ວິທີການປຽບທຽບ ແລະ ຄັດເລືອກມາດຕະຖານການປະເມີນຜົນ AI Cybersecurity

AI ໄຊເບີເຊັກຄިއວຣິຕີ້ (AI Cybersecurity) ເບນມາກ (Benchmark) ແມ່ນມາດຕະຖານການປະເມີນຜົນເພື່ອວັດແທກຈຸດແຂງ ແລະ ຈຸດອ່ອນດ້ານຄວາມປອດໄພຂອງລະບົບ AI ຢ່າງເປັນປະລິມານ ພາຍໃຕ້ເງື່ອນໄຂທີ່ມີມາດຕະຖານ.

ໃນການປະເມີນຄວາມປອດໄພຂອງຊອບແວແບບດັ້ງເດີມ, ຈະເນັ້ນໃສ່ການສະແກນຊ່ອງໂຫວ່ໂດຍອີງໃສ່ CVE (Common Vulnerabilities and Exposures) ແລະ ການທົດສອບເຈາະລະບົບ (Penetration Testing) ເປັນຫຼັກ. ຢ່າງໃດກໍຕາມ, ເມື່ອ Generative AI ແລະ AI Agent ຖືກນຳມາລວມເຂົ້າໃນລະບົບການເຮັດວຽກ, ວິທີການໂຈມຕີສະເພາະຂອງ AI ເຊັ່ນ: Prompt Injection, Jailbreak, ແລະ Data/Model Poisoning ກໍໄດ້ປະກົດຕົວຂຶ້ນ ເຮັດໃຫ້ວິທີການປະເມີນແບບເດີມບໍ່ສາມາດຮັບມືໄດ້ຢ່າງຄົບຖ້ວນ.

ຈາກສະພາບການດັ່ງກ່າວ, ຈຶ່ງມີການພັດທະນາເບນມາກສະເພາະສຳລັບການປະເມີນພຶດຕິກຳຂອງ AI. ຕົວຢ່າງທີ່ໂດດເດັ່ນຄື CyberGym ເຊິ່ງໄດ້ເປີດຕົວ ຫຼື Launch ໃນເອກະສານ arXiv:2506.02548. CyberGym ເປັນເບນມາກຂະໜາດໃຫຍ່ທີ່ລວບລວມຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງເຖິງ 1,507 ລາຍການ ແລະ 188 ໂຄງການຊອບແວ, ເຊິ່ງໃນປັດຈຸບັນວິທີການທີ່ດີທີ່ສຸດຍັງມີອັດຕາຄວາມສຳເລັດພຽງແຕ່ປະມານ 20% ເທົ່ານັ້ນ, ເຊິ່ງສະແດງໃຫ້ເຫັນວ່າການຄົ້ນຫາຊ່ອງໂຫວ່ໂດຍອັດຕະໂນມັດຂອງ AI ນັ້ນມີຄວາມຫຍຸ້ງຍາກພຽງໃດ.

ບົດບາດຂອງເບນມາກສາມາດແບ່ງອອກໄດ້ເປັນ 3 ດ້ານຫຼັກໆດັ່ງນີ້:

ເຕັກນິກການໂຈມຕີທາງໄຊເບີທີ່ນຳໃຊ້ AI ໄດ້ມີຄວາມຊັບຊ້ອນເພີ່ມທະວີຂຶ້ນເລື້ອຍໆໃນໄລຍະສອງສາມປີຜ່ານມາ. ໄພຄຸກຄາມທີ່ການກວດຈັບແບບອີງຕາມກົດເກນ (Rule-based detection) ແບບດັ້ງເດີມຮັບມືໄດ້ຍາກນັ້ນມີຈຳນວນເພີ່ມຂຶ້ນ ເຊັ່ນ: ການທົດສອບເຈາະລະບົບແບບອັດຕະໂນມັດ, ການໃຊ້ Prompt Injection ໂດຍການນຳ LLM (Large Language Model) ໄປໃຊ້ໃນທາງທີ່ຜິດ, ແລະ ການຊອກຫາຊ່ອງໂຫວ່ແບບ Zero-day.

ເພື່ອຮັບມືກັບການປ່ຽນແປງເຫຼົ່ານີ້, ຄວາມສົນໃຈຕໍ່ກັບມາດຕະຖານການປະເມີນຜົນ (Evaluation Benchmark) ຈຶ່ງມີຄວາມສຳຄັນຫຼາຍຂຶ້ນ ໃນຖານະທີ່ເປັນວິທີການວັດແທກຄວາມທົນທານດ້ານຄວາມປອດໄພຂອງລະບົບ AI ດ້ວຍຕົນເອງຢ່າງເປັນກາງ. ເບື້ອງຫຼັງຂອງເລື່ອງນີ້ມີສາມບັນຫາຫຼັກດັ່ງນີ້:

• ການປະເມີນຜົນທີ່ຂຶ້ນກັບບຸກຄົນ: ຜົນການປະເມີນມີຄວາມແຕກຕ່າງກັນໄປຕາມປະສົບການ ແລະ ທັກສະຂອງເຈົ້າໜ້າທີ່ຄວາມປອດໄພ ເຮັດໃຫ້ການປຽບທຽບລະຫວ່າງອົງກອນ ຫຼື ລະຫວ່າງຜະລິດຕະພັນເຮັດໄດ້ຍາກ
• ຄວາມຫຼາກຫຼາຍຂອງວິທີການໂຈມຕີ: ໄພຄຸກຄາມສະເພາະຂອງ AI ເຊັ່ນ: Jailbreak, RAG Poisoning, ແລະ Model Extraction Attack ມີຈຳນວນເພີ່ມຂຶ້ນ ເຮັດໃຫ້ເກີດຂົງເຂດທີ່ໂຄງຮ່າງການປະເມີນຄວາມປອດໄພແບບດັ້ງເດີມບໍ່ສາມາດກວມເອົາໄດ້ທັງໝົດ
• ການເພີ່ມຄວາມເຂັ້ມງວດດ້ານກົດລະບຽບ ແລະ ການກຳກັບດູແລ: Regulation (EU) 2024/1689 (EU AI Act) ໄດ້ມີຜົນບັງຄັບໃຊ້ໃນເດືອນສິງຫາ 2024, ໂດຍລະບົບ AI ທີ່ມີຄວາມສ່ຽງສູງຈະຕ້ອງປະຕິບັດຕາມຂໍ້ກຳນົດພາຍໃນ 36 ເດືອນຫຼັງຈາກມີຜົນບັງຄັບໃຊ້. ການສາມາດສະແດງຫຼັກຖານການປະເມີນຜົນທີ່ເປັນກາງໄດ້ນັ້ນ ຈຶ່ງກາຍເປັນຈຸດສຳຄັນ ຫຼື ແກນຫຼັກ ໃນດ້ານການປະຕິບັດຕາມກົດລະບຽບ (Compliance)

