مقابلات
ديفيد ميتون، الرئيس التنفيذي لشركة Arcjet – سلسلة المقابلات
أضف Unite.AI إلى مصادرك المفضلة على Google
ديفيد ميتون، مؤسس ورئيس شركة Arcjet، يترأس شركة أمن التطوير التي تساعد الفرق على دمج حماية قوية مثل الكشف عن البوتات وضبط معدل الاستجابة وتحقق البريد الإلكتروني وتخفيف الهجمات وحذف البيانات مباشرة في كود التطبيق، بعد أن تولى المنصب في يونيو 2023. كما شارك في تأسيس Console، وهي نشرة وبرنامج بودكاست مشهور في مجال أدوات التطوير، وشغل مناصب استشارية مثل خبير في Seedcamp، وقام بتشغيل هندسة المنتج في StackPath بعد أن تم الاستحواذ على شركته لمراقبة السحابة، مع الحفاظ على اهتمام قوي بالحوسبة المستدامة والكتابة النشطة عن مواضيع التكنولوجيا.
Arcjet مبنية حول فلسفة “الأمان في الكود” التي تسمح للمطورين بحماية التطبيقات باستخدام تكاملات SDK بسيطة، ووضع منطق الأمان جنبًا إلى جنب مع منطق الأعمال من أجل اتخاذ قرارات واعية السياق وذات تأخير منخفض، وإلغاء الحاجة إلى بنية تحتية منفصلة؛ تدعم المنصة حماية مثل حظر البوتات وضبط معدل الاستجابة وتصفية البيانات الحساسة، وتستمر في التطور بميزات مثل نموذج أمان ذكاء اصطناعي محلي ودعم إطار عمل موسع، مما يعكس مهمتها في جعل أمان الكود الافتراضي للتطبيقات الحديثة. (fly.io)
لقد أسست Server Density في وقت كانت فيه تشغيل البنية التحتية بمستوى أقل من التقييس مقارنة باليوم، وفي النهاية نمت الشركة وبيعت. عند النظر إلى الوراء، ما هي أهم الدروس التي تعلمتها حول بناء المنتجات للمطورين وتشغيل الأنظمة الإنتاجية، وكيف شكلت تلك التجربة طريقة تفكيرك حول البرمجيات اليوم؟
معظم أدوات المطورين تفوز بالعرض وتخسر الإنتاج. الحصول على مطور لاستخدام أي شيء جديد أمر صعب، لذلك يجب أن يكون “البدء السريع” خاليًا من العوائق – ولكن ذلك هو الحد الأدنى. وضع الفشل الحقيقي هو ما يحدث بعد “يعمل”： يصبح المنتج مقيدًا بدرجة أن الفرق الجادة تُثار بسرعة وتزيله.
ذلك هو السبب في أن أمان التطبيقات في كود Arcjet مصمم ل thựcيتين： تحتاج إلى حل فوري لمخالفة التسجيل والاحتيال والهجمات التي يشنها البوتات وإساءة استخدام واجهة برمجة التطبيقات، إلخ، وتحتاج أيضًا إلى مخرج إلى تحكم متقدم – حصة لكل مستخدم، وقواعد تستند إلى المخاطر، و قرارات واعية السياق – دون إعادة كتابة كل شيء.
المنتج ليس الواجهة. المنتج هو سلوك وقت التشغيل، والحالات الحدية، والأمثلة، ووثائق المرجع التي يمكن للمطورين الوثوق بها.
خارج هذه التجربة، ما الذي دفعك إلى إنشاء Arcjet، ولماذا شعرت أن التحول التالي الكبير في أمان التطبيقات يحتاج إلى حدوثه داخل الكود نفسه بدلاً من طبقة الشبكة أو البنية التحتية؟
أمان الحدود يُحسّن الشيء الخطأ. المطورون يبنون ويشحنون في الكود، وليس في لوحات التحكم – ووكلاء الترميز بالذكاء الاصطناعي لن “ينقر حول” لوحة تحكم أمان لحماية تطبيق.
إذا لم تكن حمايتك يمكن أن تعبر عنها ككود، ومراجعتها في طلب سحب، واختبارها في CI، وتنفيذها جنبًا إلى جنب مع التطبيق، فهي ليست “أمانًا أولًا للمطورين”.
توجد Arcjet لأن الأمان ينتمي إلى طبقة التطبيق： خاضعة للإصدار، ويمكن اختبارها، ومراقبتها، وقريبة من منطق الأعمال حيث يعيش الفعل الحقيقي.
