فارون بادوار، المؤسس والرئيس التنفيذي لشركة Endor Labs – سلسلة المقابلات

فارون بادوار، المؤسس والرئيس التنفيذي لشركة Endor Labs، هو رائد أعمال في مجال الأمن السيبراني يتمتع بخبرة في بناء وتطوير شركات في طليعة أمان السحابة وتطبيقاتها. منذ عام 2021، كان على رأس شركة Endor Labs، التي تركز على تأمين تطوير البرمجيات الذي يقوده الذكاء الاصطناعي. في السابق، كان نائب الرئيس والرئيس التنفيذي لشركة Prisma Cloud في شركة Palo Alto Networks (PANW ) ومؤسس شركة RedLock، وهي شركة أمن السحابة التي تم الاستحواذ عليها من قبل شركة Palo Alto Networks.

شركة Endor Labs هي منصة أمان للتطبيقات تم بناؤها لعصر الذكاء الاصطناعي، مصممة لمساعدة فرق الهندسة والأمان على تحقيق التوازن بين السرعة والأمان في تطوير البرمجيات. تدمج المنصة ميزات مثل تحليل تركيبة البرمجيات القائمة على الوصول، واختبار الأمان الساكن، وفحص الحاويات، وكشف الأسرار، وحماية خطوط أنابيب CI/CD في عرض موحد، مما يساعد الفرق على تحديد الأخطار التي تهم حقًا وتحديد الأولويات للتصحيحات. كما تتضمن وكلاء ذكاء اصطناعي يفحصون الطلبات السحابية للتغييرات المعمارية ويكشفون المخاطر في كود الذكاء الاصطناعي المُنشأ في وقت مبكر من دورة حياة التطوير.

في السابق، قمت ببناء وتوسيع مشاريع أمنية رئيسية — كيف أدت تلك الخبرات إلى تأسيس شركة Endor Labs، وما هو المشكل الذي كنت أكثر تحديدًا لحله في البداية؟

في عام 2021، كنت في شركة Palo Alto Networks عندما حدثت انتهاك SolarWinds (SWI ). كان ذلك كبيرًا. كل عميل يستخدم برنامجهم كان متأثرًا، وكنا استثناءً. عندما قمت بتحليل كيف كنا ندير برامجنا الخاصة، أدركت أننا لدينا 450 مهندسًا و68,000 خلل أمني، ومع ذلك، كان المهندسون ي忽نون معظمهم. السبب؟ حوالي 80-90% من التنبيهات كانت إيجابيات كاذبة، والأدوات التقليدية لم تفهم كيف يعمل المطورون في الواقع.

في ذلك الوقت، أدركت أن التطوير الحديث للبرمجيات يشبه التجميع أكثر من الإنشاء. نحن نشحن كودًا يتكون في الغالب من مكتبات طرف ثالث، دون أي ضمانات حول الجودة أو الأمان. رأيت الفجوة بين فرق الأمان والمهندسين، والديناميات العدائية، والاحتكاك السياسي. كنت أعرف أننا بحاجة إلى إعادة التفكير في أمان التطبيقات من الأساس، مما أدى إلى تأسيس شركة Endor Labs.

تُحمي شركة Endor Labs الآن ملايين التطبيقات لمنظمات تتراوح من التكنولوجيا المالية إلى منصات السحابة. ما هي الحالات الأكثر شيوعًا التي تريها، ولماذا يلجأ العملاء إليك؟

يلجأ العملاء إلينا لتأمين سلاسل التوريد البرمجية وأنابيب المطورين. يريدون التحقق من الاعتماديات المفتوحة المصدر قبل الإنتاج، وتحديد تلقائيًا للكود ذي الخطر العالي الذي تم إنشاؤه بواسطة الذكاء الاصطناعي، وإدراج الأمان مباشرة في تدفقات العمل للمطورين.

معظم الماسحات الضوئية تطرح فقط الأخطار على المطورين ثم تتركهم. مع ظهور الترميز بالاهتزاز، هذا النهج ببساطة لا يعمل. في شركة Endor، نقدم تحليلًا متأصلًا في السياق وتنبؤات قابلة للتنفيذ، بحيث يمكن لفرق الأمان والهندسة الثقة في بعضها البعض مرة أخرى.

غالبًا ما يواجه المطورون توترًا بين الحركة السريعة والحفاظ على الأمان. كيف تساعد منصتك في معالجة هذا التحدي؟

السرعة مقابل الأمان هو أقدم مأزق في تطوير البرمجيات. أصبح الترميز بالاهتزاز هذا المبادلة أكثر وضوحًا. خمسة وأربعون في المائة من المطورين يستخدمون مساعدي الذكاء الاصطناعي يوميًا، مما يزيد من السرعة ولكن يُدخل أيضًا كودًا غير آمن.

