Block kehittää tekoälypohjaista tietoturvaa OpenAI-teknologialla

Squaren, Cash Appin ja Afterpayn taustalla toimivan Blockin tietoturvatiimi hyödyntää OpenAI Defense Factorya: siinä tekoäly huolehtii haavoittuvuuksien etsinnästä sekä uhkien havaitsemisesta ja niihin reagoinnista mittakaavassa, johon mikään ihmistiimi ei pystyisi. OpenAI Daybreakin ja muiden tekoälyjärjestelmien avulla Block tekee nyt muutamassa tunnissa työt, joihin aiemmin kului viikkoja.

Blockin tietoturvatiimi on keskittynyt tekoälyn vastuulliseen käyttöönottoon eri työnkuluissa koodin generoinnista tietoturvaoperaatioihin. ”Pohjimmiltaan kyse on uudesta tiimikaverista, jonka avulla toimintaa voi skaalata”, sanoo tietoturvajohtaja James Nettesheim. ”Tämä eroaa perinteisestä automaatiosta, jossa kaikki oli määriteltävä vaihe vaiheelta. Sille voi antaa ratkaistavaksi varsin tapauskohtaisen, epämääräisen ongelman ja työstää sitä yhdessä.”

Ohjelmistovirheen tutkimisen tai lokin jäsentämisen kaltaisiin töihin kului ennen päiviä tai viikkoja. Nyt tiimi saa ne valmiiksi murto-osassa aiemmasta ajasta, ja ihminen tarkistaa silti jokaisen tuloksen.

Esimerkiksi tunnistussääntöjen hienosäätöä varten jokaisesta tutkinnasta tallennetaan kyselyjen alkuperäiset tulokset. Näin tiimi voi nyt testata ehdotettua tunnistusmuutosta seitsemän kuukauden tuotantotelemetriaa vasten alle tunnissa. Aiemmin tämä edellytti satojen vanhojen tapausten kyselyjen ajamista uudelleen käsin. Käytännössä niin tehtiin harvoin, koska se vei niin paljon aikaa.

Tiimi myös valitsee nyt entistä tarkemmin, mitä mallia se käyttää mihinkin tehtävään. ”Ennen käytimme aina uusinta mallia, mutta enää niin ei tarvitse tehdä”, hän sanoo. ”Olemme opetelleet valitsemaan eri tehtäviin eri mallit.” Blockin tietoturvan arviointikehys on rakennettu Daybreakin päälle, ja se auttaa ohjaamaan tehtävät oikealle mallille. Siinä on myös mekanismit, joiden avulla ihmiset voivat ottaa tehtäviä hoitaakseen tai agentit tarkistaa toistensa työn. Tiimi arvioi järjestelmiä jatkuvasti sisäisillä vertailutesteillä ja käytännön suorituskyvyn perusteella sekä muuttaa toimintatapojaan tarvittaessa. Työ ohjataan ihmisen tarkistettavaksi, kun se on vastuullinen ratkaisu.

Automaattinen ensiarviointijärjestelmä on nopeuttanut työtä ja kasvattanut sen määrää. Blockin tietoturvatiimin ensiarvioinnin suoritusteho on kasvanut 50 % ja tiedonkeruun ja tutkintojen määrä 50 %. Lisäksi tiimi on saanut täysin uuden kyvyn etsiä uhkia autonomisesti. Nettesheim sanoo: ”Järjestelmä tekee neljännesvuosittain tutkintatyötä noin 1 100 analyytikkotyötunnin edestä, sillä jokainen hälytys tutkitaan nyt perusteellisesti kaikkine siihen liittyvine osa-alueineen. Järjestelmämme käsittelee jokaisen hälytyksen kuin se olisi päivän ainoa.”

Perinteiset skannaustyökalut tunnistavat yksittäisen haavoittuvuuden irrallaan muista, mutta Daybreakin avulla Blockin tietoturvatiimi pääsee paljon pidemmälle. Malli auttaa muodostamaan oletuksia hyökkäystavoista ja ketjuttamaan hyökkäyksiä kokonaiseksi murtoon johtavaksi poluksi. Näin se tuo esiin haavoittuvuuksia, jotka ovat saattaneet olla olemassa vuosia.