تضمن Arcjet الكشف عن التهديدات القائمة على الذكاء الاصطناعي مباشرة في معالجات طلبات التطبيق. من منظور تقني، ما هي المزايا التي توفرها هذه المقاربة المحلية في الكود مقارنة بأدوات الأمان التقليدية القائمة على الحدود؟
داخل معالج الطلب لديك الهوية، وحالة الجلسة، وتاريخ الشراء، وعمر الحساب، وأعلام الميزة، وحقيقة قاعدة البيانات. يمكنك اتخاذ قرار مثل： “هذا يبدو غريبًا، لكنه عميل مخلص – قم بزيادة التحقق بدلاً من الحظر.” لا يمكن لموكلي الشبكة القيام بذلك لأنها لا تعرف ما هو “العميل”.
الهدف ليس الحظر الأقصى. الهدف هو تقليل الإيجابيات الكاذبة بأمان واعي السياق لأن أكثر الأخطاء الأمانية تكلفة هي حظر عملية دفع شرعية أو قفل مستخدم حقيقي.
لقد غير الذكاء الاصطناعي بشكل كبير اقتصاد الإساءة، من حشو البوتات وتسجيل الدخول الإلكتروني إلى استغلال واجهة برمجة التطبيقات التلقائي. ما هي أنواع الهجمات التي تريها أكثر في الإنتاج اليوم، وكيف تتطور مع تبني المهاجمين أنظمة الذكاء الاصطناعي الأكثر تقدمًا؟
الرعاية الصحية الذكية تعزز الإنتاجية للمهاجمين أيضًا! التحول الكبير هو حجم وسرعة التكرار： المزيد من حشو الأسماء، والمزيد من تسجيل الدخول الإلكتروني الآلي، والمزيد من حشو البوتات، والمزيد من استكشاف واجهة برمجة التطبيقات، وأسرع “تسلح” لثغرات جديدة.
نحن نرى أيضًا المهاجمين يديرون حلقات تغذية راجعة أكثر ضيقًا： يختبرون الدفاعات، ويتكيفون مع الإشارات والحمولات، ويدورون البنية التحتية، ويستمرون حتى يدخلوا. إنه حاليًا كل شيء حول السرعة بدلاً من التطور.
لا يزال هناك عدد قليل من الناس يتبعون أفضل الممارسات مثل استخدام مدير كلمات المرور، وتنفيذ مصادقة ثنائية مع بيانات مصادقة مقاومة للغش مثل Passkeys أو مفاتيح الأجهزة، وحدوث التبعيات. مع زيادة حجم الهجمات، سوف يصبح ذلك أكثر وأكثر أهمية.
إحدى أكبر التوترات في الأمان هي حماية التطبيقات دون تبطئ التطوير. كيف تمكنت الفرق التي تستخدم Arcjet من دمج الأمان في سير العمل مع الحفاظ على دورات إصدار سريعة؟
يعمل Arcjet في أي بيئة، بما في ذلك بيئة الترميز على جهاز الكمبيوتر المحمول. هذا يعني أن المطورين يمكنهم اختباره دون حتى نشره إلى الإنتاج. هذا هو ميزة كبيرة لأنك يمكنك التحقق منه وبرهنه دون الحاجة إلى صلاحيات خاصة وبدون مخاطر التأثير على الإنتاج. هذا يحل المشكلة الكلاسيكية لأمان الفرق التي تجبر المطورين على تبني أدوات تؤثر على قدرتهم على إنجاز عملهم.
حصلت Arcjet على زخم مبكر مع المنتجات الأصلية بالذكاء الاصطناعي ومنصات التجارة الإلكترونية. ما الذي يجعل هذه البيئات أكثر عرضة للهجمات الآلية الحديثة، ولماذا تفتقر الدفاعات التقليدية إلى الفشل؟
تشارك هذه الفئتان في تشابه حيث أن كل طلب إساءة له تكلفة مباشرة.
تدفع المنتجات القائمة على الذكاء الاصطناعي مقابل الرموز والاستدلال – ويحول المهاجمون هامشك إلى ملعبهم من خلال حشو البوتات والتلقين الآلي وزراعة الطرف المجاني. تدفع منصات التجارة الإلكترونية مقابل الغش، والاسترداد، وإساءة استخدام المخزون، واختراق الحساب. وكلاهما حساس للغاية من الإيجابيات الكاذبة لأن حظر مستخدم حقيقي يُعد خسارة إيرادات.
