نحن نمنح الذكاء الاصطناعي مهمة بسيطة: محاولة اختراق Didit

في Didit، يعني اختبار الاختراق بالذكاء الاصطناعي استخدام وكلاء الذكاء الاصطناعي لتحدي تدفقات التحقق من الهوية لدينا في بيئة اختبار. ندرس المحاولات ونتائجها للعثور على نقاط الضعف، والمساعدة في اكتشاف الروبوتات التي تقوم بالتحقق، وفهم أين يواجه المستخدمون الحقيقيون صعوبات.

نمنح الوكلاء إمكانية الوصول إلى شفرة المصدر الخاصة بنا ونطلب منهم إيجاد طريقة لاختراق الفحوصات في بيئة الاختبار. يحاولون استخدام مستندات مزورة، وتغذيات كاميرا محقونة، ورحلات آلية عبر سير العمل الحقيقي. نراقب ما يحدث، ونحقق في النتائج، ونستخدم ما نتعلمه لتحسين النظام.

نستخدم هذا العمل أيضًا للمساعدة في اكتشاف الروبوتات التي تقوم بالتحقق وفهم سلوك المستخدم. إن رؤية كيفية تحرك الأتمتة عبر التدفق يساعدنا على طرح أسئلة أفضل حول كل من الاحتيال وتجربة الشخص على الجانب الآخر من الشاشة.

النقاط الرئيسية

اختبر الرحلة بأكملها. المستندات المزورة، وتغذيات الكاميرا الاصطناعية، والإجراءات الآلية تتحدى أجزاء مختلفة من تدفق التحقق.

تحقق مما حدث. يجب التحقق من ادعاء الوكيل بتجاوز النظام مقابل أدلة قابلة للتكرار.

تعلم من السلوك. يمكن أن يضيف التوقيت وإعادة المحاولة سياقًا حول الأتمتة، بينما يكشف أيضًا عن الأماكن التي يحتاج فيها المستخدمون الشرعيون إلى المساعدة.

اجعل النتائج مفيدة. يستمر العمل من خلال التحقيق والإصلاحات والفحوصات على التأثير على الأشخاص الحقيقيين.

المسؤولية وراء الشاشة

أفادت TechCrunch عن خرق مشتبه به لدى مزود خدمة تحقق.

بالنسبة لنا، تبدأ المسؤولية بما يأتمنه الناس لشركة تحقق. يحمل مسح جواز السفر اسمك وصورتك ومعلومات تعريفية أخرى. صورة السيلفي هي سجل لوجهك. يمكنك إعادة تعيين كلمة مرور بعد تسربها. لا يمكنك إعادة تعيين وجهك.

تتجاوز هذه المسؤولية تحديد ما إذا كانت الوثيقة تبدو أصلية أو ما إذا كان الشخص موجودًا. وهي تشمل الخدمات التي تعالج الطلب، والأذونات المتعلقة بالبيانات، والأشخاص الذين يديرون النظام. لا يمكن لفحص قوي في بداية الرحلة أن يعوض عن نقطة ضعف في مكان آخر.

لهذا السبب نريد تحدي افتراضاتنا بينما لا تزال لدينا الفرصة للتصرف بناءً على ما نجده.

ما نطلبه بالفعل من الوكلاء القيام به

يبدأ الاختبار العادي بنتيجة متوقعة. يبدأ الاختبار العدائي بهدف من المفترض أن يمنعه النظام.

بالنسبة للتحقق من الهوية، قد يعني ذلك قبول مستند مزور أو محاولة تمرير وجه مسجل كشخص حاضر. قد يعني ذلك فحص كيفية استجابة النظام عندما يتحرك عميل آلي عبر تدفق بطريقة غير متوقعة.

يمكن للوكيل فحص الشفرة، والتفاعل مع سير العمل، وتعديل محاولته التالية بناءً على الاستجابة. وهذا يمنحنا طريقة مفيدة لاستكشاف الافتراضات التي قد تفوتها مجموعة ثابتة من حالات الاختبار.

في اللقطات المصاحبة، يقوم الوكلاء بتحميل مستندات نموذجية، وتوفير تغذيات كاميرا اصطناعية، والعمل من خلال خطوات التحقق في بيئة الاختبار. تتراجع الكاميرا من شاشة واحدة إلى جدار من تلك التسجيلات حتى تتمكن من رؤية نطاق النشاط.

للحصول على معلومات أساسية حول الوسائط المتلاعب بها، راجع دليلنا لهجمات واكتشاف التزييف العميق.

الجدار هو تصور للعمل. لا يزال يتعين التحقق من كل نتيجة مقابل الأدلة الأساسية. قول الوكيل إنه وجد تجاوزًا لا يجعله كذلك.

