SentinelOne ที่ OneCon 2026: AI ล่าภัยคุกคาม มนุษย์ตัดสินใจ

SentinelOne (S) ใช้เวทีงาน OneCon 2026 ที่ลาสเวกัสในวันพุธที่ 21 ต.ค. 2026 เพื่อนําเสนอแนวคิดว่าก้าวต่อไปของความปลอดภัยทางไซเบอร์จะขึ้นอยู่กับการผสานปัญญาประดิษฐ์เข้ากับความเชี่ยวชาญของมนุษย์ บริษัทระบุว่าแนวทางดังกล่าวช่วยปรับปรุงการตรวจจับภัยคุกคามได้แล้วในปัจจุบัน ขณะเดียวกันก็เตือนว่าเครื่องมือ AI เชิงรุกกําลังทําให้การโจมตีเร็วขึ้นและถี่ขึ้น

ประเด็นสําคัญ

• SentinelOne ระบุว่าความสามารถในการล่าภัยคุกคามด้วย AI ช่วยเพิ่มประสิทธิภาพการตรวจพบกิจกรรมที่เป็นอันตรายได้ถึง 2,200% นับตั้งแต่เปิดตัวในเดือน ธ.ค. 2024
• บริษัทระบุว่าปัจจุบันสามารถระบุการแจ้งเตือนการบุกรุกได้ประมาณ 28 รายการต่อวัน โดยอาศัย AI เพียงอย่างเดียว
• ฝ่ายบริหารโต้แย้งว่า AI ช่วยฝ่ายป้องกันได้มากกว่าฝ่ายโจมตี เนื่องจากการโจมตีที่ขับเคลื่อนด้วย AI นั้นตรวจจับได้ง่าย
• SentinelOne เน้นย้ําช่องโหว่ React2Shell ว่าเป็นบทพิสูจน์สําคัญของกลยุทธ์การตรวจจับ 7 ชั้น
• บริษัทนําเสนอกลยุทธ์ในรูปแบบการผสมผสานระหว่าง AI agents และผู้เชี่ยวชาญมนุษย์ที่ทํางานร่วมกันตลอด 24 ชั่วโมง

กลยุทธ์: AI ร่วมกับนักวิเคราะห์มนุษย์

Steve Stone ประธานเจ้าหน้าที่ฝ่ายลูกค้า กล่าวว่าข้อได้เปรียบหลักของ SentinelOne ไม่ใช่ปัญญาประดิษฐ์โดยตัวมันเอง แต่อยู่ที่วิธีที่บริษัทผสานโมเดล AI เข้ากับนักวิเคราะห์ผู้เชี่ยวชาญ เขากล่าวว่าเป้าหมายคือการพาทีมรักษาความปลอดภัยออกจากการทํางานแบบ "hero mode" ไปสู่โมเดลที่ยั่งยืนกว่า ซึ่งเครื่องจักรจัดการงานซ้ําซากและมนุษย์มุ่งเน้นการตัดสินใจที่ซับซ้อน

• AI agents สามารถทํางานได้ 24 ชั่วโมงต่อวันโดยไม่เหนื่อยล้า
• ผู้เชี่ยวชาญมนุษย์สามารถใช้เวลามากขึ้นในการวิเคราะห์และตัดสินใจ
• บริษัทระบุว่าการแบ่งงานในลักษณะนี้ช่วยให้ทีมทํางานได้เร็วขึ้นและในระดับที่ใหญ่ขึ้น
• Stone กล่าวว่าแนวทางนี้สามารถสร้างอาชีพที่ยั่งยืนมากขึ้นในด้านปฏิบัติการความปลอดภัยทางไซเบอร์

Stone ระบุชื่อผู้เชี่ยวชาญภายในหลายคนที่เกี่ยวข้องกับความพยายามนี้ ได้แก่ Luko ผู้นําทีมล่าภัยคุกคาม, Brian Kearns ผู้ขับเคลื่อนการล่าภัยคุกคามด้วย AI, Sagi Shoshani ผู้สร้างโมเดล และ Matan Weinstein ผู้เชี่ยวชาญด้านการตรวจจับ