تُحمي الدفاعات التقليدية في الغالب النطاق الترددي والبنية التحتية. يستهدف المهاجمون الحديثون منطق الأعمال： تدفقات التسجيل، وتدفقات الدفع، و منطق الترويج، و استعادة الحساب، ونقاط نهاية واجهة برمجة التطبيقات. هذا هو السبب في أن التحكمات المحيطية العامة و “حلها باستخدام CAPTCHA” تفتقر بشكل متزايد.
يأتي بناء برمجيات الأمان مع تبادلات مختلفة تمامًا عن مراقبة أو رصد. ما الذي أ驚ك أكثر حول تطوير منتج أمان مقارنة بتجربتك السابقة مع أدوات البنية التحتية؟
مع مراقبة، يثق العملاء في توافرك. مع الأمان، يثق العملاء في أمانك وعدم أن تصبح استغلال سلسلة التوريد الجديد.
بناء منتج أمان يعني تشغيل شركة أمان. نستخدم إطارات مثل SOC 2، ونقلل من التبعيات الخارجية، ونعامل أجهزة المطورين وصولاً إلى الأدوات كأصول إنتاج. هذا يعني الكثير من المراقبة والتفاعلات السريعة مع المشاكل المحتملة.
كما تعتمد التطبيقات بشكل متزايد على وكلاء الذكاء الاصطناعي الذين يتصرفون نيابة عن المستخدمين، كيف يجب على المطورين إعادة التفكير في مفاهيم الهوية والنية والثقة على مستوى التطبيق؟
عندما يتصرف وكلاء الذكاء الاصطناعي نيابة عن المستخدمين، تتوقف الهوية عن كونها حالة تسجيل ثنائية وتصبح مشكلة تفويض： من يتصرف، نيابة عن من، بالصلاحيات، لمدة، وبالمعايير.
يجب على المطورين التحول إلى التحقق المستمر： عامل كل طلب كقرار ثقة جديد قائم على السياق – تاريخ المستخدم، وإشارات الجهاز، وسلوك الجلسة، ومخاطر الإجراء. “النية” تُستفاد من السلوك بمرور الوقت، وليس المطالبة في الترويسات.
هذا يعني بناء لحظات التدرج (التحقق، وضبط معدل الاستجابة، والاحتكاك) حول إجراءات عالية المخاطر مثل إعادة تعيين كلمة المرور، والدفع، وإنشاء الرموز – وجعل تلك التحكمات تعيش في الكود، حيث يمكن للتطبيق التمييز بين عميل مخلص و بوت مسروق.
إذا نظرنا إلى الأمام، كيف ترى دور أمان التطبيقات في الكود واعي السياق يتطور على مدار السنوات القليلة القادمة مع استمرار نمو حركة المرور التي يولدها الذكاء الاصطناعي؟
أدوات الحدود لن تختفي – ولكنها ستكون المرشح الخشن للأشياء التي تتعامل معها بشكل أفضل في الشبكة مثل هجمات الحرمان من الخدمة. ستحدث القرارات الدقيقة داخل التطبيق، باستخدام سياق حقيقي.
إذا أصبح الأمان المدمج نموذجًا افتراضيًا للتطبيقات الحديثة، ما الذي يعنيه هذا التحول لطريقة اختبار المطورين ونشر الأمان في الأنظمة الإنتاجية واعتبارها؟
إذا أصبح الأمان المدمج معيارًا، ستختبر الفرق إساءة الاستخدام بنفس الطريقة التي تختبر بها الصوابية： اختبارات أمان الوحدة، و симуляشنات الهجوم القابل للتشغيل، واختبارات CI لنقاط النهاية الخطرة.
التغيير الأكبر هو أن وكلاء الترميز بالذكاء الاصطناعي سيطبقون الأمان ككود، وليس كتكوين لوحة تحكم. يمكن للوكلاء فقط اقتراح ومراجعة وتحقق من الحماية بشكل موثوق عندما تعيش التحكمات في المستودع： السياسات، والقواعد، والاختبارات، والآليات. إذا كانت “طبقة الأمان” واجهة ويب، لا يمكن للوكيل اختبار التغييرات لنشرها بأمان.
هذا هو السبب الحقيقي في أن “الأمان في الكود” يفوز – إنه يتناسب مع كيفية بناء البرمجيات الحديثة (وبناء التطوير بمساعدة الذكاء الاصطناعي) بشكل حقيقي.
شكرًا على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا Arcjet.
