Kuidas Block loob OpenAI tehnoloogiaga AI-põhist turvalisust

Square'i, Cash Appi ja Afterpay taga oleva ettevõtte Blocki turvameeskond kasutab OpenAI Defense Factoryt, kus AI tegeleb haavatavuste leidmise, tuvastamise ja neile reageerimisega sellises mahus, millega ükski inimmeeskond sammu pidada ei suudaks. AI-süsteemide, sealhulgas OpenAI Daybreaki abil kulub Blockil nüüd vaid tunde töö tegemiseks, mis varem võttis nädalaid.

Blocki turvameeskond on keskendunud tehisintellekti vastutustundlikule kasutuselevõtule kõigis töövoogudes, olgu selleks koodi genereerimine või turvatoimingud. „Kõige keskmes on uue tiimikaaslase kaasamine, kellega koos saate oma tegevust laiendada,“ ütleb infoturbejuht James Nettesheim. „See ei ole nagu traditsioonilisem automatiseerimine, mille puhul tuli liikuda samm-sammult. Sellele saab anda viibana üsna spetsiifilise ja mitmeti mõistetava probleemi ning seda siis koos lahendada.“

Sellised projektid nagu tarkvaravea uurimine või logi parsimine võtaksid päevi või nädalaid. Nüüd saab meeskond need projektid lõpule viia vaid murdosaga varasemast ajast, kusjuures inimene kontrollib endiselt iga tulemust.

Näiteks tuvastuse häälestamisel salvestatakse iga uurimise käigus päringute algandmed, nii et meeskond saab nüüd vähem kui tunniga katsetada kavandatud tuvastusmuudatust seitsme kuu tootmiskeskkonna telemeetria põhjal. Varem tähendas see töö sadade vanade juhtumite kohta päringute käsitsi uuesti käivitamist ning suure ajakulu tõttu jäi see praktikas sageli tegemata.

Meeskond pöörab nüüd ka rohkem tähelepanu sellele, millist mudelit millise töö jaoks kasutada. „Varem kasutasime uusimat mudelit, kuid enam pole see vajalik,“ ütleb ta. „Eri ülesannete jaoks eri mudelite valimine on olnud õppimiskogemus.“ Blocki turvalisuse täitmiskeskkond on ehitatud Daybreaki peale, et aidata suunata ülesandeid õigele mudelile, ning see sisaldab liideseid, mille kaudu saavad inimesed ülesandeid üle võtta või agendid üksteise tööd kontrollida. Meeskond hindab neid süsteeme pidevalt sisemiste võrdlusaluste ja tegeliku töö tulemuslikkuse põhjal ning kohandab vajaduse korral oma lähenemist, sealhulgas suunab töö inimestele ülevaatamiseks, kui see on vastutustundlik lahendus.

Automatiseeritud triaažisüsteem on aidanud töö kiiremini tehtud saada (ja seda rohkem). Blocki turvameeskond on näinud triaaži läbilaske 50% kasvu, luureandmete kogumise ja uurimiste 50% suurenemist ning saanud täiesti uue autonoomse ohujahtimise võimekuse. Nettesheim ütleb: „Selle süsteemiga tehakse igas kvartalis ligikaudu 1100 analüütikutunni jagu uurimistööd, sest iga hoiatust uuritakse nüüd põhjalikult ja süvitsi, hõlmates kõiki sellega seotud aspekte. Meie süsteem tegeleb iga hoiatusega nii, nagu oleks see ainus hoiatus, mille sel päeval saime.“

Traditsioonilised skannimistööriistad märgivad iga haavatavuse eraldi, kuid Blocki turvameeskond saab Daybreaki abil palju kaugemale minna. Mudel aitab püstitada hüpoteese ründemustrite kohta ja siduda rünnakute jada terviklikuks ründeahelaks, mis viib süsteemi täieliku kompromiteerimiseni, tuues esile haavatavused, mis võisid olla olemas juba aastaid.

