Block bâtit sa sécurité avec la technologie d’IA d’OpenAI

Chez Block, l’entreprise derrière Square, Cash App et Afterpay, l’équipe de sécurité tire parti d’OpenAI Defense Factory : l’IA y assure la découverte des vulnérabilités, la détection et la réponse à une échelle qu’aucune équipe humaine ne pourrait soutenir. Grâce à des systèmes d’IA comme OpenAI Daybreak, Block accomplit en quelques heures un travail qui prenait auparavant des semaines.

L’équipe de sécurité de Block s’efforce d’adopter l’IA de façon responsable dans ses flux de travail, qu’il s’agisse de génération de code ou d’opérations de sécurité. « L’essentiel, c’est d’avoir un nouveau coéquipier avec qui on peut accroître notre capacité », explique James Nettesheim, chef de la sécurité de l’information. « Ce n’est pas comme l’automatisation traditionnelle, où il fallait procéder étape par étape. On peut lui soumettre un problème assez particulier et ambigu, puis le résoudre ensemble. »

Des projets comme l’examen d’un bogue logiciel ou l’analyse d’un journal prenaient des jours, voire des semaines. L’équipe peut maintenant réaliser ces projets en une fraction du temps, tout en faisant valider chaque résultat par un humain.

Par exemple, pour l’ajustement de la détection, chaque enquête conserve les données probantes brutes issues des requêtes. L’équipe peut donc tester une modification proposée de la détection sur sept mois de données de télémétrie de production en moins d’une heure. Auparavant, ce travail exigeait de relancer manuellement des requêtes sur des centaines d’anciens cas. En pratique, il était rarement effectué, tant il prenait de temps.

L’équipe est aussi devenue plus sélective quant au modèle à utiliser pour chaque tâche. « Avant, on utilisait le modèle le plus récent, mais ce n’est plus nécessaire », dit-il. « Apprendre à choisir différents modèles pour différentes tâches a été tout un cheminement. » Le harnais de sécurité de Block repose sur Daybreak pour acheminer les tâches vers le bon modèle. Il comprend des points d’intervention permettant aux humains de reprendre les tâches ou aux agents de vérifier le travail des autres agents. L’équipe évalue continuellement ces systèmes à l’aide de tests de référence internes et de leurs performances réelles. Elle ajuste son approche au besoin, notamment en soumettant le travail à un examen humain lorsque c’est la voie responsable.

Le système de triage automatisé permet d’accomplir plus de travail, plus rapidement. L’équipe de sécurité de Block a enregistré une hausse de 50 % du débit de triage, une augmentation de 50 % de la collecte de renseignements et des enquêtes, ainsi qu’une toute nouvelle capacité de chasse autonome aux menaces. Nettesheim explique : « Ce système accomplit l’équivalent d’environ 1 100 heures d’enquête d’analyste par trimestre, car chaque alerte fait maintenant l’objet d’une enquête complète et approfondie sur tous les éléments concernés. Notre système traite chaque alerte comme si c’était la seule de la journée. »

Les outils d’analyse traditionnels signalent une vulnérabilité de façon isolée, mais l’équipe de sécurité de Block peut aller beaucoup plus loin avec Daybreak. Le modèle aide à formuler des hypothèses sur les schémas d’attaque et à enchaîner une série d’attaques pour établir un parcours complet de compromission, révélant des vulnérabilités qui pouvaient exister depuis des années.

Dans un cas, une alerte sur un seul ordinateur portable semblait, à elle seule, indiquer un problème mineur de conformité aux politiques. Mais lors de la revue par les pairs, le modèle a suivi un indicateur qui n’apparaissait qu’accessoirement dans les données probantes, l’a recoupé avec les journaux d’identité de Block et a mis au jour un ensemble de problèmes beaucoup plus vaste. « Une simple alerte sur un terminal a mené au démantèlement d’une campagne. Aucun outil ne fait ce recoupement à lui seul. Le signal n’apparaît qu’en croisant les journaux de deux produits », explique James.

Daybreak s’est aussi avéré utile lors d’un récent exercice d’équipe rouge. À partir de quelques indices sur un système interne, le modèle a établi un parcours d’attaque complet — injection SQL, élévation de privilèges, point d’appui, énumération d’identifiants et pivot vers d’autres systèmes — en environ deux heures. Ce travail prendrait normalement plusieurs jours à un membre humain d’une équipe rouge. Lors de récents exercices d’équipe rouge, le délai entre le signalement d’une vulnérabilité de haut niveau et la proposition automatisée d’un correctif était de 18 minutes.

La découverte de vulnérabilités n’a de valeur que si l’on peut les corriger. Nettesheim décrit le processus que son équipe applique à chaque découverte : repérer le problème dans le code et déterminer qui en est responsable, puis passer à la correction. « On propose un correctif, on confirme que la vulnérabilité est exploitable, puis on vérifie qu’elle a été corrigée, avec un humain dans la boucle pour guider le processus et déployer les modifications du code. »

Même si les agents ont les capacités techniques nécessaires, ils ne connaissent ni le contexte de l’organisation ni le raisonnement derrière les décisions antérieures. C’est un humain qui apporte ce contexte et cette stratégie, et c’est là que son équipe intervient pour assurer un examen humain. À mesure que le jugement de l’IA fait ses preuves en pratique, Nettesheim explique : « Nous augmenterons progressivement le niveau de risque pour l’utiliser dans des systèmes plus sensibles. »

• Moins d’une heure pour tester une modification proposée de la détection sur sept mois de données de télémétrie.

• 18 minutes entre le signalement d’une vulnérabilité de haut niveau et la proposition automatisée d’un correctif lors de récents exercices d’équipe rouge.

• Environ 600 heures d’analyste consacrées au triage des faux positifs libérées par trimestre.

• Environ 1 100 heures d’enquête d’analyste accomplies par trimestre.

• Hausse de 50 % du débit de triage.

• Augmentation de 50 % de la collecte de renseignements et des enquêtes.

À lui seul, le travail de détection et de réponse a libéré environ 600 heures d’analyste par trimestre auparavant consacrées au triage des faux positifs. Grâce à ce temps récupéré, l’équipe peut approfondir ses enquêtes et développer davantage d’automatisation de façon responsable.

Alors que les attaques se multiplient et que les modèles d’IA continuent de progresser, Nettesheim y voit une occasion de réduire à la source le nombre de vulnérabilités introduites. Les équipes de sécurité pourraient ainsi consacrer moins de temps aux correctifs et davantage au travail préventif et stratégique.

« OpenAI fait pencher la balance en faveur des défenseurs en mettant ces capacités avancées à la portée de tous », dit-il. « Jusqu’ici, elles étaient généralement réservées aux entreprises technologiques de premier plan et aux gouvernements. Mais maintenant, tout le monde, y compris les infrastructures essentielles, les écoles et les petites entreprises, peut commencer à utiliser cette technologie pour défendre ses réseaux. »