Square、Cash App、Afterpayの背後にある企業であるAt Blockでは、セキュリティチームがOpenAI Defense Factoryを活用している。このシステムでは、AIが脆弱性の発見、検出、対応を、人間のチームでは到底対応できない規模で行う。OpenAI Daybreakを含むAIシステムにより、Blockはかつて数週間を要した作業をわずか数時間で実行している。
AIは、人間の意図から行動までの時間を短縮している。一時期は、攻撃者がより速く、より機敏であるため、優位性があると考えられていた。しかし、DaybreakのようなツールやOpenAIの技術の進歩により、防御者はAIの急速な普及に追いつくことができるようになった。—ジェームズ・ネッテスハイム、ブロック社情報セキュリティ担当責任者
ブロックのセキュリティチームは、コード生成であれセキュリティ操作であれ、ワークフロー全体でAIを責任を持って導入することに焦点を当てている。「本当に重点となるのは、拡大可能な新しいチームメイトを持つことです」と、最高情報セキュリティオフィサーであるジェームズ・ネッテスハイムは言う。「従来の自動化のように一歩一歩進む必要はありません。かなり特別で曖昧な問題を提示して、一緒に解決することができます。」
ソフトウェアのバグをレビューしたり、ログを解析したりするようなプロジェクトは、数日から数週間かかることがあります。今では、チームはそのプロジェクトをわずかな時間で完了でき、人間がすべての結果を確認することもあります。
例えば、検出調整のためには、各調査がその生のクエリ証拠を保存しているため、チームは現在、1時間足らずで7ヶ月分の運用テレメトリーに対して提案された検出変更を再実行することができる。以前は、手作業で何百もの古いケースを再クエリする必要があり、非常に時間がかるため、実際にはほとんど行われなかった。
チームは、どのタスクにどのモデルを使用するかについてもより具体的になった。「以前は最新のモデルを使っていましたが、もうそうする必要はありません」と彼は言う。「異なるタスクに対して異なるモデルを選ぶことは、学習の機会でした。」BlockのセキュリティハーネスはDaybreakの上に構築されており、タスクを正しいモデルに割り当てるのを助ける。また、人間がタスクを引き継ぐためのフックや、エージェントが互いの作業を確認するためのフックも含まれている。 チームは、これらのシステムを内部基準と実世界の性能と比較しながら継続的に評価しており、必要に応じてアプローチを調整します。人間のレビューが適切な場合には、ルーティング作業を人間のチェックに委ねることもあります。
自動化されたトリアージシステムにより、より速く、より多くの作業が実行されるようになった。ブロックのセキュリティチームは、トリアージの処理能力が50％向上し、情報収集と調査が50％増加し、完全に新しい自動的な捜索能力が得られたと報告している。ネッテスハイムは次のように述べている。「これにより、各四半期で約1,100時間の調査作業が実施される。なぜなら、現在はすべてのアラートに対して、その関連するすべての要素を含む完全かつ詳細な調査が行われるからだ。」 私たちのシステムは、その日にある唯一のアラートであるかのように、すべてのアラートを正しく処理します。
OpenAIの防衛工場が稼働中
従来のスキャニングツールは個別の脆弱性だけを特定しますが、BlockのセキュリティチームはDaybreakを使ってさらに深く分析できます。このモデルにより、攻撃パターンについて仮説を立て、一連の攻撃を一つの完全なエンドツーエンドの侵害パスとして結びつけることができ、長年存在していた可能性のある脆弱性が明らかになります。
あるケースでは、単一のラップトップ上のアラートは、個別には小さなポリシー上の問題に見えました。しかし、同僚によるレビュー中に、モデルは証拠の中で偶発的に現れる指標を追跡し、それをブロックのアイデンティティログと結合させ、はるかに大きな問題群が明らかになりました。「一つの定期的なエンドポイントアラートが、キャンペーンによる削除となりました。単一のツールではそのような結合はできません。このシグナルは二つの製品のログを通じてのみ存在します」とジェームズは言います。
Daybreakが助けとなったもう一つの例は、最近のレッドチーム演習の際でした。モデルには内部システムに関するいくつかのヒントが与えられ、約2時間でSQLインジェクション、権限昇格、足場の構築、認証情報の列挙、そして他のシステムへの移行という完全な攻撃パスを連結しました。通常なら人間のレッドチーム員が数日かかる作業です。最近のレッドチーム演習では、高レベルの脆弱性を報告してから自動化されたパッチの提案までの時間は18分でした。
脆弱性を見つけることは、それを修正する能力にかかっています。Nettesheimは、チームが各脆弱性を発見した際に用いるプロセスを説明します：コード内の問題がどこにあるかを特定し、誰が責任を持っているかを明らかにした後、修正に移ります。「パッチを提案し、その利用可能性を確認し、人間が介入してコード変更を実施することを確認します。」
エージェントは技術的には能力があるものの、組織の文脈や以前の決定の背景となる理由を持っていない。人間がその文脈と戦略を提供し、そこでチームが人間的なレビュー層を提供する。AIの判断が実践で証明されているため、ネッテスハイムは「より敏感なシステムに使用するために、リスクレベルを徐々に上げていく」と言う。
一目でわかる結果
提案された検出変更を7ヶ月間のテレメトリデータに対して再実行するのに1時間未満かかる。
最近のRed Team演習において、高レベルの脆弱性を提出して自動的に提案されるパッチが適用されるまでの時間は18分だった。
偽陽性のトリアージについて、各四半期で約600の分析作業時間が戻される。
各四半期で約1,100時間のアナリストの調査作業が完了する。
トリアージのスループットを50％向上させる。
情報収集と調査の面で50％の増加。
次に何？
検出と対応の作業だけで、以前は誤検出の分類に費やされていた約600人の分析員時間が戻りました。その時間を取り戻したことで、チームはより深い調査や、適切な自動化の構築に多くの時間を費やすようになりました。
攻撃のペースが上がり、AIモデルが進化するにつれて、Nettesheimは最初から生じる脆弱性の数を減らす機会を見出している。これにより、セキュリティチームはパッチングに費やす時間を少なくし、予防的で戦略的な作業に時間を費やすことができる。
「OpenAIは、これらの高度な機能を全員の手に委ねることで、防御側の優位性を高めている」と彼は言う。「通常、このような技術は非常に有名なテクノロジー企業や政府の手にしかなかった。しかし今では、重要なインフラ、学校、小規模な事業を含む全員が、自分たちのネットワークを防御するためにこの技術を利用できるようになった。」