في شركة Endor Labs، ندمج الأمان مباشرة في تدفقات العمل التي يستخدمها المطورون بالفعل. فكر في بيئات التطوير المتكاملة، وطلبات السحب، وأنابيب Git. فلسفتنا بسيطة: الأمان هو مجرد فئة من الأخطاء. عاملها مثل أي خطأ برمجي آخر، وستصبح جزءًا من عملية التطوير الطبيعية بدلاً من كونها فكرة لاحقة. من خلال تقليل الضوضاء وتقديم توجيه واضح، نُمكِّن المطورين من الحركة السريعة مع ضمان أن البرمجيات التي يرسلونها آمنة.

التنبيهات الكاذبة هي واحدة من أكبر نقاط الألم في الأمان. كيف تتعامل مع هذه المشكلة بشكل مختلف؟

التنبيهات الكاذبة ضخمة. رأيت مهندسين ي忽نون تنبيهات مهمة لأنها غير معنية. هذا خطر في عالم حيث الهجمات على الطرف الثالث في نمو مضاعف والاعداء يستغلون الأبواب الجانبية في أنابيب المطورين.

نهجنا هو تحديد الأولوية للسياق. بدلاً من مطابقة كل خلل أمني شائع مع اعتماد، نتحليل مسار الكود، والمنطق التجاري، وحتى التغييرات المعمارية التي تم إنشاؤها بواسطة الذكاء الاصطناعي. كما قمنا بتطوير بروتوكول سياق نموذج خوادم شركة Endor Labs (MCP)، الذي يسمح للوكلاء الذكاء الاصطناعي بالاتصال بأدوات الخلفية لتصحيحات دقيقة بدلاً من تلك التي تم تخيلها. لا يمكن لأدوات أخرى تقديم هذا المستوى من الدقة لأنها تفتقر إلى سياق التطبيق. لا يعرفون ماذا يفعل كودك، أو كيف تتكلم خدماتك مع بعضها البعض، أو ما يبدو مثل تصحيح آمن. النتيجة هي تنبيهات أقل بدون معنى وتوجيه عملي يمكن للمطورين اتخاذه.

يُعتبر سلسلة التوريد البرمجية الآن واحدة من أكبر المخاطر للشركات. لماذا هذا القضية حاسمة اليوم؟

البرمجيات المفتوحة المصدر تسيطر الآن على برمجيات الشركات، وتحول تطوير البرمجيات إلى تجميع برمجي. حوالي 90% من المكونات في التطبيقات الحديثة هي خارجية، ومساعدي الترميز بالذكاء الاصطناعي يُدخلون المزيد من الاعتماديات تلقائيًا. هذا يعني أن خللاً واحدًا يمكن أن ينتشر عبر ملايين التطبيقات.

المراهنة عالية: يُطرح الآن المنظمون البرمجيات المفتوحة المصدر على أنها قضية أمن وطني. والهجمات مثل الهجوم الأخير على Shai-Hulud npm تُظهر كيف يستهدف الأعداء هذه النقاط الضعيفة. بدون الحواجز الصحيحة، الشركات معرضة على نطاق ضخم.

الذكاء الاصطناعي يُغيّر كيفية بناء البرمجيات. ما هي المخاطر الجديدة التي يُخلقها هذا للأمان التطبيقي؟

مساعدي الذكاء الاصطناعي مثل توظيف آلاف من المتدربين في وقت واحد — يمكنهم تعزيز الإنتاجية ولكن أيضًا إدخال الفوضى عند تركهم دون إدارة. تُظهر الدراسات 62% من الكود الذي تم إنشاؤه بواسطة الذكاء الاصطناعي يعاني من مشاكل أمنية أو جودة أو معمارية. بخلاف الأخطار المعروفة، تتضمن هذه الأخطاء أخطاء منطقية، أو نقاط نهاية واجهة برمجة التطبيقات الجديدة، أو أخطاء التشفير التي لم تكن الأدوات التقليدية مصممة لمواجهتها.

التحدي الجديد هو تحقيق مراجعة آمنة للكود. الاعتماد على مهندسين kıdemliين مُثقلين لمراجعة كل طلب سحب يدوياً لا يعمل. تحتاج إلى أنظمة آلية يمكنها مراجعة وتحديد الأولويات وتوجيه المطورين بنفس السرعة التي يُنشئ بها الذكاء الاصطناعي الكود.