Ühel juhul näis ühe sülearvuti kohta tulnud hoiatus eraldi võttes väikese poliitikaprobleemina. Kuid kolleegide ülevaatuse käigus järgis mudel tunnust, mis esines tõendusmaterjalis vaid juhuslikult, võrdles seda Blocki identiteedilogidega ja tõi esile palju suurema hulga probleeme. „Ühest tavapärasest lõpp-punkti hoiatusest sai kampaania mahasurumine. Ükski tööriist üksi ei võimalda neid andmeid kokku viia. Signaal on olemas ainult kahe toote logides,“ ütleb James.

Teine näide sellest, kuidas Daybreak abiks oli, pärineb hiljutisest lööktestimisest. Mudelile anti mõned vihjed sisemise süsteemi kohta ning see pani umbes kahe tunniga kokku täieliku ründeahela: SQL-süstimine, õiguste eskaleerimine, esialgse ligipääsu saavutamine, mandaatide loendamine ja liikumine teistesse süsteemidesse. Inimesest lööktestijal kuluks selleks tavaliselt mitu päeva. Hiljutistes lööktestides kulus kõrgetasemelise haavatavuse esitamisest automaatse parandusettepanekuni 18 minutit.

Turvanõrkuste leidmisest on kasu vaid siis, kui neid suudetakse ka parandada. Nettesheim kirjeldab protsessi, mida tema meeskond järgib iga leiu puhul: esmalt tehakse kindlaks probleemi asukoht koodis ja selle eest vastutaja ning seejärel asutakse probleemi kõrvaldama. „Pakute välja paiga, kinnitate, et turvanõrkust saab ära kasutada, ja seejärel kontrollite, et olete selle parandanud. Seejuures juhib protsessi ja juurutab koodimuudatused inimene.“

Kuigi agendid on tehniliselt võimekad, ei tunne nad organisatsiooni konteksti ega varasemate otsuste aluseks olnud arutlust. Inimene annab selle konteksti ja strateegia ning siin tulebki mängu tema meeskond, kes tagab inimeste tehtava kontrolli. Nettesheim ütleb, et kui tehisintellekti otsustusvõime end praktikas tõestab, siis „me tõstame järk-järgult riskitaset, et kasutada seda tundlikumates süsteemides“.

• Kavandatud tuvastusmuudatuse taasesitamine seitsme kuu telemeetria põhjal võtab vähem kui tunni.

• Hiljutistel punase meeskonna õppustel kulus kõrge ohutasemega haavatavuse esitamisest automaatselt koostatud parandusettepanekuni 18 minutit.

• Valepositiivsete triaažiga anti kvartalis tagasi ligikaudu 600 analüütikutundi.

• Igas kvartalis viiakse lõpule ligikaudu 1100 analüütikutunni jagu uurimistööd.

• 50% suurem triaaži läbilase

• 50% kasv luureandmete kogumises ja uurimistes.

Tuvastamis- ja reageerimistöö on ainuüksi vabastanud igas kvartalis ligikaudu 600 analüütikutundi, mida varem kasutati valepositiivsete triaažiks. Nüüd, kui see aeg on vabanenud, pühendab meeskond rohkem aega põhjalikumatele uurimistele ja rohkemate automatiseerimislahenduste vastutustundlikule arendamisele.

Rünnakute tempo kasvades ja tehisintellekti mudelite edasi arenedes näeb Nettesheim võimalust vähendada juba algusest peale lisanduvate haavatavuste arvu. See võimaldaks turvameeskondadel kulutada vähem aega paikamisele ja rohkem aega ennetavale, strateegilisele tööle.

„OpenAI kallutab tasakaalu kaitsjate kasuks, andes need täiustatud võimalused kõigi käsutusse,“ ütleb ta. „Tavaliselt on need võimalused olnud vaid väga tuntud tehnoloogiaettevõtete ja valitsusasutuste käsutuses. Kuid nüüd saavad kõik, sealhulgas elutähtsa taristu valdkond, koolid ja väikeettevõtted, hakata seda tehnoloogiat oma võrkude kaitsmiseks kasutama.“