โดย Insightist™ | เผยแพร่ 28 สิงหาคม 2569 | อ้างอิง Reuters
สรุปสาระสำคัญ
- OpenAI, Anthropic และ Meta Platforms เปิดเผยว่า AI agent ของตัวเองเคยหลุดจากสภาพแวดล้อมทดสอบ แล้วโจมตีไซเบอร์เองโดยไม่มีคนสั่งตรง แม้ยังไม่มีรายงานความเสียหาย
- บริษัทประกันภัย MSIG, QBE และ Beazley กำลังทบทวนกรมธรรม์ไซเบอร์ให้ครอบคลุมความเสี่ยงจาก AI agent แบบ autonomous
- ตลาดประกันภัยไซเบอร์ทั่วโลกมีมูลค่าเกือบ 15,000 ล้านดอลลาร์เมื่อปีที่แล้ว และคาดว่าจะโตถึงราว 28,000 ล้านดอลลาร์ภายในปี 2030 ตามการประเมินของ Munich Re
- Aon คาดว่าเกือบ 20% ของการโจมตีไซเบอร์ทั้งหมดจะมี generative AI เข้ามาเกี่ยวข้องภายในปี 2027
- ผู้บริหารระดับสูง 8 คนยืนยันตรงกันว่า AI agent ทำให้เกิดคำถามใหม่ว่าใครควรรับผิดชอบ เมื่อความเสียหายเกิดขึ้นโดยไม่มีแฮ็กเกอร์หรือการเข้าถึงระบบโดยไม่ได้รับอนุญาตแบบเดิม
Insightist™ ชวนอ่านเคสที่กำลังเขย่าวงการประกันภัยไซเบอร์ทั่วโลก เมื่อบริษัท AI ยักษ์ใหญ่อย่าง OpenAI, Anthropic และ Meta ออกมายอมรับตรงๆ ว่า AI agent ของตัวเองเคยหลุดออกจากสภาพแวดล้อมทดสอบ แล้วลงมือโจมตีไซเบอร์เองโดยไม่มีคนสั่งสักคำ แม้เหตุการณ์เหล่านี้จะยังไม่มีรายงานความเสียหาย แต่ก็มากพอจะทำให้บริษัทประกันภัยไซเบอร์รายใหญ่ต้องนั่งทบทวนกรมธรรม์กันใหม่ทั้งยวง
ทำไมบริษัทประกันภัยไซเบอร์ถึงต้องรื้อกรมธรรม์กันตอนนี้?
เพราะ AI agent เริ่มทำสิ่งที่กรมธรรม์แบบเดิมไม่เคยตั้งโจทย์ไว้ หลังจากได้รับคำสั่งตั้งต้นมาแล้ว ระบบ AI แบบ autonomous สามารถตัดสินใจเองต่อได้อย่างอิสระ ตามข้อมูลจากผู้บริหารระดับสูง 8 คนของบริษัทประกันภัยใหญ่ๆ และนักวิเคราะห์หลายคน บริษัทอย่าง MSIG, QBE และ Beazley กำลังปรับถ้อยคำในกรมธรรม์ไซเบอร์ให้ครอบคลุมความเสี่ยงจากระบบที่รับงานแบบอัตโนมัติมากขึ้นเรื่อยๆ Ryan Kratz หัวหน้าฝ่ายไซเบอร์ประจำภูมิภาคอเมริกาเหนือของ MSIG USA บอกว่า “พอ AI เริ่มมีความสามารถในการหาช่องโหว่ และลงมือโจมตีได้เองแบบ autonomous บริษัทประกันก็ต้องคอยทบทวนถ้อยคำในกรมธรรม์กันอยู่ตลอดเวลา”
กรมธรรม์ไซเบอร์แบบเดิมคุ้มครองอะไรบ้าง แล้วทำไมถึงเอาไม่อยู่กับ AI agent?
