Block ยกระดับความปลอดภัยด้วยเทคโนโลยี AI จาก OpenAI

Block บริษัทผู้อยู่เบื้องหลัง Square, Cash App และ Afterpay นำ OpenAI Defense Factory มาใช้ช่วยทีมรักษาความปลอดภัย โดยให้ AI รับหน้าที่ค้นหาช่องโหว่ ตรวจจับภัยคุกคาม และตอบสนองต่อภัยคุกคามในระดับที่ทีมงานซึ่งใช้กำลังคนเพียงอย่างเดียวไม่สามารถรับมือได้ทัน ระบบ AI ต่างๆ รวมถึง OpenAI Daybreak ทำให้ Block สามารถจัดการงานที่เคยต้องใช้เวลาหลายสัปดาห์ให้เสร็จได้ภายในไม่กี่ชั่วโมง

ทีมรักษาความปลอดภัยของ Block ให้ความสำคัญกับการนำ AI มาใช้ในกระบวนการทำงานต่างๆ อย่างมีความรับผิดชอบ ไม่ว่าจะเป็นการสร้างโค้ดหรือการดำเนินงานด้านความปลอดภัย James Nettesheim ประธานเจ้าหน้าที่ฝ่ายความมั่นคงปลอดภัยสารสนเทศ กล่าวว่า “หัวใจสำคัญคือการมีเพื่อนร่วมทีมคนใหม่ที่ช่วยให้เรารองรับงานที่เพิ่มขึ้นได้ ซึ่งต่างจากระบบอัตโนมัติแบบเดิมที่ต้องกำหนดขั้นตอนการทำงานไว้ทีละขั้น เราสามารถอธิบายปัญหาที่ค่อนข้างเฉพาะเจาะจงและยังไม่มีคำตอบชัดเจนให้ AI ฟัง แล้วค่อยๆ ร่วมกันหาทางแก้ไขได้”

งานอย่างการตรวจสอบข้อผิดพลาดของซอฟต์แวร์หรือการวิเคราะห์ไฟล์บันทึกการทำงานของระบบ เดิมทีต้องใช้เวลาหลายวันหรือหลายสัปดาห์ แต่ปัจจุบันทีมสามารถทำงานเหล่านี้ให้เสร็จได้โดยใช้เวลาเพียงเสี้ยวหนึ่งของเดิม โดยยังมีเจ้าหน้าที่ตรวจสอบความถูกต้องของผลลัพธ์ทุกครั้ง

ตัวอย่างเช่น ในการปรับแต่งการตรวจจับภัยคุกคาม ทุกครั้งที่ทีมตรวจสอบเหตุการณ์ด้านความปลอดภัย ระบบจะเก็บหลักฐานที่ได้จากการสืบค้นข้อมูลไว้ในรูปแบบดิบ ทำให้ตอนนี้ทีมสามารถนำแนวทางตรวจจับที่ต้องการปรับเปลี่ยนมาทดสอบกับข้อมูลการทำงานของระบบจริงย้อนหลังเจ็ดเดือนได้ในเวลาไม่ถึงหนึ่งชั่วโมง ก่อนหน้านี้ทีมต้องค้นหาข้อมูลจากเหตุการณ์เก่าหลายร้อยรายการใหม่ทีละรายการด้วยตนเอง งานนี้จึงกินเวลามากจนแทบไม่มีโอกาสได้ทำจริง

นอกจากนี้ ทีมยังพิถีพิถันมากขึ้นในการเลือกใช้โมเดลให้เหมาะกับงานแต่ละประเภท เขากล่าวว่า “เมื่อก่อนเราใช้แต่โมเดลรุ่นล่าสุด แต่ตอนนี้ไม่จำเป็นต้องทำแบบนั้นแล้ว เราได้เรียนรู้ว่าควรเลือกใช้โมเดลใดให้เหมาะกับงานแต่ละประเภท” Block พัฒนาระบบควบคุมการทำงานด้านความปลอดภัยต่อยอดจาก Daybreak เพื่อช่วยจัดสรรงานให้โมเดลที่เหมาะสม ระบบนี้ยังเปิดให้เจ้าหน้าที่เข้ามารับช่วงงานต่อได้ หรือให้เอเจนต์ช่วยตรวจสอบงานของกันและกัน ทีมทดสอบและประเมินระบบเหล่านี้อย่างต่อเนื่อง โดยดูทั้งผลการทดสอบภายในและประสิทธิภาพจากการใช้งานจริง แล้วปรับวิธีทำงานตามความจำเป็น หากงานใดควรให้มนุษย์เป็นผู้ตรวจสอบเพื่อความรอบคอบและรับผิดชอบ ทีมก็จะส่งงานนั้นให้เจ้าหน้าที่พิจารณา

