超级安全：AI模型时代的安全(上)

　　AI正在压缩网络风险的处置周期，漏洞从公开披露到被攻击者利用之间的窗口期正急剧缩短。曾经需要数周甚至数月才能被攻击者发现和利用的漏洞，如今在短短几个小时内就能被识别和武器化。幸运的是，这种转变是双向的。使攻击者加速攻击的模型，同样也能使防御者以前所未有的速度进行威胁检测、分析和风险缓解。攻防优势不再取决于谁拥有更好的工具，而是取决于谁能在整个安全生命周期中更快速、更协同地开展行动。那些依赖低效的、各种碎片化工具的企业将无法跟上新的攻防节奏。当今的安全防御体系必须搭建一个持续运转、高度集成的流程，涵盖研发、威胁检测和事件响应等环节。现在企业必须采取主动防御安全体系，在漏洞被利用之前最大限度减少暴露面。这意味着要将AI集成到开发、检测和响应的全流程中，缩短风险缓解的周期，将安全能力直接嵌入业务系统和工作流程中，并从架构设计之初就为未来规模化防护做好准备。那些实现转型的企业将获得更高的可见性、管控能力和韧性。而那些没有转型的企业，在当今由自动化和规模化定义的环境中将举步维艰。

　　Fortinet的AI发展史

　　AI在安全领域并非新鲜事物。自2015年起，Fortinet就在FortiGuard Labs(FortiGuard全球威胁研究与响应实验室)中运用AI技术，处理每天收到的各种潜在恶意信号，这些信号的数量呈指数级增长，仅依靠威胁研究人员逐条研判并不现实。通过使用机器学习(ML)和人工神经网络(ANN)，该团队训练出高精度识别模型，可以自主识别恶意文件并追踪僵尸网络。如今，FortiGuard Labs每天会接收数万亿条信号，利用AI将信号自动分类，从而将宝贵的人力资源解放出来，让他们专注于处理更棘手的样本。自2015年以来，其中一些AI能力已经嵌入到Fortinet向客户提供的产品中，包括：◎ AI驱动的沙箱(FortiSandbox)，用于识别电子邮件和网络流量中的高风险文件;◎ 端点检测与响应(FortiEDR)，用于识别恶意文件和异常流量行为;◎ 网络检测与响应(FortiNDR)，用于发现可疑网络活动。而生成式AI进一步增加了理解和生成内容的能力，Fortinet也将这些能力应用在多个场景中：◎ 在外部攻击面监测平台(FortiRecon)中生成威胁行为者分析报告;◎ 在统一网络与安全操作系统(FortiOS)中基于语音请求或白板草图创建配置;◎ 在统一安全运营平台(FortiSOC)中跨网络开展威胁狩猎，并为CISO生成简报。正是这些年的积累，使现在的Fortinet能够将AI能力投入实际运营，而不仅仅是停留在实验阶段。智能体AI将是这一技术路线的下一个里程碑，它能够使这些系统协同工作、共享情报、相互推理，并自主行动以实现既定目标。

　　传统安全工具的局限性

　　多年来，产品安全测试的方式基本上保持不变。在安全产品开发生命周期中，通常会实施多种工具和技术：静态应用安全测试(SAST)用于分析代码，软件成分分析(SCA)用于识别易受攻击的开源代码，这两者通常都会嵌入DevOps流水线。动态应用安全测试(DAST)和模糊测试等技术则针对真实运行的系统进行测试。此外，还有资源密集、依赖人工的方法，如渗透测试和人工代码审计。如果企业重视产品安全，通常会需要上述所有工具，更重要的是，每种方法需要使用多个工具才能实现全面的覆盖。Fortinet使用三种独立的SAST工具、多达10种不同的DAST工具，再加上SCA、模糊测试、渗透测试和人工代码审计，才构成了相对全面的检测体系。不过，行业已经迎来了技术拐点：传统的、静态的、具有局限性的工具，正在被前沿AI模型超越。

