À Block, l’entreprise qui porte Square, Cash App et Afterpay, l’équipe de sécurité utilise la OpenAI Defense Factory : l’IA gère la découverte, la détection et la réponse aux vulnérabilités à une échelle que aucune équipe humaine ne peut suivre. Grâce à des systèmes d’IA comme OpenAI Daybreak, Block peut effectuer des tâches qui prenaient auparavant des semaines en quelques heures seulement.
L’IA compresse le temps entre l’intention humaine et l’action. Pendant un certain temps, on a supposé qu’il existait un avantage pour les attaquants, car ils sont plus rapides et plus agiles. Mais avec des outils comme Daybreak et les progrès réalisés par OpenAI, les défenseurs peuvent répondre à l’AI en même temps, en suivant le rythme rapide de son adoption.—James Nettesheim, Directeur des Sécurités de l’Information, Block
L’équipe de sécurité de Block s’est concentrée sur l’adoption responsable de l’IA dans les processus de travail, que ce soit pour la génération de code ou pour les opérations de sécurité. « Ce qui est vraiment au centre, c’est avoir un nouveau collègue avec lequel on peut augmenter les capacités », dit James Nettesheim, Directeur des Sécurités Informatiques. « Ce n’est pas comme une automatisation plus traditionnelle où il fallait procéder étape par étape. On peut lui poser un problème assez spécifique et ambigu, et travailler ensemble sur lui. »
Des projets tels que l’examen d’un bug logiciel ou le parsing d’un journal de logs nécessiteraient des jours ou des semaines pour être terminés. Maintenant, l’équipe peut accomplir ces projets en une fraction du temps, tout en ayant une personne qui valide toujours chaque résultat.
Par exemple, pour l’ajustement des détectations, chaque enquête conserve les preuves brutes de la requête, de sorte que l’équipe peut réexécuter une modification proposée de détection contre sept mois de données de télémétrie de production en moins d’une heure. Auparavant, ce travail nécessitait de réexécuter manuellement des centaines de cas anciens, et cela était rarement fait en pratique car il était très chronophage.
L’équipe est également devenue plus précise quant au modèle qu’elle utilise pour chaque tâche. « Avant, nous utilisions le modèle le plus récent, mais il n’est plus nécessaire de faire cela », dit-il. « C’est une expérience d’apprentissage de choisir différents modèles pour différentes tâches. » Le harnais de sécurité de Block est construit sur Daybreak afin de diriger les tâches vers le bon modèle, et il comprend des poignées permettant aux humains de prendre en charge les tâches ou aux agents de vérifier le travail des autres. L’équipe évalue constamment ces systèmes en comparaison avec des critères internes et des performances dans le monde réel, et ajuste sa méthode selon les besoins, incluant la transmission des tâches à l’examen humain lorsque c’est la bonne décision.
Le système de triage automatisé a permis que davantage de travail soit effectué plus rapidement. L’équipe de sécurité de Block a constaté une augmentation de 50 % du débit de triage, une augmentation de 50 % dans la collecte d’informations et les enquêtes, ainsi qu’une capacité de chasse autonome complètement nouvelle. Nettesheim déclare : « Cela permet d’effectuer environ 1 100 heures d’enquête par trimestre, car chaque alerte reçoit désormais une enquête complète et approfondie couvrant tous les aspects concernés. » Notre système traite chaque alerte comme si c’était la seule alerte que nous ayons ce jour.
La Fabrique de Défense OpenAI en action
Les outils de scan traditionnels identifient une seule vulnérabilité isolément, mais l’équipe de sécurité de Block peut aller beaucoup plus loin avec Daybreak. Le modèle aide à formuler des hypothèses concernant les schémas d’attaques et à relier une série d’attaques en un parcours complet de compromission end-to-end, révélant ainsi des vulnérabilités qui auraient pu exister pendant des années.
Dans un cas, une alerte sur un seul ordinateur portable semblait être une simple question de politique de sécurité. Mais lors de l’examen par les pairs, le modèle a suivi un indicateur qui apparaissait seulement de manière incidentelle dans les données, ce qui a été combiné avec les enregistrements d’identité de Block, et une série de problèmes beaucoup plus importants ont été révélés. « Une alerte de point de terminaison routine est devenue une action de suppression de contenu. Aucun outil individuel ne permet ce type de combinaison. Le signal n’existe que dans les enregistrements des deux produits », dit James.
Un autre exemple où Daybreak a été utile est lors d’un exercice de red team récent. Le modèle a reçu quelques indications concernant un système interne, et il a établi un parcours d’attaque complet en environ deux heures : injection SQL, escalade de privilèges, position de foothold, énumération des identifiants et pivot vers d’autres systèmes. En général, un red teamer humain mettrait plusieurs jours pour accomplir cela. Dans les exercices de red team récents, le temps passé entre la soumission d’une vulnérabilité de niveau avancé et la mise en œuvre automatique d’un correctif proposé est de 18 minutes.
Trouver les vulnérabilités n’est que aussi bon que la capacité de les corriger. Nettesheim décrit le processus que son équipe utilise pour chaque découverte : identifier où se situe le problème dans le code et déterminer qui en est responsable, puis passer à la correction. « Vous proposez une patch, vous confirmez sa vulnérabilité, puis vous vérifiez que vous l’avez corrigée, avec une personne humaine impliquée pour guider et déployer les modifications de code. »
Bien que les agents soient techniquement capables, ils ne possèdent pas le contexte de l’organisation ou les raisons des décisions antérieures. Un humain fournit ce contexte et cette stratégie, et c’est là que son équipe intervient pour apporter une couche humaine de revue. Comme le jugement de l’IA s’est avéré efficace dans la pratique, Nettesheim dit : « Nous augmenterons progressivement le niveau de risque pour l’utiliser dans des systèmes plus sensibles. »
Résultats en un coup d’œil
Moins d’une heure pour rejouer une modification de détection proposée par rapport aux sept mois de télémétrie.
18 minutes depuis la soumission d’une vulnérabilité de niveau élevé à un correctif automatisé proposé lors des récentes exercices de red teaming.
Environ 600 heures d’analyse par trimestre pour les triages de faux positifs restitués.
Environ 1 100 heures d’analyse sont complétées par trimestre.
Boost de 50 % à la capacité de triage.
Augmentation de 50 % dans la collecte d'informations et les enquêtes.
Quel est le prochain ?
Le travail de détection et de réponse seule a permis de récupérer environ 600 heures d’analyse par trimestre, qui se trouvaient auparavant consacrées à la triage des faux positifs. Avec cette récupération de temps, l’équipe passe désormais plus de temps dans des enquêtes approfondies et dans la mise en place de davantage d’automatisation responsable.
Comme le rythme des attaques s’accélère et les modèles d’IA progressent, Nettesheim voit une opportunité de réduire le nombre de vulnérabilités introduites dès le départ. Cela permettrait aux équipes de sécurité de consacrer moins de temps aux correctifs et plus de temps aux actions préventives et stratégiques.
« OpenAI transfère l’avantage aux défenseurs en mettant ces capacités avancées entre les mains de tous », dit-il. « Habituellement, ces technologies appartiennent uniquement aux entreprises technologiques de grande envergure ou au gouvernement. Mais désormais, tout le monde – y compris les infrastructures critiques, les écoles et les petites entreprises – peut commencer à utiliser cette technologie pour défendre ses réseaux. »