ساخت امنیت مبتنی بر هوش مصنوعی در Block با فناوری OpenAI

در Block، شرکت سازنده Square،‏ Cash App و Afterpay، تیم امنیت از OpenAI Defense Factory بهره می‌برد؛ جایی که هوش مصنوعی کشف آسیب‌پذیری‌ها، تشخیص تهدیدها و پاسخ به آن‌ها را در مقیاسی انجام می‌دهد که هیچ تیم انسانی توان همگام شدن با آن را ندارد. Block با سامانه‌های هوش مصنوعی از جمله OpenAI Daybreak، کارهایی را که قبلاً هفته‌ها طول می‌کشید، تنها در چند ساعت انجام می‌دهد.

تیم امنیت Block بر به‌کارگیری مسئولانه هوش مصنوعی در گردش‌کارهای مختلف، از تولید کد گرفته تا عملیات امنیتی، تمرکز داشته است. جیمز نتسهایم، مدیر ارشد امنیت اطلاعات، می‌گوید: «اصل ماجرا داشتن هم‌تیمی تازه‌ای است که بتوانید با کمکش ظرفیت کارتان را گسترش دهید.» «این شبیه خودکارسازی سنتی نیست که در آن باید قدم‌به‌قدم پیش می‌رفتید. می‌توانید مسئله‌ای نسبتاً خاص و مبهم را با آن مطرح کنید و با هم برای حلش پیش بروید.»

کارهایی مانند بررسی یک باگ نرم‌افزاری یا تجزیه‌وتحلیل یک لاگ، روزها یا هفته‌ها زمان می‌برد. اکنون تیم می‌تواند این کارها را در زمانی بسیار کوتاه‌تر انجام دهد، در حالی که همچنان یک انسان صحت تک‌تک نتایج را تأیید می‌کند.

برای مثال، برای تنظیم تشخیص تهدید، شواهد خام حاصل از پرس‌وجوهای هر بررسی ذخیره می‌شود؛ بنابراین تیم اکنون می‌تواند تغییر پیشنهادی در تشخیص را در کمتر از یک ساعت روی داده‌های تله‌متری هفت ماه محیط عملیاتی بازآزمایی کند. قبلاً این کار مستلزم اجرای دوباره و دستی پرس‌وجوها روی صدها پرونده قدیمی بود و به‌دلیل زمان‌بر بودن، در عمل به‌ندرت انجام می‌شد.

تیم همچنین در انتخاب مدل مناسب برای هر کار دقیق‌تر شده است. او می‌گوید: «قبلاً از جدیدترین مدل استفاده می‌کردیم، اما دیگر نیازی به این کار نیست.» «یاد گرفته‌ایم برای کارهای مختلف، مدل‌های متفاوتی انتخاب کنیم.» چارچوب آزمون امنیتی Block بر پایه Daybreak ساخته شده تا به ارجاع کارها به مدل مناسب کمک کند. این چارچوب سازوکارهایی هم دارد تا انسان‌ها بتوانند کارها را به دست بگیرند یا عامل‌ها صحت کار یکدیگر را بررسی کنند. تیم به‌طور مداوم این سامانه‌ها را با معیارهای داخلی و بر اساس عملکردشان در دنیای واقعی ارزیابی می‌کند و در صورت نیاز رویکردش را تغییر می‌دهد؛ از جمله زمانی که انتخاب مسئولانه، ارجاع کار به انسان برای بازبینی باشد.

سامانه خودکار ارزیابی و اولویت‌بندی باعث شده کارها سریع‌تر و به تعداد بیشتری انجام شوند. تیم امنیت Block شاهد افزایش ۵۰ درصدی توان عملیاتی ارزیابی و اولویت‌بندی، افزایش ۵۰ درصدی گردآوری اطلاعات امنیتی و تحقیقات، و ایجاد قابلیتی کاملاً جدید برای شکار خودمختار تهدید بوده است. نتسهایم می‌گوید: «این سامانه در هر سه‌ماهه، تحقیقاتی معادل حدود ۱٬۱۰۰ ساعت کار تحلیلگر انجام می‌دهد، چون اکنون هر هشدار به‌طور کامل و عمیق، با در نظر گرفتن تمام مؤلفه‌های مرتبط با آن، بررسی می‌شود. سامانه ما هر هشدار را طوری بررسی می‌کند که انگار تنها هشدار آن روز است.»

ابزارهای اسکن سنتی یک آسیب‌پذیری را به‌صورت مجزا شناسایی می‌کنند، اما تیم امنیت Block با Daybreak می‌تواند بسیار فراتر برود. مدل به فرضیه‌سازی درباره الگوهای حمله و پیوند دادن مجموعه‌ای از حملات در قالب یک مسیر کامل نفوذ، از ابتدا تا انتها، کمک می‌کند و آسیب‌پذیری‌هایی را آشکار می‌سازد که شاید سال‌ها وجود داشته‌اند.

