CodeWall ระดมทุนพรีซีด 4 ล้านดอลลาร์ เพื่อพัฒนาเอเจนต์โจมตีอัตโนมัติสำหรับความปลอดภัยระดับองค์กร

ทีมรักษาความปลอดภัยอาจแก้ไขช่องโหว่แล้ว แต่ก็ยังปล่อยให้ผู้โจมตีมีช่องทางอื่นเข้าถึงข้อมูลชุดเดิมได้ คำถามที่ตอบยากกว่าคือ จุดอ่อนในแอปพลิเคชัน ระบบยืนยันตัวตน และโครงสร้างพื้นฐานจะถูกรวมเข้าด้วยกันจนกลายเป็นการบุกรุกที่ทำได้จริงหรือไม่

CodeWall กำลังสร้างธุรกิจโดยมุ่งตอบคำถามนี้อย่างต่อเนื่อง สตาร์ตอัปจากลอนดอนรายนี้เปิดตัวหลังพ้นช่วงเก็บตัว พร้อมประกาศระดมทุนรอบพรีซีดได้ 4 ล้านดอลลาร์ โดยมี Osney Capital เป็นผู้นำการลงทุน ร่วมด้วย InReach Ventures, Antler และนักลงทุนแองเจิล ตามประกาศเมื่อวันที่ 14 ตุลาคม

บริษัทพัฒนาเอเจนต์โจมตีอัตโนมัติที่เข้าตรวจสอบองค์กรจากภายนอก โดยไม่ต้องใช้ข้อมูลรับรอง ซอร์สโค้ด หรือสิทธิ์เข้าถึงจากภายใน บริษัทมุ่งมอบวิธีให้ทีมป้องกันค้นหาและตรวจสอบเส้นทางที่ใช้โจมตีได้อย่างต่อเนื่อง ก่อนที่ผู้ไม่หวังดีจะนำไปใช้

จากรายการจุดอ่อนไปสู่หลักฐานของเส้นทางการโจมตี

แนวคิดด้านเทคนิคของ CodeWall มุ่งเน้นการปรับการตรวจสอบตามหลักฐานใหม่ที่ปรากฏ บริษัทมองว่าองค์กรมีผู้เชี่ยวชาญด้านความปลอดภัยเชิงรุกอยู่อย่างจำกัด และการประเมินเป็นครั้งคราวทำให้องค์กรรับมือได้ยากกับการทดสอบสภาพแวดล้อมที่เปลี่ยนแปลงไประหว่างการประเมินแต่ละครั้ง

ประกาศของบริษัทระบุว่าเอเจนต์เฉพาะทางจะตรวจสอบหลายเรื่องไปพร้อมกัน และแบ่งปันสิ่งที่ค้นพบผ่านกราฟการตรวจสอบที่เก็บข้อมูลต่อเนื่อง ผลการค้นพบจากแอปพลิเคชันหนึ่งอาจช่วยให้เอเจนต์ตัวถัดไปตรวจสอบบริการ ระบบยืนยันตัวตน หรือแหล่งเก็บข้อมูลที่เชื่อมต่อกันได้ เป้าหมายคือจัดทำรายงานว่ามีสิ่งใดบ้างที่ถูกเจาะได้ เส้นทางการโจมตีทำงานอย่างไร และมีหลักฐานใดสนับสนุนข้อสรุปดังกล่าว

ในทางปฏิบัติ กราฟจะแสดงความเชื่อมโยงระหว่างสิ่งที่ค้นพบ แทนการมองการแจ้งเตือนแต่ละรายการเป็นเหตุการณ์ที่แยกขาดจากกัน ความเชื่อมโยงอาจสำคัญกว่าจุดอ่อนแต่ละจุด เพราะการเปิดเผยข้อมูลที่ขอบเขตหนึ่งอาจทำให้เข้าถึงมาตรการควบคุมอีกชั้นหนึ่งได้ คำอธิบายนี้กล่าวถึงแนวคิดด้านสถาปัตยกรรม ส่วนรายละเอียดการติดตั้งใช้งานที่ CodeWall เปิดเผยในประกาศยังไม่เพียงพอให้ประเมินได้ว่ากราฟจัดการกับผลการค้นพบที่ขัดแย้งกันอย่างไร หรือยืนยันความถูกต้องของการเชื่อมต่อในแต่ละขั้นได้อย่างไร

