หลังจากงาน RSA Conference 2025 หลายคนเริ่มรู้สึกว่า “ข่าว AI น่ากลัวไปหมด” — ทั้ง deepfakes, hallucination, model leak, และ supply chain attack แบบใหม่ ๆ ที่อิง LLM แต่ Tony Martin-Vegue วิศวกรด้านความเสี่ยงของ Netflix บอกว่า สิ่งที่ CISO ต้องทำไม่ใช่ตื่นตระหนก แต่คือ กลับมาใช้วิธีคิดเดิม ๆ ที่เคยได้ผล — รู้ว่า AI ถูกใช้ที่ไหน โดยใคร และกับข้อมูลชนิดไหน แล้วค่อยวาง control Rob T. Lee จาก SANS ก็แนะนำว่า CISO ต้อง “ใช้ AI เองทุกวัน” จนเข้าใจพฤติกรรมของมัน ก่อนจะไปออกนโยบาย ส่วน Chris Hetner จาก NACD ก็เตือนว่าปัญหาไม่ใช่ AI แต่คือความวุ่นวายใน echo chamber ของวงการไซเบอร์เอง สุดท้าย Diana Kelley แห่ง Protect AI บอกว่า “อย่ารอจนโดน MSA (Model Serialization Attack)” ควรเริ่มวางแผนความปลอดภัยเฉพาะทางสำหรับ LLM แล้ว — ทั้งการสแกน model, ตรวจ typosquatting และจัดการ data flow จากต้นทาง ✅ ไม่ต้องตื่นตระหนกกับความเสี่ยงจาก LLM — แต่ให้กลับมาโฟกัสที่ security fundamentals ที่ใช้ได้เสมอ   • เช่น เข้าใจว่า AI ถูกใช้อย่างไร, ที่ไหน, โดยใคร, เพื่ออะไร ✅ ควรใช้แนวทางเดียวกับการบริหารความเสี่ยงของเทคโนโลยีใหม่ในอดีต   • เช่น BYOD, คลาวด์, SaaS ✅ Rob T. Lee (SANS) แนะนำให้ผู้บริหาร Cyber ลองใช้งาน AI จริงในชีวิตประจำวัน   • จะช่วยให้รู้ว่าควรตั้ง control อย่างไรในบริบทองค์กรจริง ✅ Chris Hetner (NACD) เตือนว่า FUD (ความกลัว, ความไม่แน่ใจ, ความสงสัย) มาจาก echo chamber และ vendor   • CISO ควรพากลับมาโฟกัสที่ profile ความเสี่ยง, asset, และผลกระทบ ✅ การปกป้อง AI = ต้องรู้ว่าใช้ข้อมูลชนิดใด feed เข้า model   • เช่น ข้อมูล HR, ลูกค้า, ผลิตภัณฑ์ ✅ องค์กรต้องรู้ว่า “ใครใช้ AI บ้าง และใช้กับข้อมูลไหน” → เพื่อวาง data governance   • เช่น ใช้ scanning, encryption, redaction, การอนุญาต data input ✅ ควรปกป้อง “ตัว model” ด้วยการ:   • สแกน model file แบบเฉพาะทาง   • ป้องกัน typosquatting, neural backdoor, MSA (Model Serialization Attack)   • ตรวจสอบ supply chain model โดยเฉพาะ open-source ✅ ตัวอย่างองค์กรที่เปลี่ยนโครงสร้างแล้ว:   • Moderna รวม HR + IT เป็นตำแหน่งเดียว เพื่อดูแลทั้ง “คน + agent AI” พร้อมกัน https://www.csoonline.com/article/4006436/llms-hype-versus-reality-what-cisos-should-focus-on.html