چگونه Block با فناوری OpenAI امنیت مجهز به AI می‌سازد

در Block، شرکت سازنده Square، Cash App و Afterpay، تیم امنیتی از OpenAI Defense Factory استفاده می‌کند: سامانه‌ای که در آن AI کشف آسیب‌پذیری‌ها، شناسایی تهدیدها و واکنش به آن‌ها را در مقیاسی انجام می‌دهد که هیچ تیم انسانی قادر به همگام شدن با آن نیست. Block با استفاده از سامانه‌های AI، از جمله OpenAI Daybreak، اکنون کارهایی را که پیش‌تر هفته‌ها زمان می‌بردند، تنها در چند ساعت انجام می‌دهد.

تیم امنیتی Block بر به‌کارگیری مسئولانهٔ AI در سراسر گردش‌کارها متمرکز بوده است، چه در تولید کد و چه در عملیات امنیتی. James Nettesheim، مدیر ارشد امنیت اطلاعات، می‌گوید: «محور اصلی این کار، داشتن هم‌تیمی جدیدی است که بتوانید با کمک او دامنه فعالیت‌هایتان را گسترش دهید.» او می‌گوید: «این مثل اتوماسیون سنتی نیست که مجبور باشید مرحله‌به‌مرحله پیش بروید. می‌توانید مسئله‌ای نسبتاً خاص و مبهم را در قالب یک اعلان به آن بدهید و با هم روی آن کار کنید.»

تکمیل پروژه‌هایی مانند بررسی یک اشکال نرم‌افزاری یا تجزیه‌وتحلیل یک لاگ، روزها یا هفته‌ها طول می‌کشید. اکنون تیم می‌تواند این پروژه‌ها را در مدت‌زمان بسیار کوتاه‌تری انجام دهد، درحالی‌که همچنان یک نیروی انسانی هر نتیجه را اعتبارسنجی می‌کند.

برای مثال، در تنظیم تشخیص، هر بررسی شواهد خام حاصل از پرس‌وجوی خود را ذخیره می‌کند، بنابراین تیم اکنون می‌تواند تغییر پیشنهادی در تشخیص را با استفاده از داده‌های تله‌متری هفت ماه گذشته در محیط عملیاتی، در کمتر از یک ساعت بازآزمایی کند. این کار قبلاً مستلزم اجرای دوباره پرس‌وجوها به‌صورت دستی روی صدها پرونده قدیمی بود و به‌دلیل زمان‌بر بودن، در عمل به‌ندرت انجام می‌شد.

این تیم همچنین در انتخاب مدل برای هر کار، دقیق‌تر شده است. او می‌گوید: «قبلاً از جدیدترین مدل استفاده می‌کردیم، اما دیگر نیازی به این کار نیست. انتخاب مدل‌های مختلف برای کارهای مختلف تجربه‌ای آموزنده بوده است.» چارچوب آزمون امنیتی Block بر پایه Daybreak ساخته شده تا به هدایت کارها به مدل مناسب کمک کند و سازوکارهایی دارد که به انسان‌ها امکان می‌دهد کنترل کارها را در دست بگیرند یا عامل‌ها کار یکدیگر را بررسی کنند. این تیم پیوسته این سامانه‌ها را با معیارهای سنجش داخلی و عملکرد در دنیای واقعی ارزیابی می‌کند و در صورت نیاز، رویکردش را تغییر می‌دهد، از جمله با ارجاع کارها برای بررسی انسانی، هرگاه این مسیر مسئولانه باشد.

سیستم تریاژ خودکار باعث شده است کارها سریع‌تر (و با حجم بیشتری) انجام شوند. تیم امنیتی Block شاهد افزایش 50% در توان عملیاتی تریاژ، افزایش 50% در گردآوری هوشمندی و انجام تحقیقات و ایجاد قابلیتی کاملاً جدید برای شکار مستقل تهدیدها بوده است. Nettesheim می‌گوید: «این سیستم در هر فصل معادل حدود ۱۱۰۰ ساعت کار تحقیقاتی تحلیلگران را انجام می‌دهد، زیرا اکنون هر هشدار به‌طور کامل و عمیق از تمامی جنبه‌های مرتبط با آن بررسی می‌شود. سیستم ما هر هشدار را طوری بررسی می‌کند که انگار تنها هشداری است که آن روز دریافت کرده‌ایم.»

ابزارهای اسکن سنتی هر بار تنها یک آسیب‌پذیری را به‌صورت مجزا شناسایی می‌کنند، اما تیم امنیتی Block با استفاده از Daybreak می‌تواند بسیار فراتر از این عمل کند. این مدل به تیم کمک می‌کند تا درباره الگوهای حمله فرضیه‌سازی کند و مجموعه‌ای از حملات را به هم پیوند دهد تا مسیر کامل نفوذ از ابتدا تا انتها مشخص شود و آسیب‌پذیری‌هایی آشکار شوند که ممکن است سال‌ها وجود داشته باشند.

