Как Block автоматизирует кибербезопасность с помощью технологий OpenAI

Суть

Компания Block, стоящая за сервисами Square, Cash App и Afterpay, внедрила системы искусственного интеллекта от OpenAI для автоматизации процессов кибербезопасности. Использование платформы OpenAI Defense Factory и специализированной модели Daybreak позволило компании сократить время на обнаружение и устранение уязвимостей с нескольких недель до нескольких часов. ИИ берет на себя рутинный анализ, позволяя команде безопасности сосредоточиться на стратегических задачах.

Контекст

В индустрии кибербезопасности долгое время считалось, что атакующие имеют преимущество, так как они действуют быстрее и гибче защитников. Однако внедрение искусственного интеллекта начинает менять этот баланс. Джеймс Неттесхайм (James Nettesheim), директор по информационной безопасности Block, отмечает, что новые инструменты позволяют защитникам «бороться с огнем с помощью огня» и поспевать за темпами внедрения ИИ злоумышленниками.

Команда Block рассматривает ИИ не просто как традиционную пошаговую автоматизацию, а как нового масштабируемого члена команды. Системе можно поручить сложную, неоднозначную задачу и работать над ее решением совместно.

Детали

Внедрение ИИ привело к измеримым результатам в скорости и объемах выполняемой работы:

• Тестирование гипотез: Проверка предложенного изменения в правилах обнаружения на основе производственной телеметрии за семь месяцев теперь занимает менее одного часа. Ранее это требовало ручного повторного запроса сотен старых дел, что на практике делалось крайне редко из-за огромных затрат времени.
• Скорость реагирования: В ходе недавних учений «красной команды» (red team) время от отправки информации о высокоуровневой уязвимости до получения автоматически предложенного патча составило всего 18 минут.
• Экономия времени: Автоматическая сортировка ложных срабатываний (false-positive triage) возвращает команде около 600 часов работы аналитиков каждый квартал. Еще около 1100 часов аналитической работы ежеквартально выполняется системой в рамках расследований.
• Рост эффективности: Пропускная способность сортировки инцидентов, а также объемы сбора разведывательных данных и расследований выросли на 50%.

Интересно, что Block не всегда использует самую новую модель для всех задач. Команда разработала собственную систему маршрутизации на базе Daybreak, которая направляет конкретную задачу наиболее подходящей модели, а также включает механизмы, позволяющие агентам проверять работу друг друга.

Анализ

Модель Daybreak демонстрирует способность выходить за рамки традиционных сканеров, которые обычно выявляют единичные уязвимости в изоляции. Система может выдвигать гипотезы о паттернах атак и связывать разрозненные события в единый путь компрометации.

В одном из случаев рутинное оповещение на рабочем ноутбуке, выглядевшее как незначительное нарушение политик, было проанализировано моделью. ИИ связал косвенный индикатор с логами идентификации Block, что привело к раскрытию масштабной кампании. Человеку или одному специализированному инструменту было бы крайне сложно сопоставить сигналы из логов двух разных продуктов.

Во время учений модель, получив лишь несколько подсказок о внутренней системе, смогла за два часа выстроить полный путь атаки: внедрение SQL-кода, повышение привилегий, закрепление, перебор учетных данных и переход к другим системам. Человеку для этого потребовалось бы несколько дней.

Несмотря на высокую автономность, человек остается обязательным звеном процесса (human in the loop). Агенты не обладают полным пониманием бизнес-контекста организации и логики предыдущих решений. Специалисты Block проверяют предложенные патчи, подтверждают возможность эксплуатации уязвимости и контролируют развертывание изменений в коде.

Перспектива

Освободив сотни часов от рутинной сортировки ложных срабатываний, команда Block направляет ресурсы на более глубокие расследования и ответственное создание новых автоматизаций.

По мере развития ИИ-моделей и ускорения темпов атак, фокус может сместиться с быстрого исправления ошибок на предотвращение их появления. Снижение количества уязвимостей на этапе разработки позволит командам безопасности уделять больше времени превентивной стратегической работе. Как отмечает Неттесхайм, передовые возможности защиты, ранее доступные только технологическим гигантам и государственным структурам, теперь становятся доступными для школ, малого бизнеса и критической инфраструктуры.