Eräässä tapauksessa yhtä kannettavaa tietokonetta koskeva hälytys näytti yksin tarkasteltuna vähäiseltä tietoturvakäytännön rikkomukselta. Vertaisarvioinnissa malli kuitenkin lähti seuraamaan aineistossa vain sivumennen esiintynyttä indikaattoria, yhdisti sen Blockin identiteettilokeihin ja paljasti huomattavasti laajemman ongelmakokonaisuuden. ”Yksi tavanomainen päätelaitehälytys johti kokonaisen hyökkäyskampanjan pysäyttämiseen. Mikään yksittäinen työkalu ei yhdistä näitä tietoja. Merkki hyökkäyksestä näkyy vasta kahden tuotteen lokeja yhdistämällä”, James sanoo.

Daybreakista oli apua myös hiljattain järjestetyssä hyökkäävän tietoturvatestauksen harjoituksessa. Mallille annettiin muutama vihje sisäisestä järjestelmästä, ja noin kahdessa tunnissa se ketjutti kokonaisen hyökkäyspolun: SQL-injektion, käyttöoikeuksien korottamisen, jalansijan saamisen, tunnistetietojen kartoituksen ja etenemisen muihin järjestelmiin. Ihmiseltä sama veisi tyypillisesti useita päiviä, vaikka kyseessä olisi hyökkäävän tietoturvatestauksen asiantuntija. Viimeaikaisissa hyökkäävän tietoturvatestauksen harjoituksissa vakavasta haavoittuvuudesta ilmoittamisesta automaattiseen korjausehdotukseen kului 18 minuuttia.

Haavoittuvuuksien löytämisestä on hyötyä vain, jos ne pystytään myös korjaamaan. Nettesheim kuvailee prosessia, jota hänen tiiminsä noudattaa jokaisen löydöksen kohdalla: ensin paikannetaan ongelma koodista ja selvitetään siitä vastaava taho, minkä jälkeen siirrytään korjaamiseen. ”Ensin ehdotetaan korjausta, vahvistetaan, että haavoittuvuutta voi hyödyntää, ja lopuksi varmistetaan, että se on korjattu. Ihminen on mukana ohjaamassa prosessia ja viemässä koodimuutokset tuotantoon.”

Vaikka agentit ovat teknisesti kyvykkäitä, ne eivät tunne organisaation taustoja tai aiempien päätösten perusteluja. Ihminen tuo mukaan tämän taustatiedon ja strategisen näkemyksen. Tässä hänen tiiminsä tehtävänä on varmistaa, että työ käy läpi myös ihmisen arvion. Kun tekoälyn harkintakyky osoittautuu käytännössä luotettavaksi, Nettesheim sanoo, että ”nostamme riskitasoa vähitellen ja otamme sen käyttöön myös arkaluonteisemmissa järjestelmissä”.

• Alle tunti ehdotetun tunnistusmuutoksen testaamiseen seitsemän kuukauden telemetriaa vasten.

• 18 minuuttia vakavasta haavoittuvuudesta ilmoittamisesta automaattiseen korjausehdotukseen viimeaikaisissa hyökkäävän tietoturvatestauksen harjoituksissa.

• Noin 600 analyytikkotyötuntia vapautuu väärien hälytysten ensiarvioinnista neljännesvuosittain.

• Noin 1 100 analyytikkotyötuntia vastaava määrä tutkintatyötä neljännesvuosittain.

• 50 % parempi ensiarvioinnin suoritusteho.

• 50 % enemmän tiedonkeruuta ja tutkintoja.

Pelkästään uhkien havaitsemisen ja niihin reagoinnin tehostaminen on vapauttanut neljännesvuosittain noin 600 analyytikkotyötuntia, jotka kuluivat aiemmin väärien hälytysten ensiarviointiin. Säästyneen ajan ansiosta tiimi voi nyt paneutua perusteellisempiin tutkintoihin ja kehittää lisää automaatiota vastuullisesti.

Hyökkäystahdin kiihtyessä ja tekoälymallien kehittyessä Nettesheim näkee mahdollisuuden vähentää haavoittuvuuksien syntymistä jo ennalta. Silloin tietoturvatiimeiltä kuluisi vähemmän aikaa korjaamiseen ja enemmän aikaa jäisi ennaltaehkäisevään, strategiseen työhön.

”OpenAI siirtää etulyöntiasemaa puolustajille tuomalla nämä edistyneet ominaisuudet kaikkien saataville”, hän sanoo. ”Tällaiset kyvykkyydet ovat yleensä olleet vain merkittävimpien teknologiayritysten ja valtiollisten toimijoiden käytössä. Nyt kaikki, myös kriittisen infrastruktuurin toimijat, koulut ja pienyritykset, voivat ryhtyä hyödyntämään tätä teknologiaa verkkojensa puolustamiseen.”