สภาพแวดล้อมภัยคุกคาม: การโจมตีเร็วขึ้น รูปแบบชัดเจนขึ้น

Stone กล่าวว่าสภาพแวดล้อมของภัยคุกคามกําลังเปลี่ยนแปลงอย่างรวดเร็ว โดยอ้างอิงการประเมินของรัฐบาลสหราชอาณาจักร เขากล่าวว่าโมเดล AI ชั้นแนวหน้ากําลังเพิ่มขีดความสามารถด้านไซเบอร์เชิงรุกเป็นสองเท่าทุก 4 เดือน และนับตั้งแต่งาน OneCon ครั้งก่อน ขีดความสามารถเชิงรุกจากโมเดลเหล่านั้นเพิ่มขึ้นถึงสามเท่า

• การโจมตีที่ขับเคลื่อนด้วย AI ปรากฏให้เห็นทั่วทั้งภูมิทัศน์ภัยคุกคาม ไม่ใช่เฉพาะกลุ่มที่ได้รับการสนับสนุนจากรัฐเท่านั้น
• กลุ่มเล็ก ผู้กระทํารายบุคคล และรัฐบาลต่างใช้วิธีการโจมตีที่ช่วยด้วย AI
• Stone กล่าวว่าการโจมตีเหล่านี้ "ตรวจจับได้ง่ายมาก" เนื่องจาก AI agents มักเคลื่อนที่ด้วยความเร็วระดับเครื่องจักรและให้ความสําคัญกับการซ่อนตัวน้อยลง
• เขาโต้แย้งว่าฝ่ายป้องกันได้ประโยชน์จาก AI มากกว่าฝ่ายโจมตี

Stone กล่าวว่าบริษัทพบการแจ้งเตือนการบุกรุกประมาณ 28 รายการต่อวันที่ค้นพบได้โดยใช้การล่าภัยคุกคามด้วย AI เท่านั้น นอกจากนี้ยังกล่าวว่าการตรวจจับที่เป็น true positive เพิ่มขึ้น 50% เมื่อเทียบปีต่อปี โดยระบุ true positive ได้มากกว่า 14 ล้านรายการในปีปฏิทินที่ผ่านมา

บริบทด้านการเงินและการดําเนินงาน

บริษัทไม่ได้นําเสนอการอัปเดตผลประกอบการแบบดั้งเดิมในเซสชันนี้ แต่ได้นําเสนอตัวชี้วัดการดําเนินงานเพื่อแสดงให้เห็นขนาดของงานตรวจจับและอัตราการเติบโตของลูกค้า

• การตรวจจับ true positive เพิ่มขึ้น 50% เมื่อเทียบปีต่อปี
• ระบุ true positive ได้มากกว่า 14 ล้านรายการในปีปฏิทินที่ผ่านมา
• องค์กรทั่วไปมีการเติบโตของ endpoints ประมาณ 16% และ SentinelOne ระบุว่าสภาพแวดล้อมของลูกค้าแสดงการเติบโตในระดับใกล้เคียงกัน
• การล่าภัยคุกคามด้วย AI ทําให้การตรวจจับกิจกรรมที่เป็นอันตรายเพิ่มขึ้น 380% ในไตรมาสแรกหลังเปิดตัว
• หกเดือนหลังเปิดตัว การเพิ่มขึ้นอยู่ที่ 1,400%
• หนึ่งปีหลังเปิดตัว การเพิ่มขึ้นอยู่ที่ 2,200%

