Nel contesto di una crescente minaccia informatica, Block ha adottato una strategia innovativa basata sull’intelligenza artificiale di OpenAI per trasformare le proprie operazioni di sicurezza. Il modello proprietario Daybreak, parte della piattaforma OpenAI Defense Factory, consente al team di rilevare vulnerabilità, analizzare log e rispondere a incidenti con una velocità impensabile per gli esseri umani.

Una nuova era per la difesa digitale

Secondo James Nettesheim, direttore della sicurezza delle informazioni di Block, “l’IA sta riducendo il tempo tra l’intenzione umana e l’azione”. In passato si riteneva che gli aggressori avessero il vantaggio della rapidità; oggi, grazie a soluzioni come Daybreak, i difensori possono utilizzare le stesse armi per tenere il passo con l’adozione rapida dell’IA.

Il team di sicurezza ha integrato l’IA in tutti i flussi di lavoro, dalla generazione di codice alle operazioni di monitoraggio. Nettesheim descrive l’IA come un “nuovo collega” che estende le capacità umane, non come una semplice automazione sequenziale. È possibile porre un problema complesso e ambiguo, e l’IA collabora per trovare una soluzione condivisa.

Riduzione dei tempi di analisi

Compiti che prima richiedevano giorni o settimane, come la revisione di un errore software o l’analisi di un registro, ora si completano in una frazione di quel tempo, mantenendo sempre la validazione umana. Un esempio pratico riguarda la regolazione del rilevamento: ogni indagine conserva le prove grezze delle query, permettendo di testare un cambiamento proposto con sette mesi di telemetria di produzione in meno di un’ora. In passato, tale operazione richiedeva la consultazione manuale di centinaia di casi storici, rendendola quasi impraticabile.

Scelta e gestione dei modelli

Block ha affinato la selezione dei modelli di IA per ciascuna attività. “Inizialmente usavamo sempre il modello più recente, ma ora scegliamo modelli specifici per compiti diversi”, spiega Nettesheim. L’infrastruttura di sicurezza, costruita su Daybreak, assegna ogni task al modello più adatto e include meccanismi di supervisione incrociata, dove gli agenti verificano il lavoro degli altri agenti o lo delegano a un revisore umano quando necessario.

Questi sistemi vengono continuamente valutati tramite benchmark interni e test in situazioni reali. Quando le prestazioni non sono soddisfacenti, il flusso viene reindirizzato a una revisione umana, garantendo un approccio responsabile.

Automazione della classificazione degli alert

Il nuovo motore automatico di classificazione e priorizzazione degli avvisi ha prodotto risultati notevoli: un incremento del 50 % nella capacità di classificare e dare priorità agli alert, un aumento del 50 % nella raccolta di intelligence e nelle investigazioni, e l’introduzione di una ricerca autonoma delle minacce. Nettesheim stima che ciò equivalga a circa 1100 ore di investigazione per trimestre, poiché ogni alert riceve un’analisi completa e approfondita, come se fosse l’unico da trattare in quella giornata.

OpenAI Defense Factory in azione

Le tradizionali soluzioni di analisi segnalano vulnerabilità isolate, mentre Daybreak permette di formulare ipotesi su pattern di attacco e di concatenare una sequenza completa di exploit, rivelando vulnerabilità potenzialmente nascoste per anni. Un caso emblematico ha coinvolto una singola segnalazione su un laptop, apparentemente insignificante. Durante la revisione tra pari, il modello ha collegato un indicatore accidentale a registri di identità di Block, scoprendo un problema molto più ampio.

“Un alert di routine in un punto di accesso ha permesso di smantellare una campagna di attacchi. Nessuno strumento isolato avrebbe potuto stabilire quella connessione”, afferma Nettesheim.

Esercizi di red teaming potenziati dall’IA

Durante un recente esercizio di red teaming, fornendo al modello solo poche indicazioni su un sistema interno, Daybreak ha generato in circa due ore una catena di attacco completa: iniezione SQL, escalation di privilegi, creazione di un punto di supporto, enumerazione di credenziali e pivot verso altri sistemi. Un esperto umano avrebbe impiegato diversi giorni per replicare lo stesso percorso.

In altri esercizi recenti, sono stati necessari solo 18 minuti dalla descrizione iniziale di una vulnerabilità alla proposta automatizzata di una patch.

Dalla scoperta alla correzione

Identificare vulnerabilità è solo il primo passo; la loro correzione è cruciale. Il processo di Block prevede la localizzazione del difetto nel codice, l’identificazione del responsabile, la proposta di una patch, la verifica dell’exploitabilità e la convalida della risoluzione, sempre con la supervisione di un operatore umano.

Pur avendo capacità tecniche avanzate, gli agenti non possiedono il contesto organizzativo né la conoscenza delle decisioni pregresse. Questo contesto è fornito dagli analisti umani, che aggiungono revisione e strategia. Man mano che l’affidabilità dell’IA viene dimostrata, Nettesheim prevede di aumentare gradualmente il livello di rischio affidato ai modelli, includendo sistemi più sensibili.

Risultati concreti

    • Menos de una hora per probar un cambio propuesto en la detección con siete meses de telemetría.
    • 18 minuti dalla presentazione di una vulnerabilità alla proposta automatizzata di una patch.
    • Circa 600 ore di lavoro di analisti liberate per trimestre grazie alla classificazione dei falsi positivi.
    • Circa 1100 ore di investigazione completate per trimestre.
    • Aumento del 50 % nella performance di classificazione e priorizzazione degli alert.
    • Incremento del 50 % nella raccolta di intelligence e nelle investigazioni.

Prospettive future

Nel solo ambito di rilevamento e risposta, Block ha liberato circa 600 ore di lavoro di analisti per trimestre, ridistribuendo queste risorse verso indagini più approfondite e lo sviluppo di ulteriori automazioni responsabili. Con il ritmo crescente degli attacchi e il continuo miglioramento dei modelli IA, Nettesheim intravede la possibilità di ridurre alla radice il numero di vulnerabilità introdotte, spostando l’attenzione da reattività a prevenzione strategica.

“OpenAI sta dando vantaggio a chi difende i sistemi, rendendo queste capacità avanzate accessibili a tutti”, conclude Nettesheim. “In passato erano riservate a grandi aziende tecnologiche e governi; ora infrastrutture critiche, istituti scolastici e piccole imprese possono utilizzare queste tecnologie per proteggere le proprie reti.”