Ian Riopel, generální ředitel a spoluzakladatel společnosti Root.io – Série rozhovorů

Ian Riopel, generální ředitel a spoluzakladatel společnosti Root.io, vede misi společnosti, kterou je zabezpečení dodavatelského řetězce softwaru pomocí cloudových řešení. S více než 15 lety zkušeností v oblasti technologií a kybernetické bezpečnosti zastával vedoucí pozice ve společnostech Slim.AI a FXP, kde se zaměřoval na podnikový prodej, strategii uvádění na trh a růst veřejného sektoru. Je držitelem titulu ACE z MIT Sloan a absolventem Zpravodajské školy americké armády.

Root.io je cloudová bezpečnostní platforma navržená tak, aby pomohla podnikům zabezpečit jejich dodavatelský řetězec softwaru. Automatizací důvěryhodnosti a dodržování předpisů napříč vývojovými kanály umožňuje Root.io rychlejší a spolehlivější dodávky softwaru pro moderní DevOps týmy.

Co inspirovalo založení společnosti Root a jak vznikl nápad na automatizovanou nápravu zranitelností (AVR)?

Root se zrodil z hluboké frustrace, se kterou jsme se opakovaně setkávali na vlastní kůži: organizace věnovaly obrovské množství času a zdrojů hledání zranitelností, které nikdy zcela nezmizely. Triáž se stala jedinou obranou proti rychle narůstajícímu technickému dluhu způsobenému CVE, ale s mírou objevujících se zranitelností už pouhá triáž prostě nestačí.

Jako správci sady Slim Toolkit (dříve DockerSlim) jsme se již hluboce zabývali optimalizací a zabezpečením kontejnerů. Bylo pro nás přirozené se zeptat: Co kdyby se kontejnery mohly proaktivně samy opravovat jako součást standardního životního cyklu vývoje softwaru? Naším řešením byla automatická oprava, nyní známá jako Automated Vulnerability Remediation („AVR“) – přístup, který se nezaměřuje na třídění a vytváření seznamů, ale automaticky je eliminuje přímo ve vašem softwaru, aniž by zaváděl zásadní změny.

Společnost Root byla dříve známá jako Slim.AI – co vedlo k rebrandingu a jak se společnost během této transformace vyvíjela?

Slim.AI začínal jako nástroj, který vývojářům pomáhal minimalizovat a optimalizovat kontejnery. Brzy jsme si ale uvědomili, že se naše technologie vyvinula v něco mnohem účinnějšího: výkonnou platformu schopnou proaktivně zabezpečit software pro produkční prostředí ve velkém měřítku. Rebranding na Root zachycuje tento transformační posun – od nástroje pro optimalizaci vývojářů k robustnímu bezpečnostnímu řešení, které umožňuje jakékoli organizaci splnit přísné bezpečnostní požadavky týkající se open-source softwaru během několika minut. Root ztělesňuje naše poslání: dostat se k jádru softwarového rizika a napravit zranitelnosti dříve, než se z nich stanou incidenty.

Máte tým s hlubokými kořeny v kybernetické bezpečnosti, od společností Cisco, Trustwave a Snyk. Jak vaše kolektivní zkušenosti formovaly DNA společnosti Root?

Náš tým se zabýval vývojem bezpečnostních skenerů, ochranou globálních podniků a návrhem řešení pro některé z nejcitlivějších a nejnáročnějších infrastruktur. Přímo jsme se potýkali s kompromisy mezi rychlostí, zabezpečením a zkušenostmi vývojářů. Tato kolektivní zkušenost zásadně formovala DNA společnosti Root. Jsme posedlí automatizací a integrací – nejen identifikací bezpečnostních problémů, ale jejich rychlým řešením bez vytváření nových třenic. Naše zkušenosti ovlivňují každé rozhodnutí a zajišťují, aby zabezpečení urychlovalo inovace, a ne je zpomalovalo.

Root tvrdí, že opraví zranitelnosti kontejnerů během několika sekund – žádné přestavby, žádné prostoje. Jak vaše technologie AVR ve skutečnosti funguje „pod kapotou“?

AVR pracuje přímo na kontejnerové vrstvě, rychle identifikuje zranitelné balíčky a opravuje je nebo nahrazuje přímo v obrazu systému – bez nutnosti složitých přestaveb. Představte si to jako bezproblémovou výměnu zranitelných úryvků kódu za bezpečné náhrady při zachování závislostí, vrstev a chování za běhu. Už žádné čekání na upstreamové záplaty, není třeba přepracovávat vaše pipeline. Je to náprava rychlostí inovací.

Můžete vysvětlit, co odlišuje Root od jiných bezpečnostních řešení, jako je Chainguard nebo Rapidfort? Jaká je v tomto ohledu vaše výhoda?

Na rozdíl od Chainguardu, který vyžaduje přestavby pomocí vybraných obrazů, nebo Rapidfortu, který zmenšuje plochy pro útoky, aniž by přímo řešil zranitelnosti, Root přímo opravuje vaše stávající obrazy kontejnerů. Bezproblémově se integrujeme do vašeho pipeline bez narušení – bez tření, bez předávání. Nejsme tu proto, abychom nahradili váš pracovní postup, jsme tu proto, abychom jej urychlili a vylepšili. Každý obraz, který projde Rootem, se v podstatě stává zlatým obrazem – plně zabezpečeným, transparentním, kontrolovaným – což přináší rychlou návratnost investic odstraněním zranitelností a úsporou času. Naše platforma zkracuje dobu nápravy z týdnů nebo dnů na pouhých 120–180 sekund, což umožňuje společnostem ve vysoce regulovaných odvětvích eliminovat měsíce trvající nevyřízené zranitelnosti během jediné relace.