SentinelOne ระบุว่าตัวเลขเหล่านี้สะท้อนทั้งการเติบโตของฐานลูกค้าที่กว้างขึ้นและความสามารถของบริษัทในการค้นพบภัยคุกคามมากขึ้นเมื่อโมเดลพัฒนาขึ้น สาระสําคัญคือระบบไม่หยุดนิ่ง แต่ดีขึ้นเรื่อยๆ เมื่อเห็นกิจกรรมมากขึ้นและนักวิเคราะห์ปรับปรุงมัน

กรอบการตรวจจับ 7 ชั้น

Stone อธิบายสิ่งที่เขาเรียกว่ากลยุทธ์การตรวจจับและการล่าภัยคุกคาม 7 ชั้นของ SentinelOne บริษัทระบุว่าชั้นต่างๆ ทํางานร่วมกัน โดยใช้การล่าเพื่อค้นหารูปแบบใหม่ที่สามารถกลายเป็นการตรวจจับระดับ production ในภายหลัง

• Indicators of compromise หรือ fragile detections ที่ใช้ติดตามกิจกรรม command and control
• Signatures ที่ออกแบบมาเพื่อระบุภัยคุกคามเฉพาะ
• โมเดลอัตโนมัติ ซึ่งบริษัทระบุว่าเป็นแกนหลักของแพลตฟอร์มตั้งแต่ก่อตั้งและยื่นจดสิทธิบัตรฉบับแรกในปี 2014
• การล่าภัยคุกคามโดยใช้ข่าวกรองภัยคุกคาม
• การล่าแบบ real-time
• การล่าแบบย้อนหลัง (retrospective)
• การล่าภัยคุกคามด้วย AI ที่เปิดตัวเมื่อ 1 ธ.ค. 2024

Stone กล่าวว่าการล่าเป็นการสํารวจ ในขณะที่การตรวจจับสร้างขึ้นเพื่อการใช้งานในวงกว้าง ในมุมมองของเขา ทั้งสองฟังก์ชันเสริมซึ่งกันและกัน คือการล่าค้นพบภัยคุกคามใหม่และกรณีขอบ จากนั้นวิศวกรจะแปลงผลการค้นพบเหล่านั้นเป็นการตรวจจับบนแพลตฟอร์ม

React2Shell: กรณีทดสอบสําคัญ

หนึ่งในตัวอย่างหลักในการนําเสนอคือ React2Shell ซึ่งเป็นช่องโหว่ร้ายแรงที่เปิดเผยเมื่อ 3 ธ.ค. 2024 โดยมีคะแนน CVSS ที่ 10.0 Stone กล่าวว่านี่คือเหตุการณ์การแสวงหาประโยชน์จากช่องโหว่จํานวนมากที่เร็วที่สุดในรอบปีที่ผ่านมา

• SentinelOne เปิดตัวการล่าภัยคุกคามด้วย AI เมื่อ 1 ธ.ค. 2024 ก่อนการเปิดเผยช่องโหว่เพียงไม่นาน
• AWS สังเกตเห็นการแสวงหาประโยชน์ครั้งแรกประมาณ 12 ชั่วโมงหลังการเปิดเผย
• CISA เพิ่มปัญหานี้ในรายการ Known Exploited Vulnerabilities 36 ชั่วโมงหลังการแสวงหาประโยชน์ครั้งแรก
• SentinelOne ระบุว่าการตรวจจับครั้งแรกในสภาพแวดล้อมของลูกค้าเกิดขึ้นเมื่อ 9 ธ.ค. 2024
• วิธีการตรวจจับแรกคือการล่าภัยคุกคามด้วย AI

Stone กล่าวว่าบริษัทมีความครอบคลุมที่แข็งแกร่งบนระบบ Linux และ Mac แต่อ่อนแอกว่าบน Windows ซึ่งทําให้กรณีนี้เป็นการทดสอบความเครียดที่มีประโยชน์ SentinelOne ใช้กรอบ 7 ชั้นเพื่อระบุรูปร่างทั่วไปของการโจมตี จากนั้นจึงปรับแต่งผลการค้นพบให้เป็นการตรวจจับที่แข็งแกร่งขึ้น

