Cum construiește Block securitate IA cu tehnologia OpenAI

La Block, compania din spatele Square, Cash App și Afterpay, echipa de securitate folosește OpenAI Defense Factory: aici, inteligența artificială se ocupă de descoperirea și detectarea vulnerabilităților, precum și de răspunsul la acestea, la o scară la care nicio echipă umană nu ar putea ține pasul. Cu ajutorul sistemelor de inteligență artificială, inclusiv OpenAI Daybreak, Block realizează în doar câteva ore activități care înainte durau săptămâni.

Echipa de securitate a Block s-a concentrat pe adoptarea responsabilă a inteligenței artificiale în toate fluxurile de lucru, fie că este vorba despre generarea de cod sau despre operațiunile de securitate. „În esență, este vorba despre a avea un nou coleg de echipă alături de care poți crește”, spune James Nettesheim, directorul pentru securitatea informațiilor. „Nu e ca în cazul automatizării mai tradiționale, unde trebuia să parcurgi fiecare pas pe rând. Îi poți da o solicitare pentru o problemă destul de specifică și ambiguă și puteți lucra împreună la rezolvarea acesteia.”

Proiecte precum examinarea unei erori informatice sau parsarea unui fișier jurnal ar dura zile sau săptămâni. Acum, echipa poate finaliza aceste proiecte într-o fracțiune din timpul necesar, iar o persoană continuă să valideze fiecare rezultat.

De exemplu, pentru ajustarea detecțiilor, fiecare investigație păstrează dovezile brute ale interogărilor, astfel că echipa poate acum să ruleze din nou o modificare propusă a detecției pe baza telemetriei din producție din ultimele șapte luni în mai puțin de o oră. Înainte, acest lucru însemna să rulezi manual din nou interogări pentru sute de cazuri vechi, iar în practică, de multe ori, aproape că nu se întâmpla, fiindcă dura atât de mult.

Echipa a devenit și mai atentă la alegerea modelului potrivit pentru fiecare activitate. „Înainte foloseam cel mai nou model, dar acum nu mai este nevoie să facem acest lucru”, spune el. „Am avut de învățat din alegerea unor modele diferite pentru sarcini diferite.” Cadrul de testare pentru securitate al Block este construit pe baza Daybreak pentru a ajuta la direcționarea sarcinilor către modelul potrivit și include mecanisme prin care oamenii pot prelua sarcini sau agenții își pot verifica reciproc munca. Echipa evaluează continuu aceste sisteme în raport cu repere interne și cu performanța în condiții reale, ajustându-și abordarea atunci când este necesar, inclusiv prin trimiterea rezultatelor spre verificare umană atunci când aceasta este opțiunea responsabilă.

Sistemul automat de triaj a dus la o muncă mai rapidă (și mai intensă). Echipa de securitate a Block a înregistrat o creștere cu 50% a randamentului de triaj, o creștere cu 50% a colectării de informații și a investigațiilor și o capacitate complet nouă de vânătoare autonomă. Nettesheim spune: „Acest sistem efectuează aproximativ 1.100 de ore de investigație la nivel de analist pe trimestru, deoarece fiecare alertă beneficiază acum de o investigație completă și aprofundată a tuturor elementelor pe care le implică alerta. Sistemul nostru prelucrează fiecare alertă de parcă ar fi singura alertă pe care o avem în ziua respectivă.”

Instrumentele tradiționale de scanare semnalează câte o vulnerabilitate separat, însă echipa de securitate a Block poate merge mult mai departe cu Daybreak. Modelul ajută la formularea unor ipoteze privind tiparele de atac și la legarea unei serii de atacuri într-o cale completă de compromitere, de la un capăt la altul, scoțând la iveală vulnerabilități care ar fi putut exista de ani de zile.

Într-un caz, o alertă de pe un singur laptop părea, luată separat, o problemă minoră de politică. Dar, în timpul evaluării de către colegi, modelul a urmărit un indicator care apărea doar incidental în dovezi, l-a corelat cu jurnalele de identitate ale Block și a scos la iveală un set mult mai amplu de probleme. „O alertă obișnuită pentru un punct final a dus la neutralizarea unei campanii. Niciun instrument, luat separat, nu poate face această corelare. Semnalul există doar în jurnalele a două produse”, spune James.

Un alt exemplu în care Daybreak a fost de ajutor a fost în timpul unui exercițiu recent de atacuri simulate. Modelului i s-au oferit câteva indicii despre un sistem intern, iar acesta a pus cap la cap un traseu complet de atac, și anume injecție SQL, escaladarea privilegiilor, obținerea unui punct de sprijin, enumerarea acreditărilor și trecerea la alte sisteme, în aproximativ două ore. În mod obișnuit, acest lucru i-ar lua câteva zile unui specialist în atacuri simulate. În exercițiile recente de atacuri simulate, timpul de la trimiterea unei vulnerabilități cu severitate ridicată până la o propunere automată de corecție de securitate a fost de 18 minute.

Identificarea vulnerabilităților nu valorează mai mult decât capacitatea de a le remedia. Nettesheim prezintă procesul pe care echipa sa îl urmează pentru fiecare problemă identificată: localizează problema în cod și identifică cine este responsabil de codul respectiv, apoi trece la remediere. „Propui o corecție de securitate, confirmi că poate fi exploatată, apoi verifici că ai remediat-o, cu un om implicat în proces care ghidează demersul și implementează modificările de cod.”

Deși agenții sunt capabili din punct de vedere tehnic, nu au contextul unei organizații și nici raționamentul din spatele deciziilor anterioare. Un om oferă acest context și strategia, iar aici intervine echipa sa, asigurând un nivel uman de verificare. Pe măsură ce discernământul inteligenței artificiale își dovedește valoarea în practică, spune Nettesheim, „vom crește treptat nivelul de risc pentru a o folosi în sisteme mai sensibile”.

• Mai puțin de o oră pentru a rula din nou o modificare de detectare propusă pe baza telemetriei din ultimele șapte luni.

• 18 minute de la trimiterea unei vulnerabilități de severitate ridicată până la o propunere automată de corecție de securitate în exercițiile recente de atacuri simulate.

• Aproximativ 600 de ore de lucru la nivel de analist pe trimestru prin trierea rezultatelor fals pozitive.

• Aproximativ 1.100 de ore de investigație la nivel de analist efectuate în fiecare trimestru.

• Creștere cu 50% a randamentului trierii.

• Creștere cu 50% a colectării de informații și a investigațiilor.

Activitățile de detectare și răspuns au eliberat singure aproximativ 600 de ore de lucru la nivel de analist pe trimestru, care înainte erau dedicate trierii rezultatelor fals pozitive. Cu timpul câștigat, echipa petrece acum mai mult timp cu investigații aprofundate și cu dezvoltarea responsabilă a automatizării.

Pe măsură ce ritmul atacurilor se accelerează, iar modelele de inteligență artificială continuă să avanseze, Nettesheim vede o oportunitate de a reduce numărul vulnerabilităților care apar de la bun început. Astfel, echipele de securitate ar putea petrece mai puțin timp aplicând corecții de securitate și mai mult timp desfășurând activități preventive și strategice.

„OpenAI le oferă celor care se apără un avantaj, punând aceste capacități avansate la dispoziția tuturor”, spune el. „De obicei, doar companiile de tehnologie foarte cunoscute și guvernele au avut acces la acestea. Dar acum toată lumea, inclusiv infrastructura critică, școlile și întreprinderile mici, poate începe să folosească această tehnologie pentru a-și apăra rețelele.”