ນອກຈາກນີ້, ໃນສະຖານະການທີ່ "ພາສາກາງ" ສຳລັບການປະເມີນຄວາມປອດໄພຂອງ AI ຍັງບໍ່ທັນໄດ້ຮັບການຈັດຕັ້ງ, ຄວາມສ່ຽງທີ່ຊ່ອງໂຫວ່ເຊິ່ງຖືກມອງຂ້າມໃນຂັ້ນຕອນ PoC (Proof of Concept) ຈະປາກົດຂຶ້ນໃນສະພາບແວດລ້ອມການນຳໃຊ້ຈິງກໍມີຄວາມສ່ຽງສູງຂຶ້ນ.

ເມື່ອເລືອກ Benchmark, ການຈັດລະບຽບໂດຍອີງໃສ່ 3 ແກນຫຼັກ ຄື: ຈະວັດແທກຫຍັງ, ວັດແທກແນວໃດ ແລະ ຜົນລັພມີຄວາມໜ້າເຊື່ອຖືຫຼືບໍ່ ຈະຊ່ວຍໃຫ້ຕັດສິນໃຈໄດ້ງ່າຍຂຶ້ນ. ໃຫ້ກວດສອບຕາມລຳດັບດັ່ງນີ້: ຂອບເຂດການປະເມີນ, ວິທີການໃຫ້ຄະແນນ, ລວມເຖິງຄວາມສາມາດໃນການເຮັດຊ້ຳ ແລະ ຄວາມຖີ່ໃນການອັບເດດ.

ກ່ອນທີ່ຈະເລືອກ Benchmark, ທ່ານຈຳເປັນຕ້ອງມີຄວາມຊັດເຈນວ່າ "ຕ້ອງການປະເມີນຫຍັງ". ຂອບເຂດຂອງການປະເມີນສາມາດແບ່ງອອກເປັນສາມສ່ວນໃຫຍ່ໆ, ເຊິ່ງຖ້າຈຸດປະສົງຕ່າງກັນ Benchmark ທີ່ເໝາະສົມກໍຈະປ່ຽນໄປ.

ການກວດຫາຊ່ອງໂຫວ່ (Vulnerability Detection) ແມ່ນການວັດແທກວ່າ AI ສາມາດວິເຄາະ Source code ຫຼື Binary ເພື່ອຄົ້ນຫາຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກກັນດີ ເຊັ່ນ: CVE (Common Vulnerabilities and Exposures) ຫຼື ຂໍ້ບົກພ່ອງທີ່ຍັງບໍ່ທັນຮູ້ຈັກໄດ້ຫຼືບໍ່. CyberGym ມີຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງເຖິງ 1,507 ລາຍການ ແລະ 188 ໂຄງການຊອບແວ, ເຊິ່ງມີຂະໜາດທີ່ເໝາະສົມສຳລັບການປະເມີນຄວາມຖືກຕ້ອງໃນການກວດຫາ. ຢ່າງໃດກໍຕາມ, ເນື່ອງຈາກອັດຕາຄວາມສຳເລັດຂອງວິທີການລະດັບສູງສຸດຍັງຢູ່ທີ່ປະມານ 20%, ໃນປັດຈຸບັນຈຶ່ງເໝາະສົມກັບການນຳໃຊ້ເພື່ອ "ວັດແທກຄວາມສາມາດໃນຖານະເຄື່ອງມືຊ່ວຍເຫຼືອ" ຫຼາຍກວ່າ.

ການປະເມີນການປ້ອງກັນ (Defense Evaluation) ແມ່ນການກວດສອບຄວາມຕ້ານທານຕໍ່ Prompt Injection ແລະ Jailbreak ລວມເຖິງປະສິດທິຜົນຂອງ AI Guardrails. ການກວດສອບວ່າ Benchmark ນັ້ນກວມເອົາໝວດໝູ່ໄພຄຸກຄາມທີ່ລະບຸໄວ້ໃນ OWASP Top 10 for Large Language Model Applications ຫຼືບໍ່ ຈະເປັນໜຶ່ງໃນມາດຖານໃນການເລືອກ Benchmark ດ້ານການປ້ອງກັນ.

ການຈຳລອງການໂຈມຕີ (Attack Simulation) ແມ່ນການປະເມີນວ່າ AI ສາມາດດຳເນີນການ Penetration Testing ຫຼື ສ້າງ Exploit code ຈາກມຸມມອງຂອງຜູ້ໂຈມຕີໄດ້ຫຼືບໍ່.

"ຄຳຖາມທີ່ວ່າ 'ຖ້າຄະແນນຂອງ Benchmark ນີ້ສູງ ແລ້ວມັນຈະປອດໄພແທ້ຫຼືບໍ່' ແມ່ນອຸປະສັກທຳອິດທີ່ຜູ້ປະເມີນຜົນຕ້ອງປະເຊີນ. ເພື່ອໃຫ້ເຂົ້າໃຈຄວາມໝາຍຂອງຄະແນນຢ່າງຖືກຕ້ອງ, ຈຳເປັນຕ້ອງເຂົ້າໃຈເຖິງນິຍາມຂອງຕົວຊີ້ວັດ ແລະ ໂຄງສ້າງຂອງການໃຫ້ຄະແນນ.

