Kaip „Block“ kuria DI grįstą saugumą su „OpenAI“ technologija

Bendrovės „Block“, valdančios „Square“, „Cash App“ ir „Afterpay“, saugumo komanda naudoja „OpenAI Defense Factory“: čia DI ieško pažeidžiamumų, juos aptinka ir į juos reaguoja tokiu mastu, kokiam neprilygtų jokia žmonių komanda. Naudodama DI sistemas, tarp jų ir „OpenAI Daybreak“, „Block“ vos per kelias valandas atlieka darbus, anksčiau trukdavusius savaites.

„Block“ saugumo komanda siekia atsakingai diegti DI į darbo eigas – tiek generuodama kodą, tiek vykdydama saugumo operacijas. „Svarbiausia tai, kad turime naują komandos narį, su kuriuo galime plėsti veiklos mastą, – sako vyriausiasis informacijos saugumo pareigūnas Jamesas Nettesheimas. – Tai nepanašu į įprastą automatizavimą, kai viską reikėdavo daryti žingsnis po žingsnio. Galite pateikti jam užklausą dėl gana specifinės, nevienareikšmės problemos ir spręsti ją kartu.“

Išnagrinėti programinės įrangos klaidą ar išanalizuoti žurnalo įrašus anksčiau prireikdavo dienų arba savaičių. Dabar komanda šias užduotis įveikia daug greičiau, o kiekvieną rezultatą vis tiek patikrina žmogus.

Pavyzdžiui, derinant aptikimo mechanizmus, per kiekvieną tyrimą išsaugomi pirminiai užklausų duomenys, todėl dabar komanda siūlomą aptikimo pakeitimą gali patikrinti su septynių mėnesių realiomis sąlygomis surinktais telemetrijos duomenimis greičiau nei per valandą. Anksčiau tam reikėdavo rankiniu būdu iš naujo teikti šimtų senų atvejų užklausas, todėl praktiškai tai darydavo retai – šis darbas atimdavo per daug laiko.

Komanda taip pat pradėjo atidžiau rinktis, kurį modelį kokiam darbui naudoti. „Anksčiau visada rinkdavomės naujausią modelį, bet dabar to nebereikia, – teigia jis. – Išmokome skirtingoms užduotims parinkti skirtingus modelius.“ Naudojant „Daybreak“ sukurta „Block“ saugumo infrastruktūra padeda nukreipti užduotis tinkamam modeliui, be to, joje numatyti mechanizmai, leidžiantys žmonėms perimti užduotis arba agentams patikrinti vienam kito darbą. Komanda nuolat vertina šias sistemas pagal vidinius etaloninius rodiklius ir veikimą realiomis sąlygomis, prireikus koreguodama savo metodiką – pavyzdžiui, nukreipia darbus peržiūrėti žmogui, kai to reikia atsakingam sprendimui priimti.

Automatizuota pirminio rūšiavimo sistema leidžia dirbti greičiau ir nuveikti daugiau. „Block“ saugumo komandos pirminio rūšiavimo pralaidumas išaugo 50 proc., žvalgybos duomenų rinkimo ir tyrimų apimtis padidėjo 50 proc., be to, atsirado visiškai nauja autonominės grėsmių paieškos galimybė. J. Nettesheimas sako: „Per ketvirtį sistema atlieka tyrimų, prilygstančių maždaug 1 100 analitikų darbo valandų, nes kiekvienas įspėjimas dabar nuodugniai ištiriamas įvertinant visus su juo susijusius elementus. Mūsų sistema kiekvieną įspėjimą apdoroja taip, lyg tai būtų vienintelis tos dienos įspėjimas.“

Įprastos nuskaitymo priemonės pažymi pavienius pažeidžiamumus atskirai, tačiau „Block“ saugumo komanda su „Daybreak“ gali pasiekti kur kas daugiau. Modelis padeda kelti hipotezes apie atakų pobūdį ir sujungti kelias atakas į vieną ištisinę įsilaužimo grandinę, taip atskleisdamas pažeidžiamumus, galėjusius tūnoti metų metus.

