Bank of America Mythos คือกรณีที่ซีอีโอของ Bank of America เปิดเผยผ่าน CNBC เมื่อ 14 ตุลาคม 2569 (ค.ศ. 2026) ว่าธนาคารจ้างผู้รับเหมาภายนอกราว 1,000 คน เพื่อแก้จุดอ่อนในซอฟต์แวร์ที่โมเดล AI รวมทั้ง Mythos ของ Anthropic ตรวจพบ บทความนี้เหมาะกับผู้บริหาร ฝ่ายไอที และฝ่ายกฎหมายที่จ้างบริษัทภายนอกทำหรือดูแลซอฟต์แวร์ อ่านแล้วจะรู้ว่าสัญญาควรมีข้อ Patch SLA อะไร
ลองนึกภาพโรงพยาบาลเอกชนที่จ้างบริษัทดูแลระบบเวชระเบียน วันหนึ่งเครื่องมือ AI สแกนโค้ดแล้วเจอจุดอ่อนหลายสิบจุดพร้อมกัน ผู้ขายซอฟต์แวร์ตอบว่าแก้ได้ แต่คิดค่าบริการเพิ่ม เรื่องที่เกิดกับธนาคารใหญ่ของสหรัฐเป็นภาพขยายของสถานการณ์นี้
สรุปสั้น: ตามรายงานของ IT Pro และ The Next Web ที่อ้าง CNBC ซีอีโอ Bank of America ระบุว่าธนาคารจ้างผู้รับเหมาราว 1,000 คนช่วยพนักงานภายในราว 3,000 คนแก้ช่องโหว่ที่ AI ตรวจพบ ต้นทุนทั้งไตรมาสหลักร้อยล้านดอลลาร์ขึ้นไป ธุรกิจไทยที่จ้างทำซอฟต์แวร์ควรเขียนกำหนดเวลาแพตช์ หน้าที่รายงานช่องโหว่ และผู้รับภาระค่าใช้จ่ายไว้ในสัญญาก่อนเกิดเหตุ
Bank of America Mythos คืออะไร เกิดอะไรขึ้น
Bank of America Mythos คือเรื่องที่ซีอีโอธนาคารให้สัมภาษณ์ CNBC หลังประกาศงบไตรมาส 3 เมื่อ 14 ตุลาคม 2569 ว่าธนาคารต้องจัดทัพแก้ช่องโหว่ซอฟต์แวร์ที่โมเดล AI หลายตัวตรวจพบ รวมถึง Mythos ของ Anthropic จุดอ่อนอยู่ทั้งในโค้ดของธนาคารเองและในโค้ดของผู้ขายซอฟต์แวร์
เรื่อง Bank of America Mythos มีต้นทางหลักคือ CNBC แต่เปิดอ่านไม่ได้ในการตรวจครั้งนี้ ข้อมูลทั้งหมดจึงมาจาก IT Pro และ The Next Web ซึ่งอ้าง CNBC และรายงานตรงกัน ตัวเลขที่ปรากฏเป็นคำพูดของซีอีโอตามที่สื่อทั้งสองรายงาน ไม่ใช่เอกสารทางการของธนาคาร
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้เปิดเผย | ซีอีโอ Bank of America ผ่าน CNBC หลังประกาศงบไตรมาส 3 เมื่อ 14 ต.ค. 2569 |
| ผู้รับเหมาภายนอก | ราว 1,000 คน จ้างในไตรมาส 2 |
| พนักงานภายใน | ราว 3,000 คนทำเรื่องนี้อยู่แล้ว |
| ต้นทุนทั้งไตรมาส | หลักร้อยล้านดอลลาร์ขึ้นไป รวมงานแก้ระบบต่อต้านการฟอกเงิน |
| ผลประหยัดจาก AI ที่ธนาคารคาด | 300 ล้านดอลลาร์ในปี 2569 และ 700 ล้านดอลลาร์ในปี 2570 (ค.ศ. 2027) |