ຕົວຊີ້ວັດຫຼັກທີ່ໃຊ້ໃນການປະເມີນຜົນດ້ານຄວາມປອດໄພທາງໄຊເບີຂອງ AI ມີດັ່ງນີ້:

ວິທີການໃຫ້ຄະແນນຈະແຕກຕ່າງກັນຢ່າງຫຼວງຫຼາຍຂຶ້ນຢູ່ກັບ Benchmark ແຕ່ລະອັນ. ບາງອັນໃຊ້ພຽງແຕ່ອັດຕາຄວາມຖືກຕ້ອງ (Accuracy) ແບບງ່າຍໆ, ໃນຂະນະທີ່ບາງອັນກໍມີການໃຫ້ນ້ຳໜັກຕາມລະດັບຄວາມຍາກ ຫຼື ຄວາມຮຸນແຮງຂອງຊ່ອງໂຫວ່ (ເຊັ່ນ: ຄະແນນ CVSS). ຕ້ອງລະວັງວ່າ ຖ້າປຽບທຽບພຽງແຕ່ອັດຕາຄວາມຖືກຕ້ອງໂດຍບໍ່ມີການໃຫ້ນ້ຳໜັກ, Benchmark ທີ່ມີໜ້າວຽກງ່າຍໆຫຼາຍອາດຈະໄດ້ຮັບການປະເມີນສູງເກີນຄວາມເປັນຈິງ.

ສຳລັບກໍລະນີຂອງ CyberGym, ອັດຕາຄວາມສຳເລັດຂອງວິທີການລະດັບສູງສຸດແມ່ນຢູ່ທີ່ປະມານ 20% ເທົ່ານັ້ນ, ເຊິ່ງສະທ້ອນໃຫ້ເຫັນເຖິງລະດັບຄວາມຍາກທີ່ສູງໂດຍອີງໃສ່ຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງເຖິງ 1,507 ລາຍການ."

ຄຸນນະພາບຂອງມາດຕະຖານ ຫຼື Specification ສາມາດຕັດສິນໄດ້ຈາກ 3 ແກນຫຼັກ ທີ່ຕັ້ງຄຳຖາມວ່າ "ຄະແນນນັ້ນເຊື່ອຖືໄດ້ຫຼືບໍ່" ຫຼາຍກວ່າຕົວເລກຄະແນນເອງ.

ຄວາມສາມາດໃນການເຮັດຊ້ຳ (Reproducibility) ໝາຍເຖິງການທີ່ສາມາດໄດ້ຮັບຜົນລັດດຽວກັນຫາກດຳເນີນການພາຍໃຕ້ເງື່ອນໄຂດຽວກັນ. ມາດຕະຖານ ຫຼື Specification ທີ່ກໍລະນີທົດສອບ ຫຼື ພຣອມ (Prompt) ບໍ່ຖືກເປີດເຜີຍຕໍ່ສາທາລະນະນັ້ນ ຈະເຮັດໃຫ້ການກວດສອບຈາກພາຍນອກເປັນໄປໄດ້ຍາກ ແລະ ເຮັດໃຫ້ຄວາມໝາຍຂອງຄະແນນມີຄວາມຄຸມເຄືອ. CyberGym ໄດ້ເປີດຕົວ ຫຼື Launch ການອອກແບບການທົດສອບໃນເອກະສານວິຊາການ arXiv (arXiv:2506.02548) ເຊິ່ງບຸກຄົນທີສາມສາມາດກວດສອບເງື່ອນໄຂການປະເມີນທີ່ກວມເອົາຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງ 1,507 ລາຍການ ແລະ ໂຄງການຊອບແວ 188 ໂຄງການໄດ້. ຄວາມໂປ່ງໃສນີ້ເຮັດໃຫ້ຕົວເລກອັດຕາຄວາມສຳເລັດ "ປະມານ 20%" ຂອງວິທີການລະດັບສູງມີຄວາມໜ້າເຊື່ອຖື.

ສຳລັບ ຄວາມໂປ່ງໃສ (Transparency), ກະລຸນາກວດສອບວ່າແຫຼ່ງທີ່ມາ, ໃບອະນຸຍາດ ແລະ ເງື່ອນໄຂການຍົກເວັ້ນຂອງຊຸດຂໍ້ມູນການປະເມີນໄດ້ຖືກລະບຸໄວ້ຢ່າງຊັດເຈນຫຼືບໍ່. ເຊັ່ນດຽວກັນກັບການສະແດງສ່ວນປະກອບຂອງອາຫານ, ມາດຕະຖານ ຫຼື Specification ທີ່ບໍ່ສາມາດເຫັນເນື້ອໃນພາຍໃນໄດ້ນັ້ນ ບໍ່ສາມາດນຳມາເປັນຂໍ້ມູນໃນການຕັດສິນໃຈດ້ານຄວາມປອດໄພໄດ້. ເຟຣມເວີກທີ່ເປີດເຜີຍການຈັດລຽງ TTP (Tactics, Techniques, and Procedures) ເຊັ່ນ MITRE ATLAS™ ນັ້ນຖືວ່າດີເລີດ ໃນແງ່ທີ່ສາມາດນຳຜົນການປະເມີນໄປ ສົ່ງຂໍ້ມູນຕໍ່ໃຫ້ ການປັບປຸງມາດຕະການຄວາມປອດໄພໄດ້ໂດຍກົງ.

ຄວາມຖີ່ໃນການອັບເດດ (Update Frequency) ເປັນປັດໄຈທີ່ກຳນົດວ່າສາມາດຕິດຕາມການປ່ຽນແປງຂອງໄພຄຸກຄາມໄດ້ຫຼືບໍ່. ເນື່ອງຈາກຂໍ້ມູນຊ່ອງໂຫວ່ຖືກເພີ່ມທະວີຂຶ້ນເລື້ອຍໆ ໃນນາມ CVE (Common Vulnerabilities and Exposures), ຊຸດຂໍ້ມູນທີ່ຄົງຄ່າໄວ້ (Static) ຈຶ່ງຈະຫ່າງໄກຈາກຄວາມເປັນຈິງເມື່ອເວລາຜ່ານໄປ. Playbook ຂອງ NIST AI RMF ມີແຜນການອັບເດດທຸກເຄິ່ງປີ (ປະມານ 2 ຄັ້ງຕໍ່ປີ), ເຊິ່ງຮອບວຽນການອັບເດດຂອງເຟຣມເວີກກໍຖືເປັນໜຶ່ງໃນມາດຖານການຄັດເລືອກເຊັ່ນກັນ.