Vienu atveju įspėjimas viename nešiojamajame kompiuteryje iš pirmo žvilgsnio atrodė kaip nedidelis taisyklių pažeidimas. Tačiau per tarpusavio peržiūrą modelis atsekė rodiklį, įrodymuose pasirodžiusį tik atsitiktinai, susiejo jį su „Block“ tapatybės žurnalais ir atskleidė kur kas didesnį problemų mastą. „Vienas įprastas prieigos taško įspėjimas leido neutralizuoti visą atakų kampaniją. Jokia pavienė priemonė taip duomenų nesusieja. Šis signalas matomas tik sujungus dviejų produktų žurnalus“, – pasakoja Jamesas.

Kitas pavyzdys, kai pravertė „Daybreak“, – neseniai vykusios testavimo spragoms nustatyti pratybos. Gavęs keletą užuominų apie vidinę sistemą, modelis maždaug per dvi valandas sujungė visą atakos grandinę: SQL injekciją, teisių išplėtimą, įsitvirtinimą sistemoje, prisijungimo duomenų surinkimą ir perėjimą į kitas sistemas. Testavimą spragoms nustatyti atliekančiam specialistui tai paprastai užtruktų kelias dienas. Per pastarąsias testavimo spragoms nustatyti pratybas nuo bendro pobūdžio pažeidžiamumo pateikimo iki automatiškai pasiūlytos pataisos praėjo vos 18 minučių.

Aptikti pažeidžiamumus vertinga tik tiek, kiek gebama juos ištaisyti. J. Nettesheimas apžvelgia procesą, kurį jo komanda taiko kiekvienam aptiktam pažeidžiamumui: pirmiausia kode suranda problemos vietą ir nustato už ją atsakingą asmenį, o tada ima ją šalinti. „Pasiūlote pataisą, patvirtinate, kad pažeidžiamumu įmanoma pasinaudoti, ir galiausiai įsitikinate, jog problemą ištaisėte, o procesą prižiūrintis žmogus jį nukreipia ir įdiegia kodo pakeitimus.“

Nors techniškai agentai pajėgūs atlikti daug užduočių, jie nežino organizacijos konteksto ar ankstesnių sprendimų motyvų ir protavimo logikos. Šį kontekstą ir strategiją formuoja žmogus – būtent čia įsitraukia jo komanda, užtikrinanti, kad sprendimus peržiūrėtų žmonės. Pasak J. Nettesheimo, kai DI sprendimų patikimumas pasitvirtins praktiškai, „pamažu didinsime leistiną rizikos lygį ir naudosime jį jautresnėse sistemose“.

• Mažiau nei viena valanda siūlomam aptikimo pakeitimui patikrinti su septynių mėnesių telemetrijos duomenimis.

• 18 minučių nuo bendro pobūdžio pažeidžiamumo pateikimo iki automatiškai pasiūlytos pataisos per pastarąsias testavimo spragoms nustatyti pratybas.

• Maždaug 600 analitikų darbo valandų per ketvirtį sutaupoma atliekant klaidingų suveikimų pirminį rūšiavimą.

• Per ketvirtį atliekama tyrimų, prilygstančių maždaug 1 100 analitikų darbo valandų.

• 50 % didesnis pirminio rūšiavimo pralaidumas.

• 50 % išaugusi žvalgybos duomenų rinkimo ir tyrimų apimtis.

Vien aptikimo ir reagavimo darbai padėjo sutaupyti maždaug 600 analitikų darbo valandų per ketvirtį, anksčiau skiriamų klaidingų suveikimų pirminiam rūšiavimui. Atgavusi šį laiką, komanda dabar gali daugiau dėmesio skirti nuodugnesniems tyrimams ir atsakingai kurti naujus automatizavimo sprendimus.

Spartėjant atakų tempui, o DI modeliams toliau tobulėjant, J. Nettesheimas įžvelgia galimybę sumažinti apskritai atsirandančių pažeidžiamumų skaičių. Tai leistų saugumo komandoms mažiau laiko gaišti pataisoms diegti ir daugiau dėmesio skirti prevenciniam, strateginiam darbui.

„Suteikdama šias pažangias galimybes visiems, „OpenAI“ perkelia pranašumą į gynėjų pusę, – sako jis. – Paprastai tokios priemonės būdavo prieinamos tik pačioms garsiausioms technologijų bendrovėms ir valstybinėms institucijoms. Tačiau dabar šią technologiją savo tinklams apsaugoti gali naudoti visi – tarp jų ir ypatingos svarbos infrastruktūros objektai, mokyklos bei smulkusis verslas.“