Paano bumubuo ang Block ng seguridad na may AI gamit ang OpenAI

Sa Block, ang kumpanyang nasa likod ng Square, Cash App, at Afterpay, ginagamit ng security team ang OpenAI Defense Factory: dito, AI ang humahawak sa pagtuklas ng mga kahinaan, pagtukoy ng mga banta, at pagtugon sa lawak na hindi kayang sabayan ng anumang pangkat ng tao. Sa tulong ng mga AI system, kabilang ang OpenAI Daybreak, natatapos ng Block sa loob lang ng ilang oras ang trabahong dating inaabot ng ilang linggo.

Nakatuon ang security team ng Block sa responsableng paggamit ng AI sa iba't ibang workflow, sa pagbuo man ng code o sa mga operasyon sa seguridad. “Ang pinakapunto nito ay magkaroon ng bagong katuwang na makakasabay habang lumalawak ang trabaho,” sabi ni James Nettesheim, Chief Information Security Officer. “Hindi ito tulad ng tradisyonal na automation na kailangan mong gabayan sa bawat hakbang. Maaari mong bigyan ito ng problemang partikular sa sitwasyon at hindi pa malinaw, at magtulungan kayong lutasin iyon.”

Dating inaabot ng ilang araw o linggo ang mga proyektong gaya ng pagsusuri ng bug sa software o pag-parse ng log. Ngayon, kayang tapusin ng team ang mga proyektong iyon nang mas mabilis, habang tao pa rin ang nagbeberipika sa bawat resulta.

Halimbawa, para sa pagsasaayos ng pagtukoy ng banta, iniimbak ng bawat imbestigasyon ang orihinal na ebidensya mula sa mga query. Kaya nasusubukan na ng team ang isang mungkahing pagbabago sa pagtukoy gamit ang pitong buwang telemetry mula sa production sa loob ng wala pang isang oras. Dati, kailangan pang manu-manong ulitin ang mga query sa daan-daang lumang kaso para magawa iyon. Bihira itong aktuwal na nagagawa dahil napakatagal ng proseso.

Mas maingat na rin ang team sa pagpili kung aling modelo ang gagamitin sa bawat trabaho. “Dati, ginagamit namin ang pinakabagong modelo, pero hindi na iyon kailangan ngayon,” sabi niya. “Marami kaming natututuhan sa pagpili ng iba't ibang modelo para sa iba't ibang gawain.” Nakabatay sa Daybreak ang security harness ng Block para maitugma ang mga gawain sa tamang modelo. Mayroon din itong mga mekanismo para maipasa sa tao ang mga gawain o para masuri ng mga agent ang trabaho ng isa't isa. Patuloy na sinusuri ng team ang mga sistemang ito batay sa mga panloob na benchmark at aktuwal na performance. Inaangkop nila ang kanilang pamamaraan kung kailangan, kabilang ang pagpapasa ng trabaho sa tao para masuri kapag iyon ang responsableng hakbang.

Dahil sa awtomatikong sistema ng triage, mas mabilis at mas marami nang natatapos na trabaho. Naitala ng security team ng Block ang 50% pagtaas sa throughput ng triage, 50% pagdami sa pangangalap ng impormasyon at mga imbestigasyon, at isang ganap na bagong kakayahang magsarili sa paghahanap ng banta. Sabi ni Nettesheim, “Nakagagawa ito ng imbestigasyong katumbas ng humigit-kumulang 1,100 oras ng trabaho ng analyst bawat quarter, dahil bawat alerto ay sumasailalim na sa buo at masusing imbestigasyon sa lahat ng elementong sangkot dito. Pinoproseso ng sistema namin ang bawat alerto na para bang iyon lang ang natanggap namin sa araw na iyon.”

Tinutukoy ng mga tradisyonal na scanning tool ang isang kahinaan nang hiwalay sa iba, pero mas malalim pa ang kayang suriin ng security team ng Block gamit ang Daybreak. Tumutulong ang modelo na bumuo ng mga hinuha tungkol sa mga pattern ng pag-atake at pagdugtungin ang sunod-sunod na pag-atake para makita ang buong landas ng pagkompromiso sa sistema. Nailalantad nito ang mga kahinaang maaaring ilang taon nang naroon.