ການປະເມີນຜົນ Benchmark ຈະດຳເນີນໄປຕາມ 3 ຂັ້ນຕອນ ຄື: ການກຽມສະພາບແວດລ້ອມ ແລະ ການດຳເນີນການ, ການເກັບກຳຂໍ້ມູນ, ແລະ ການວິເຄາະຜົນລັດ. ຫາກມີຂັ້ນຕອນໃດໜຶ່ງຜິດພາດ, ຄວາມໜ້າເຊື່ອຖືຂອງຜົນການປຽບທຽບຈະຫຼຸດລົງ. ເພື່ອໃຫ້ການປະເມີນຜົນເປັນໄປຕາມຈຸດປະສົງຂອງບໍລິສັດ, ໃຫ້ກວດສອບໄປຕາມລຳດັບຂັ້ນຕອນດັ່ງນີ້.

ຜົນການດຳເນີນງານຂອງ Benchmark ຈະປ່ຽນແປງໄປຢ່າງຫຼວງຫຼາຍຂຶ້ນຢູ່ກັບການຕັ້ງຄ່າສະພາບແວດລ້ອມ. ການຕັດສິນໃຈວ່າຈະປັບສະພາບແວດລ້ອມໃຫ້ໃກ້ຄຽງກັບສະພາບແວດລ້ອມການໃຊ້ງານຈິງ (Production) ຫຼື ຈະໃຫ້ຄວາມສຳຄັນກັບຄວາມປອດໄພໂດຍການໃຊ້ Sandbox ທີ່ແຍກອອກມາຕ່າງຫາກນັ້ນ ແມ່ນຂຶ້ນຢູ່ກັບຈຸດປະສົງຂອງການປະເມີນຜົນ.

ການກຳນົດນະໂຍບາຍການແຍກສະພາບແວດລ້ອມ

ຖ້າຕ້ອງການວັດແທກຄວາມຖືກຕ້ອງຂອງການກວດຫາຊ່ອງໂຫວ່, ການຈຳລອງ Stack ທີ່ໃກ້ຄຽງກັບສະພາບແວດລ້ອມການພັດທະນາຕົວຈິງແມ່ນມີປະສິດທິພາບ. ໃນທາງກົງກັນຂ້າມ, ໃນການປະເມີນຜົນທີ່ລວມເຖິງການຈຳລອງການໂຈມຕີ, ຈຳເປັນຕ້ອງມີສະພາບແວດລ້ອມ Sandbox ທີ່ຕັດຂາດຈາກຜົນກະທົບຕໍ່ເຄືອຂ່າຍການໃຊ້ງານຈິງ. ໃນ Benchmark ທີ່ກວມເອົາຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງເຖິງ 1,507 ລາຍການ ເຊັ່ນ CyberGym, ພື້ນຖານຂອງ Container ຫຼື ຟັງຊັນ Snapshot ທີ່ສາມາດ Deploy ແລະ ທຳລາຍໂຄງການຊອບແວທີ່ຖືກປະເມີນໄດ້ຢ່າງປອດໄພນັ້ນຖືເປັນສິ່ງທີ່ຈຳເປັນ.

ຄວາມສຳພັນທີ່ເພິ່ງພາອາໄສກັນ ແລະ ການຈັດການເວີຊັນ

ສຳລັບ AI Model ຫຼື ເຄື່ອງມືວິເຄາະທີ່ຖືກປະເມີນ, ໃຫ້ສ້າງສະພາບແວດລ້ອມໃນສະຖານະທີ່ຄົງຄ່າໄວ້ (Fixed version). ຖ້າຫາກຍັງເປີດໃຊ້ການອັບເດດ Library ອັດຕະໂນມັດໄວ້, ຜົນລັອບຈະປ່ຽນແປງໃນເວລາທີ່ດຳເນີນການໃໝ່ ເຮັດໃຫ້ບໍ່ສາມາດປຽບທຽບກັນໄດ້. ຄວາມສຳພັນທີ່ເພິ່ງພາອາໄສກັນຄວນຖືກຈັດການຢ່າງຈະແຈ້ງຜ່ານ requirements.txt ຫຼື Dockerfile ເພື່ອຮັບປະກັນຄວາມສາມາດໃນການສ້າງສະພາບແວດລ້ອມຄືນໃໝ່ (Reproducibility).

ການຕັ້ງຄ່າການເກັບກຳ Log

ກ່ອນການດຳເນີນງານ, ສິ່ງສຳຄັນຄືການກຳນົດລະດັບຄວາມລະອຽດຂອງ Log ທີ່ຈະສົ່ງອອກ ແລະ ສະຖານທີ່ຈັດເກັບ. ເພື່ອປ້ອງກັນສະຖານະການທີ່ວ່າ "ຄະແນນຂອງການທົດລອງນັ້ນບໍ່ໄດ້ຖືກບັນທຶກໄວ້", ຄວນຈັດກຽມກົນໄກທີ່ບັນທຶກທັງ Standard output, Error log, ແລະ Model response log ໄວ້ນຳກັນລ່ວງໜ້າ. ໃນກໍລະນີທີ່ພື້ນທີ່ຈັດເກັບຂໍ້ມູນມີຈຳກັດ, ການຕັ້ງຄ່າໃຫ້ມີການໝູນວຽນ (Rotation) ຕາມແຕ່ລະ Session ການປະເມີນຜົນແມ່ນວິທີທີ່ເໝາະສົມໃນທາງປະຕິບັດ.

ສະຖານະການທີ່ວ່າ "ໄດ້ດຳເນີນການ Benchmark ແລ້ວ ແຕ່ບໍ່ຮູ້ວ່າຄວນບັນທຶກຫຍັງ ແລະ ຫຼາຍປານໃດ" ມັກຈະເກີດຂຶ້ນໃນໄລຍະເລີ່ມຕົ້ນຂອງໂຄງການປະເມີນຜົນ.