Vývojáři by se měli soustředit na tvorbu a dodávání nových produktů – ne trávit hodiny opravováním bezpečnostních zranitelností, což je časově náročný a často obávaný aspekt vývoje softwaru, který brzdí inovace. A co hůř, mnoho z těchto zranitelností ani není jejich vlastních – pramení ze slabin třetích stran nebo projektů softwaru s otevřeným zdrojovým kódem, což nutí týmy trávit cenné hodiny opravováním problémů někoho jiného.

Vývojáři a týmy výzkumu a vývoje patří k největším nákladovým centrům v jakékoli organizaci, a to jak z hlediska lidských zdrojů, tak i softwaru a cloudové infrastruktury, která je podporuje. Root tuto zátěž zmírňuje využitím agentní umělé inteligence, spíše než aby se spoléhal na týmy vývojářů pracující nepřetržitě na ruční kontrole a opravě známých zranitelností.

Jak Root konkrétně využívá agentní umělou inteligenci k automatizaci a zefektivnění procesu odstraňování zranitelností?

Náš AVR engine využívá agentní umělou inteligenci k replikaci myšlenkových procesů a akcí zkušeného bezpečnostního inženýra – rychle vyhodnocuje dopad CVE, identifikuje nejlepší dostupné záplaty, důkladně testuje a bezpečně aplikuje opravy. To, co by jinak vyžadovalo značné manuální úsilí, zvládne během několika sekund a škáluje na tisíce obrazů současně. Každá náprava systém učí, neustále zvyšuje jeho efektivitu a přizpůsobivost a v podstatě přímo do vašich obrazů začleňuje odborné znalosti bezpečnostního inženýra na plný úvazek.

Jak se Root integruje do stávajících vývojářských pracovních postupů, aniž by přitom přidával další komplikace?

Root se bez námahy integruje do stávajících pracovních postupů a zapojuje se přímo do vašeho registru kontejnerů nebo pipeline – žádné rebasingování, žádní noví agenti ani žádné další sidecary. Vývojáři nahrávají obrazy jako obvykle a Root se stará o opravy a publikování aktualizovaných obrazů bezproblémově na místě nebo jako nové tagy. Naše řešení zůstává neviditelné, dokud není potřeba, a nabízí úplný přehled prostřednictvím podrobných auditních záznamů, komplexních SBOM a jednoduchých možností vrácení zpět v případě potřeby.

Jak vyvažujete automatizaci a kontrolu? Jak moc je Root přizpůsobitelný pro týmy, které chtějí přehled a dohled?

Ve společnosti Root automatizace zvyšuje, nikoli snižuje, kontrolu. Naše platforma je vysoce přizpůsobitelná a umožňuje týmům přizpůsobit úroveň automatizace svým specifickým potřebám. Vy rozhodujete, co se má automaticky použít, kdy se má provést manuální kontrola a co se má vyloučit. Poskytujeme rozsáhlý přehled prostřednictvím podrobných zobrazení rozdílů, protokolů změn a analýz dopadů, což zajišťuje, že bezpečnostní týmy zůstanou informované a zmocněné a nikdy nebudou ponechány v nevědomosti.

Jak zajistit stabilitu a zabránit narušení závislostí nebo narušení produkce, když se tisíce zranitelností opravují automaticky?

Stabilita a spolehlivost jsou základem každé akce, kterou Root AVR provádí. Ve výchozím nastavení používáme konzervativní přístup, pečlivě sledujeme grafy závislostí, používáme záplaty s ohledem na kompatibilitu a před nasazením důkladně testujeme každý opravený obraz se všemi veřejně dostupnými testovacími frameworky pro open-source projekty. Pokud se někdy objeví problém, je odhalen včas a vrácení zpět je snadné. V praxi se nám podařilo udržet míru selhání nižší než 0.1 % u tisíců automatizovaných oprav.

S rozvojem umělé inteligence se objevují i ​​potenciální hrozby. Jak se Root připravuje na nově vznikající bezpečnostní hrozby v éře umělé inteligence?

Umělou inteligenci vnímáme jak jako potenciální vektor hrozeb, tak jako obrannou supervelmoc. Root proaktivně začleňuje odolnost přímo do dodavatelského řetězce softwaru a zajišťuje, aby kontejnerizované úlohy – včetně komplexních stacků AI/ML – byly neustále posilovány. Naše agentní umělá inteligence se vyvíjí s vývojem hrozeb a autonomně přizpůsobuje obranu rychleji, než útočníci stihnou jednat. Naším konečným cílem je odolnost autonomního dodavatelského řetězce softwaru: infrastruktura, která se brání rychlostí vznikajících hrozeb.

Děkuji za skvělý rozhovor, čtenáři, kteří se chtějí dozvědět více, by měli navštívit Root.io.