ผู้ช่วย AI ในศูนย์เฝ้าระวัง (SOC Copilots) และการคัดกรองภัยแบบอัตโนมัติ (Agentic Triage)
ในปี 2025 มีเครื่องมือหลายตัวที่น่าจับตา เช่น Microsoft Security Copilot ที่พัฒนาจนกลายเป็นผู้ช่วยที่ทำงานเองได้ (agents) อย่างตัว Alert Triage Agent ที่ฝังอยู่ในผลิตภัณฑ์อย่าง Defender, Entra, Intune และ Purview โดย Microsoft เคลมว่าช่วยให้เจอภัยจริงมากขึ้นราว 6.5 เท่า และตัดสินได้แม่นขึ้นราว 77% (แต่นี่เป็นคำโฆษณาของเจ้าของเอง อย่าเพิ่งปักใจเชื่อ) อีกตัวคือ CrowdStrike Charlotte AI ที่ในช่วงปลายปี 2025 พัฒนาไปสู่การตรวจจับ คัดกรอง และตอบสนองภัยแบบทำงานเอง (Agentic Detection/Triage/Response/Workflows) ซึ่งเทรนมาจากทีม Falcon Complete MDR จึงเก่งเรื่องการดูแลอุปกรณ์ปลายทาง (endpoint) เป็นหลัก และยังมี Google Gemini in SecOps ที่ให้เราค้นหาข้อมูลด้วยภาษาพูดธรรมดา (natural-language search) บนกองข้อมูลบันทึกขนาดมหาศาลระดับเพตะไบต์ (petabyte) พร้อมช่วยสร้างกฎตรวจจับ (detection rule) และคู่มือรับมือ (playbook) ให้ด้วย โดยได้เป็นผู้นำ (Leader) ในการจัดอันดับ Gartner MQ for SIEM ปี 2025
Google Sec-Gemini v1 กับงานข่าวกรองภัยคุกคาม (Threat Intelligence)
Google Sec-Gemini v1 เป็นโมเดล AI สายความปลอดภัยไซเบอร์ (cybersecurity) แบบทดลอง ที่เพิ่งประกาศเมื่อเดือนเมษายน 2025 จุดเด่นคือมันเอา Gemini มาผสานกับฐานข้อมูลอย่าง Google Threat Intelligence, OSV และ Mandiant เข้าด้วยกัน จึงเก่งเรื่องการหาต้นตอของเหตุการณ์ (incident root-cause) วิเคราะห์ภัยคุกคาม (threat analysis) และจับคู่กับช่องโหว่ในฐานข้อมูล CWE (CWE mapping) โดยทำคะแนนนำในการทดสอบมาตรฐานด้านข่าวกรองภัย (benchmark) อยู่ราว 10-11%
การคัดกรองการแจ้งเตือนและบันทึก (Alert/Log Triage) กับการสรุปข่าวกรองภัย
เวลามีการแจ้งเตือน (alert) เข้ามาเยอะจนสัญญาณจริงปนกับสัญญาณรบกวน (noise) AI ช่วยได้เยอะ ทั้งจับเรื่องที่เกี่ยวข้องกันมาโยงเข้าด้วยกัน (correlate) รวมรายการที่ซ้ำกันให้เหลืออันเดียว (dedupe) แล้วเสนอระดับความรุนแรงและคำตัดสินเบื้องต้น (severity/verdict) มาให้ โดยมีเจ้าหน้าที่วิเคราะห์ (analyst) เป็นคนยืนยันอีกที ช่วยลดอาการล้าจากการเจอแจ้งเตือนถล่มทลาย (alert fatigue) และลดเวลาที่ใช้คัดกรอง (time-to-triage) ลงได้มาก แถมยังช่วยย่อรายงาน ย่อร่องรอยการบุกรุก (IOC) และย่อประวัติผู้ก่อภัย (actor profile) ให้กลายเป็นสรุปสั้น ๆ อ่านง่ายอีกด้วย
การจับอีเมลหลอกลวงและพฤติกรรมผิดปกติ (Phishing/Anomaly Detection) กับการรับมือเหตุการณ์
เราใช้เทคโนโลยีเข้าใจภาษามนุษย์ (NLP) มาช่วยแยกแยะว่าอีเมล ลิงก์ (URL) หรือพฤติกรรมไหนที่ดูผิดปกติ โดยเทียบกับพฤติกรรมปกติที่บันทึกไว้เป็นฐาน (UEBA baselining) นอกจากนี้ AI ยังช่วยร่างลำดับเหตุการณ์ตอนรับมือภัย (IR timeline) เสนอขั้นตอนสกัดกั้นภัยตามนโยบายที่วางไว้ (containment) และสร้างรายงานสรุปหลังจบเหตุการณ์ให้ด้วย แต่ย้ำว่าทุกการลงมือทำ (action) ต้องให้คนเป็นคนอนุมัติเสมอ
การสร้างกฎตรวจจับ (Detection Engineering) และการอธิบายช่องโหว่
AI ช่วยเปลี่ยนสิ่งที่เราพิมพ์เป็นภาษาพูดธรรมดาให้กลายเป็นกฎตรวจจับภัย (detection rule) พร้อมทดสอบให้ ช่วยร่างคู่มือรับมือ (playbook) และยังช่วยแปลข้อมูลช่องโหว่อย่าง CVE กับ CWE รวมถึงผลที่ได้จากเครื่องสแกน (scanner) ให้กลายเป็นคำแนะนำวิธีแก้ไข (remediation) ที่ใช้ภาษาเข้าใจง่ายสำหรับนักพัฒนา โดยมีคนคอยตรวจทานอีกที
การทำเอกสารด้านความปลอดภัยและการร่างนโยบาย (Policy Drafting)
AI ช่วยร่างฉบับแรกของเอกสารพวกนโยบาย (policy) คู่มือปฏิบัติงาน (runbook) คำอธิบายมาตรการควบคุม (control narrative) และเนื้อหาให้ความรู้สร้างความตระหนักด้านความปลอดภัย (awareness) ให้ได้ แต่ก่อนจะเอาไปใช้จริง คนต้องตรวจทานทุกครั้งเสมอ