ກ່ອນທີ່ຈະເລີ່ມດຳເນີນການ, ວຽກງານທຳອິດແມ່ນການກຳນົດຂອບເຂດຂອງການເກັບຂໍ້ມູນ Log. ລາຍການທີ່ຄວນບັນທຶກມີ 3 ຢ່າງຫຼັກໆຄື:

• Execution Log: Prompt ທີ່ປ້ອນເຂົ້າໃນແຕ່ລະ Task, ຜົນລັດຈາກ Model, ເວລາທີ່ດຳເນີນການ ແລະ Latency
• Scoring Results: ຜົນການກວດສອບກັບປ້າຍກຳກັບທີ່ຖືກຕ້ອງ (Ground Truth), ອັດຕາຄວາມສຳເລັດຂອງການໂຈມຕີ (ASR), ແລະ ການມີຢູ່ຂອງຄຳຕອບທີ່ຖືກຕ້ອງບາງສ່ວນ
• Environment Metadata: ຊື່ Model ແລະ Version, ພາຣາມິເຕີໃນການອະນຸມານ (Temperature, ຈຳນວນ Token ສູງສຸດ), ແລະ API Endpoint ທີ່ໃຊ້

ໃນ Benchmark ທີ່ອີງໃສ່ຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງ (Real-world vulnerability) ເຊັ່ນ CyberGym, ການດຳເນີນການທັງໝົດ 1,507 Task ຈະຕ້ອງໃຊ້ເວລາ ແລະ ຄ່າໃຊ້ຈ່າຍທີ່ສູງ. ໃນການປະເມີນຄັ້ງທຳອິດ, ວິທີທີ່ເປັນຈິງທີ່ສຸດແມ່ນການຈຳກັດຂອບເຂດເປົ້າໝາຍ ແລະ ໃຊ້ວິທີການສຸ່ມຕົວຢ່າງຕາມໝວດໝູ່ CVE ຫຼື ລະດັບຄວາມຍາກ.

ສິ່ງທີ່ຄວນລະວັງໃນເວລາເກັບກຳຂໍ້ມູນແມ່ນ ການຮັບປະກັນຄວາມສາມາດໃນການເຮັດຊ້ຳ (Reproducibility). ຄວນດຳເນີນການ Task ດຽວກັນຫຼາຍໆຄັ້ງເພື່ອຢືນຢັນຄວາມແຕກຕ່າງຂອງຜົນລັດ, ແລະ ການບັນທຶກທັງເງື່ອນໄຂທີ່ກຳນົດຄ່າ Temperature ໄວ້ ແລະ ເງື່ອນໄຂທີ່ປ່ຽນແປງຄ່າດັ່ງກ່າວ ຈະເຮັດໃຫ້ມາດຕະຖານໃນການປຽບທຽບມີຄວາມຊັດເຈນໃນການວິເຄາະພາຍຫຼັງ.

ນອກຈາກນີ້, Benchmark ບາງຢ່າງອາດລວມເຖິງການຕັດສິນແບບຄຸນນະພາບ (Qualitative) ເຊັ່ນ "Patch ທີ່ບໍ່ສົມບູນ" ຫຼື "ການກວດພົບ Zero-day". ໃນກໍລະນີນີ້, ແນະນຳວ່າບໍ່ຄວນປະມວນຜົນຜົນລັດຈາກ Model ດ້ວຍການ Scoring ແບບອັດຕະໂນມັດພຽງຢ່າງດຽວ, ແຕ່ຄວນມີການສ້າງເອກະສານກຳນົດມາດຕະຖານການຕັດສິນ ແລະ ປະສົມປະສານກັບການກວດສອບໂດຍມະນຸດ. ຂໍ້ມູນທີ່ເກັບກຳມາຄວນຖືກຈັດໂຄງສ້າງໃນຮູບແບບ CSV ຫຼື JSONL ແລະ ບັນທຶກໄວ້ໃນສະພາບທີ່ງ່າຍຕໍ່ການສົ່ງຂໍ້ມູນຕໍ່ໃຫ້ເຄື່ອງມືວິເຄາະໃນຂັ້ນຕອນຕໍ່ໄປ.

ຄະແນນທີ່ເກັບກຳມາໄດ້ນັ້ນ ຫາກນຳມາລຽງກັນໂດຍກົງຈະບໍ່ມີຄວາມໝາຍ. ເຊັ່ນດຽວກັນກັບຜົນການແຂ່ງຂັນກິລາ, ການປຽບທຽບຈະເກີດຂຶ້ນໄດ້ກໍຕໍ່ເມື່ອມີການກຳນົດບໍລິບົດທີ່ຄົບຖ້ວນວ່າ "ໃຜ, ພາຍໃຕ້ເງື່ອນໄຂໃດ, ແລະ ວັດແທກຫຍັງ" ເທົ່ານັ້ນ.

ບາດກ້າວທຳອິດຂອງການວິເຄາະແມ່ນ ການປັບມາດຕະຖານຄະແນນ (Score Normalization). ເນື່ອງຈາກການກຳນົດຄະແນນເຕັມ ແລະ ການກະຈາຍຂອງລະດັບຄວາມຍາກໃນແຕ່ລະ Benchmark ມີຄວາມແຕກຕ່າງກັນ, ຈຶ່ງຄວນປຽບທຽບດ້ວຍອັນດັບສຳພັດ ຫຼື ອັດຕາການປ່ຽນແປງໃນຊຸດວຽກດຽວກັນ ແທນທີ່ຈະໃຊ້ຄ່າຕົວເລກຢ່າງດຽວ. ໃນກໍລະນີຂອງ CyberGym, ມີລາຍງານວ່າເຖິງແມ່ນຈະເປັນວິທີການລະດັບສູງ ແຕ່ອັດຕາຄວາມສຳເລັດໃນການໂຈມຕີ (ASR) ກໍຍັງຢູ່ທີ່ປະມານ 20% ເທົ່ານັ້ນ, ສະນັ້ນ ຄະແນນສູງຈຶ່ງບໍ່ໄດ້ໝາຍຄວາມວ່າ "ພຽງພໍຕໍ່ການນຳໃຊ້ຈິງ". ສິ່ງສຳຄັນຄືການນຳຕົວເລກນີ້ໄປທຽບກັບລະດັບຄວາມສ່ຽງທີ່ອົງກອນຂອງທ່ານຍອມຮັບໄດ້.

ຕໍ່ມາແມ່ນ ການຈັດປະເພດຮູບແບບຄວາມຜິດພາດ. ຫາກແບ່ງການນັບອອກເປັນ 3 ປະເພດຄື: ການກວດພົບຜິດ (False Positive), ການກວດບໍ່ພົບ (False Negative), ແລະ Patch ທີ່ບໍ່ສົມບູນ, ຈຸດອ່ອນຂອງ Model ກໍຈະປາກົດອອກມາ. ໃນ CyberGym, ມີການບັນທຶກຈຳນວນ Patch ທີ່ບໍ່ສົມບູນໄວ້ເຖິງ 18 ກໍລະນີ, ດັ່ງນັ້ນຕ້ອງລະວັງຢ່າເບິ່ງຂ້າມຈຸດທີ່ວ່າ ກໍລະນີທີ່ຖືກຕັດສິນວ່າ "ແກ້ໄຂແລ້ວ" ກໍຍັງມີຄວາມສ່ຽງຕົກຄ້າງຢູ່.

