Kako Block gradi sigurnost uz AI tehnologiju kompanije OpenAI
Block koristi sisteme umjetne inteligencije, uključujući OpenAI Daybreak, kako bi skratio vrijeme potrebno za otklanjanje ranjivosti, oslobađajući sigurnosni tim da se fokusira na strateški rad.
Podešavanje detekcije
<1
Sat vremena za ponovno testiranje predložene promjene detekcije na sedam mjeseci telemetrijskih podataka
Predložena zakrpa
18
minuta od podnošenja ranjivosti visokog nivoa do automatski predložene zakrpe
Trijaža lažno pozitivnih rezultata
~600
Sati rada analitičara vraćeni po kvartalu
Istraživanja
~1.100
Sati rada analitičara na istraživanjima završenim u svakom kvartalu
U kompaniji Block, koja stoji iza servisa Square, Cash App i Afterpay, sigurnosni tim koristi OpenAI Defense Factory: sistem u kojem umjetna inteligencija otkriva ranjivosti, detektuje prijetnje i reaguje na njih u obimu koji nijedan ljudski tim ne bi mogao pratiti. Uz sisteme umjetne inteligencije, uključujući OpenAI Daybreak, Block za samo nekoliko sati obavlja posao za koji su ranije bile potrebne sedmice.
“Umjetna inteligencija skraćuje vrijeme od ljudske namjere do djelovanja. Neko vrijeme se pretpostavljalo da napadači imaju prednost jer su brži i prilagodljiviji. Ali uz rješenja poput Daybreaka i napredak alata kompanije OpenAI, branioci mogu na vatru odgovoriti vatrom i držati korak s brzim tempom usvajanja umjetne inteligencije.”
Blockov sigurnosni tim fokusiran je na odgovorno uvođenje AI-ja u sve radne procese, bilo da je riječ o generisanju koda ili sigurnosnim operacijama. „Suština je u tome da imate novog člana tima s kojim možete povećavati obim aktivnosti“, kaže James Nettesheim, direktor za informacijsku sigurnost. „To nije kao kod tradicionalnije automatizacije, gdje ste morali ići korak po korak. Možete mu zadati upit za prilično specifičan, dvosmislen problem i zajedno raditi na njegovom rješavanju.“
Projekti poput pregleda softverske greške ili parsiranja loga trajali bi danima ili sedmicama. Sada tim može završiti te projekte za djelić vremena, dok čovjek i dalje provjerava svaki rezultat.
Na primjer, pri podešavanju detekcije, svaka istraga pohranjuje dokaze iz sirovog upita, pa tim sada može za manje od sat vremena ponovo pokrenuti predloženu izmjenu detekcije na sedam mjeseci telemetrijskih podataka iz produkcije. Ranije je taj posao podrazumijevao ručno ponovno pretraživanje stotina starih slučajeva, a u praksi se često jedva obavljao jer je oduzimao toliko vremena.
Tim je postao i pažljiviji pri odabiru modela za pojedine poslove. “Ranije smo koristili najnoviji model, ali to više nije potrebno”, kaže on. “Kroz odabir različitih modela za različite zadatke mnogo smo naučili.” Blockov sigurnosni harness izgrađen je na platformi Daybreak kako bi pomogao u usmjeravanju zadataka odgovarajućem modelu, a uključuje i mehanizme koji omogućavaju ljudima da preuzmu zadatke ili agentima da međusobno provjeravaju svoj rad. Tim kontinuirano procjenjuje ove sisteme prema internim referentnim mjerilima i rezultatima rada u stvarnim uslovima te po potrebi prilagođava svoj pristup, što uključuje i upućivanje rada na ljudsku provjeru kada je to odgovoran postupak.
Automatizovani sistem za trijažu omogućio je brže obavljanje posla (i obavljanje više posla). Blockov sigurnosni tim zabilježio je povećanje protoka trijaže od 50%, povećanje aktivnosti prikupljanja obavještajnih podataka i provođenja istraga od 50% te potpuno novu mogućnost autonomnog traganja za prijetnjama. Nettesheim kaže: „Ovo obavlja oko 1.100 sati istražnog rada analitičara po kvartalu, jer se svaki alarm sada detaljno istražuje i obuhvataju se svi elementi koje uključuje. Naš sistem obrađuje svaki alarm kao da je to jedini alarm koji imamo tog dana.”