ซีอีโอยอมรับความขัดแย้งทางผลประโยชน์ตามรายงาน เพราะผู้พัฒนาซอฟต์แวร์ที่มีช่องโหว่คือผู้เสนอขายบริการแก้ไขด้วย ธนาคารคาดว่าต้นทุนจะลดลงเมื่อแพตช์เสร็จ และซีอีโอเองบอกว่ายังไม่มีโครงการ AI ที่ “ใหญ่” จริง ส่วนตัวเลข “23,000 จุดอ่อนจากการสแกนครั้งเดียว” มาจากสรุปรอง ยังไม่ยืนยัน บทความนี้จึงไม่นำมาใช้
ข้อควรระวังเรื่องตัวเลขใน Bank of America Mythos คือต้นทุนหลักร้อยล้านดอลลาร์ไม่ใช่ค่า Mythos อย่างเดียว เพราะรวมงานอื่น ผู้อ่านไม่ควรเข้าใจว่าเครื่องมือ AI ตัวเดียวทำให้ธนาคารเสียเงินระดับนั้น เรื่องค่าปรับของธนาคารเดียวกันเป็นอีกประเด็นหนึ่ง อ่านได้ใน สหรัฐปรับ Bank of America ราว 1.2 พันล้านดอลลาร์ เหตุไม่รายงานธุรกรรมต้องสงสัยเกิน 5 พันล้านดอลลาร์ ฟินเทคและธุรกิจชำระเงินไทยต้องเตรียมรับมืออะไร
Bank of America Mythos กระทบธุรกิจไทยอย่างไร
Bank of America Mythos กระทบธุรกิจไทยทางอ้อมผ่านสัญญา เพราะเมื่อ AI ตรวจโค้ดได้เร็วขึ้น ช่องโหว่ที่เคยไม่มีใครเห็นจะถูกพบพร้อมกันเป็นกอง และกลายเป็นหนี้ที่ต้องแพตช์ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ไม่ใช่ข้อความในข่าว
ธนาคารและผู้ให้บริการโครงสร้างพื้นฐานสำคัญของไทยต้องรับมืออย่างไร
ธนาคารและผู้ให้บริการ CII ของไทยมีภาระแบบเดียวกัน คือต้องดูแลมาตรการรักษาความมั่นคงปลอดภัยตาม พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และตาม PDPA มาตรา 37(1) ที่กำหนดให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
ถ้าช่องโหว่ที่ AI ค้นเจอค้างอยู่ในระบบที่เก็บข้อมูลลูกค้า คำถามต่อมาคือองค์กรรู้แล้วแต่ไม่แก้หรือไม่ ผู้รับจ้างงานไอทีให้ CII ควรอ่านข้อควรเตรียมก่อนเซ็นสัญญาใน รับงานไอทีให้ CII ต้องเตรียมอะไรก่อนเซ็นสัญญา
บริษัทที่ซื้อซอฟต์แวร์หรือจ้าง outsource ควรเขียน Patch SLA อย่างไร
ควรเขียนกำหนดเวลาแพตช์แยกตามระดับความรุนแรงของช่องโหว่ และระบุผลของการทำไม่ทัน เช่น สิทธิ์หักค่าบริการหรือบอกเลิกสัญญา สัญญาจ้างดูแลระบบจำนวนมากเขียนแค่ว่าผู้รับจ้างจะดูแลให้ “ทันสมัย” โดยไม่มีตัวเลขวัน
บทความเรื่องผู้รับจ้างดูแลระบบ HR ที่ไม่ลงแพตช์ อธิบายตัวอย่างข้อสัญญาไว้แล้วใน FBI ปลดผู้รับจ้างของ Accenture เพราะไม่ลงแพตช์ องค์กรไทยที่จ้างดูแลระบบ HR ต้องเขียน Patch SLA ลงสัญญาอย่างไร ส่วนความเสี่ยงเรื่อง AI แพตช์ได้ไม่ครบอยู่ใน AI แพตช์ช่องโหว่ผ่านชุดทดสอบแค่ 61% งานวิจัย Northwestern เตือน ผู้ว่าจ้างและ SLA ไทยต้องเช็กอะไร
