Claude Mythos งัดบั๊กอายุ 27 ปีได้ ทำธนาคารทั่วโลกสะดุ้ง

โมเดล Claude Mythos Preview ของ Anthropic กลายเป็นนักล่าช่องโหว่ที่ทำให้ธนาคารและหน่วยงานกำกับสะดุ้ง

AI ของ Anthropic บังเอิญกลายเป็นนักล่าบั๊กที่เก่งที่สุดในโลก

เรื่องนี้เริ่มจากทีม red-team ของ Anthropic เองที่ออกมาเล่าว่า Claude Mythos Preview โมเดลใหม่ในตระกูล Claude สามารถค้นเจอช่องโหว่ zero-day ใน "ทุกระบบปฏิบัติการหลัก และทุกเว็บเบราว์เซอร์หลัก" เมื่อสั่งให้มันลองหา ที่น่าสะพรึงคือบางบั๊กฝังตัวอยู่มานานหลายสิบปีโดยไม่มีใครเจอ จนกระทั่ง AI งัดมันออกมา และนั่นทำให้ธนาคารกับธนาคารกลางทั่วโลกเริ่มกระสับกระส่าย

สรุปประเด็นสำคัญ

• 🔥 Claude Mythos Preview เจอบั๊ก zero-day จำนวนมาก รวมถึงบั๊ก OpenBSD อายุ 27 ปี และ FFmpeg อายุ 16 ปี
• ✅ ความสามารถนี้ "เกิดขึ้นเป็นผลพลอยได้" จากการเก่งโค้ดและการให้เหตุผล Anthropic ไม่ได้เทรนให้มันเจาะระบบโดยตรง
• ✅ Anthropic ไม่เปิดให้ใช้ทั่วไป ปล่อยเฉพาะผ่านโครงการควบคุม Project Glasswing
• ❌ กว่า 99% ของช่องโหว่ที่เจอ "ยังไม่ถูกแพตช์" และอยู่ระหว่างการเปิดเผยอย่างมีความรับผิดชอบ
• 🚀 ดาบสองคม: AI ตัวเดียวกันที่ช่วยป้องกัน ก็ใช้โจมตีได้ ระบบเก่าของธนาคารทั่วโลกคือจุดเสี่ยงตัวจริง

ไม่ใช่ผลิตภัณฑ์ใหม่ แต่เป็นสมาชิกตระกูล Claude

ตามที่ Anthropic อธิบาย Claude Mythos Preview คือโมเดลทั่วไป (general-purpose) รุ่นล่าสุดของบริษัท และเป็นส่วนหนึ่งของตระกูลโมเดล Claude ไม่ใช่สายผลิตภัณฑ์แยกออกมาต่างหาก จุดที่ทำให้คนตกใจคือ ความสามารถด้านไซเบอร์ของมันไม่ได้มาจากการตั้งใจเทรนให้เจาะระบบ

"เราไม่ได้เทรน Mythos Preview ให้มีความสามารถเหล่านี้โดยตรง แต่มันเกิดขึ้นเป็นผลพลอยได้ตามมา"

— ทีม red-team ของ Anthropic

พูดง่ายๆ คือ พอ AI เก่งเรื่องโค้ด การให้เหตุผล และทำงานอัตโนมัติได้ดีขึ้น ความสามารถในการหาช่องโหว่ก็พ่วงตามมาเอง และ Anthropic ยังย้ำว่าโมเดลตัวนี้ ไม่ได้เปิดให้ใช้ทั่วไป ปล่อยเฉพาะผ่านโครงการที่ควบคุมเข้มอย่าง Project Glasswing ให้พาร์ทเนอร์โครงสร้างพื้นฐานสำคัญและนักพัฒนาโอเพนซอร์สจำนวนจำกัดเท่านั้น

โค้ดเก่าไม่เคยตาย มันแค่รอให้ AI มาเจอ

ตามหน้า red-team ของ Anthropic ผลที่ออกมาเรียกได้ว่าน่าตกใจ ทีมงานถึงกับสรุปสั้นๆ ว่า

"Claude Mythos Preview อยู่คนละลีกกันเลย"

— ทีม red-team ของ Anthropic

ที่น่ากังวลที่สุดคือ Anthropic ระบุว่า "กว่า 99% ของช่องโหว่ที่เราเจอยังไม่ถูกแพตช์" โดยมีแนวโน้มเป็นช่องโหว่ระดับวิกฤตเกิน 1,000 รายการ และระดับสูงอีกหลักพัน ทั้งหมดอยู่ภายใต้กระบวนการเปิดเผยอย่างมีความรับผิดชอบ และที่ทำให้เรื่องนี้น่าคิดต่อคือ ต้นทุนถูกอย่างเหลือเชื่อ รันผ่าน scaffold ของ OpenBSD 1,000 ครั้งราว 20,000 ดอลลาร์ ส่วนรันที่สำเร็จรายครั้งต่ำกว่า 50 ดอลลาร์ และงาน FFmpeg ทั้งหมดราว 10,000 ดอลลาร์ นอกจากนี้ผู้รับเหมาด้านความปลอดภัยมืออาชีพยังเห็นตรงกับการจัดระดับความรุนแรงของ Claude เป๊ะ 89% จากรายงาน 198 ฉบับที่ตรวจ และ 98% อยู่ในช่วงคลาดเคลื่อนไม่เกินหนึ่งระดับ

