OpenAI laiž klajā Daybreak Red Team un Defense Factory – MI aģentus ievainojamību meklēšanai un labošanai

OpenAI 12. novembrī savā pasākumā Cyber at the Frontier iepazīstināja ar diviem jauniem kiberdrošības produktiem ar zīmolu Daybreak. Daybreak Red Team ar MI aģentu palīdzību veic tīmekļa lietotņu ielaušanās testus un pārbauda, vai atrastās vājās vietas tiešām var izmantot, savukārt Daybreak Defense Factory izpēta drošības atradumus un sagatavo programmatūras labojumus.

Red Team darbā vienu lietotni vienlaikus pēta vairāki savstarpēji koordinēti MI aģenti. Tie izmanto lietotnes pirmkodu un kontekstu, lai izsekotu iespējamiem uzbrukuma ceļiem un apstiprinātu ievainojamības. Rīkam var nodot arī citu avotu ziņojumus, piemēram, koda skeneru rezultātus, kļūdu medību programmu iesniegumus un ievainojamību paziņojumus, lai uzņēmumi varētu izlemt, ko labot vispirms. Pēc labojuma testu var atkārtot un pārliecināties, vai uzbrukums vairs nav iespējams.

Lai aģenti nepārkāptu atļautās robežas, testi notiek izolētās vidēs. OpenAI norāda, ka pārbaudes mehānisms Guardian nosaka, kurām lietotnēm un galapunktiem aģenti drīkst piekļūt.

Defense Factory ir paredzēts labojumu sagatavošanai. Tas var saņemt atradumus no Red Team, kā arī no citu uzņēmumu drošības rīkiem, tostarp Wiz, Snyk un Endor Labs. Aģenti izseko katru ievainojamību cauri kodam un piedāvā labojumu. Rīks var arī skenēt pievienotos GitHub repozitorijus, sekot jaunām koda izmaiņām un veikt regulāras ieplānotas pārbaudes.

Galavārds paliek cilvēkiem. Inženieri var apskatīt katra atraduma pierādījumus, pielāgot piedāvāto labojumu ar OpenAI programmēšanas aģentu Codex un izveidot GitHub izmaiņu pieprasījuma melnrakstu. Labojumi netiek ieviesti automātiski: tos pirms apvienošanas ar pamatkodu pārskata un testē inženieri.

OpenAI savā mājaslapā šādu pieeju pamato ar to, ka uzbrucēji arvien biežāk izmanto brīvi pieejamus atvērtos MI modeļus, lai paātrinātu savas darbības. Tāpēc arī aizstāvjiem esot vajadzīgs nepārtraukts process, kurā ievainojamības tiek atrastas, pārbaudītas un izlabotas.

Pagaidām piekļuve abiem rīkiem ir ierobežota. Uz Daybreak Red Team agrīno piekļuvi uzņēmumi var pieteikties, taču pieteikums negarantē vietu. Defense Factory ir pieejams kā priekšskatījuma spraudnis ChatGPT darbvietām, kurām jau ir Daybreak piekļuve.