ໃນການສ້າງຕາຕະລາງປຽບທຽບ, ການຈັດວາງແກນຕ່າງໆໃຫ້ເປັນຖັນຈະຊ່ວຍໃຫ້ການຕັດສິນໃຈງ່າຍຂຶ້ນ ດັ່ງນີ້:

ສຸດທ້າຍ, ສິ່ງທີ່ສຳຄັນທີ່ສຸດຄືການຫຼີກລ່ຽງການຕັດສິນໃຈໂດຍໃຊ້ຕົວຊີ້ວັດພຽງຢ່າງດຽວ. ເຖິງແມ່ນວ່າ ASR ຈະສູງ ແຕ່ຖ້າອັດຕາການກວດພົບຜິດສູງ ຕົ້ນທຶນໃນການດຳເນີນງານກໍຈະເພີ່ມທະວີຂຶ້ນເລື້ອຍໆ.

ຖ້າຕັດສິນໃຈເລືອກໂດຍອີງໃສ່ພຽງແຕ່ຄວາມໄດ້ປຽບທາງດ້ານເຕັກນິກຂອງ Benchmark ເທົ່ານັ້ນ, ອາດຈະເກີດກໍລະນີທີ່ບໍ່ສາມາດດຳເນີນການໄດ້ຫຼັງຈາກການນຳໃຊ້. ມັນເປັນສິ່ງສຳຄັນທີ່ຈະຕັດສິນໂດຍອີງໃສ່ 2 ແກນຫຼັກ ຄື: ຄວາມເໝາະສົມກັບ Use case ຂອງບໍລິສັດຕົນເອງ, ແລະ ຕົ້ນທຶນລວມເຖິງພາລະໃນການດຳເນີນງານ.

ກ່ອນທີ່ຈະເລືອກໃຊ້ CyberGym, ສິ່ງສຳຄັນຄືການລະບຸໃຫ້ໄດ້ວ່າ "ຕ້ອງການວັດແທກຫຍັງ". ຖ້າຫາກມາດຕະຖານການປະເມີນທີ່ Benchmark ສະໜອງໃຫ້ ບໍ່ສອດຄ່ອງກັບບັນຫາທີ່ອົງກອນຂອງທ່ານກຳລັງປະເຊີນຢູ່, ການໄດ້ຄະແນນທີ່ມີຄວາມແມ່ນຍຳສູງກໍຈະບໍ່ມີປະໂຫຍດຕໍ່ການຕັດສິນໃຈໃນການເຮັດວຽກຕົວຈິງ.

CyberGym ເປັນ Benchmark ດ້ານການວິໄຈທີ່ກວມເອົາຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງເຖິງ 1,507 ລາຍການ ແລະ 188 ໂຄງການຊອບແວ, ເຊິ່ງມີຈຸດແຂງໃນການປະເມີນຄວາມສາມາດທີ່ເນັ້ນໄປທາງດ້ານຄວາມປອດໄພແບບຮຸກຮານ (Offensive Security) ເຊັ່ນ: ການຄົ້ນຫາຊ່ອງໂຫວ່, ການກວດສອບ Patch ແລະ ການກວດຫາ Zero-day. ດັ່ງນັ້ນ, ຄວາມເໝາະສົມໃນການນຳໃຊ້ຈຶ່ງຂຶ້ນຢູ່ກັບກໍລະນີການນຳໃຊ້ (Use Case) ທີ່ແຕກຕ່າງກັນ:

• ຖ້າຕ້ອງການວັດແທກຄວາມແມ່ນຍຳໃນການສຳຫຼວດຊ່ອງໂຫວ່ ແລະ ການກວດສອບ Patch ອັດຕະໂນມັດ: ມາດຕະຖານການປະເມີນຂອງ CyberGym ຈະຕອບໂຈດໂດຍກົງ ແລະ ຄາດຫວັງຄວາມເໝາະສົມໃນລະດັບສູງໄດ້.
• ຖ້າຈຸດປະສົງຫຼັກແມ່ນການປ້ອງກັນເຄືອຂ່າຍ, ການຕອບໂຕ້ເຫດການ (Incident Response) ແລະ ການກວດສອບຄວາມສອດຄ່ອງ (Compliance Audit) ແບບອັດຕະໂນມັດ: ການນຳໃຊ້ຮ່ວມກັບ Framework ທີ່ເປັນລະບົບກ່ຽວກັບຍຸດທະວິທີ ແລະ ເຕັກນິກຂອງຝ່າຍປ້ອງກັນ ເຊັ່ນ: MITRE ATLAS™ ຫຼື OWASP Top 10 for Large Language Model Applications ຈະເຮັດໃຫ້ການປະເມີນສອດຄ່ອງກັບຄວາມເປັນຈິງຫຼາຍກວ່າ.

ນອກຈາກນີ້, CyberGym ຍັງເປັນ Benchmark ທີ່ຢູ່ໃນຂັ້ນຕອນການວິໄຈ. ຖ້າຫາກທ່ານມີແຜນທີ່ຈະນຳໄປໃຊ້ໃນສະພາບແວດລ້ອມການເຮັດວຽກຈິງ (Production), ແນະນຳໃຫ້ເລີ່ມຈາກການກວດສອບໃນຂອບເຂດທີ່ຈຳກັດໃນໄລຍະ PoC (Proof of Concept) ເພື່ອຢືນຢັນກ່ອນວ່າຄະແນນທີ່ໄດ້ນັ້ນມີຄວາມສຳພັນກັບຄວາມແມ່ນຍຳໃນການກວດຫາຕົວຈິງຫຼືບໍ່ ກ່ອນທີ່ຈະຕັດສິນໃຈ.

ລະດັບຄວາມພ້ອມດ້ານຄວາມປອດໄພ (Security Maturity) ຂອງອົງກອນ ກໍເປັນອີກປັດໄຈໜຶ່ງໃນການຕັດສິນຄວາມເໝາະສົມ. ອົງກອນທີ່ມີທີມງານຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຈະສາມາດນຳຜົນການປະເມີນລະອຽດໄປໃຊ້ປະໂຫຍດໄດ້ງ່າຍ, ໃນຂະນະທີ່ອົງກອນທີ່ມີບຸກຄະລາກອນຊ່ຽວຊານຈຳກັດ ອາດຈະມີຕົ້ນທຶນໃນການຕີຄວາມໝາຍຜົນລັອກທີ່ສູງ.