Tradicionalni alati za skeniranje označavaju pojedinačne ranjivosti izdvojeno, ali Blockov sigurnosni tim uz Daybreak može otići mnogo dalje. Model pomaže u formuliranju hipoteza o obrascima napada i povezivanju niza napada u potpunu putanju kompromitacije od početka do kraja, otkrivajući ranjivosti koje su možda postojale godinama.
U jednom slučaju, upozorenje na jednom laptopu samo po sebi djelovalo je kao manji problem s pravilima. Ali tokom stručne provjere model je pratio indikator koji se samo usputno pojavio u dokazima, povezao ga s Blockovim evidencijama identiteta i otkrio mnogo veći skup problema. „Jedno rutinsko upozorenje na krajnjoj tački dovelo je do uklanjanja cijele kampanje. Nijedan pojedinačni alat ne može napraviti tu vezu. Signal postoji samo u evidencijama dva proizvoda“, kaže James.
Još jedan primjer u kojem je Daybreak pomogao bila je nedavna vježba red teaminga. Model je dobio nekoliko naznaka o internom sistemu i povezao je sve korake u cjelovit lanac napada—SQL injekciju, eskalaciju privilegija, uspostavljanje uporišta, enumeraciju pristupnih podataka i prelazak na druge sisteme—za otprilike dva sata. Stručnjaku za red teaming za ovo bi obično trebalo nekoliko dana. U nedavnim vježbama red teaminga, vrijeme od prijave ranjivosti visokog nivoa do automatski predložene zakrpe iznosilo je 18 minuta.
Pronalaženje ranjivosti vrijedi onoliko koliko i sposobnost da se one otklone. Nettesheim objašnjava postupak koji njegov tim primjenjuje za svaki nalaz: pronaći gdje se problem nalazi u kodu i utvrditi ko je za njega odgovoran, a zatim preći na njegovo otklanjanje. „Predlažete zakrpu, potvrđujete da se ranjivost može iskoristiti, a zatim provjeravate jeste li je otklonili, uz čovjeka u petlji koji usmjerava proces i uvodi izmjene koda.“
Iako su agenti tehnički sposobni, nemaju kontekst organizacije niti znaju rezonovanje iza prethodnih odluka. Čovjek pruža taj kontekst i strategiju, a tu njegov tim dolazi do izražaja i pruža ljudski sloj provjere. Kako se procjena AI-ja bude potvrđivala u praksi, kaže Nettesheim, “postepeno ćemo povećavati nivo rizika kako bismo ga koristili u osjetljivijim sistemima.”
Manje od sat vremena za ponovno testiranje predložene promjene detekcije na sedam mjeseci telemetrijskih podataka.
18 minuta od podnošenja ranjivosti visokog nivoa do automatski predložene zakrpe u nedavnim vježbama crvenog tima.
Po kvartalu se vraća otprilike 600 sati rada analitičara koji su bili posvećeni trijaži lažno pozitivnih rezultata.
Po kvartalu se obavi približno 1.100 sati istražnog rada analitičara.
Povećanje protoka trijaže za 50%.
Porast od 50% u prikupljanju obavještajnih podataka i provođenju istraga.
Sam rad na detekciji i odgovoru oslobodio je otprilike 600 sati rada analitičara po kvartalu koji su se ranije trošili na trijažu lažno pozitivnih nalaza. Sada, s tim dodatnim vremenom, tim se više posvećuje detaljnijim istragama i odgovornom razvoju dodatne automatizacije.
Kako se tempo napada ubrzava, a AI modeli nastavljaju napredovati, Nettesheim vidi priliku da smanji broj ranjivosti koje se uopće uvode. To bi sigurnosnim timovima oslobodilo vrijeme da manje rade na instaliranju zakrpa, a više na preventivnom i strateškom radu.
„OpenAI prebacuje prednost na stranu onih koji se brane tako što ove napredne mogućnosti stavlja svima u ruke“, kaže on. „Obično su bile dostupne samo u veoma istaknutim tehnološkim kompanijama i vladinim institucijama. Ali sada svi, uključujući kritičnu infrastrukturu, škole i mala preduzeća, mogu početi koristiti ovu tehnologiju za odbranu svojih mreža.“