เว็บไซต์ของบริษัทระบุว่าแพลตฟอร์มทำแผนที่ความสัมพันธ์ด้านความน่าเชื่อถือระหว่างบริการ API และโครงสร้างพื้นฐาน ปรับกลยุทธ์ระหว่างการตรวจสอบ และสร้างหลักฐานการพิสูจน์แนวคิดที่ทำซ้ำได้ ทั้งหมดนี้เป็นคำกล่าวอ้างเกี่ยวกับผลิตภัณฑ์ คุณค่าของแพลตฟอร์มสำหรับองค์กรขึ้นอยู่กับว่าผลการค้นพบยังทำซ้ำได้และมีความหมายในสภาพแวดล้อมขององค์กรนั้นหรือไม่

งานวิจัยเกี่ยวกับ McKinsey แสดงให้เห็นอะไร

CodeWall เผยแพร่งานวิจัยเกี่ยวกับจุดอ่อนในแพลตฟอร์มที่บริษัทที่ปรึกษารายใหญ่เป็นผู้ดำเนินการแล้ว รายงานของบริษัทเมื่อวันที่ 9 มีนาคม ซึ่งเล่าถึงการทดสอบแพลตฟอร์ม Lilli AI ของ McKinsey มีความเกี่ยวข้องเป็นพิเศษกับองค์กรที่เชื่อมต่อแอปพลิเคชัน AI เข้ากับคลังความรู้ภายใน

CodeWall ระบุว่าเอเจนต์ของบริษัทได้สิทธิ์อ่านและเขียนฐานข้อมูลที่ใช้งานจริงภายในเวลาไม่ถึง 2 ชั่วโมง บริษัทระบุว่าช่องทางเริ่มต้นคืออินเทอร์เฟซที่ไม่ต้องยืนยันตัวตน และปัญหา SQL injection ที่เกี่ยวข้องกับวิธีจัดการชื่อฟิลด์ในคำขอ ประเด็นสำคัญคือเอเจนต์เข้าถึงข้อมูลและการตั้งค่าพื้นฐานของแอปพลิเคชันได้ ไม่ใช่ความล้มเหลวของโมเดลภาษาเอง

นักวิจัยยังกล่าวถึงผลที่อาจเกิดขึ้นจากการมีสิทธิ์เขียนพรอมป์ต์ระบบที่จัดเก็บไว้ด้วย กล่าวคือ การเจาะโครงสร้างพื้นฐานของแอปพลิเคชันอาจเปิดช่องให้แก้ไขคำสั่งที่กำกับผลลัพธ์จาก AI ซึ่งผู้ใช้เชื่อถือได้ นี่เป็นผลที่อาจเกิดขึ้นตามที่รายงานกล่าวถึง ไม่ใช่หลักฐานว่าที่ปรึกษาได้รับคำแนะนำที่ถูกบิดเบือน

CodeWall ระบุว่าได้เปิดเผยสิ่งที่ค้นพบแก่ McKinsey จำกัดการเข้าถึงไว้เพื่อการตรวจสอบยืนยัน และยืนยันว่ามีการแก้ไขปัญหาแล้วก่อนเผยแพร่ รายละเอียดเหล่านี้มาจากรายงานการวิจัยของผู้ให้บริการ จึงไม่ควรตีความว่าเป็นหลักฐานของช่องโหว่ที่ยังไม่ได้รับการแก้ไข หรือเป็นการทดสอบมาตรฐานทั่วไปที่พิสูจน์ว่าเอเจนต์ของบริษัททำงานได้ดีกว่าผู้ทดสอบที่เป็นมนุษย์

การทดสอบอย่างต่อเนื่องเปลี่ยนโจทย์ด้านการปฏิบัติงาน

CodeWall ระบุว่าแพลตฟอร์มจะกลับมาตรวจสอบระบบอีกครั้งเมื่อแอปพลิเคชันเปลี่ยนแปลง มีสินทรัพย์ใหม่เพิ่มเข้ามา หรือมีการนำวิธีแก้ไขไปใช้ โดยดำเนินการภายในขอบเขตที่ได้รับอนุญาต วิธีนี้อาจสร้างวงจรป้อนกลับที่เป็นประโยชน์ ได้แก่ ค้นหาเส้นทาง แก้ไขจุดอ่อนที่เกี่ยวข้อง และทดสอบว่าเส้นทางดังกล่าวยังใช้งานได้หรือไม่

การทดสอบซ้ำมีความสำคัญ เพราะการปิดทิกเก็ตรายการหนึ่งไม่ได้ยืนยันเสมอไปว่าความเสี่ยงทางธุรกิจเดิมหมดไปแล้ว การแก้ไขอาจปิดกั้นเส้นทางหนึ่ง แต่ยังเหลืออีกเส้นทางให้ใช้งานได้ หรือการนำระบบขึ้นใช้งานในภายหลังอาจทำให้การแก้ไขก่อนหน้าถูกย้อนกลับ

