Kā Block veido MI drošības risinājumus ar OpenAI tehnoloģiju

Block — uzņēmuma, kas izveidojis Square, Cash App un Afterpay, — drošības komanda izmanto OpenAI Defense Factory. Tajā MI atrod ievainojamības, atklāj apdraudējumus un reaģē uz tiem tādā mērogā, kādam neviena cilvēku komanda nespētu tikt līdzi. Ar MI sistēmām, tostarp OpenAI Daybreak, Block dažās stundās paveic darbu, kas agrāk prasīja nedēļas.

Block drošības komanda koncentrējas uz atbildīgu MI ieviešanu darba procesos — gan koda ģenerēšanā, gan ikdienas drošības darbā. „Būtībā runa ir par jaunu komandas biedru, ar kuru kopā var paveikt arvien vairāk,” saka informācijas drošības direktors Džeimss Neteshaims. „Tā nav tradicionālā automatizācija, kur viss bija jānosaka soli pa solim. Varat tam uzdot diezgan specifisku, neviennozīmīgu problēmu un kopīgi rast risinājumu.”

Tādi darbi kā programmatūras kļūdas pārbaude vai žurnāla analīze agrāk prasīja dienas vai nedēļas. Tagad komanda tos var paveikt daudz īsākā laikā, turklāt katru rezultātu joprojām pārbauda cilvēks.

Piemēram, lai pielāgotu apdraudējumu atklāšanu, katrā izmeklēšanā tiek saglabāti vaicājumu sākotnējie dati, kas izmantoti kā pierādījumi. Tāpēc komanda tagad var nepilnas stundas laikā pārbaudīt piedāvātās atklāšanas izmaiņas, atkārtoti apstrādājot septiņos mēnešos uzkrātos produkcijas vides telemetrijas datus. Agrāk šim darbam vajadzēja manuāli atkārtot vaicājumus par simtiem iepriekšējo gadījumu, un lielā laika patēriņa dēļ praksē to darīja reti.

Komanda arī rūpīgāk izvēlas, kuru modeli izmantot katram darbam. „Agrāk izmantojām jaunāko modeli, bet tagad tas vairs nav nepieciešams,” viņš saka. „Esam mācījušies dažādiem uzdevumiem izvēlēties dažādus modeļus.” Block drošības izpildes ietvars ir veidots uz Daybreak bāzes, lai uzdevumus novirzītu atbilstošajam modelim. Tajā ir arī mehānismi, kas ļauj cilvēkiem pārņemt uzdevumus un aģentiem pārbaudīt citam cita darbu. Komanda pastāvīgi izvērtē šīs sistēmas gan iekšējos etalontestos, gan reālos darba apstākļos un vajadzības gadījumā pielāgo savu pieeju, tostarp nodod darbu cilvēka pārbaudei, ja tā ir atbildīgākā izvēle.

Automatizētā sākotnējās izvērtēšanas sistēma ļauj paveikt vairāk darba un izdarīt to ātrāk. Block drošības komandas sākotnējās izvērtēšanas caurlaidspēja ir pieaugusi par 50 %, informācijas vākšanas un izmeklēšanas apjoms — par 50 %, un ir iegūta pilnīgi jauna spēja autonomi meklēt apdraudējumus. Neteshaims saka: „Sistēma ceturksnī paveic izmeklēšanas darbu aptuveni 1100 analītiķu darba stundu apjomā, jo tagad katrs brīdinājums tiek pilnībā un padziļināti izmeklēts, aptverot visus ar to saistītos elementus. Mūsu sistēma katru brīdinājumu apstrādā tā, it kā tas būtu vienīgais, ko todien esam saņēmuši.”

Tradicionālie skenēšanas rīki norāda uz atsevišķu ievainojamību atrauti no kopainas, bet ar Daybreak Block drošības komanda var paveikt daudz vairāk. Modelis palīdz izvirzīt hipotēzes par uzbrukumu modeļiem un sasaistīt vairākus uzbrukumus pilnā ķēdē, kas noved pie sistēmas kompromitēšanas, atklājot ievainojamības, kuras, iespējams, pastāvējušas gadiem ilgi.

