A Block — a Square, Cash App és Afterpay mögötti vállalat — a mesterséges intelligencia segítségével gyorsította fel biztonsági munkafolyamatait: az OpenAI Daybreak modellre és az „OpenAI Defense Factory” belső megoldására építve rövidebb idő alatt végeznek el olyan feladatokat, amelyek korábban heteket vettek igénybe. James Nettesheim, a vállalat Chief Information Security Officer-e szerint az AI „új csapattársként” működik, amelyet skálázni lehet, miközben az emberi szakemberek minden eredményt hitelesítenek.
Mire használják az AI-t
A Block biztonsági csapata AI-t alkalmaz többek között sebezhetőség-felderítésre, detektálásra, triázsra és válaszadási munkákra. A rendszer a Daybreak modellel és további modellekkel dolgozik, amelyeket a csapat feladattípusonként választ ki: a belső „security harness” segít a feladatokat a legalkalmasabb modellhez irányítani, és tartalmaz emberi átadásra vagy ügynökök közötti ellenőrzésre szolgáló pontokat. A csapat folyamatosan összeveti a modellek teljesítményét belső benchmarkokkal és valós esetekkel, és szükség esetén emberi felülvizsgálatra irányítja a munkát.
Konkrét idő- és kapacitásmegtakarítások
- A detekcióhangolásnál most kevesebb mint egy óra alatt le tudják futtatni egy javasolt detekciós változtatás visszajátszását hét hónapnyi termelési távközlési (telemetry) adaton. Korábban ez kézzel, százakra kiterjedő lekérdezéseket jelentett, ami ritkán történt meg amiatt, hogy nagyon időigényes volt.
- Piros csapat (red team) gyakorlatoknál a magas szintű sebezhetőség benyújtásától egy automatizált, javasolt javításig mért idő a gyakorlatokban 18 perc volt.
- A biztonsági rendszer jelenleg megközelítőleg 1,100 analitikus-órányi vizsgálatot végez el negyedévente, mert minden riasztásnál mélyreható vizsgálat történik.
- A detekció és válaszmunka automatizálása nagyjából 600 analitikus-órát adott vissza negyedévente, amely korábban hamis pozitívok triázsára ment el.
- A triázs áteresztőképessége 50%-kal nőtt, és az intelligencia-gyűjtés és nyomozások volumene is 50%-kal emelkedett, továbbá egy új autonóm „hunting” képesség jött létre.
Hogyan működik a gyakorlatban
A modellek képesek nemcsak egyetlen sebezhetőség elkülönített jelzésére, hanem feltételezéseket alkotni támadási mintákról és több támadási lépést összekapcsolva teljes kompromittálási útvonalakat felrajzolni. Egy esetben egy látszólag rutin endpoint-riasztás egy laptopon önmagában policy-eltérésnek tűnt, de a modell egy nyomot követte, összekapcsolta azt a vállalat identitásnaplóival, és egy ennél sokkal nagyobb problémasort tártak fel — azaz a jel csak két különböző termék logjaiban volt együtt értelmezhető.
Egy másik példa egy belső rendszerre irányuló vörös csapat gyakorlatból: a Daybreak néhány tippet kapva körülbelül két óra alatt összeláncolt egy teljes támadási útvonalat (SQL injection, jogosultságnövelés, foothold, hitelesítőadat-felderítés és pivot más rendszerek felé). Hagyományosan egy emberi red team tagnak ez napokat venne igénybe.
Javítás és ember a döntési láncban
A sebezhetőségek megtalálása csak az első lépés; fontos a javítás képessége is. A Block folyamata minden találatra a következő: megkeresik a kódban az érintett helyet és azonosítják a tulajdonost, javasolnak egy patch-et, megerősítik az exploitálhatóságot, majd emberi irányítással érvényesítik a javítást és telepítik a kódváltoztatásokat. Bár az ügynökök technikailag képesek automatikusan dolgozni, nem birtokolják a szervezet kontextusát vagy a korábbi döntések hátterét — ezért emberi réteget hagynak meg a stratégiai és kontektus-adó szerepnek.
Nettesheim elmondása szerint ahogy az AI ítélőképessége gyakorlati körülmények között bebizonyosodik, fokozatosan növelni fogják a modellek szerepét érzékenyebb rendszerekben is — a kockázat mértékéhez igazodva.
Miért számít ez
A Block tapasztalata azt mutatja, hogy az AI bevezetése a védelem oldalára időt és kapacitást szabadít fel: kevesebb idő megy rutinszerű triázsra és több jut megelőző, stratégiai munkára. Nettesheim szerint az OpenAI-hoz hasonló technológiák a védők előnyét növelhetik, mert ezek a képességek korábban jellemzően csak nagy technológiai cégek és kormányok kezében voltak, míg most szélesebb körben elérhetővé válnak, beleértve kritikus infrastruktúrát, iskolákat és kisvállalkozásokat is.
Összegzés — mérhető eredmények
- < 1 óra: egy javasolt detekciós változtatás visszajátszása hét hónapnyi telemetryn
- 18 perc: magas szintű sebezhetőség leadásától automatizált javasolt patch-ig a red team gyakorlatokban
- ~1,100 analitikus-óra/negyedév: mély vizsgálatok által teljesített kapacitás
- ~600 analitikus-óra/negyedév: hamis pozitívok triázsából visszanyert idő
- 50%: növekedés a triázs áteresztőképességében és az intelligencia-gyűjtés / nyomozások volumenében
A Block példája rámutat arra, hogyan integrálható az AI a biztonsági műveletekbe úgy, hogy a technológia gyorsít és skáláz, miközben az emberi szakértők megtartják a végső döntési és kontextus-adó szerepet.