در یک مورد، هشداری روی یک لپ‌تاپ به‌تنهایی شبیه نقض جزئی خط‌مشی‌ها به نظر می‌رسید. اما هنگام بررسی همتا، مدل نشانه‌ای را دنبال کرد که تنها به‌طور اتفاقی در شواهد ظاهر شده بود، آن را با لاگ‌های هویتی Block تطبیق داد و مجموعه بسیار گسترده‌تری از مشکلات را آشکار کرد. James می‌گوید: «یک هشدار معمولی در نقطه پایان به خنثی‌سازی یک کارزار حمله منجر شد. هیچ ابزار واحدی نمی‌تواند چنین ارتباطی را برقرار کند. این نشانه فقط با بررسی لاگ‌های دو محصول در کنار هم قابل‌شناسایی است.»

نمونه دیگری از کمک Daybreak در جریان یکی از تمرین‌های اخیر تیم قرمز بود. چند سرنخ درباره یک سامانه داخلی در اختیار مدل قرار گرفت و مدل توانست در حدود دو ساعت، یک مسیر حمله کامل شامل—تزریق SQL، ارتقای سطح دسترسی، ایجاد دسترسی اولیه، شناسایی اعتبارنامه‌ها و حرکت به سامانه‌های دیگر—را به هم پیوند دهد. انجام این کار معمولاً برای یکی از اعضای تیم قرمز چند روز زمان می‌برد. در تمرین‌های اخیر تیم قرمز، زمان لازم از ارسال یک آسیب‌پذیری سطح‌بالا تا ارائه یک وصله پیشنهادی خودکار، ۱۸ دقیقه بود.

یافتن آسیب‌پذیری‌ها تنها به‌اندازهٔ توانایی رفع آن‌ها ارزشمند است. Nettesheim روندی را شرح می‌دهد که تیمش برای هر مورد کشف‌شده به کار می‌گیرد: محل مشکل را در کد پیدا می‌کنند و مشخص می‌کنند چه کسی مسئول آن است، سپس برای رفع مشکل اقدام می‌کنند. «وصله‌ای پیشنهاد می‌دهید، امکان بهره‌برداری از آسیب‌پذیری را تأیید می‌کنید و سپس بررسی می‌کنید که آیا آن را برطرف کرده‌اید یا خیر، در تمام این مراحل، یک نیروی انسانی بر فرایند نظارت و آن را هدایت می‌کند و تغییرات کد را مستقر می‌سازد.»

با اینکه عامل‌ها از نظر فنی توانمندند، از زمینهٔ سازمانی یا استدلال‌های پشت تصمیم‌های قبلی آگاهی ندارند. انسان این زمینه و راهبرد را فراهم می‌کند و اینجاست که تیم او وارد عمل می‌شود تا لایه‌ای از بازبینی انسانی را فراهم کند. Nettesheim می‌گوید: «با اثبات قابلیت اتکای قضاوت AI در عمل، به‌تدریج سطح ریسک را افزایش می‌دهیم تا بتوانیم از آن در سامانه‌های حساس‌تر استفاده کنیم.»

• کمتر از یک ساعت برای بازآزمایی تغییر پیشنهادی در تشخیص با استفاده از داده‌های تله‌متری هفت ماه گذشته.

• ۱۸ دقیقه از ارسال یک آسیب‌پذیری سطح‌بالا تا ارائه یک وصله پیشنهادی خودکار در تمرین‌های اخیر تیم قرمز.

• در هر فصل، حدود ۶۰۰ ساعت از زمان کاری تحلیلگران که صرف تریاژ موارد مثبت کاذب می‌شد، صرفه‌جویی شده است.

• در هر فصل، حدود ۱۱۰۰ ساعت کارِ بررسیِ تحلیل‌گران انجام شده است.

• افزایش 50% در توان عملیاتی تریاژ.

• افزایش 50% در گردآوری هوشمندی و انجام تحقیقات.

فعالیت‌های تشخیص و پاسخ‌گویی به‌تنهایی باعث صرفه‌جویی در حدود ۶۰۰ ساعت از زمان کاری تحلیلگران در هر فصل شده‌اند؛ زمانی که پیش‌تر صرف تریاژ موارد مثبت کاذب می‌شد. اکنون با صرفه‌جویی در این زمان، تیم وقت بیشتری را صرف تحقیقات عمیق‌تر و توسعه مسئولانه ابزارهای خودکارسازی می‌کند.

با افزایش سرعت حملات و پیشرفت مداوم مدل‌های AI، Nettesheim فرصتی برای کاهش تعداد آسیب‌پذیری‌هایی می‌بیند که از همان ابتدا ایجاد می‌شوند. این کار به تیم‌های امنیتی امکان می‌دهد زمان کمتری را صرف رفع آسیب‌پذیری‌ها با استفاده از وصله‌ها و زمان بیشتری را صرف فعالیت‌های پیشگیرانه و راهبردی کنند.

او می‌گوید: «OpenAI با در دسترس قرار دادن این قابلیت‌های پیشرفته برای همه، کفهٔ ترازو را به سود مدافعان سنگین می‌کند.» «این قابلیت‌ها معمولاً فقط در اختیار شرکت‌های بزرگ و مطرح فناوری و دولت‌ها بوده‌اند. اما اکنون همه، از جمله زیرساخت‌های حیاتی، مدارس و کسب‌وکارهای کوچک، می‌توانند از این فناوری برای دفاع از شبکه‌های خود استفاده کنند.»