บทความก่อนหน้าของ Unite.AI ว่าด้วยการทดสอบเจาะระบบและการแก้ไขโดยอัตโนมัติกล่าวถึงแนวโน้มเดียวกันที่มุ่งสู่การตรวจสอบยืนยันซ้ำ CodeWall เน้นการเริ่มตรวจสอบจากภายนอกและการตรวจสอบระบบที่เชื่อมต่อกันอย่างประสานสอดคล้องกัน ทั้งนี้ เป้าหมายทางการค้าอาจคล้ายกัน แต่ไม่ได้หมายความว่าสถาปัตยกรรมของเอเจนต์หรือมาตรการควบคุมการทำงานจะเหมือนกัน

การทดสอบที่ถี่ขึ้นยังทำให้การกำหนดขอบเขตการปฏิบัติงานมีความสำคัญมากขึ้น องค์กรที่กำลังประเมินแพลตฟอร์มลักษณะนี้ควรกำหนดเป้าหมายและการดำเนินการที่อนุญาต หลักเกณฑ์การจัดการหลักฐาน ขั้นตอนการยกระดับปัญหา และความสามารถในการหยุดการตรวจสอบ สิ่งเหล่านี้เป็นเกณฑ์สำหรับการประเมิน ไม่ใช่ความสามารถที่ได้รับการยืนยันจากประกาศระดมทุนของ CodeWall

เงินทุนจะนำไปใช้พัฒนาอะไร

Paul Price ผู้ก่อตั้งและซีอีโอ มองว่า CodeWall เป็นหนทางที่จะทำให้การทดสอบเชิงรุกกลายเป็นขีดความสามารถด้านการป้องกันที่มีอยู่อย่างถาวร CodeWall ระบุว่าขณะนี้บริษัทกำลังช่วยธนาคารและสถาบันการเงินระบุและตรวจสอบเส้นทางการโจมตีที่สามารถใช้ประโยชน์ได้ แม้ประกาศดังกล่าวจะไม่ได้ระบุชื่อลูกค้าในภาคการเงินหรือเปิดเผยผลการวัดประสิทธิภาพจากหน่วยงานอิสระ

เงินทุนนี้จะสนับสนุนการขยายขอบเขตของสภาพแวดล้อมที่เอเจนต์ของบริษัทสามารถตรวจสอบได้ ควบคู่ไปกับกระบวนการทดสอบ การยืนยันผล และการแก้ไขที่ดำเนินอย่างต่อเนื่อง นอกจากนี้ บริษัทยังมีแผนขยายทีมรักษาความปลอดภัยเชิงรุก ทีมวิศวกรรม ทีมดูแลความสำเร็จของลูกค้า และทีมเข้าสู่ตลาดในลอนดอน

สำหรับผู้ซื้อ ประเด็นสำคัญที่ต้องแยกให้ออกคือกระบวนการแก้ไขเหล่านี้ครอบคลุมไปไกลเพียงใด การจัดทำหลักฐานและเสนอแนวทางแก้ไขนั้นแตกต่างจากการเปลี่ยนแปลงระบบที่ใช้งานจริงโดยอัตโนมัติ ประกาศดังกล่าวไม่ได้ยืนยันว่า CodeWall นำการแก้ไขไปใช้งานได้โดยอิสระ ดังนั้นองค์กรต่าง ๆ จึงควรสอบถามให้ชัดเจนว่าใครเป็นผู้อนุมัติและดำเนินการในแต่ละขั้นตอน

ตัวชี้วัดความก้าวหน้าที่ชัดเจนที่สุดคือคุณภาพของการตัดสินใจด้านความปลอดภัยที่ได้จากกระบวนการนี้ ได้แก่ เส้นทางที่ตรวจสอบซ้ำได้ ผลกระทบต่อธุรกิจที่ชัดเจน การจัดการหลักฐานที่ละเอียดอ่อนอย่างเหมาะสม และการยืนยันว่าการแก้ไขช่วยปิดช่องโหว่ได้จริง รอบเงินทุนก่อนเริ่มระดมทุนของ CodeWall ทำให้บริษัทมีทรัพยากรสำหรับเดินหน้ารูปแบบการดำเนินงานดังกล่าว ภารกิจต่อจากนี้คือทำให้การทดสอบเชิงรุกอย่างต่อเนื่องมีความน่าเชื่อถือเพียงพอที่จะกลายเป็นงานประจำขององค์กร