ระบบคัดกรองและประเมินเหตุการณ์ด้านความปลอดภัยอัตโนมัติช่วยให้ทีมของ Block ทำงานได้รวดเร็วขึ้นและจัดการงานได้มากขึ้น โดยทีมสามารถคัดกรองเหตุการณ์ได้เพิ่มขึ้น 50% รวบรวมข้อมูลข่าวกรองและดำเนินการสืบสวนได้เพิ่มขึ้น 50% อีกทั้งยังมีความสามารถใหม่ในการค้นหาภัยคุกคามเชิงรุกโดยอัตโนมัติ Nettesheim กล่าวว่า “ระบบนี้ทำงานสืบสวนได้เทียบเท่ากับเวลาทำงานของนักวิเคราะห์ประมาณ 1,100 ชั่วโมงต่อไตรมาส เพราะตอนนี้ทุกการแจ้งเตือนจะได้รับการตรวจสอบอย่างละเอียดครบทุกประเด็นที่เกี่ยวข้อง ระบบของเราตรวจสอบการแจ้งเตือนแต่ละรายการอย่างเต็มที่ ราวกับว่าวันนั้นมีเพียงรายการเดียวที่ต้องจัดการ”

เครื่องมือสแกนช่องโหว่แบบเดิมมักตรวจพบและแจ้งเตือนช่องโหว่แต่ละจุดแยกกัน แต่ Daybreak ช่วยให้ทีมรักษาความปลอดภัยของ Block วิเคราะห์ได้ลึกกว่านั้น โดยโมเดลช่วยตั้งสมมติฐานเกี่ยวกับรูปแบบการโจมตีและวิเคราะห์ว่าผู้โจมตีอาจใช้วิธีต่างๆ ต่อเนื่องกันอย่างไร จนมองเห็นเส้นทางการโจมตีทั้งหมดตั้งแต่ต้นจนสามารถเจาะระบบได้สำเร็จ ทำให้ค้นพบช่องโหว่ที่อาจแฝงอยู่ในระบบมานานหลายปี

ในเหตุการณ์หนึ่ง การแจ้งเตือนจากแล็ปท็อปเครื่องเดียวดูเหมือนจะเป็นเพียงการละเมิดนโยบายเล็กน้อยเมื่อพิจารณาแยกจากข้อมูลอื่น แต่ระหว่างการตรวจสอบโดยโมเดลอีกตัว โมเดลกลับพบเบาะแสบางอย่างที่ปรากฏอยู่ในหลักฐานโดยไม่ได้เป็นประเด็นหลัก จึงนำเบาะแสนั้นไปตรวจสอบกับบันทึกข้อมูลการยืนยันตัวตนของ Block และพบปัญหาอื่นๆ ที่เกี่ยวข้องอีกมากมาย James เล่าว่า “การแจ้งเตือนทั่วไปจากอุปกรณ์เครื่องเดียวกลายเป็นจุดเริ่มต้นของการหยุดยั้งการโจมตีที่เกิดขึ้นเป็นขบวนการ เครื่องมือเพียงตัวเดียวไม่สามารถเชื่อมโยงข้อมูลเหล่านี้ได้ เพราะต้องนำบันทึกจากผลิตภัณฑ์สองตัวมาดูร่วมกันจึงจะพบเบาะแสนี้”

Daybreak ยังแสดงให้เห็นถึงความสามารถในการทดสอบจำลองการโจมตีโดยทีม Red Team เมื่อไม่นานมานี้ โดยโมเดลได้รับเพียงข้อมูลบางส่วนเกี่ยวกับระบบภายใน แต่สามารถเชื่อมโยงการโจมตีหลายขั้นตอนจนระบุเส้นทางการเจาะระบบได้ครบถ้วนภายในประมาณสองชั่วโมง ทั้งการโจมตีด้วย SQL injection การยกระดับสิทธิ์ การสร้างจุดตั้งหลัก การสำรวจข้อมูลยืนยันตัวตน และการใช้ระบบหนึ่งเป็นทางผ่านเพื่อโจมตีระบบอื่น งานลักษณะนี้โดยทั่วไปต้องใช้เวลาหลายวันหากดำเนินการโดยเจ้าหน้าที่ Red Team นอกจากนี้ ในการทดสอบจำลองการโจมตีครั้งล่าสุด ระบบยังใช้เวลาเพียง 18 นาทีตั้งแต่ได้รับคำอธิบายเบื้องต้นเกี่ยวกับช่องโหว่จนสามารถเสนอแพตช์แก้ไขโดยอัตโนมัติ