"ພວກເຮົາຕ້ອງການນຳໃຊ້ Benchmark ແຕ່ບໍ່ຮູ້ວ່າຕ້ອງໃຊ້ແຮງງານ ແລະ ຄ່າໃຊ້ຈ່າຍຫຼາຍປານໃດ" ເປັນສຽງສະທ້ອນທີ່ມັກໄດ້ຍິນໃນໄລຍະເລີ່ມຕົ້ນຂອງໂຄງການປະເມີນຜົນ.

ຄ່າໃຊ້ຈ່າຍສາມາດແບ່ງອອກເປັນ 2 ສ່ວນໃຫຍ່ໆ ຄື "ຄ່າໃຊ້ຈ່າຍໃນການສ້າງສະພາບແວດລ້ອມ" ແລະ "ຄ່າໃຊ້ຈ່າຍໃນການດຳເນີນງານຢ່າງຕໍ່ເນື່ອງ".

• ການສ້າງສະພາບແວດລ້ອມ: ການຈັດຫາ GPU instance, ການກະກຽມສະພາບແວດລ້ອມແຍກຕ່າງຫາກສຳລັບລະບົບທີ່ຕ້ອງການທົດສອບ, ແລະ ຄ່າລິຂະສິດ (License).
• ການດຳເນີນງານຢ່າງຕໍ່ເນື່ອງ: ການຕິດຕາມການອັບເດດ Benchmark ເປັນໄລຍະ, ການວັດແທກຄະແນນຄືນໃໝ່, ແລະ ຄ່າແຮງງານໃນການກວດສອບຜົນລາຍງານ.

Benchmark ຂະໜາດໃຫຍ່ທີ່ຈັດການກັບຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງເຖິງ 1,507 ລາຍການ ເຊັ່ນ CyberGym ນັ້ນ, ພຽງແຕ່ການກະກຽມສະພາບແວດລ້ອມໃນການປະຕິບັດງານກໍຕ້ອງໃຊ້ຊັບພະຍາກອນ GPU ທີ່ເໝາະສົມ. ເມື່ອພິຈາລະນາຈາກສະຖານະການປັດຈຸບັນທີ່ອັດຕາຄວາມສຳເລັດຂອງວິທີການລະດັບສູງສຸດຢູ່ທີ່ປະມານ 20%, ຕ້ອງລະວັງວ່າຄ່າໃຊ້ຈ່າຍໃນການຄຳນວນຈະເພີ່ມທະວີຂຶ້ນເລື້ອຍໆ ຕາມຈຳນວນຄັ້ງທີ່ທົດລອງ.

ໃນດ້ານພາລະການດຳເນີນງານ, ທັກສະຂອງຜູ້ຮັບຜິດຊອບຈະເປັນຕົວແປທີ່ສຳຄັນ.

ສຳລັບທີມງານຂະໜາດນ້ອຍ, ວິທີການທີ່ເປັນຈິງທີ່ສຸດຄືການເຮັດ PoC ໃນຂອບເຂດທີ່ຈຳກັດກ່ອນ, ວັດແທກແຮງງານທີ່ໃຊ້ຕົວຈິງ ແລ້ວຈຶ່ງຕັດສິນໃຈນຳໃຊ້ຢ່າງເຕັມຮູບແບບ.

ໃນການຄັດເລືອກ Benchmark, ມີຫຼາຍຮູບແບບທີ່ມັກຈະເກີດຄວາມຜິດພາດຊໍ້າໆ. ພຽງແຕ່ຮັບຮູ້ໄວ້ລ່ວງໜ້າ ກໍສາມາດຊ່ວຍຫຼຸດຜ່ອນການກັບມາແກ້ໄຂງານຫຼັງຈາກການນຳໃຊ້ໄດ້ຢ່າງຫຼວງຫຼາຍ.

ຄວາມຜິດພາດທີ 1: ເລືອກໂດຍເບິ່ງພຽງແຕ່ຄະແນນ

ເຖິງແມ່ນວ່າຈະເລືອກ Benchmark ທີ່ມີຕົວເລກອັດຕາຄວາມສຳເລັດໃນການໂຈມຕີ (ASR) ຫຼື ອັດຕາການກວດພົບທີ່ສູງ ແຕ່ຖ້າຫາກຂອບເຂດການປະເມີນຜົນບໍ່ກົງກັບກໍລະນີການນຳໃຊ້ (Use case) ຂອງບໍລິສັດ ກໍຈະບໍ່ມີຄວາມໝາຍ. ຕົວຢ່າງເຊັ່ນ: ໃນກໍລະນີທີ່ຕ້ອງການກວດສອບມາດຕະການຮັບມືກັບ RAG Poisoning ຫຼື Prompt Injection ແຕ່ກັບໄປເລືອກໃຊ້ Benchmark ທີ່ເນັ້ນສະເພາະການກວດຫາຊ່ອງໂຫວ່ແບບ CVE ດັ້ງເດີມ ເຊິ່ງມັກຈະພົບເຫັນໄດ້ເລື້ອຍໆ. ການສ້າງນິໄສຂຽນຈຸດປະສົງວ່າ "ຕ້ອງການວັດແທກຫຍັງ" ອອກມາເປັນປະໂຫຍກກ່ອນການຄັດເລືອກຈະເປັນປະໂຫຍດຢ່າງຍິ່ງ.

ຄວາມຜິດພາດທີ 2: ປະເມີນສະພາບແວດລ້ອມໃນການຈຳລອງຕໍ່າເກີນໄປ

Benchmark ທີ່ຈັດການກັບຊ່ອງໂຫວ່ໃນໂລກຄວາມເປັນຈິງຢ່າງ CyberGym ຈະບໍ່ສາມາດດຳເນີນການໄດ້ຫາກປາສະຈາກສະພາບແວດລ້ອມທີ່ແຍກອອກມາຢ່າງປອດໄພ. ມີຫຼາຍກໍລະນີທີ່ເກີດຄວາມສ່ຽງໂດຍບໍ່ໄດ້ຕັ້ງໃຈ ເນື່ອງຈາກການຄິດພຽງວ່າ "ລອງໃຊ້ເບິ່ງກ່ອນ" ແລ້ວນຳໄປທົດລອງໃນສະພາບແວດລ້ອມທີ່ໃກ້ຄຽງກັບການນຳໃຊ້ຈິງ. ກະລຸນາຕັດສິນໃຈເລື່ອງການນຳໃຊ້ ຫຼັງຈາກທີ່ໄດ້ລວມເອົາຕົ້ນທຶນໃນການກະກຽມສະພາບແວດລ້ອມການປະເມີນຜົນເຂົ້າໄປໃນຂອບເຂດວຽກງານແລ້ວ.