　　前沿AI模型：攻防两端的双刃剑

　　AI的主要优势之一是技术普惠化，非专业开发人员也能依托大模型，在短时间内搭建完整的应用程序。新一代前沿AI模型能够以最少的指导和前所未有的速度，分析软件、生成代码和模拟工作流。从安全的角度来看，AI模型具有两面性：既能检测威胁、修补漏洞，也能被攻击者用于将漏洞武器化。对于产品安全团队来说，这不仅仅是又一次技术变革，更是对威胁格局的重塑。Fortinet正与Anthropic等前沿AI公司紧密合作，以充分利用每个模型的优势。近期，Anthropic的"Glasswing"项目及其Mythos预览版受到了广泛关注，Fortinet作为合作参与方，已经获得Claude Mythos预览版的使用权限。这反映了一个更广泛的行业趋势：前沿AI模型对于复杂系统的分析、理解和测试能力正在迅速提升。要持续领先于威胁行为者非常关键，因此这种层面的协作也至关重要。问题不在于某个企业使用这些模型做什么，而在于模型不断增强的能力对于整个防御生态的影响有多么深远。

　　前沿AI模型带来的红利

　　新的前沿AI模型就像一个全能型的摇滚明星级安全工程师——集最熟练的渗透测试员和代码审计师于一身。如同《黑客帝国》中的尼奥：不仅懂功夫，还比任何开发人员都更了解你的产品，因为这些模型的"大脑"始终能完整理解全部代码，这带来了一系列令人惊叹、同时也令人焦虑不安的能力。加速漏洞挖掘前沿AI模型可以批量扫描各种代码库，并以远超传统方法的速度快速识别漏洞。◎ 曾经需要数周或数月完成的代码审计和安全测试任务，现在可以在几小时内完成。◎ AI模型可以协助发现零日漏洞和复杂系统的弱点。不过，尽管AI模型几乎每隔几天就会升级迭代，但即使是最新的前沿AI模型也会犯错，各种误报仍然时有发生，它们识别出来的漏洞可能已经有了其他缓解措施。因此，AI模型应该被视为工具，而不是最终解决方案。安全分析师这个角色不会消失，因为他们仍然需要指导AI模型，最重要的是，核验其输出结果。这些AI模型所做的是加速分析时间，使安全分析师的工作效率大大提高。漏洞挖掘周期的压缩，直接减少了暴露窗口，促使企业的安全模式从被动地打补丁修复转向主动风险管控。增强威胁检测与事件响应能力前沿AI模型特别擅长以下场景：◎ 关联跨海量遥测数据集的风险信号◎ 实时检测异常行为模式◎ 协助SOC团队进行事件分级和应急响应这些AI模型就像不知疲倦的分析师，从不眨眼，从不睡觉，也从不遗漏任何一行日志。它们"大海捞针"式的能力正在改变SOC的运营模式。安全规模化自动化安全工程长期受限于专业人才储备不足，而前沿AI模型有助于消除这一瓶颈，它们可以：◎ 生成安全代码模版◎ 自动化渗透测试工作流◎ 模拟跨多个复杂架构的各种攻击路径这大幅降低了各团队落地标准化安全实践的门槛，让企业能够在各种环境中统一应用高质量的安全实践，而不是只在具备专业知识的领域选择性应用。赋能安全团队专业能力前沿AI模型并不会产生颠覆性变革，进而彻底取代对专业技术人才的需求。高素质的安全专业人员将在未来很长一段时间内不可或缺。相反，这些AI模型会成为安全专业人员的"力量倍增器"：◎ 初级工程师可以获得专家级指导。◎ 安全团队可以扩大其工作覆盖范围。根据模型输出的反馈，安全团队可以明确定位从哪里开始探测漏洞，开发人员则可以明确在哪里集中重构工作。前沿AI模型还有一个出人意料的优势：它们非常擅长威胁建模。因为AI模型的“大脑”中有完整的产品和数据流信息，使其能够在几分钟内轻松生成一个威胁模型。而且它比传统威胁建模方式更加准确，因为它是基于当前系统的真实情况建模，而不是基于开发人员的主观推演建模。可以说，前沿AI模型已经将安全防御带入了一个全新的时代。如果企业能够拥抱这一变革，将AI嵌入到安全运营的每个环节，就有可能在未来的攻防博弈中抢占先机。不过，技术的另一面也不容忽视，在下一篇文章中，我们将探讨AI模型带来的风险以及企业的应对之道。

　　资料来源于网络，详情请点击：内网隔离（https://www.fortinet.com/cn/solutions/enterprise-midsize-business/scalable-flexible-segmentation）