CodeWall, otonom saldırı ajanlarını kurumsal güvenliğe taşımak için tohum öncesi aşamada 4 milyon dolar yatırım aldı

Bir güvenlik ekibi bir güvenlik açığını yamalasa bile saldırganların aynı verilere ulaşmak için kullanabileceği başka bir yol açık kalabilir. Asıl zor soru, uygulamalardaki, kimliklerdeki ve altyapıdaki zayıflıkların bir araya getirilerek işe yarar bir sızma yoluna dönüştürülüp dönüştürülemeyeceğidir.

CodeWall, işini bu soruya sürekli yanıt bulma üzerine kuruyor. Londra merkezli girişim, 14 Ekim tarihli duyurusuna göre Osney Capital liderliğinde, InReach Ventures, Antler ve melek yatırımcıların katılımıyla tohum öncesi aşamada 4 milyon dolar yatırım alarak gizlilik modundan çıktı.

Şirket, bir kuruma dışarıdan yaklaşan ve kimlik bilgisi, kaynak kodu ya da kurum içi erişim gerektirmeyen otonom saldırı ajanları geliştiriyor. Şirketin amacı, kötü niyetli bir aktör kullanmadan önce savunma ekiplerine istismar edilebilir yolları keşfedip doğrulayabilecekleri sürekli bir yöntem sunmak.

Zayıflık listesinden saldırı yoluna ilişkin kanıtlara

CodeWall’un teknik vizyonu, yeni kanıtlar ortaya çıktıkça soruşturmanın uyarlanmasına dayanıyor. Şirket, saldırı güvenliği alanındaki uzmanlığın kısıtlı, değerlendirmelerin ise dönemsel olması nedeniyle kuruluşların, değerlendirmeler arasında değişen ortamlarını test etmekte zorlandığını savunuyor.

Duyuruda, uzmanlaşmış ajanların paralel biçimde araştırma yaptığı ve keşiflerini kalıcı bir soruşturma grafiği üzerinden paylaştığı belirtiliyor. Bir uygulamada elde edilen bulgu, sonraki ajanın bağlantılı bir hizmeti, kimliği veya veri deposunu incelemesine yön verebilir. Amaçlanan çıktı; nelerin ele geçirilebileceğini, bu yolun nasıl işlediğini ve varılan sonucu hangi kanıtların desteklediğini açıklayan bir rapor.

Pratikte grafik, her uyarıyı yalıtılmış bir öğe olarak ele almak yerine bulgular arasındaki ilişkileri gösterir. Bir bağlantı, tek tek zayıflıklardan daha önemli olabilir: Bir sınırdaki açıklık, ikinci bir denetim noktasına erişim sağlayabilir. Bu açıklama mimari fikri ortaya koyuyor; ancak CodeWall, duyurusunda grafiğinin çelişen bulguları nasıl çözüme kavuşturduğunu veya her geçişi nasıl doğruladığını değerlendirmeye yetecek uygulama ayrıntısını açıklamadı.

Şirketin web sitesi, platformun hizmetler, API’ler ve altyapı genelindeki güven ilişkilerini haritalandırdığını, soruşturmalar sırasında stratejisini uyarladığını ve tekrarlanabilir kavram kanıtı niteliğinde bulgular ürettiğini belirtiyor. Bunlar ürüne ilişkin iddialardır. Bu iddiaların bir kuruluş açısından değeri, bulguların o kuruluşun ortamında tekrarlanabilir ve anlamlı kalıp kalmadığına bağlıdır.

McKinsey araştırmasının ortaya koydukları

CodeWall, büyük danışmanlık şirketlerinin işlettiği platformlardaki zayıflıkları ele alan araştırmalar yayımladı. McKinsey’nin Lilli AI platformunu test etmesine ilişkin 9 Mart tarihli yazısı, yapay zekâ uygulamalarını kurum içi bilgi kaynaklarına bağlayan kuruluşlar açısından özellikle önem taşıyor.

CodeWall’a göre ajanı, üretim veritabanına iki saatten kısa sürede okuma ve yazma erişimi elde etti. Şirket, ilk erişimin kimlik doğrulaması gerektirmeyen bir arayüz ve istek alanı adlarının işleniş biçimiyle ilgili bir SQL enjeksiyonu sorunundan kaynaklandığını belirtti. Buradaki önem, dil modelinin kendisindeki bir arızadan değil, uygulamanın temelindeki verilere ve yapılandırmaya erişilebilmesinden kaynaklanıyordu.