การค้นพบช่องโหว่จะมีประโยชน์ก็ต่อเมื่อสามารถแก้ไขช่องโหว่เหล่านั้นได้ด้วย Nettesheim อธิบายขั้นตอนที่ทีมใช้จัดการกับช่องโหว่ทุกรายการที่ตรวจพบ โดยเริ่มจากการระบุว่าปัญหาอยู่ตรงไหนในโค้ดและใครเป็นผู้รับผิดชอบ ก่อนดำเนินการแก้ไข “เราเริ่มจากเสนอแพตช์ ตรวจสอบว่าช่องโหว่นั้นสามารถถูกโจมตีได้จริงหรือไม่ แล้วจึงยืนยันว่าแก้ไขปัญหาได้สำเร็จ โดยมีเจ้าหน้าที่คอยกำกับดูแลกระบวนการและนำโค้ดที่แก้ไขแล้วไปใช้งานจริง”

แม้เอเจนต์จะมีความสามารถทางเทคนิค แต่ก็ไม่ได้เข้าใจบริบทการทำงานขององค์กรหรือเหตุผลเบื้องหลังการตัดสินใจที่ผ่านมา มนุษย์จึงยังมีบทบาทสำคัญในการให้ข้อมูลบริบทและกำหนดแนวทางการทำงาน ทีมของเขาจึงเข้ามาช่วยตรวจสอบและใช้วิจารณญาณในส่วนนี้ Nettesheim กล่าวว่า เมื่อ AI พิสูจน์ให้เห็นแล้วว่าสามารถตัดสินใจได้อย่างเหมาะสมในการใช้งานจริง “เราก็จะค่อยๆ ขยายการใช้งาน AI ไปยังระบบที่มีความละเอียดอ่อนและมีความเสี่ยงสูงขึ้น”

• ใช้เวลาไม่ถึงหนึ่งชั่วโมงในการทดสอบการเปลี่ยนแปลงกฎการตรวจจับที่เสนอกับข้อมูลเทเลเมทรีย้อนหลังเจ็ดเดือน

• ใช้เวลา 18 นาทีจากการส่งข้อมูลช่องโหว่ระดับสูงจนถึงการเสนอแพตช์โดยอัตโนมัติ ในการฝึกซ้อมจำลองการโจมตีโดยทีม Red Team เมื่อเร็วๆ นี้

• คืนเวลาที่นักวิเคราะห์เคยใช้คัดกรองผลบวกลวงได้ประมาณ 600 ชั่วโมงต่อไตรมาส

• ทำงานสืบสวนเสร็จได้เทียบเท่าเวลาทำงานของนักวิเคราะห์ประมาณ 1,100 ชั่วโมงต่อไตรมาส

• อัตราการประมวลผลงานคัดกรองเพิ่มขึ้น 50%

• การรวบรวมข่าวกรองและการสืบสวนเพิ่มขึ้น 50%

เฉพาะงานตรวจจับและตอบสนองต่อภัยคุกคามก็ช่วยให้ทีมประหยัดเวลาทำงานของนักวิเคราะห์ได้ประมาณ 600 ชั่วโมงต่อไตรมาส จากเดิมที่ต้องเสียเวลาไปกับการคัดกรองการแจ้งเตือนที่ผิดพลาด ปัจจุบันทีมจึงมีเวลาสืบสวนเหตุการณ์ต่างๆ ได้อย่างเจาะลึกมากขึ้น และพัฒนาระบบอัตโนมัติเพิ่มเติมอย่างรอบคอบและมีความรับผิดชอบ

เมื่อการโจมตีมีความรวดเร็วมากขึ้นและโมเดล AI ก้าวหน้าอย่างต่อเนื่อง Nettesheim มองเห็นโอกาสในการลดจำนวนช่องโหว่ตั้งแต่ขั้นตอนแรก เพื่อลดภาระการแก้ไขช่องโหว่ของทีมรักษาความปลอดภัย และเปิดโอกาสให้ทีมทุ่มเทเวลาไปกับการป้องกันภัยคุกคามเชิงรุกและงานเชิงกลยุทธ์มากขึ้น

“OpenAI กำลังช่วยให้ฝ่ายป้องกันได้เปรียบมากขึ้น ด้วยการเปิดโอกาสให้ทุกคนเข้าถึงเทคโนโลยีที่มีความสามารถขั้นสูงเหล่านี้” เขากล่าว “ที่ผ่านมา เทคโนโลยีลักษณะนี้มักจำกัดอยู่ในบริษัทเทคโนโลยีชั้นนำและหน่วยงานภาครัฐเท่านั้น แต่ตอนนี้ทุกองค์กร ไม่ว่าจะเป็นหน่วยงานที่ดูแลโครงสร้างพื้นฐานสำคัญ โรงเรียน หรือธุรกิจขนาดเล็ก ก็สามารถเริ่มนำเทคโนโลยีเหล่านี้มาใช้ปกป้องเครือข่ายของตนเองได้แล้ว”