Како Block уз технологију OpenAI гради безбедност засновану на AI

У компанији Block, која стоји иза брендова SquareCash App и Afterpay, безбедносни тим користи OpenAI Фабрику одбране: вештачка интелигенција обавља откривање, детекцију и решавање рањивости у обиму који ниједан људски тим не би могао да прати. Уз системе вештачке интелигенције, укључујући OpenAI Daybreak, Block обавља за свега неколико сати посао за који су раније биле потребне недеље.

Безбедносни тим компаније Block усредсређен је на одговорно увођење вештачке интелигенције у радне процесе, било да је реч о генерисању кода или безбедносним операцијама. „Суштина је заправо у томе да добијеш новог члана тима с којим можеш да прошириш обим рада”, каже Џејмс Нетесхајм, директор информационе безбедности. „То није као традиционалнија аутоматизација која је захтевала да идеш корак по корак. Можеш да му даш инструкцију с прилично специфичним, недовољно јасно дефинисаним проблемом и да заједно радите на његовом решавању.”

Пројекти попут испитивања софтверске грешке или анализе датотеке евиденције трајали би данима или недељама. Сада тим може да заврши те пројекте за делић тог времена, док човек и даље проверава сваки резултат.

На пример, при подешавању детекције, свака истрага чува сирове доказе из упита, па тим сада може да понови предложену измену детекције на основу седам месеци продукционе телеметрије за мање од једног сата. Раније је тај посао подразумевао ручно поновно слање упита за стотине старих случајева, а у пракси се често није ни обављао јер је одузимао толико времена.

Тим је такође постао пажљивији при избору модела за сваки посао. „Раније смо користили најновији модел, али то више није неопходно”, каже он. „Бирајући различите моделе за различите задатке, много смо научили.” Безбедносно окружење компаније Block изграђено је на платформи Daybreak како би се задаци лакше усмеравали одговарајућем моделу и садржи механизме који омогућавају људима да преузму задатке или заступницима да међусобно проверавају свој рад. Тим непрестано процењује ове системе према интерним мерилима и учинку у стварним условима, прилагођавајући свој приступ по потреби, што укључује и упућивање рада на људску проверу када је то одговоран начин поступања.

Захваљујући систему за аутоматизовану тријажу, посао се обавља брже и у већем обиму. Безбедносни тим компаније Block забележио је повећање пропусне моћи тријаже од 50%, повећање прикупљања обавештајних података и истрага од 50% и потпуно нову могућност аутономног тражења претњи. Нетесхајм каже: „Ово обавља ~1100 сати истражног рада аналитичара по кварталу, јер се сада свако упозорење темељно истражује, узимајући у обзир све елементе које оно обухвата. Наш систем обрађује свако упозорење као да је то једино упозорење које имамо тог дана.”

Традиционални алати за скенирање означавају појединачне рањивости засебно, али Block-ов тим за безбедност може да уради много више уз Daybreak. Модел помаже у постављању хипотеза о обрасцима напада и повезивању низа напада у потпуну путању компромитовања од почетка до краја, откривајући рањивости које су можда постојале годинама.

У једном случају, упозорење на једном лаптопу, посматрано засебно, деловало је као мањи проблем са поштовањем правила. Међутим, током колегијалне провере, модел је пратио показатељ који се само успут појавио у доказима, повезао га са евиденцијама идентитета компаније Block и открио знатно шири скуп проблема. „Једно рутинско упозорење са крајње тачке довело је до сузбијања читаве кампање. Ниједан алат самостално не успоставља ту везу. Сигнал постоји само када се повежу евиденције два производа”, каже Џејмс.

Још један пример у ком је Daybreak помогао био је током недавне вежбе црвене команде. Моделу је дато неколико наговештаја о интерном систему, а он је повезао читав низ корака напада – SQL инјекцију, ескалацију привилегија, успостављање упоришта, енумерацију акредитива и прелазак на друге системе – за око два сата. Човеку који се бави црвеном командом за то би обично требало неколико дана. У недавним вежбама црвене команде, од подношења пријаве о рањивости високог нивоа до аутоматски предложене закрпе прошло је 18 минута.

Проналажење рањивости вреди само онолико колико и способност да се оне отклоне. Нетесхајм објашњава поступак који његов тим примењује при сваком проналаску: утврђује где се проблем налази у коду и ко је одговоран за тај део, а затим прелази на његово отклањање. „Предлаже се закрпа, потврђује могућност експлоатације, а затим проверава да ли је проблем отклоњен, уз човека у процесу који усмерава рад и уводи измене кода.”

Иако су заступници технички способни, недостају им контекст организације и резоновање на којем се заснивају претходне одлуке. Човек пружа тај контекст и стратегију, а ту се укључује његов тим, који обезбеђује додатну људску проверу. Како се способност вештачке интелигенције да просуђује буде доказивала у пракси, Нетесхајм каже: „Постепено ћемо подизати ниво ризика како бисмо је користили за осетљивије системе.”

• Мање од једног сата за поновно покретање предложене измене детекције на телеметрији из претходних седам месеци.

• 18 минута од пријављивања рањивости високог нивоа до аутоматски предложене закрпе у недавним вежбама црвеног тима.

• Аналитичарима је враћено око 600 радних сати по кварталу утрошених на тријажу лажно позитивних резултата.

• По кварталу се обави приближно 1100 сати истражног рада аналитичара.

• 50% већа пропусна моћ тријаже.

• Повећање од 50% у прикупљању обавештајних података и спровођењу истрага.

Само рад на детекцији и одговору вратио је тиму око 600 сати рада аналитичара по кварталу, који су се раније трошили на тријажу лажно позитивних резултата. Сада, када им је то време враћено, тим проводи више времена у темељнијим истрагама и одговорно развија додатну аутоматизацију.

Како се темпо напада убрзава, а модели вештачке интелигенције настављају да напредују, Нетесхајм види прилику да се смањи број рањивости које се уопште уводе. То би омогућило безбедносним тимовима да мање времена троше на примену закрпа, а више на превентивни, стратешки рад.

„OpenAI пребацује предност на страну бранилаца тако што ове напредне могућности ставља свима на располагање”, каже он. „До сада су такве могућности углавном биле доступне само у веома познатим технолошким компанијама и у рукама влада. Међутим, сада сви, укључујући и оне који управљају критичном инфраструктуром, школе и мала предузећа, могу да почну да користе ову технологију за одбрану својих мрежа.”