ใครต้องจ่ายค่าแก้ช่องโหว่ที่ AI ค้นเจอ
คำตอบขึ้นอยู่กับสัญญา ถ้าช่องโหว่เป็นข้อบกพร่องของซอฟต์แวร์ที่ผู้ขายส่งมอบ ผู้ว่าจ้างควรเขียนให้ผู้ขายแก้ภายใต้ค่าบำรุงรักษาเดิม ไม่ใช่เปิดเป็นงานใหม่ที่คิดเพิ่ม กรณี Bank of America Mythos แสดงว่าฝ่ายที่ขายซอฟต์แวร์อาจเป็นฝ่ายเสนอขายบริการแก้ไขด้วย
ผู้เขียนมองว่า “AI ค้นเจอแล้ว ใครต้องแก้ ใครจ่าย” เป็นคำถามสัญญาที่จะตามมาอีกมาก ผู้ว่าจ้างควรให้มีข้อสัญญาตรวจสอบและค่าบริการแก้ไขที่ตกลงกันล่วงหน้า และให้ผู้ขายแจ้งผลสรุปเมื่อใช้ AI สแกนโค้ดของตัวเอง
SME และคนทั่วไปได้รับผลอย่างไร
SME ที่ใช้ระบบสำเร็จรูปหรือจ้างฟรีแลนซ์ทำเว็บไซต์ มักไม่มีทีมแพตช์ของตัวเอง งบแพตช์จึงควรตั้งไว้ล่วงหน้า ส่วนคนทั่วไปที่ฝากเงินหรือใช้บริการแอปได้ผลทางอ้อม เพราะช่องโหว่ที่ค้างอยู่คือเส้นทางที่ข้อมูลส่วนตัวรั่วออกไป
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่เรียนรู้จาก Bank of America Mythos แล้วไม่ทำอะไรเลย องค์กรเสี่ยงสามเรื่อง เรื่องแรก ช่องโหว่ที่ AI พบแล้วค้างอยู่เพราะสัญญาไม่กำหนดเวลา เรื่องที่สอง ต้องจ่ายค่าแก้ไขเพิ่มแบบไม่มีเพดาน เพราะไม่ได้ตกลงไว้ว่าใครรับภาระ
เรื่องที่สาม ถ้าข้อมูลส่วนบุคคลรั่วผ่านช่องโหว่ที่รู้อยู่แล้ว การอธิบายต่อ สคส. ว่าองค์กรจัดมาตรการเหมาะสมตามมาตรา 37(1) จะยากขึ้น เพราะเอกสารในสัญญาและบันทึกการแพตช์ไม่มีเลย
ธุรกิจที่จ้างทำหรือดูแลซอฟต์แวร์ควรทำอะไรตอนนี้
ธุรกิจที่จ้างบริษัทภายนอกดูแลซอฟต์แวร์ควรทบทวนสัญญา 4 เรื่องตามบทเรียน Bank of America Mythos ก่อนช่องโหว่กองใหม่จะมาถึง
- 1. ตั้งเวลาแพตช์ตามระดับความรุนแรง ระบุจำนวนวันที่ผู้ขายต้องแก้ช่องโหว่ระดับร้ายแรง สูง และปานกลาง พร้อมผลของการทำไม่ทัน
- 2. ให้ผู้ขายรายงานช่องโหว่ที่พบด้วย AI กำหนดให้ผู้ขายแจ้งผลสรุปเมื่อสแกนโค้ดด้วยเครื่องมือ AI และแจ้งผู้ว่าจ้างภายในเวลาที่ตกลง
- 3. ตกลงเรื่องผู้จ่ายค่าแก้ไข เขียนว่าช่องโหว่จากข้อบกพร่องของซอฟต์แวร์ที่ส่งมอบ อยู่ในค่าบำรุงรักษาเดิม และกำหนดเพดานสำหรับงานเกินขอบเขต