ระบบธนาคารคือกองโค้ดเก่าทับซ้อนกัน

ทำไมเรื่องของโมเดล AI ตัวหนึ่งถึงทำให้วงการธนาคารร้อนๆ หนาวๆ? คำตอบอยู่ที่โครงสร้างพื้นฐานของธนาคารเอง รายงานหลายสำนัก (เช่น The Conversation และ CBC) ชี้ว่าระบบธนาคารส่วนใหญ่ยังรันอยู่บนสแตกโค้ดเก่าอายุหลายสิบปี แล้วเอาคลาวด์สมัยใหม่มาแปะทับเป็นชั้นๆ หนี้ทางเทคนิคที่สะสมมานี่แหละคือหัวใจของความกังวล

PYMNTS และ S&P Global วางกรอบความอันตรายของ Mythos ไว้ว่า มันสามารถ ร้อยบั๊กเล็กๆ เก่าๆ หลายตัวเข้าด้วยกันให้กลายเป็นเส้นทางโจมตีใหญ่ ด้วยความเร็วระดับเครื่องจักร ซึ่งเร็วกว่าที่บริษัทจะแพตช์ทัน

รายงานจาก CNBC (9 พ.ค. 2026)

CNBC รายงานว่า ประธานเฟด Jerome Powell และรัฐมนตรีคลัง Scott Bessent ได้เรียกประชุมกับซีอีโอธนาคารใหญ่ของสหรัฐฯ เพื่อหารือเรื่องความเสี่ยงไซเบอร์จาก Mythos โดยเฉพาะ

หมายเหตุ: รายละเอียดเชิงตัวเลขและการประชุมข้างต้นมาจากการรายงานของ CNBC ซึ่งเป็นแหล่งทุติยภูมิ เผ็ดน้อยจึงระบุที่มาไว้ชัด ไม่นำเสนอเป็นข้อเท็จจริงที่ได้รับการยืนยันจากแหล่งปฐมภูมิ ส่วนสิ่งที่ Anthropic เปิดเผยเองในหน้า red-team ถือว่าเป็นข้อมูลจากต้นทางโดยตรง

ทำไม Anthropic ถึงยอมไม่ปล่อยให้ใช้ทั่วไป

Anthropic วางกรอบเรื่องนี้ตรงๆ ว่าเป็น เทคโนโลยีสองทาง (dual-use) ความสามารถเดียวกันที่ช่วยฝ่ายป้องกันอุดช่องโหว่ ก็เปิดทางให้ฝ่ายโจมตีใช้เจาะระบบได้เช่นกัน นั่นคือเหตุผลที่บริษัทเลือกจำกัดการเข้าถึงผ่าน Project Glasswing และมี "Cyber Verification Program" สำหรับผู้เชี่ยวชาญด้านความปลอดภัยที่ติดข้อจำกัดด้านความปลอดภัย

"ความสามารถของ AI ได้ข้ามเส้นที่เปลี่ยนความเร่งด่วนในการปกป้องโครงสร้างพื้นฐานสำคัญไปอย่างสิ้นเชิง"

— Anthony Grieco, Cisco (ผ่านหน้า Project Glasswing)

"ช่วงเวลาระหว่างการค้นพบช่องโหว่กับการถูกฝ่ายตรงข้ามนำไปโจมตี ได้ยุบสั้นลงแล้ว"

— Elia Zaitsev, CrowdStrike (ผ่านหน้า Project Glasswing)

ฝั่ง CNBC ยังรายงานว่า ซีอีโอ Dario Amodei ของ Anthropic เตือนถึง "ช่วงเวลาแห่งอันตราย" (moment of danger) และคาดว่าจะมีช่องโหว่ การถูกเจาะระบบ และความเสียหายทางการเงินจากแรนซัมแวร์เพิ่มขึ้นมาก รวมถึงเตือนถึง "หน้าต่างหกถึงสิบสองเดือน" ก่อนที่ฝ่ายตรงข้ามจะลอกความสามารถนี้ได้ ทั้งนี้คำเตือนช่วงเวลาดังกล่าวมาจากการรายงานของ CNBC

การแข่งขันด้านไซเบอร์ที่ขับเคลื่อนด้วย AI

เรื่องนี้ไม่ได้จบแค่ Anthropic CNBC รายงานว่า OpenAI ออก "GPT-5.4-Cyber" มาตอบโต้ ซึ่งจุดนี้เป็นการรายงานของ CNBC เช่นกัน เผ็ดน้อยจึงระบุที่มาไว้ชัดและยังไม่นำเสนอเป็นข้อเท็จจริงที่ยืนยันแล้ว แต่ถ้าจริงก็สะท้อนภาพใหญ่ได้ดีว่า เรากำลังเข้าสู่ยุคที่ AI ทั้งช่วยป้องกันและช่วยเจาะ แข่งกันด้วยความเร็วระดับเครื่องจักร

สำหรับสายติดตาม Claude/Anthropic เรื่องนี้คือบทเรียนใหญ่ว่า ความสามารถที่ "เก่งขึ้นแบบทั่วไป" อาจพ่วงผลข้างเคียงที่ทั้งโลกต้องตั้งรับ คุณคิดว่า Anthropic ตัดสินใจถูกไหมที่ไม่ปล่อยให้ใช้ทั่วไป? มาคุยกันได้เลย!

• 📚 Anthropic - Assessing Claude Mythos Preview's cybersecurity capabilities
• 📚 Anthropic - Project Glasswing
• 📚 CNBC - Anthropic CEO warns of cyber "moment of danger"
• 📚 The Conversation - Why the world's banks are so worried about Anthropic's latest AI model
• 📚 CBC - Mythos / Anthropic AI explainer
• 📚 PYMNTS - Banks face complex cyber risks from Anthropic's Mythos