AI kontra AI. Microsoft pokazuje nową strategię cyberobrony

Cyberprzestępcy nie muszą już ręcznie wykonywać każdego etapu ataku – to sztuczna inteligencja (AI) wyszukuje podatności, tworzy narzędzia i dostosowywać działania do zabezpieczeń ofiary. Jej rosnące znaczenie zarówno w ofensywie jak i defensywie było motywem przewodnim zorganizowanego 27 lipca w San Francisco wydarzenia Microsoft.

Sztuczna inteligencja już tu jest. Jest wykorzystywana na dużą skalę i zmienia reguły gry.
Hayete Gallot, wiceprezeska wykonawcza Microsoftu ds. bezpieczeństwa

Według firmy około 90 proc. operacji – od rozpoznania celu i znalezienia podatności po zdobywanie danych dostępowych, poruszanie się po infrastrukturze i kradzież informacji – zostało wykonanych przez systemy AI. Człowiek jedynie kierował działaniami agentów, które generowały do 15 tys. zapytań na sekundę.

Daje to bezprecedensową przewagę napastnikom nad zespołami bezpieczeństwa, które często ręcznie analizują ogromną liczbę alertów, reagując na nie pod presją czasu. Odpowiedzią ma być szersze wykorzystanie wyspecjalizowanych agentów AI, jednak z zachowaniem pełnej kontroli człowieka.  W tej kwestii firma zaprezentowała dwa nowe rozwiązania i inicjatywę badawczą.

Project Perception

Pierwszy z nich – Project Perception – to nowa platforma cyberbezpieczeństwa Microsoftu wykorzystująca zespoły agentów AI do całodobowego analizowania zagrożeń, testowania zabezpieczeń i przygotowywania działań naprawczych. Jego przewagą ma być dostęp do jednego z najlepiej połączonych ekosystemów danych i informacji o zagrożeniach na świecie”. 

Przetwarzamy około 100 bilionów sygnałów dziennie.
Hayete Gallot, wiceprezeska wykonawcza Microsoftu ds. bezpieczeństwa

Zebrane informacje (jak dane z kont użytkowników, chmury, aplikacji, kodu i wykrywanych ataków) są porządkowane w grafie, zapewniającym agentom wspólny obraz chronionego środowiska.

System wykorzystuje różne modele AI dobierane do konkretnych zadań, a sami agenci są podzieleni na trzy grupy. Czerwoni symulują działania napastników, szukają dróg ataku i sprawdzają, czy podatności można rzeczywiście wykorzystać. Niebiescy analizują zagrożenia oraz tworzą reguły ich wykrywania. Zieloni przygotowują działania naprawcze, takie jak zmiana konfiguracji zapory sieciowej lub poprawka w kodzie.

Podczas demonstracji Perception przeanalizował zagrożenie związane z grupą Onyx Sleet w praktyce. Zebrał on wskaźniki ataku, sprawdził zasoby dostępne z internetu i potwierdził możliwość wykorzystania podatności SQL injection w aplikacji. Następnie przygotował reguły wykrywania w języku KQL, zaproponował blokadę na zaporze sieciowej, a na koniec wygenerował poprawkę w kodzie i testy sprawdzające jej skuteczność.

MAI-Cyber-1-Flash i MDASH

M Dash to nowy system przeznaczony do wyszukiwania i usuwania podatności w kodzie. Ma on skanować repozytoria, sprawdzać, czy wykryte luki są rzeczywiście dostępne i możliwe do wykorzystania, a następnie ustalić ich priorytet. Co ciekawe, M Dash była początkowo opracowany na wewnętrzne potrzeby Microsoftu, a obecnie jest integrowane ze wspomnianym już Project Perception.

Później uznaliśmy, że powinniśmy udostępnić go klientom, ponieważ mierzą się z tym samym problemem.
Hayete Gallot, wiceprezeska wykonawcza Microsoftu ds. bezpieczeństwa

System pokazuje możliwą drogę ataku i wpływ podatności, a także przygotowuje propozycję poprawki wraz z wyjaśnieniem oraz planem jej weryfikacji. Może automatycznie utworzyć pull request.

M Dash ma dodatkowo współpracować m.in. z GitHubem i Azure DevOps.

MAI-Cyber-1-Flash to z kolei model AI wykorzystywany w M Dash do wykrywania, naprawiania i sprawdzania podatności. Według Microsoftu obsługuje około 90 proc. zadań, a pozostałe 10 proc. przekazuje większemu modelowi GPT-5.4.

Firma podała, że taka konfiguracja osiągnęła 96 proc. skuteczności w benchmarku CyberGym, przy wyniku rynkowym wynoszącym około 83 proc. Jednocześnie miała działać za połowę kosztu wcześniejszej konfiguracji M Dash – są to wyniki przedstawione przez Microsoft podczas wydarzenia.

Microsoft Security Forward Slash

Na zakończenie, Microsoft ogłosił powstanie inicjatywy badawczej Microsoft Security Forward Slash, poświęconej wykorzystaniu sztucznej inteligencji w cyberbezpieczeństwie. 

Ma ona rozwijać metody automatycznego wykrywania podatności i przyspieszać przejście od narzędzi wspierających ekspertów do systemów zdolnych prowadzić bardziej autonomiczne badania nad bezpieczeństwem.

Inicjatywą pokieruje Taesoo Kim, który wcześniej kierował zespołem nagrodzonym przez DARPA za zademonstrowanie możliwości wykorzystania nowatorskich systemów autonomicznych wykorzystujących sztuczną inteligencję do zabezpieczania oprogramowania open source, stanowiącego podstawę infrastruktury krytycznej”. Microsoft zatrudnił później też jego zespół, a opracowane przez nich technologie wykorzystał przy tworzeniu M Dash. 

Teraz grupa ma pracować nad systemami, które szybciej i na większą skalę wykrywają oraz naprawiają luki w kodzie, a w przyszłości wykonują część tych zadań samodzielnie.