يشمل نهجنا النماذج الرائدة والنماذج المفتوحة مع قيود أقل على المهام التي ستحاولها. نريد تغطية مفيدة للسلوك العدائي، بما في ذلك المحاولات التي قد يرفض النموذج استكشافها بخلاف ذلك. استعداد النموذج لمحاولة هجوم لا يقول شيئًا عن ما إذا كان هذا الهجوم قد نجح. هذا سؤال هندسي يجب علينا التحقق منه.

كيف يساعدنا العمل على فهم الروبوتات

تخبرنا الوثيقة وصورة السيلفي جزءًا من القصة. يمكن أن تضيف طريقة حدوث التحقق سياقًا.

نستخدم هذه التمارين للمساعدة في اكتشاف الروبوتات التي تقوم بالتحقق ولتعلم المزيد عن سلوك الروبوتات. إن تشغيل الأتمتة بأنفسنا يمنحنا أمثلة يمكننا دراستها ومقارنتها وتحديها مع تغير الأتمتة.

يمكننا فحص المكان الذي تتوقف فيه المحاولة الآلية، وماذا تكرره بعد الخطأ، وما إذا كانت تتبع نفس التسلسل في كل مرة. يمكننا أيضًا النظر فيما إذا كان هذا السلوك يتناسب مع سياق الجهاز والجلسة. تساعد هذه المقارنات في جعل التحقيق أكثر تحديدًا.

هذه أسئلة للتحقيق، وليست قواعد تثبت الاحتيال بمفردها. قد يعرف المستخدم السريع ببساطة ما يجب فعله. قد يكون لدى الشخص الذي يعيد المحاولة عدة مرات إضاءة سيئة أو اتصال غير موثوق به. قد يتفاعل شخص يستخدم تقنية مساعدة بشكل مختلف عن النمط الذي توقعه المصمم.

يجب أن يأخذ الكشف المفيد عن الروبوتات في الاعتبار هذا التباين. يجب مراعاة التوقيت والتكرار وسياق الجهاز جنبًا إلى جنب مع أدلة التحقق. إن معاملة إجراء واحد غير عادي كدليل على إساءة الاستخدام سيجعل التجربة أسوأ للأشخاص الحقيقيين.

نفس العمل يعلمنا أين يواجه الناس صعوبات

تساعدنا دراسة السلوك أيضًا على طرح أسئلة أفضل حول المنتج. يمكن أن تشير إعادة المحاولة إلى هجوم، ولكنها يمكن أن تشير أيضًا إلى تعليمات كان من الصعب فهمها. قد يعني خطوة الكاميرا المهجورة أن المستخدم لم يتمكن من منح الإذن. قد يعكس الالتقاط الفاشل وهجًا، أو مستندًا تالفًا، أو جهازًا يحتاج إلى نهج مختلف.

يتيح لنا الاختبار الآلي استكشاف كيفية استجابة التدفق لهذه المواقف. يتطلب فهم ما يواجهه الأشخاص الحقيقيون النظر في سلوك المستخدم أيضًا. لا يمكن لأحدهما أن يحل محل الآخر.

معًا، يساعداننا على فصل التحكم الذي يقوم بعمل مفيد عن الاحتكاك الذي يستحق التحقيق. الهدف هو جعل إساءة الاستخدام أكثر صعوبة مع مساعدة المستخدمين الشرعيين على إكمال التحقق بتعليمات واضحة ومسار معقول للتعافي عند حدوث خطأ ما.

يجب أن يغير الاكتشاف شيئًا

قيمة التمرين هي ما يحدث بعد المحاولة.

تحتاج نقطة الضعف المشتبه بها إلى حالة قابلة للتكرار. يحتاج المهندس إلى فهم التحكم الذي كان متورطًا وما إذا كانت الأدلة تدعم الادعاء. إذا كانت هناك حاجة إلى إصلاح، فيجب تشغيل المحاولة الأصلية مرة أخرى مقابل التغيير.

نحتاج أيضًا إلى التحقق مما يفعله هذا التغيير للمستخدمين الشرعيين. التحكم الذي يرفض المزيد من الهجمات عن طريق رفض المزيد من الأشخاص قد خلق مشكلة أخرى يجب حلها.

هذا هو الانضباط الذي نريد أن يدعمه هذا العمل: المحاولة، الملاحظة، التحقيق، التحسين، والاختبار مرة أخرى. تُظهر الصورة المتحركة المحاولات. العمل وراءها هو ما يهم.

يمكن اختراقنا أيضًا

يمكن اختراق أي شخص، بما في ذلك نحن. الاختبار المستمر لا يزيل هذا الاحتمال. إنه يمنحنا المزيد من الفرص لاكتشاف نقطة ضعف والقيام بشيء حيالها.