يُجادل البعض بأن الذكاء الاصطناعي يُدخل المزيد من الأخطار مما يمنعه. هل ترى أنه خطر صافي أو فائدة صافية في هذه المرحلة؟

يمكن أن يكون كلاهما. الذكاء الاصطناعي رائع للاختبار والبروتوتايب، ولكن المطورون غير المخولين الذين يعتمدون على الذكاء الاصطناعي يمكن أن يخلقوا سيناريو أعمى يقود أعمى. الطريقة لقلب هذه المعادلة هي بمواجهة الذكاء الاصطناعي مع حواجز أمنية. مع وجود أنظمة المراجعة الصحيحة وتصحيحات MCP في مكانها، يمكنك تحويل الذكاء الاصطناعي من خطر صافي إلى فائدة صافية. بدونها، المخاطر تفوق المكاسب.

مع زيادة شيوع الكود الذي تم إنشاؤه بواسطة الذكاء الاصطناعي، ما هي الحواجز التي يجب على المنظمات وضعها لضمان الثقة في ما ينشئونه؟

عامل الكود الذي تم إنشاؤه بواسطة الذكاء الاصطناعي مثل أي اعتماد طرف ثالث آخر. هذا يعني المراقبة المستمرة، والتحقق الآلي، والحواجز في كل مرحلة من مراحل الأنابيب. كما يجب عليك ضمان أن أدوات مراجعة الذكاء الاصطناعي مدربة على كود آمن عالي الجودة — وليس فقط مستودعات GitHub العشوائية.

واذهب إلى ما هو أبعد من الكشف. عندما يتم وضع اعتماد خطر، يجب أن توصي أدواتك بمسار الترقية الذي ي evit يُؤدي إلى كسر تطبيقك. هذا هو الفرق بين الفوضى والسيطرة. أحب أن أفكر فيه مثل مسارات الحماية في البولينج: الكرة لا تزال تتحرك بسرعة، ولكنها تبقى على المسار.

الشفافية هي جزء أساسي من أسلوب قيادتك. كيف يؤثر مشاركة الانتصارات والانكسارات على الثقافة والأداء؟

نستهدف الشفافية الراديكالية في شركة Endor Labs. هذا يعني مشاركة كل من الخير والشر — وليس فقط أداء الشركة، ولكن أيضًا أشياء مثل خطط الأسهم والمخاطر الاستراتيجية. الموظفون بالغون. فريقنا يمكنه التعامل مع الواقع. كونك مفتوحًا يبني الثقة، والانخراط، والملكية، ويساعد الناس على اتخاذ قرارات أفضل.

غالبًا ما تمنح قادة صاعدين مسؤوليات كبيرة في بداية مسيرتهم. ما النصيحة التي تقدمها للمديرين الجدد الذين يتحملون مسؤوليات كبيرة؟

أحب أن أمنح أعضاء الفريق الواعد أدوارًا كبيرة في وقت مبكر وأثق بهم في النمو في المنصب. مع التوجيه والدعم، يتعلمون بسرعة. نصيحتي: اعتنق المسؤولية، وتعلم من الأخطاء، وابني السمعة من خلال العمل. الناس غالبًا ما يفاجئونك بما يمكنهم إنجازه عندما تمنحهم الفرصة.

فيما يخص النظر إلى الأمام لخمس سنوات، ما هي أكبر الفرص والتحديات في تأمين سلسلة التوريد البرمجية؟

مع مساعدي الترميز بالذكاء الاصطناعي والمطورين المواطنين الذين يُغيّرون سير العمل، سنحتاج إلى أنظمة تعمل مثل “شريك برمجي أمني” الذي يُ审 كل طلب سحب في الوقت الفعلي، ومراجعة كود آمنة، واعطاء المطورين سياقًا يمكنهم الثقة به. هذا هو السبب في أننا بنينا في شركة Endor Labs خادم MCP وهندسة متعددة الوكلاء، والتي تساعد بالفعل العملاء على مواكبة التطوير الأصلي للذكاء الاصطناعي.

التحدي هو أن سلسلة التوريد نفسها تصبح أكثر تعقيدًا. اليوم، يتم تجميع الكود في الغالب من مكونات خارجية، وكل أداة ذكاء اصطناعي جديدة تُدخل طبقة أخرى من الاعتماد. الشركات التي لا تعيد التفكير في نماذجها ستجد نفسها معرضة.

نرى هذا الضرورة يتحقق في الوقت الفعلي — شركة Endor Labs تحمي الآن أكثر من 7 ملايين تطبيق، وتمسح 1.6 مليون طلب سحب في الشهر، وتقلل الضوضاء بأكثر من 90% لفرق الهندسة. في غضون خمس سنوات من الآن، المنظمات التي تبرز إلى العلن هي تلك التي تعامل الأمان البرمجي كجزء أساسي من إنتاجية المطور.

شكرًا على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا شركة Endor Labs.