Sa isang kaso, ang alerto sa isang laptop ay mukhang maliit na isyu lang sa patakaran kapag tiningnan nang hiwalay. Pero sa peer review, sinundan ng modelo ang isang palatandaang nagkataon lang na kasama sa ebidensya, iniugnay ito sa mga identity log ng Block, at natuklasan ang mas marami pang isyu. “Ang isang karaniwang alerto sa endpoint ay humantong sa pagpapatigil ng isang kampanya ng pag-atake. Walang iisang tool na nakakagawa ng ugnayang iyon. Lumalabas lang ang palatandaan kapag pinagsama ang mga log ng dalawang produkto,” sabi ni James.

Isa pang halimbawa ng tulong ng Daybreak ay sa isang kamakailang red team exercise. Binigyan ang modelo ng ilang pahiwatig tungkol sa isang panloob na sistema. Sa loob ng mga dalawang oras, napagdugtong nito ang isang buong landas ng pag-atake—SQL injection, pagtaas ng pribilehiyo, pagtatatag ng access, pagtukoy sa mga kredensyal, at paglipat sa iba pang sistema. Karaniwan itong aabutin ng ilang araw kung tao ang gagawa ng red teaming. Sa mga kamakailang red team exercise, 18 minuto ang lumipas mula sa pagsusumite ng pangkalahatang ulat ng kahinaan hanggang sa awtomatikong mungkahing patch.

May saysay lang ang pagtuklas ng mga kahinaan kung kaya ring ayusin ang mga ito. Ipinaliwanag ni Nettesheim ang prosesong sinusunod ng team niya sa bawat natutuklasan: hanapin kung nasaan sa code ang isyu at tukuyin kung sino ang responsable rito, saka magpatuloy sa pag-aayos. “Magmumungkahi ka ng patch, kukumpirmahing puwedeng samantalahin ang kahinaan, at pagkatapos ay titiyaking naayos mo na ito, habang may taong gumagabay sa proseso at nagde-deploy ng mga pagbabago sa code.”

Bagama't may teknikal na kakayahan ang mga agent, wala sa kanila ang konteksto ng organisasyon o ang mga dahilan sa likod ng mga naunang desisyon. Tao ang nagbibigay ng konteksto at estratehiyang iyon, at dito pumapasok ang team niya para magsagawa ng pagsusuring pantao. Habang napapatunayan sa aktuwal na paggamit ang husay ng AI sa pagpapasya, sabi ni Nettesheim, “unti-unti naming itataas ang antas ng panganib na handa naming tanggapin para magamit ito sa mas sensitibong mga sistema.”

• Wala pang isang oras para subukan ang mungkahing pagbabago sa pagtukoy gamit ang pitong buwang telemetry.

• 18 minuto mula sa pagsusumite ng pangkalahatang ulat ng kahinaan hanggang sa awtomatikong mungkahing patch sa mga kamakailang red team exercise.

• Humigit-kumulang 600 oras ng trabaho ng analyst bawat quarter ang nababawi mula sa triage ng mga false positive.

• Natatapos bawat quarter ang imbestigasyong katumbas ng humigit-kumulang 1,100 oras ng trabaho ng analyst.

• 50% pagtaas sa throughput ng triage.

• 50% pagdami sa pangangalap ng impormasyon at mga imbestigasyon.

Sa pagtukoy at pagtugon pa lang, nababawi na ang humigit-kumulang 600 oras ng trabaho ng analyst bawat quarter na dating nauubos sa triage ng mga false positive. Dahil sa nabawing oras na iyon, mas marami nang oras ang team para sa mas malalim na imbestigasyon at responsableng pagbuo ng higit pang automation.

Habang bumibilis ang mga pag-atake at patuloy na umuunlad ang mga modelo ng AI, nakikita ni Nettesheim ang pagkakataong mabawasan ang mga kahinaan bago pa man maisama ang mga ito sa sistema. Sa gayon, mas kaunting oras ang gugugulin ng mga security team sa paglalapat ng patch at mas marami sa estratehikong trabahong makakaiwas sa mga problema.

“Inililipat ng OpenAI ang kalamangan sa mga tagapagtanggol sa pamamagitan ng pagbibigay sa lahat ng access sa mga advanced na kakayahang ito,” sabi niya. “Dati, karaniwang nasa kamay lang ito ng mga pinakakilalang kumpanya ng teknolohiya at ng pamahalaan. Pero ngayon, maaari nang simulang gamitin ng lahat ang teknolohiyang ito para protektahan ang kanilang mga network, kabilang ang mga nangangasiwa sa kritikal na imprastraktura, mga paaralan, at maliliit na negosyo.”