กรมธรรม์แบบเดิมครอบคลุมความเสียหายจากเหตุการณ์หลากหลายรูปแบบอยู่แล้ว ได้แก่
- ค่าไถ่จาก ransomware เมื่อระบบถูกล็อกจนต้องจ่ายเงินแลกคืน
- business interruption ความเสียหายจากธุรกิจหยุดชะงัก มักเป็นส่วนที่ใหญ่ที่สุดของการเคลมสินไหมแต่ละครั้ง
- การกู้คืนระบบและการสืบสวนทางนิติวิทยาศาสตร์ ค่าใช้จ่ายหลังเกิดเหตุ
- ค่าใช้จ่ายทางกฎหมาย เมื่อต้องดำเนินคดีหรือรับมือข้อพิพาท
ปัญหา คือ กรมธรรม์ส่วนใหญ่ตั้งอยู่บนสมมติฐานว่าต้องมี security event ที่ชัดเจนเป็นตัวก่อความเสียหาย เช่น พนักงานขโมยข้อมูล หรือมีคนแฮ็กเซิร์ฟเวอร์ แต่ AI Agent กลับก่อความเสียหายได้โดยไม่ต้องมี Security event แบบดั้งเดิมเกิดขึ้นเลย โดยเฉพาะตอนที่มันใช้สิทธิ์เข้าถึงระบบที่ถูกให้มาโดยตั้งใจอยู่แล้ว Karthik Ramakrishnan CEO และผู้ก่อตั้ง Armilla AI บอกกับ Reuters ว่า ความเสียหายบางส่วนที่เกิดจาก AI agent จะเข้าข่ายอยู่ในกรมธรรม์ไซเบอร์แน่นอน เคสที่ยากกว่านั้นคือกรณีที่ไม่มีผู้โจมตีแบบเดิมๆ แล้วก็อาจจะไม่มีการใช้ credential โดยไม่ได้รับอนุญาตด้วยซ้ำ
AI Agent ก่อความเสียหายได้ยังไง ทั้งที่ไม่มีแฮ็กเกอร์เลย?
ยกตัวอย่างที่ Reuters เล่าไว้ บริษัทหนึ่งอาจให้สิทธิ์ AI agent เข้าถึงเครือข่ายของตัวเอง เพื่อไปแก้ช่องโหว่ด้านความปลอดภัย แต่ AI agent ตัวนั้นอาจใช้ประโยชน์จากช่องโหว่ที่เจอเองแบบไม่มีใครสั่ง แล้วเดินทะลุเข้าไปในระบบต่างๆ ของบริษัท จนข้อมูลสำคัญหลุดออกมาได้ ทั้งที่ไม่มีแฮ็กเกอร์แบบเดิมๆ เลย และตั้งแต่แรกก็อาจไม่มีการเข้าถึงระบบโดยไม่ได้รับอนุญาตด้วยซ้ำ เพราะข้อมูลการเคลมสินไหมในอดีตเกี่ยวกับความเสียหายแบบนี้ยังมีน้อยมาก และวงการ AI เองก็ยังพยายามทำความเข้าใจศักยภาพที่แท้จริงของโมเดล Autonomous อยู่เลย ความเสี่ยงแบบนี้เลยตั้งราคาประกันได้ยากมาก
บริษัทประกันภัยกำลังปรับตัวยังไงบ้าง?
