Chez Block, la société derrière Square, Cash App et Afterpay, l'équipe de sécurité s'appuie sur l'OpenAI Defense Factory : un lieu où l'IA gère la découverte, la détection et la réponse aux vulnérabilités à une échelle qu'aucune équipe humaine ne pourrait suivre. Avec des systèmes d'IA incluant OpenAI Daybreak, Block accomplit en quelques heures un travail qui prenait auparavant des semaines.
« L'IA compresse le temps entre l'intention humaine et l'action. Pendant un certain temps, on a supposé que les attaquants avaient un avantage, car ils sont plus rapides et plus agiles. Mais avec des outils comme Daybreak et les avancées dans l'outillage d'OpenAI, les défenseurs sont capables de combler le feu par le feu et de suivre le rythme rapide de l'adoption de l'IA. »—James Nettesheim, Chief Information Security Officer, Block
L'équipe de sécurité de Block s'est concentrée sur l'adoption responsable de l'IA dans l'ensemble de ses flux de travail, qu'il s'agisse de génération de code ou d'opérations de sécurité. « Ce sur quoi cela porte vraiment, c'est d'avoir un nouveau coéquipier avec lequel vous pouvez évoluer », explique James Nettesheim, Chief Information Security Officer. « Ce n'est pas comme une automatisation plus traditionnelle où il fallait procéder étape par étape. Vous pouvez lui soumettre un problème assez particulier et ambigu et le résoudre ensemble. »
Des projets comme l'examen d'un bug logiciel ou l'analyse d'un journal prenaient des jours, voire des semaines à réaliser. Désormais, l'équipe peut accomplir ces projets en une fraction du temps, un humain validant toujours chaque résultat.
Par exemple, pour l'ajustement de la détection, chaque enquête conserve ses données de requête brutes, si bien que l'équipe peut désormais rejouer un changement de détection proposé contre sept mois de télémétrie de production en moins d'une heure. Ce travail impliquait auparavant de réinterroger à la main des centaines d'anciens cas, et cela se produisait rarement en pratique tant c'était chronophage.
L'équipe est également devenue plus exigeante quant au modèle utilisé pour chaque tâche. « Nous avions l'habitude d'utiliser le dernier modèle, mais ce n'est plus nécessaire », dit-il. « Choisir différents modèles pour différentes tâches a été une expérience d'apprentissage. » Le harnais de sécurité de Block est construit sur Daybreak pour aider à acheminer les tâches vers le bon modèle, et il inclut des points d'ancrage permettant aux humains de reprendre des tâches ou aux agents de vérifier le travail des uns et des autres. L'équipe évalue continuellement ces systèmes par rapport à des références internes et à des performances réelles, en ajustant son approche si nécessaire, y compris en acheminant le travail vers une revue humaine lorsque c'est la voie responsable.
Le système de triage automatisé a permis d'accomplir un travail plus rapide (et plus abondant). L'équipe de sécurité de Block a constaté une augmentation de 50 % du débit de triage, une hausse de 50 % de la collecte de renseignements et des enquêtes, ainsi qu'une toute nouvelle capacité de chasse autonome. Nettesheim déclare : « Cela représente environ 1,100 heures d'analyste d'enquête par trimestre, car chaque alerte fait désormais l'objet d'une enquête complète et approfondie sur tous les éléments qu'elle implique. Notre système traite chaque alerte comme si c'était la seule que nous ayons ce jour-là. »
L'OpenAI Defense Factory en action
Les outils de scan traditionnels signalent une seule vulnérabilité de manière isolée, mais l'équipe de sécurité de Block peut aller bien plus loin avec Daybreak. Le modèle aide à formuler des hypothèses sur les schémas d'attaque et à enchaîner une série d'attaques en un chemin de compromission complet de bout en bout, mettant en évidence des vulnérabilités qui pouvaient exister depuis des années.
Dans un cas, une alerte sur un seul ordinateur portable semblait être un problème de politique mineur en soi. Mais lors de la revue par les pairs, le modèle a suivi un indicateur qui n'apparaissait qu'incidemment dans les preuves, l'a croisé avec les journaux d'identité de Block et a mis en évidence un ensemble de problèmes bien plus vaste. « Une alerte de point de terminaison de routine est devenue le démantèlement d'une campagne. Aucun outil unique ne fait ce rapprochement. Le signal n'existe que dans les journaux de deux produits », explique James.
Un autre exemple où Daybreak a aidé s'est produit lors d'un récent exercice d'équipe rouge. Le modèle a reçu quelques indices sur un système interne, et il a enchaîné un chemin d'attaque complet—injection SQL, élévation de privilèges, prise de pied, énumération d'identifiants et pivot vers d'autres systèmes—en environ deux heures. Cela prendrait généralement plusieurs jours à un membre humain d'une équipe rouge. Lors de récents exercices d'équipe rouge, le temps entre la soumission d'une vulnérabilité de haut niveau et un correctif proposé automatisé était de 18 minutes.
Trouver les vulnérabilités ne vaut que par la capacité à les corriger. Nettesheim décrit le processus que son équipe applique à chaque découverte : localiser où se situe le problème dans le code et identifier son propriétaire, puis passer à la remédiation. « Vous proposez un correctif, vous confirmez l'exploitabilité, puis vous vérifiez que vous l'avez corrigé, avec un humain dans la boucle qui guide et déploie les modifications du code. »
Bien que les agents soient techniquement capables, ils ne portent pas le contexte d'une organisation ni le raisonnement derrière les décisions précédentes. Un humain fournit ce contexte et cette stratégie, et c'est là que son équipe intervient pour apporter une couche de revue humaine. À mesure que le jugement de l'IA fait ses preuves en pratique, Nettesheim déclare : « nous augmenterons progressivement le niveau de risque pour l'utiliser sur des systèmes plus sensibles. »
Résultats en un coup d'œil
Moins d'une heure pour rejouer un changement de détection proposé contre sept mois de télémétrie.
18 minutes entre la soumission d'une vulnérabilité de haut niveau et un correctif proposé automatisé lors de récents exercices d'équipe rouge.
Environ 600 heures d'analyste par trimestre de triage de faux positifs restituées.
Environ 1,100 heures d'analyste d'enquête accomplies par trimestre.
Augmentation de 50 % du débit de triage.
Hausse de 50 % de la collecte de renseignements et des enquêtes.
Et ensuite
Le travail de détection et de réponse à lui seul a permis de restituer environ 600 heures d'analyste par trimestre qui allaient auparavant au triage des faux positifs. Avec ce temps récupéré, l'équipe consacre désormais plus de temps à des enquêtes plus approfondies et à la construction responsable de davantage d'automatisation.
À mesure que le rythme des attaques augmente et que les modèles d'IA continuent de progresser, Nettesheim entrevoit une opportunité de réduire le nombre de vulnérabilités introduites dès le départ. Cela permettrait aux équipes de sécurité de consacrer moins de temps aux correctifs et davantage à un travail préventif et stratégique.
« OpenAI fait basculer l'avantage du côté des défenseurs en mettant ces capacités avancées entre toutes les mains », déclare-t-il. « Elles n'étaient généralement qu'entre les mains de très grandes entreprises technologiques de premier plan et de gouvernements. Mais tout le monde, y compris les infrastructures critiques, les écoles et les petites entreprises, peut désormais commencer à utiliser cette technologie pour défendre ses réseaux. »