ຄວາມຜິດພາດທີ 3: ຈົບລົງທີ່ການປະເມີນພຽງຄັ້ງດຽວ

ໄພຄຸກຄາມຕໍ່ AI ມີການປ່ຽນແປງຢ່າງຕໍ່ເນື່ອງ. ຖານຄວາມຮູ້ຕ່າງໆ ເຊັ່ນ MITRE ATLAS™ ກໍມີການອັບເດດຢູ່ສະເໝີ ເຮັດໃຫ້ແບບຈຳລອງທີ່ເຄີຍໄດ້ຮັບຄະແນນສູງເມື່ອເຄິ່ງປີກ່ອນ ອາດຈະບໍ່ສາມາດຮັບມືກັບວິທີການໂຈມຕີຮູບແບບໃໝ່ໄດ້. ດັ່ງນັ້ນ, ການບໍ່ປ່ອຍໃຫ້ການປະເມີນຈົບລົງພຽງຄັ້ງດຽວ ແຕ່ຄວນນຳເອົາວົງຈອນການປະເມີນຜົນຊໍ້າຄືນແບບປົກກະຕິເຂົ້າໄປໃນແຜນການດຳເນີນງານ ຈຶ່ງເປັນສິ່ງທີ່ສຳຄັນ.

AI Cybersecurity Evaluation Benchmark ແມ່ນມາດຕະຖານລວມເພື່ອວັດແທກຈຸດອ່ອນຂອງລະບົບ AI ຢ່າງເປັນກາງ ແລະ ກຳນົດລຳດັບຄວາມສຳຄັນໃນການປັບປຸງ. ແຕ່ລະ Benchmark ລວມເຖິງ CyberGym ມີຂອບເຂດການປະເມີນ, ວິທີການໃຫ້ຄະແນນ ແລະ ຄວາມຖີ່ໃນການອັບເດດທີ່ແຕກຕ່າງກັນ, ດັ່ງນັ້ນການເລືອກໃຫ້ເໝາະສົມກັບຈຸດປະສົງຂອງບໍລິສັດຈຶ່ງມີຄວາມສຳຄັນຫຼາຍ.

ຫຼັກການໃນການຕັດສິນໃຈເລືອກສາມາດສະຫຼຸບໄດ້ 3 ປະການດັ່ງນີ້:

• ຄວາມສອດຄ່ອງກັບຈຸດປະສົງ: ມາດຕະຖານທີ່ເໝາະສົມຈະປ່ຽນໄປຕາມຈຸດເນັ້ນໜັກ ບໍ່ວ່າຈະເປັນການກວດຫາຈຸດອ່ອນ, ການປະເມີນການປ້ອງກັນ ຫຼື ການຈຳລອງການໂຈມຕີ.
• ຄວາມສາມາດໃນການເຮັດຊ້ຳ ແລະ ຄວາມໂປ່ງໃສ: ໃຫ້ກວດສອບວ່າສາມາດສ້າງສະພາບແວດລ້ອມການປະເມີນຄືນໃໝ່ໄດ້ຫຼືບໍ່ ແລະ ມີການເປີດເຜີຍທີ່ມາຂອງຄະແນນຢ່າງຈະແຈ້ງຫຼືບໍ່.
• ຕົ້ນທຶນ ແລະ ພາລະໃນການດຳເນີນງານ: ບໍ່ພຽງແຕ່ຄ່າລິຂະສິດເທົ່ານັ້ນ, ແຕ່ຕ້ອງປະເມີນລ່ວງໜ້າເຖິງຊົ່ວໂມງການເຮັດວຽກທີ່ໃຊ້ໃນການສ້າງສະພາບແວດລ້ອມ, ການເກັບກຳຂໍ້ມູນ ແລະ ການວິເຄາະຜົນລວມ.

ຄວາມຜິດພາດທີ່ພົບເລື້ອຍຄື ການເລືອກໂດຍເບິ່ງພຽງແຕ່ຄະແນນທີ່ສູງ ແລ້ວບໍ່ສັງເກດເຫັນຄວາມແຕກຕ່າງກັບສະພາບແວດລ້ອມຂອງບໍລິສັດຕົນເອງ. ມີການເປີດເຜີຍວ່າເຖິງແມ່ນຈະເປັນວິທີການລະດັບສູງຂອງ CyberGym ແຕ່ອັດຕາຄວາມສຳເລັດກໍຍັງຢູ່ທີ່ປະມານ 20% ເທົ່ານັ້ນ, ສະນັ້ນຈຶ່ງບໍ່ຄວນເຊື່ອໝັ້ນໃນຜົນຂອງ Benchmark ດຽວຫຼາຍເກີນໄປ ແລະ ຈຳເປັນຕ້ອງຕັດສິນໃຈໂດຍການປະສົມປະສານກັບດັດຊະນີອື່ນໆ.

ສຳລັບວິທີການດຳເນີນງານຕົວຈິງ, ເສັ້ນທາງທີ່ໝັ້ນຄົງຄືການເລີ່ມຕົ້ນສ້າງສະພາບແວດລ້ອມການປະເມີນດ້ວຍ PoC ຂະໜາດນ້ອຍ, ວິເຄາະຜົນລວມ ແລ້ວຈຶ່ງຕັດສິນໃຈນຳໃຊ້ຢ່າງເຕັມຮູບແບບ. ການກວດສອບໃນຂະໜາດນ້ອຍຫຼັງຈາກຈັດລະບຽບຈຸດປະສົງ ແລະ ຄວາມສ່ຽງໃຫ້ຊັດເຈນແລ້ວ ແມ່ນທາງລັດທີ່ຈະຊ່ວຍຫຼຸດຕົ້ນທຶນການດຳເນີນງານຫຼັງຈາກການນຳໃຊ້ໄດ້.