در یک مورد، هشداری روی یک لپ‌تاپ به‌تنهایی شبیه نقض جزئی سیاست‌های امنیتی به نظر می‌رسید. اما هنگام بازبینی همتا، مدل نشانه‌ای را دنبال کرد که فقط به‌طور اتفاقی در شواهد دیده می‌شد؛ آن را با لاگ‌های هویتی Block تطبیق داد و مجموعه بسیار گسترده‌تری از مشکلات را آشکار کرد. «یک هشدار معمولی روی دستگاه پایانی به خنثی‌سازی یک کارزار حمله انجامید. هیچ ابزاری به‌تنهایی این ارتباط را برقرار نمی‌کند. این نشانه تنها با کنار هم گذاشتن لاگ‌های دو محصول آشکار می‌شود.» جیمز چنین توضیح می‌دهد.

نمونه دیگری از کمک Daybreak، در یکی از تمرین‌های اخیر تیم قرمز بود. چند سرنخ درباره یک سامانه داخلی به مدل داده شد و مدل در حدود دو ساعت، مراحل یک مسیر کامل حمله را به هم پیوند داد: تزریق SQL، ارتقای سطح دسترسی، ایجاد جای پا، شناسایی اعتبارنامه‌ها و حرکت به سامانه‌های دیگر. این کار معمولاً برای یک عضو انسانی تیم قرمز چند روز زمان می‌برد. در تمرین‌های اخیر تیم قرمز، فاصله ارائه گزارش کلی یک آسیب‌پذیری تا پیشنهاد خودکار وصله، ۱۸ دقیقه بود.

کشف آسیب‌پذیری‌ها زمانی ارزش دارد که بتوان آن‌ها را برطرف کرد. نتسهایم فرایندی را شرح می‌دهد که تیمش برای هر یافته طی می‌کند: ابتدا محل مشکل در کد و مسئول آن را مشخص می‌کنند و سپس به سراغ رفع آن می‌روند. «وصله‌ای پیشنهاد می‌دهید، تأیید می‌کنید که آسیب‌پذیری قابل بهره‌برداری است و سپس مطمئن می‌شوید که آن را برطرف کرده‌اید؛ در تمام این مراحل، یک انسان در فرایند حضور دارد، آن را هدایت می‌کند و تغییرات کد را به اجرا می‌گذارد.»

عامل‌ها با وجود توانمندی فنی، از شرایط و پیشینه سازمان یا منطق تصمیم‌های قبلی آن آگاه نیستند. انسان این شناخت و راهبرد را فراهم می‌کند و اینجاست که تیم او وارد می‌شود تا یک لایه بازبینی انسانی به فرایند اضافه کند. نتسهایم می‌گوید با اثبات توان قضاوت هوش مصنوعی در عمل، «به‌تدریج سطح ریسک پذیرفته‌شده را بالاتر می‌بریم تا از آن برای سامانه‌های حساس‌تر استفاده کنیم.»

• کمتر از یک ساعت برای بازآزمایی تغییر پیشنهادی در تشخیص روی هفت ماه داده تله‌متری.

• ۱۸ دقیقه از ارائه گزارش کلی یک آسیب‌پذیری تا پیشنهاد خودکار وصله در تمرین‌های اخیر تیم قرمز.

• آزاد شدن حدود ۶۰۰ ساعت از وقت تحلیلگران در هر سه‌ماهه که صرف ارزیابی هشدارهای مثبت کاذب می‌شد.

• انجام تحقیقاتی معادل حدود ۱٬۱۰۰ ساعت کار تحلیلگر در هر سه‌ماهه.

• افزایش ۵۰ درصدی توان عملیاتی ارزیابی و اولویت‌بندی.

• افزایش ۵۰ درصدی گردآوری اطلاعات امنیتی و تحقیقات.

تنها در حوزه تشخیص و پاسخ، در هر سه‌ماهه حدود ۶۰۰ ساعت از وقت تحلیلگران آزاد شده که قبلاً صرف ارزیابی هشدارهای مثبت کاذب می‌شد. با آزاد شدن این زمان، تیم اکنون وقت بیشتری را به تحقیقات عمیق‌تر و توسعه مسئولانه خودکارسازی اختصاص می‌دهد.

با افزایش سرعت حملات و پیشرفت مداوم مدل‌های هوش مصنوعی، نتسهایم فرصتی می‌بیند تا از همان ابتدا آسیب‌پذیری‌های کمتری ایجاد شوند. در این صورت، تیم‌های امنیت می‌توانند زمان کمتری را صرف وصله کردن و زمان بیشتری را صرف کارهای پیشگیرانه و راهبردی کنند.

او می‌گوید: «OpenAI با قرار دادن این قابلیت‌های پیشرفته در اختیار همه، کفه ترازو را به سود مدافعان تغییر می‌دهد.» «این قابلیت‌ها معمولاً فقط در اختیار شرکت‌های بسیار مطرح فناوری و دولت‌ها بوده‌اند. اما اکنون همه، از زیرساخت‌های حیاتی گرفته تا مدارس و کسب‌وکارهای کوچک، می‌توانند استفاده از این فناوری را برای دفاع از شبکه‌هایشان آغاز کنند.»