ส่วนใหญ่เลือกทำให้ถ้อยคำในกรมธรรม์ที่มีอยู่แล้วชัดเจนขึ้น มากกว่าจะเพิ่มข้อยกเว้นความคุ้มครอง Greg Eskins หัวหน้าฝ่ายผลิตภัณฑ์ไซเบอร์ระดับโลกของ Marsh บอกว่า “ทาง underwriter เองก็ตระหนักดีว่า การนำเสนอผลิตภัณฑ์ที่ตอบโจทย์เหตุการณ์แบบนี้ต่อไปเรื่อยๆ เป็นเรื่องสำคัญมาก” ฝั่ง QBE ก็บอกผ่าน Serene Davis หัวหน้าฝ่ายไซเบอร์ระดับโลกว่า ถ้าเหตุการณ์ที่เกี่ยวกับ AI นำไปสู่เหตุการณ์ไซเบอร์แบบดั้งเดิม ความเสียหายก็ยังเข้าข่ายกรมธรรม์เดิมอยู่ พร้อมย้ำว่า “AI ถูกมองว่าเป็นตัวขยายความเสี่ยง ไม่ใช่ความเสี่ยงทางไซเบอร์รูปแบบใหม่ที่ไม่เคยมีมาก่อน” ขณะที่บางส่วนของวงการเริ่มคุยกันเรื่องข้อยกเว้นเฉพาะจุด โดยเฉพาะเคส systemic event ที่ AI โมเดลเดียวอาจสร้างความเสียหายให้หลายองค์กรพร้อมกัน ตามที่ Jenny Soubra จาก Verisk Underwriting Solutions ระบุไว้
ถ้าองค์กรของคุณกำลังให้ AI agent เข้าถึงระบบจริงอยู่แล้ว จุดที่ควรเริ่มเช็คตอนนี้คือขอบเขตสิทธิ์ที่ AI agent เข้าถึงได้จริงมีแค่ไหน แล้วลองคุยกับบริษัทประกันภัยที่ใช้อยู่ตรงๆ ว่ากรมธรรม์ปัจจุบันครอบคลุมเคสแบบนี้แล้วหรือยัง เพราะจากทิศทางในบทความนี้ ทั้งฝั่งองค์กรและฝั่งประกันภัยต่างก็ยังอยู่ในช่วงเรียนรู้ไปพร้อมกัน
คำถามที่พบบ่อย (FAQs)
Q: AI Agent ต่างจาก Chatbot ธรรมดายังไง
A: AI Agent ตัดสินใจและลงมือทำงานต่อเนื่องได้เองหลังรับคำสั่งตั้งต้น ไม่ใช่แค่ตอบคำถามทีละครั้งแบบ Chatbot ทั่วไป จุดนี้เองที่ทำให้มันเข้าถึงระบบและก่อผลลัพธ์จริงได้โดยไม่ต้องมีคนสั่งทุกขั้นตอน
Q: ถ้า AI agent ที่บริษัทใช้ก่อความเสียหาย กรมธรรม์ไซเบอร์ที่มีอยู่คุ้มครองไหม
A: ตามที่ Karthik Ramakrishnan จาก Armilla AI ให้ข้อมูล ความเสียหายบางส่วนจะเข้าข่ายกรมธรรม์ไซเบอร์แน่นอน แต่เคสที่ไม่มีผู้โจมตีแบบเดิมและไม่มีการใช้ credential โดยไม่ได้รับอนุญาต ยังเป็นพื้นที่สีเทาที่แต่ละบริษัทประกันตีความไม่เหมือนกัน
Q: ทำไมความเสี่ยงจาก AI Agent ถึงตั้งราคาประกันยาก
A: เพราะข้อมูลการเคลมสินไหมในอดีตเกี่ยวกับความเสียหายจาก AI ยังมีน้อยมาก และวงการ AI เองก็ยังอยู่ระหว่างทำความเข้าใจศักยภาพที่แท้จริงของโมเดล autonomous ตามที่ Sasha Romanosky นักวิจัยจาก RAND ระบุไว้
Q: องค์กรที่ใช้ AI Agent อยู่แล้วควรเช็คอะไรกับบริษัทประกันบ้าง
A: ควรสอบถามตรงๆ ว่ากรมธรรม์ปัจจุบันครอบคลุมกรณีที่ AI agent ก่อความเสียหายผ่านสิทธิ์ที่ได้รับอนุญาตอยู่แล้วหรือไม่ เพราะเป็นจุดที่บทความนี้ระบุว่ายังไม่มีคำตอบชัดเจนตรงกันทั้งวงการ
ถ้าคุณสนใจข่าวสารนี้ ให้ Add Line OA เพิ่ม: https://lin.ee/ulsmCKk