เขากล่าวว่า Google Threat Intelligence ระบุกลุ่มภัยคุกคามที่ตั้งอยู่ในจีนอย่างน้อย 5 กลุ่มที่แสวงหาประโยชน์จากช่องโหว่นี้ ในขณะที่การวิจัยของ SentinelOne พบกลุ่มภัยคุกคามสําคัญอย่างน้อย 7 กลุ่มในสัปดาห์แรก ภายใน 30 วันแรก บริษัทระบุเหยื่อที่ถูกพยายามโจมตีได้ 8 รายจากกลุ่มภัยคุกคามจํานวนมาก

วิธีที่บริษัทจัดการกับช่องโหว่

SentinelOne ระบุว่าใช้การล่าแทนการตรวจจับระดับ production ในตอนแรก เนื่องจากรูปแบบยังกว้างและยังคงพัฒนาอยู่ นักวิเคราะห์เปรียบเทียบกิจกรรมที่น่าสงสัยกับการทดสอบการเจาะระบบที่ถูกต้องตามกฎหมายเพื่อแยกการโจมตีจริงออกจากกิจกรรมที่ไม่เป็นอันตราย

• บริษัทใช้โมเดล AI และการตรวจสอบโดยผู้เชี่ยวชาญเพื่อแยกพฤติกรรมที่เป็นอันตรายออกจากการทดสอบที่ได้รับอนุญาต
• เสริมความแข็งแกร่งให้กับหมวดหมู่การตรวจจับทั้ง 7 ประเภทเมื่อข่าวกรองดีขึ้น
• จากนั้นแปลงผลการล่าเป็นการตรวจจับระดับ production สําหรับแพลตฟอร์ม

กรณีนี้ถูกนําเสนอเป็นตัวอย่างของวิธีที่บริษัทต้องการดําเนินงาน คือตรวจจับได้เร็ว เรียนรู้อย่างรวดเร็ว แล้วเสริมความแข็งแกร่งให้แพลตฟอร์มเพื่อการใช้งานในวงกว้างขึ้น

SectopRAT: ภัยคุกคามที่ดําเนินมายาวนาน มีการพัฒนา wrapper อยู่เสมอ

Stone ยังพูดถึง SectopRAT ซึ่งเป็นภัยคุกคามที่ยังคงใช้งานอยู่มาเจ็ดปีและใช้ขโมย browser sessions และกระเป๋าเงินคริปโตเคอร์เรนซี เขากล่าวว่ามัลแวร์นี้เปลี่ยน delivery wrapper ทุกสองสามเดือน ซึ่งทําให้เป็นตัวอย่างที่มีประโยชน์ในการรักษาการตรวจจับในระยะยาว

เมื่อ 13 ก.ค. SentinelOne ระบุว่าได้อัปเดต static rules สําหรับ Windows และ Linux ปรับ behavioral detections เพื่อตรวจจับกิจกรรม cookie-stealer และคงไว้ซึ่ง fragile detections โดยใช้ 50 indicators of compromise ที่ใช้งานอยู่ที่รู้จักสําหรับ command and control

• บริษัทใช้การล่าภัยคุกคามด้วย AI เพื่อค้นหาตัวแปรที่พัฒนาและกรณีขอบ
• ดําเนินการล่าแบบย้อนหลังโดยมองย้อนกลับไปสองสัปดาห์ในสภาพแวดล้อมของลูกค้า
• การล่าเหล่านั้นให้ผลการค้นพบมากกว่า 6 รายการ
• SentinelOne ใช้กรณีนี้เพื่อทดสอบว่าการตรวจจับอื่นๆ ทํางานตามที่คาดหวังหรือไม่

Stone กล่าวว่าบริษัทยังสร้าง hunting rule sets สําหรับรูปแบบ executable เฉพาะและ DLL side-loading hunting pack ที่มุ่งเน้นพฤติกรรมมากกว่าเครื่องมือเดียว เป้าหมายคือการตรวจสอบเส้นทางการโจมตีทั้งหมดในทุก 7 ชั้นการตรวจจับ