نحن نبني بنية تحتية للتحقق من الهوية ومنع الاحتيال لأننا نعتقد أنه يجب أن يكون الناس قادرين على إثبات هويتهم عبر الإنترنت بثقة. تعتمد رؤيتنا لإضفاء الطابع الإنساني على الإنترنت في عصر الذكاء الاصطناعي على كسب هذه الثقة في الممارسة العملية.

وهذا يعني فهم كيفية تصرف المهاجمين، والانتباه إلى الأماكن التي يواجه فيها المستخدمون الحقيقيون صعوبات، والصدق بشأن ما يمكن أن تخبرنا به أدلتنا.

دعوة للقادة التقنيين في صناعتنا

المخاطر السيبرانية منهجية في التحقق من الهوية. نحن نعتمد على الخدمات المتصلة، والتكاملات، والأشخاص، والثقة المعرضة للخطر تتجاوز أي مزود واحد. يمكن أن يضر الفشل في شركة واحدة الأفراد ويضعف الثقة في جميع أنحاء الصناعة.

إذا كنت رئيسًا تنفيذيًا للتكنولوجيا، أو قائدًا هندسيًا، أو قائدًا أمنيًا في هذه الصناعة، فإننا نشجعك على أخذ هذه المسؤولية على محمل الجد. امنح أعمال الأمان مالكين واضحين، ووقتًا، وميزانية. تحدَّ تدفق التحقق، والأنظمة التي تتعامل مع بيانات الهوية، والوصول الذي يتمتع به الأشخاص، والاستجابة التي سيقدمها فريقك لحادث. أعد النظر في هذه الافتراضات مع تغير التكنولوجيا والهجمات.

يجب أن يكون تقرير الأسبوع الماضي بمثابة دعوة للاستعداد. يجب أن نستخدمه لتعزيز دفاعاتنا، ومشاركة الدروس الدفاعية المفيدة بمسؤولية، والتصرف بناءً على نقاط الضعف التي تم التحقق منها. الانتظار حتى تتأثر شركتنا يجعل هذا العمل متأخرًا جدًا.

نحن ندرج أنفسنا في هذه المسؤولية. يمكن اختراقنا أيضًا، ونحن بحاجة إلى الاستمرار في كسب الثقة التي يضعها الناس فينا.

صناعتنا بحاجة إلى الارتقاء. الناس يثقون بنا بهويتهم. نحن مدينون لهم بالعمل.

الأسئلة المتكررة

ماذا يتضمن اختبار الاختراق بالذكاء الاصطناعي في Didit؟

نمنح وكلاء الذكاء الاصطناعي إمكانية الوصول إلى شفرة المصدر الخاصة بنا وبيئة اختبار، ثم نطلب منهم تحدي فحوصات التحقق. تتضمن الأمثلة في هذه المقالة مستندات نموذجية مزورة، وتغذيات كاميرا اصطناعية، ورحلات آلية. لا يزال المهندسون بحاجة إلى التحقق من نتيجة كل نقطة ضعف مشتبه بها.

كيف يساعد هذا في اكتشاف الروبوتات التي تقوم بالتحقق؟

إن تشغيل الأتمتة بأنفسنا يخلق أمثلة لسلوك الروبوتات لدراستها. يساعدنا على فحص التسلسلات، وإعادة المحاولة، والسياق جنبًا إلى جنب مع أدلة التحقق. لا تثبت إشارة سلوكية واحدة أن المستخدم روبوت أو أن الاحتيال قد حدث.

هل تثبت الصورة المتحركة أن Didit يوقف كل هجوم؟

لا. الصورة المتحركة عبارة عن تركيب من تسجيلات بيئة الاختبار مع شاشات متكررة. إنها توضح عملية الاختبار، وليس معيارًا للكشف أو وعدًا بأن كل هجوم سيفشل.

هل يمكن لهذا العمل تحسين التجربة للمستخدمين الحقيقيين؟

نعم، يمكن أن يساعدنا في التحقيق في الأماكن التي يصبح فيها تدفق التحقق صعبًا. لا يزال يتعين علينا مراعاة سلوك المستخدم الحقيقي جنبًا إلى جنب مع الاختبار الآلي، حتى نتمكن من التمييز بين ضوابط الأمان المفيدة والمشكلات مثل التعليمات غير الواضحة أو صعوبة الوصول إلى الكاميرا.

إذا كنت تبني رحلة تحقق، فاستكشف تحقق المستخدم من Didit واقرأ وثائق الحيوية. يمكنك أيضًا الاطلاع على الأسعار أو البدء مجانًا.