Kādā gadījumā brīdinājums par vienu klēpjdatoru, aplūkots atsevišķi, šķita norādām uz nelielu drošības politikas pārkāpumu. Taču savstarpējās pārbaudes laikā modelis izsekoja pazīmei, kas pierādījumos parādījās tikai garāmejot, sasaistīja to ar Block identitāšu žurnāliem un atklāja daudz plašāku problēmu kopumu. „Viens ikdienišķs brīdinājums par galierīci noveda pie veselas uzbrukumu kampaņas apturēšanas. Neviens atsevišķs rīks šo saikni nenosaka. Signālu var pamanīt tikai abu produktu žurnālos kopā,” saka Džeimss.

Vēl viens piemērs Daybreak palīdzībai bija nesenās imitētu uzbrukumu mācības. Modelim sniedza dažus pavedienus par iekšēju sistēmu, un aptuveni divās stundās tas izveidoja pilnu uzbrukuma ķēdi: SQL injekcija, privilēģiju paaugstināšana, piekļuves nostiprināšana, akreditācijas datu uzskaitīšana un pāreja uz citām sistēmām. Imitētu uzbrukumu speciālistam tas parasti prasītu vairākas dienas. Nesenās imitētu uzbrukumu mācībās no vispārīga ievainojamības apraksta iesniegšanas līdz automātiski piedāvātam labojumam pagāja 18 minūtes.

Ievainojamību atrašana ir vērtīga tikai tad, ja tās var arī novērst. Neteshaims izklāsta procesu, ko viņa komanda izmanto katrai atrastajai problēmai: atrast tās vietu kodā un noteikt, kurš par to atbild, pēc tam ķerties pie novēršanas. „Tiek piedāvāts labojums, apstiprināts, ka ievainojamību var izmantot uzbrukumā, un pēc tam pārbaudīts, vai tā ir novērsta. Cilvēks vada šo procesu un ievieš koda izmaiņas.”

Lai gan aģenti tehniski spēj veikt šos uzdevumus, tie nepārzina organizācijas kontekstu un iepriekšējo lēmumu pamatojumu. Šo kontekstu un stratēģiju nodrošina cilvēks, un te iesaistās viņa komanda, kas veic papildu pārbaudi. Kad MI spēja pieņemt pamatotus lēmumus būs pārbaudīta praksē, Neteshaims saka: „Mēs pamazām paaugstināsim pieļaujamā riska līmeni, lai izmantotu MI arī sensitīvākās sistēmās.”

• Mazāk nekā stunda, lai pārbaudītu piedāvātās apdraudējumu atklāšanas izmaiņas ar septiņu mēnešu telemetrijas datiem.

• 18 minūtes no vispārīga ievainojamības apraksta iesniegšanas līdz automātiski piedāvātam labojumam nesenās imitētu uzbrukumu mācībās.

• Ceturksnī ietaupītas aptuveni 600 analītiķu darba stundas, kas agrāk tika veltītas viltus brīdinājumu sākotnējai izvērtēšanai.

• Ceturksnī paveikts izmeklēšanas darbs aptuveni 1100 analītiķu darba stundu apjomā.

• Sākotnējās izvērtēšanas caurlaidspēja pieaugusi par 50 %.

• Informācijas vākšanas un izmeklēšanas apjoms pieaudzis par 50 %.

Apdraudējumu atklāšana un reaģēšana vien ir ļāvusi ceturksnī ietaupīt aptuveni 600 analītiķu darba stundas, kas agrāk tika veltītas viltus brīdinājumu sākotnējai izvērtēšanai. Ietaupīto laiku komanda tagad velta padziļinātai izmeklēšanai un atbildīgai automatizācijas paplašināšanai.

Uzbrukumiem kļūstot biežākiem un MI modeļiem turpinot attīstīties, Neteshaims saskata iespēju samazināt ievainojamību rašanos jau pašā sākumā. Tas ļautu drošības komandām mazāk laika tērēt labojumiem un vairāk — preventīvam, stratēģiskam darbam.

„OpenAI nosver spēku samēru par labu aizstāvjiem, padarot šīs modernās iespējas pieejamas ikvienam,” viņš saka. „Līdz šim tās parasti bija tikai ietekmīgu tehnoloģiju uzņēmumu un valsts iestāžu rīcībā. Taču tagad ikviens — arī kritiskās infrastruktūras uzturētāji, skolas un mazie uzņēmumi — var sākt izmantot šo tehnoloģiju savu tīklu aizsardzībai.”