สาระสําคัญด้านตลาดและตําแหน่งการแข่งขัน

Stone กล่าวว่า SentinelOne มีความได้เปรียบ 12 ปีในการตรวจจับอัตโนมัติ โดยชี้ไปที่สิทธิบัตรแรกของบริษัทที่ยื่นในปี 2014 เขาวางกรอบประวัติศาสตร์นั้นเป็นส่วนหนึ่งของการวางตําแหน่งปัจจุบันของบริษัทในตลาดที่ผู้ขายจํานวนมากกําลังพยายามเพิ่มฟีเจอร์ AI

• SentinelOne ระบุว่าไม่ได้อยู่คนเดียวในการมุ่งสู่การล่าภัยคุกคามด้วย AI
• ระบุว่าความแตกต่างอยู่ที่การผสานชั้นการตรวจจับหลายชั้นเข้ากับความเชี่ยวชาญของมนุษย์
• บริษัทเน้นย้ําความรับผิดชอบและความโปร่งใสเกี่ยวกับสิ่งที่สัญญากับลูกค้าและสิ่งที่ส่งมอบได้จริง
• ระบุว่าต้องการแบ่งปันบทเรียนที่ได้เรียนรู้กับชุมชนความปลอดภัยทางไซเบอร์ในวงกว้าง

Stone กล่าวว่ามุมมองของบริษัทคือ AI ช่วยฝ่ายป้องกันได้มากกว่าฝ่ายโจมตี เนื่องจากระบบป้องกันสามารถใช้ AI เพื่อตรวจจับรูปแบบ ในขณะที่ผู้โจมตีมักใช้มันเพื่อขยายวิธีการที่ยังคงมองเห็นได้ มุมมองดังกล่าวเป็นพื้นฐานของการนําเสนอส่วนใหญ่

แนวโน้มในอนาคต

SentinelOne ระบุว่างานที่แสดงในงาน OneCon 2026 เป็นส่วนหนึ่งของแผนงานที่กว้างขึ้น บริษัทระบุว่า Chris Corde และทีมของเขาจะนําเสนอการเปิดตัวเทคโนโลยีใหม่ในช่วงหลังของงาน และ Tomer จะพูดถึงทิศทางและตําแหน่งในตลาดของบริษัท

• บริษัทวางแผนที่จะขยายการล่าภัยคุกคามด้วย AI ในชั้นการตรวจจับต่างๆ อย่างต่อเนื่อง
• ต้องการรักษาความเร็วให้ทันกับการโจมตีที่ใช้ความเร็วระดับเครื่องจักร
• มุ่งหมายที่จะแปลงการค้นพบจากการล่าให้กลายเป็นการป้องกันระดับ production อย่างต่อเนื่อง
• จะยังคงจับคู่ระบบอัตโนมัติกับนักวิเคราะห์ผู้เชี่ยวชาญต่อไป

สาระสําคัญของ Stone คือทีมรักษาความปลอดภัยทางไซเบอร์ต้องการเครื่องมือที่สามารถทํางานได้อย่างต่อเนื่องในขณะที่ยังคงเปิดพื้นที่ให้กับการตัดสินใจของมนุษย์ เขากล่าวว่าโมเดลนั้นกําลังช่วยให้ SentinelOne ค้นพบกิจกรรมการบุกรุกที่หายากและปรับปรุงการดําเนินงานประจําวันได้แล้ว

สําหรับการอภิปรายฉบับเต็มและบริบทเพิ่มเติม โปรดดูที่ transcript ด้านล่าง

บทความนี้ถูกแปลโดยใช้ความช่วยเหลือจากปัญญาประดิษฐ์(AI) สำหรับข้อมูลเพิ่มเติม โปรดอ่านข้อกำหนดการใช้งาน