Araştırmacılar, depolanan sistem istemlerine yazma erişiminin sonuçlarını da ele aldı: Uygulama altyapısının ele geçirilmesi, güvenilir yapay zekâ çıktılarının nasıl oluşturulacağını belirleyen talimatların değiştirilmesine yol açabilecek bir yol açabilirdi. Bu, raporda açıklanan olası bir sonuçtur; danışmanlara manipüle edilmiş tavsiyeler verildiğinin kanıtı değildir.

CodeWall, bulguları McKinsey’ye açıkladığını, erişimi doğrulama amacıyla sınırladığını ve yayımdan önce sorunun giderildiğini doğruladığını söylüyor. Bu ayrıntılar, tedarikçinin araştırma raporundan geliyor; devam eden bir güvenlik açığının kanıtı ya da ajanlarının insan test uzmanlarından daha iyi performans gösterdiğini ortaya koyan genel bir kıyaslama sonucu olarak değerlendirilmemeli.

Sürekli test, operasyonel zorluğu değiştiriyor

CodeWall, platformunun uygulamalar değiştikçe, yeni varlıklar ortaya çıktıkça veya düzeltmeler devreye alındıkça sistemleri yeniden incelediğini ve bunu yetkilendirilmiş kapsam içinde yaptığını söylüyor. Bu, potansiyel olarak yararlı bir geri bildirim döngüsü oluşturuyor: Bir yolu belirlemek, bu yola katkıda bulunan zayıflıkları gidermek ve yolun hâlâ işleyip işlemediğini test etmek.

Yeniden test önemlidir; çünkü tek bir iş kaydının kapatılması, başlangıçtaki iş riskinin ortadan kalktığını kanıtlamaz. Bir düzeltme bir yolu kapatırken başka bir yolu açık bırakabilir ya da daha sonraki bir dağıtım önceki düzeltmeyi geri alabilir.

Unite.AI’nin daha önce yayımladığı otonom sızma testleri ve iyileştirme konulu haber, tekrarlanan doğrulamaya yönelen aynı eğilimi ele almıştı. CodeWall’un vurgusu, dışarıdan başlaması ve bağlantılı sistemleri eşgüdümlü biçimde incelemesi. Ticari hedeflerin benzer olması, ajan mimarilerinin veya yürütme denetimlerinin aynı olduğu anlamına gelmez.

Testlerin daha sık yapılması, operasyonel sınırların önemini de artırıyor. Böyle bir platformu değerlendiren kuruluşlar; izin verilen hedefleri ve eylemleri, kanıtların işlenmesine ilişkin kuralları, üst mercilere iletme prosedürlerini ve bir soruşturmayı durdurma olanağını belirlemeli. Bunlar değerlendirme ölçütleridir; CodeWall’un yatırım duyurusunda doğrulanmış yetenekler değildir.

Yatırım nelerin geliştirilmesini sağlayacak

Kurucu ve CEO Paul Price, şirketi saldırı odaklı güvenlik testlerini kalıcı bir savunma yetkinliğine dönüştürmenin bir yolu olarak konumlandırıyor. CodeWall, bankaların ve finans kuruluşlarının istismar edilebilir saldırı yollarını belirleyip doğrulamasına şimdiden yardımcı olduğunu söylüyor; ancak duyuruda adı verilen finans sektörü müşterileri ya da bağımsız performans ölçümleri yer almıyor.

Yatırım, ajanların inceleyebileceği ortamların kapsamını genişletmenin yanı sıra sürekli test, doğrulama ve düzeltme iş akışlarını destekleyecek. Şirket ayrıca Londra’daki saldırı odaklı güvenlik, mühendislik, müşteri başarısı ve pazara açılma ekiplerini büyütmeyi planlıyor.

Alıcılar açısından önemli bir ayrım, bu düzeltme iş akışlarının ne ölçüde ilerlediği olacak. Kanıt sunmak ve düzeltme önermek, üretim ortamında otomatik olarak değişiklik yapmaktan farklıdır. Duyuruda, CodeWall’ın düzeltmeleri bağımsız olarak devreye aldığı belirtilmiyor; bu nedenle kurumların onay ve uygulama süreçlerinin kimde olduğunu netleştirmesi gerekiyor.

İlerlemenin en güçlü göstergesi, ortaya çıkan güvenlik kararlarının niteliği olacak: tekrarlanabilir saldırı yolları, iş üzerindeki etkinin açıkça ortaya konması, hassas kanıtların uygun şekilde ele alınması ve düzeltmenin güvenlik açığını kapattığının doğrulanması. CodeWall’ın ön tohum yatırım turu, bu çalışma modelini hayata geçirmek için şirkete kaynak sağlıyor. Şirketin önündeki görev, sürekli saldırı odaklı testleri kurumsal işlerin rutin bir parçası olacak kadar güvenilir hâle getirmek.