ประกันภัยไซเบอร์เร่งหาทางปรับกรมธรรม์ รับมือ AI Agent แฮ็กระบบได้เอง

OpenAI, Anthropic และ Meta Platforms ต่างเคยเปิดเผยว่า AI Agent ของบริษัทแสดงพฤติกรรมที่ไม่คาดคิด ทั้งการหลุดออกจากสภาพแวดล้อมทดสอบและดำเนินการโจมตีทางไซเบอร์โดยไม่มีคำสั่งจากมนุษย์โดยตรง แม้ยังไม่มีรายงานความเสียหาย แต่เหตุการณ์ดังกล่าวสะท้อนความเสี่ยงใหม่ที่บริษัทและผู้รับประกันต้องรับมือ

 

บริษัทประกัน เช่น MSIG, QBE และ Beazley จึงกำลังปรับถ้อยคำในกรมธรรม์ เพื่อรองรับ AI ที่ได้รับสิทธิให้ทำงานอย่างอิสระมากขึ้น ขณะเดียวกันยังมีคำถามสำคัญว่า AI จะถือเป็น “ผู้โจมตีทางไซเบอร์” หรือไม่ และใครต้องรับผิด หากการตัดสินใจของ AI ก่อให้เกิดความเสียหาย

 

ข้อมูลจาก Munich Re ระบุว่า ตลาดประกันภัยไซเบอร์ทั่วโลกมีมูลค่าเกือบ 15,000 ล้านดอลลาร์สหรัฐ (ราว 510,000 ล้านบาท) ในปีที่ผ่านมา และคาดว่าจะเพิ่มเป็น 28,000 ล้านดอลลาร์ (ราว 952,000 ล้านบาท) ภายในปี 2030 ขณะที่ Aon คาดว่าเกือบ 20% ของการโจมตีทางไซเบอร์จะเกี่ยวข้องกับ Generative AI ภายในปี 2027

 

AI สร้างความเสียหายโดยไม่มีแฮกเกอร์

 

กรมธรรม์ไซเบอร์แบบเดิมมักคุ้มครองความเสียหายจากเหตุการณ์ที่ชัดเจน เช่น การเข้าถึงระบบโดยไม่ได้รับอนุญาต การโจรกรรมข้อมูล แรนซัมแวร์ ระบบหยุดชะงัก และค่าใช้จ่ายในการกู้คืนระบบ

 

แต่ AI Agent สามารถสร้างความเสียหายได้ แม้องค์กรจะเป็นผู้อนุญาตให้เข้าถึงระบบตั้งแต่แรก เช่น บริษัทมอบสิทธิให้ AI ค้นหาและแก้ไขช่องโหว่ แต่ AI อาจตัดสินใจใช้ประโยชน์จากช่องโหว่เอง เคลื่อนผ่านระบบและเปิดเผยข้อมูลสำคัญ โดยไม่มีแฮกเกอร์แบบดั้งเดิมหรือการเข้าถึงโดยไม่ได้รับอนุญาต

 

Karthik Ramakrishnan ซีอีโอ Armilla AI กล่าวว่า ความเสียหายจาก AI บางกรณีจะอยู่ภายใต้ประกันไซเบอร์ แต่กรณีที่ไม่มีผู้โจมตีหรือการใช้ข้อมูลเข้าสู่ระบบโดยไม่ได้รับอนุญาตยังเป็นโจทย์ที่ซับซ้อน

 

ประกันยังไม่เร่งตัด AI ออกจากความคุ้มครอง

 

บริษัทประกันส่วนใหญ่ยังเน้นทำให้เงื่อนไขเดิมชัดเจนขึ้น มากกว่าการกำหนดข้อยกเว้นใหม่ทั้งหมด โดย QBE ระบุว่า หากเหตุการณ์ที่เกี่ยวข้องกับ AI นำไปสู่เหตุการณ์ไซเบอร์แบบเดิม ความเสียหายยังอยู่ภายใต้กรมธรรม์ พร้อมมองว่า AI เป็น “ตัวเพิ่มความเสี่ยง” มากกว่าจะเป็นภัยไซเบอร์รูปแบบใหม่

 

อย่างไรก็ตาม อุตสาหกรรมเริ่มหารือเรื่องข้อยกเว้นสำหรับความเสี่ยงเชิงระบบ เช่น AI โมเดลหรือแพลตฟอร์มเดียวสร้างความเสียหายให้หลายองค์กรพร้อมกัน รวมถึงกรณี AI ตัดสินใจเองตามที่ถูกออกแบบ แต่ก่อความเสียหายสูง ซึ่งอาจถูกจัดเป็นเหตุการณ์ที่ไม่ใช่ภัยไซเบอร์

 

ผู้เชี่ยวชาญระบุว่า ตลาดยังขาดข้อมูลการเคลมจากความเสียหายที่เกิดจาก AI ทำให้ประเมินความเสี่ยงและกำหนดเบี้ยประกันได้ยาก ขณะที่องค์กรต่าง ๆ ยังอยู่ระหว่างทำความเข้าใจขีดความสามารถและมาตรการควบคุม AI แบบอัตโนมัติ

 

เมื่อ AI Agent ถูกนำมาใช้งานมากขึ้น ความท้าทายสำคัญของธุรกิจประกันจึงอยู่ที่การกำหนดเส้นแบ่งระหว่าง “ความผิดพลาดของ AI” กับ “ภัยไซเบอร์” และระบุให้ชัดว่าใครควรรับผิดชอบเมื่อระบบอัตโนมัติสร้างความเสียหาย