ความปลอดภัยและงานวิจัย
ธนัช มานะสกุล (Thanat Manasakool) ผู้ก่อตั้งและ Principal Engineer เป็น Security Lead ของ Factor I O Co., Ltd. รับผิดชอบสถาปัตยกรรมความปลอดภัย งานวิจัยเชิงป้องกัน การประเมินช่องโหว่ และการพัฒนาระบบโครงสร้างพื้นฐาน AI ที่ปลอดภัย ในงานทั้งหมดของบริษัท
ผู้รับผิดชอบสถาปัตยกรรมความปลอดภัยและงานวิจัยของ Factor IO ระบุไว้ตรง ๆ เพื่อให้ตรวจสอบเทียบกับหน้าข้อมูลบริษัทได้
ฝ่ายบริหารด้านความปลอดภัยของ Factor IO กำกับดูแลสถาปัตยกรรมและการพัฒนาความสามารถด้านการป้องกัน ทั้งในงานกำกับดูแล AI และงานระบบอัตโนมัติด้านโครงสร้างพื้นฐานของบริษัท ความรับผิดชอบครอบคลุมงานวิจัยด้านความปลอดภัย การประเมินช่องโหว่ ขอบเขตสิทธิ์ของ AI agent การปกป้องข้อมูลรับรอง (credential) การเสริมความแข็งแกร่งให้โครงสร้างพื้นฐาน และการพัฒนาระบบอัตโนมัติด้านความปลอดภัยที่ควบคุมได้ โครงการวิศวกรรมที่ทำอยู่ตอนนี้ได้แก่ Light แพลตฟอร์มกำกับดูแล AI agent และ Light Ops Box โซลูชันด้านความปลอดภัยและการปฏิบัติการโครงสร้างพื้นฐานที่อยู่ระหว่างการพัฒนา ธนัชทำงานด้านโครงสร้างพื้นฐานองค์กรมาเกือบ 20 ปี และเคยเป็น Ecosystem Solutions Architect ของ Red Hat และ Nutanix
สามด้านที่งานความปลอดภัยยึดเป็นหลัก ทั้งหมดเป็นงานเชิงป้องกัน คือหาจุดอ่อนเพื่อแก้ไข และพิสูจน์ว่าการแก้ไขได้ผลจริง
ตัวตนและขอบเขตสิทธิ์ของ agent การรันเครื่องมือด้วยสิทธิ์น้อยที่สุดและการบังคับใช้นโยบาย การป้องกัน prompt injection และการกระทำที่ไม่ได้รับอนุญาต การแยกข้อมูลรับรองและการจัดการ secrets การรันงานภายใต้การกำกับดูแลพร้อมบันทึกที่ตรวจสอบย้อนหลังได้
วิเคราะห์ CVE ที่เปิดเผยต่อสาธารณะ ประเมินว่าช่องโหว่เกี่ยวข้องกับระบบหรือไม่ และระบบเปิดรับความเสี่ยงจริงแค่ไหน ความปลอดภัยของระบบปฏิบัติการ คอนเทนเนอร์ Kubernetes และโครงสร้างพื้นฐาน วิเคราะห์ความเป็นไปได้ในการโจมตีเพื่อประเมินความเสี่ยงเชิงป้องกัน จัดลำดับการแพตช์ และยืนยันว่าการแก้ไขได้ผล
ประเมินการตั้งค่าด้านความปลอดภัย ตรวจสอบการปฏิบัติตามข้อกำหนดและการ hardening ขั้นตอนการแก้ไขที่มีการกำกับดูแล ระบบอัตโนมัติสำหรับงานปฏิบัติการด้านความปลอดภัย และการตรวจซ้ำได้ว่ามาตรการป้องกันยังทำงานอยู่
แยกความสามารถที่ใช้งานจริงออกจากงานที่ยังพัฒนาอยู่ เพื่อไม่ให้สิ่งที่ยังอยู่ในแผนถูกเข้าใจว่าพร้อมใช้แล้ว
Factor IO ทำงานวิศวกรรมและการทดสอบด้านความปลอดภัยเชิงป้องกันเฉพาะกับระบบที่มีสิทธิ์ทดสอบเท่านั้น เพื่อหาช่องโหว่ ยืนยันว่ามาตรการป้องกันได้ผล ปรับปรุงความปลอดภัย และดูแลการแก้ไขอย่างรับผิดชอบจนเสร็จ
ระบบที่ Factor IO สร้าง เป็นเจ้าของ และดูแลเอง รวมถึงผลิตภัณฑ์และแพลตฟอร์มภายในของบริษัท
สภาพแวดล้อมที่บริษัทควบคุมได้ทั้งหมด ซึ่งการทดสอบไม่สามารถเข้าถึงระบบของคนอื่นได้
สภาพแวดล้อมแล็บที่แยกออกมา สำหรับศึกษาช่องโหว่และความเป็นไปได้ในการโจมตี โดยไม่กระทบระบบใช้งานจริงหรือบุคคลภายนอก
ระบบของลูกค้าหรือพาร์ตเนอร์จะถูกทดสอบเฉพาะเมื่อเจ้าของระบบอนุญาตอย่างชัดเจน และอยู่ในขอบเขตที่ตกลงกันเท่านั้น
ใช้กฎเดียวกันทั้งกับระบบของบริษัทเองและกับทุกโครงการของลูกค้า
เริ่มทดสอบได้ก็ต่อเมื่อเจ้าของระบบอนุญาตแล้วและกำหนดขอบเขตไว้ชัดเจน อะไรที่อยู่นอกขอบเขตถือว่าห้ามแตะ
ทั้งคนและ agent ได้สิทธิ์เท่าที่งานต้องใช้ และเฉพาะช่วงเวลาที่ต้องใช้เท่านั้น
ข้อมูลรับรองไม่อยู่ในซอร์สโค้ดหรือ log และส่งให้เครื่องมือเฉพาะตอนที่จำเป็น ข้อมูลลูกค้าใช้เฉพาะตามวัตถุประสงค์ที่ได้รับมาเท่านั้น
สิ่งที่ตรวจพบถูกบันทึกพร้อมขั้นตอนทำซ้ำ และการแก้ไขจะนับว่าเสร็จก็ต่อเมื่อการทดสอบเดิมยืนยันว่าได้ผล
สิ่งที่ตรวจพบส่งถึงผู้รับผิดชอบระบบที่ได้รับผลกระทบก่อน เก็บเป็นความลับระหว่างเตรียมการแก้ไข และไม่เผยแพร่โดยไม่ได้รับความยินยอม
เล่าให้เราฟังว่าอยากทำอะไร และตอนนี้ใช้ระบบอะไรอยู่ เราจะประเมินขอบเขตงาน แล้วส่งใบเสนอราคาแบบแยกรายการให้ภายใน 48 ชั่วโมง