Cloudflare sfida i bot pirata con l'AI: arriva Adaptive Intelligence

Ogni giorno, Cloudflare filtra oltre mille miliardi di richieste in tutto il mondo, e buona parte di esse nasconde bot determinati a passare tra le maglie della rete. Ecco perché l’azienda ha presentato ufficialmente, Adaptive Intelligence, un motore di rilevamento dei bot alimentato dall’intelligenza artificiale e integrato nel suo servizio Bot Management.

A differenza dei sistemi di sicurezza classici, congelati tra un aggiornamento e l’altro, questa tecnologia si riaddestra continuamente sul traffico reale per seguire l’evoluzione degli attacchi informatici automatizzati. Un cambio di strategia che Cloudflare assume pienamente, anche a costo di ammettere che nessun muro potrà mai fermare un attaccante sufficientemente determinato.

I bot malevoli sono sempre in vantaggio sulle difese tradizionali

La guerra è parsa a lungo persa in partenza per i team di sicurezza, persino per quelli di Cloudflare, piuttosto rinomati per la loro competenza in materia. Un hacker può moltiplicare i tentativi a basso costo, cambiare indirizzo IP, fabbricarsi una nuova identità digitale e ricominciare tutte le volte che serve, senza mai davvero affannarsi. Chi deve difendersi, invece, è costretto a verificare ogni modifica con cura per non bloccare mai un vero cliente per errore. Di conseguenza, gli strumenti tradizionali vengono distribuiti con aggiornamenti distanziati, talvolta di diverse settimane, mentre agli aggressori bastano poche ore per cambiare metodo.

Alcuni gruppi fanno il diavolo a quattro per confondersi nel traffico normale. Appoggiandosi a vaste reti di proxy residenziali, distribuiscono le proprie richieste su un gran numero di indirizzi diversi, cambiano firma a ogni passaggio e avanzano lentamente, senza mai avere fretta, in un modulo di accesso o in un tunnel di pagamento. Presa singolarmente, ogni richiesta somiglia a quella di un visitatore comune. Ed è proprio questa dispersione paziente e metodica a rendere l’attacco difficile da individuare, perché nessun indirizzo, considerato isolatamente, supera mai la soglia che farebbe scattare l’allarme.

Il problema di fondo, secondo Cloudflare, risiede nella natura stessa delle difese attuali. Sono dette deterministiche, vale a dire che uno stesso dato produce sempre la stessa risposta. Un attaccante paziente finisce quindi per mappare i limiti del sistema a forza di tentativi successivi, un po’ come si cercherebbe la combinazione di una cassaforte per eliminazione. Alcuni gruppi hanno persino messo a punto strumenti per semi-automatizzare questo lavoro di logoramento, pensate un po’! L’azienda americana dice che la questione non è più sapere se un hacker determinato finirà per passare, ma cosa succede una volta che ci è riuscito. La partita sembra segnata in partenza, Cloudflare lo riconosce, ma è al tempo stesso ciò che ha spinto la società a rivedere completamente il proprio approccio.

Adaptive Intelligence, un’AI che non smette mai di imparare

Il nuovo tassello di Cloudflare, battezzato Adaptive Intelligence, si inserisce dietro il famoso “bot score” dell’azienda, quel punteggio che valuta la probabilità che una richiesta provenga da una macchina piuttosto che da un essere umano, incrociando segnali come l’impronta di connessione JA4 (una sorta di carta d’identità tecnica che ogni dispositivo lascia suo malgrado al momento della connessione), test JavaScript, la reputazione della rete di origine o ancora il comportamento di sessione. La sua particolarità è che il modello di machine learning non si limita più a una versione statica aggiornata di tanto in tanto. Si riaddestra in continuo sul traffico reale, capace di integrare un nuovo strumento di aggiramento nella stessa settimana della sua comparsa, senza attendere una qualsiasi pubblicazione pianificata.

Il secondo pilastro è ancora in preparazione e riguarda le regole di blocco usa e getta. In concreto, invece di installare una protezione fissa, Cloudflare crea una regola mirata per bloccare un attacco preciso, la lascia attiva per un certo periodo, poi la ritira a un intervallo casuale per sostituirla con un’altra. Non c’è bisogno che sia perfetta o indistruttibile: deve solo reggere abbastanza a lungo da rallentare l’hacker. Il tempo che questi capisca come aggirarla, è già scomparsa, rimpiazzata da una nuova regola che dovrà studiare di nuovo da zero.

Tutto il lavoro di ingegneria appena svolto finisce quindi direttamente nel cestino. Ma attenzione, ritirare una regola non significa dimenticarla. Il sistema conserva in memoria gli attacchi già incontrati, anche una volta disattivate le relative regole. Un hacker non può quindi sperare di ripartire da zero semplicemente cambiando indirizzo o strumento. Se il suo attacco somiglia, anche lontanamente, a una minaccia già incrociata in passato, Cloudflare la riconosce immediatamente.

Infine, il sistema impara anche da ciò che protegge. Quando un cliente segnala che un visitatore legittimo è stato bloccato per errore, questa correzione diventa un dato di addestramento a tutti gli effetti. Col tempo, il motore affina la propria comprensione delle minacce realmente incontrate dai clienti di Cloudflare, anziché basarsi su una fotografia statica di un panorama di minacce informatiche che, dal canto suo, non smette mai di evolversi.

Una difesa informatica che si mette alla prova prima di passare in prima linea

Nel dettaglio, il motore gira a ciclo continuo, seguendo il modello “osservare, addestrare, distribuire, validare”. Aggrega diversi tipi di segnali, dalle impronte di connessione ai comportamenti di sessione, prima di generare un nuovo modello candidato. Ma nulla viene messo in produzione a caso, poiché ogni nuova versione gira prima in modalità silenziosa, in parallelo al modello esistente, e i suoi risultati vengono confrontati prima di qualsiasi passaggio. Se penalizza i veri visitatori, non vede mai la luce.

L’analisi avviene peraltro su più finestre temporali contemporaneamente: una breve per individuare un picco improvviso, una più lunga per rilevare un comportamento ripetuto su migliaia di indirizzi che, in apparenza, non hanno alcun motivo di agire di concerto. Ogni candidato è giudicato sulla sua precisione, e il team mantiene la possibilità di mettere in pausa o annullare un rilascio prima che raggiunga l’intera rete.

Adaptive Intelligence va ad affiancare Precursor, un altro strumento di Cloudflare svelato il mese scorso, che osserva il comportamento di un visitatore una volta arrivato nel browser. Quest’ultimo analizza il ritmo delle sue azioni, i suoi movimenti, insomma tutti quei piccoli segnali umani che un bot fatica ancora a riprodurre fedelmente. Insieme, i due tasselli si rafforzano reciprocamente e complicano seriamente il compito degli aggressori più determinati.

Come sfruttare Adaptive Intelligence

Per i clienti Enterprise di Cloudflare, l’attivazione si riduce a un pulsante, “Auto Update Machine Learning“, nella dashboard di Bot Management. Non è necessaria alcuna migrazione né alcuna configurazione aggiuntiva: il bot score già in uso continua a funzionare normalmente. Un modo, per l’azienda, di affermare che nessun muro reggerà in eterno di fronte a un hacker motivato, ma che gli si può almeno far perdere tempo, e soprattutto denaro, una scommessa che fa eco alle recenti preoccupazioni di diversi colossi del settore sulla capacità delle difese attuali di reggere di fronte ad attacchi sempre più rapidi.