- 4. เก็บสิทธิ์ตรวจสอบและหลักฐานการแพตช์ ขอรายงานการติดตั้งแพตช์ วันที่ และผู้อนุมัติ เพื่อใช้พิสูจน์ว่าองค์กรจัดมาตรการเหมาะสม
ถ้าต้องการคนช่วยทบทวนเอกสารชุดนี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ เรื่องนี้ไม่ใช่เรื่องเครื่องมือ AI แต่เป็นเรื่องใครถือหนี้ช่องโหว่ เมื่อ AI ทำให้ทุกคนเห็นช่องโหว่พร้อมกัน สัญญาที่ไม่มีเวลาแพตช์ก็เหมือนใบเสร็จที่ไม่มียอดเงิน จุดที่องค์กรมักพลาดคือเขียนว่าผู้รับจ้าง “ดูแลให้ปลอดภัย” โดยไม่มีตัวเลขวันและไม่มีคำตอบว่าใครจ่าย ควรเริ่มจากการเติมสองข้อนี้ก่อนทุกอย่าง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Bank of America Mythos
Bank of America จ้างผู้รับเหมากี่คนเพื่อแก้ช่องโหว่ที่ AI ค้นเจอ
ตามรายงานของ IT Pro และ The Next Web ที่อ้างคำให้สัมภาษณ์ซีอีโอต่อ CNBC ธนาคารจ้างผู้รับเหมาหรือที่ปรึกษาภายนอกราว 1,000 คนในไตรมาส 2 ทำงานคู่กับพนักงานภายในราว 3,000 คน
ต้นทุนหลักร้อยล้านดอลลาร์เป็นค่า Mythos ทั้งหมดหรือไม่
ไม่ใช่ ตัวเลขนี้เป็นต้นทุนทั้งไตรมาสและรวมงานแก้ระบบต่อต้านการฟอกเงินด้วย ตามที่สื่อรายงาน จึงไม่ควรอ่านว่าเป็นค่าใช้จ่ายของเครื่องมือ AI ตัวเดียว
Patch SLA คืออะไร และสัญญาจ้างซอฟต์แวร์ของไทยควรมีไหม
Patch SLA คือข้อตกลงในสัญญาที่กำหนดว่าผู้ให้บริการต้องแก้ช่องโหว่ภายในกี่วัน ควรมีทุกสัญญาที่ผู้รับจ้างดูแลระบบหรือเก็บข้อมูลส่วนบุคคลให้องค์กร เพราะช่วยพิสูจน์มาตรการรักษาความมั่นคงปลอดภัยตาม PDPA
ธุรกิจไทยต้องแก้ช่องโหว่ที่ AI พบภายในกำหนดตามกฎหมายหรือไม่
ข่าวนี้ไม่ได้ระบุกำหนดวันตามกฎหมายไทยแบบตายตัว แต่ PDPA มาตรา 37(1) ให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม การปล่อยช่องโหว่ที่รู้แล้วค้างไว้จึงเสี่ยงถูกตั้งคำถาม
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- สัญญาจ้างบริการแบบรายเดือน (Retainer) ต้องมีอะไรบ้าง — อธิบายการเขียนเวลาตอบสนองและราคางานส่วนเกินในสัญญาบริการรายเดือน ซึ่งใช้กับสัญญาดูแลระบบได้ (ok.aipdpa.com)
แหล่งอ้างอิง
- IT Pro (อ้าง CNBC) — (อ่านต้นฉบับ) — อ่านข่าวที่ IT Pro
- The Next Web (อ้าง CNBC) — (อ่านต้นฉบับ) — อ่านข่าวที่ The Next Web
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
