้โครงสร้างโค้ดจะเปลี่ยนไป แต่พฤติกรรมที่เป็นอันตรายมักยังคงอยู่ นักวิจัยของ UCC จึงมองว่าแนวทางตรวจจับตามพฤติกรรมมีความทนทานต่อมัลแวร์ที่ AI สร้างขึ้นหลายรูปแบบมากกว่า

ทั้งนี้ ไม่ได้หมายความว่าซอฟต์แวร์แอนตี้ไวรัสทั่วไปจะหมดประโยชน์ ระบบรักษาความปลอดภัยจำนวนมากใช้ทั้งการตรวจจับแบบ Static, Dynamic และการวิเคราะห์พฤติกรรมร่วมกันอยู่แล้ว เพียงแต่การพึ่งลายเซ็นหรือค่าแฮชเพียงอย่างเดียวอาจไม่เพียงพอกับภัยรูปแบบนี้

AI ลดเวลาในการสร้างมัลแวร์หลายเวอร์ชัน

นักวิจัยจาก ProjectDiscovery ซึ่งพัฒนาเครื่องมือรักษาความปลอดภัยไซเบอร์แบบโอเพนซอร์ส ให้ความเห็นว่า AI ช่วยให้แฮกเกอร์สร้างมัลแวร์ที่มีรูปแบบเฉพาะแตกต่างกันจำนวนมากได้ในเวลาอันรวดเร็ว

แทนที่จะสร้างมัลแวร์เพียงไฟล์เดียวแล้วนำไปใช้กับเป้าหมายจำนวนมาก ผู้โจมตีอาจสร้างโค้ดเฉพาะสำหรับแต่ละแคมเปญ หรือปรับเปลี่ยนโครงสร้างทุกครั้งเพื่อให้ค่าแฮชและลายเซ็นไม่ตรงกับตัวอย่างเดิม

แนวโน้มนี้ทำให้ผู้พัฒนาเครื่องมือต่อต้านมัลแวร์จำเป็นต้องเพิ่มความสำคัญกับการตรวจจับพฤติกรรมที่เปลี่ยนแปลงได้ รวมถึงนำ AI มาช่วยวิเคราะห์ความผิดปกติ โดยยังต้องมีผู้เชี่ยวชาญตรวจสอบและใช้ระบบป้องกันหลายชั้นร่วมกัน

ผู้ใช้อินเทอร์เน็ตควรป้องกันตัวอย่างไร?

แม้ผู้ใช้ทั่วไปจะไม่สามารถตรวจสอบโครงสร้างโค้ดของทุกไฟล์ได้ แต่สามารถลดความเสี่ยงได้ด้วยวิธีพื้นฐานดังนี้

• ดาวน์โหลดโปรแกรมจากเว็บไซต์ของผู้พัฒนาหรือร้านแอปอย่างเป็นทางการ
• ระวังไฟล์ ZIP โปรแกรมเถื่อน เกมดัดแปลง โปรแกรมโกงเกม และเครื่องมือที่อ้างว่าให้ใช้ฟรีผิดปกติ
• ไม่ปิดระบบแอนตี้ไวรัสตามคำแนะนำของไฟล์ติดตั้งที่ไม่น่าเชื่อถือ
• อัปเดตระบบปฏิบัติการ เบราว์เซอร์ และซอฟต์แวร์รักษาความปลอดภัยสม่ำเสมอ
• หลีกเลี่ยงการเปิดไฟล์แนบหรือกดลิงก์จากผู้ส่งที่ไม่รู้จัก
• สำรองข้อมูลสำคัญไว้ในอุปกรณ์หรือบริการที่แยกจากเครื่องหลัก
• หากไฟล์ขอสิทธิ์ผู้ดูแลระบบโดยไม่มีเหตุผลชัดเจน ควรหยุดและตรวจสอบก่อนดำเนินการต่อ

สิ่งที่ควรจำคือ AI ไม่ได้ทำให้มัลแวร์มีพฤติกรรมที่มองไม่เห็น แต่ช่วยให้ผู้โจมตีผลิตและดัดแปลงโค้ดได้เร็วขึ้น การป้องกันจึงต้องมองมากกว่าหน้าตาของไฟล์ โดยพิจารณาทั้งแหล่งที่มา พฤติกรรมของโปรแกรม และความผิดปกติที่เกิดขึ้นหลังติดตั้งควบคู่กันไป