Ian Riopel, CEO a spoluzakladatel Root.io – rozhovorová série

Ian Riopel, CEO a spoluzakladatel Root.io, vede misi společnosti zaměřenou na zabezpečení softwarového dodavatelského řetězce pomocí cloudových řešení. S více než 15 lety zkušeností v oblasti technologií a kybernetické bezpečnosti zastával vedoucí pozice ve společnostech Slim.AI a FXP, se zaměřením na prodej do podniků, strategii go-to-market a růst ve veřejném sektoru. Vystudoval MIT Sloan a je absolventem U.S. Army Intelligence School.

Root.io je cloudová bezpečnostní platforma navržená pro pomoc podnikům zabezpečit jejich softwarový dodavatelský řetězec. Automatizací důvěry a souladu napříč vývojovými kanály umožňuje Root.io rychlejší a spolehlivější dodávku softwaru pro moderní týmy DevOps.

Co inspirovalo založení Root a jak vznikla myšlenka Automatized Vulnerability Remediation (AVR)?

Root vznikl z hluboké frustrace, kterou jsme opakovaně zažívali: organizace věnovaly obrovské množství času a zdrojů pronásledování zranitelností, které nikdy zcela nezmizely. Triage se stal jedinou obranou proti rychle se hromadícím technickým dluhům CVE, ale s rychlostí vzniku zranitelností již triage samotné nestačí.

Jako udržovatelé Slim Toolkit (dříve DockerSlim) jsme byli již hluboce zapojeni do optimalizace a zabezpečení kontejnerů. Bylo přirozené, že jsme se zeptali: Co kdyby kontejnery mohly proaktivně opravit sami sebe jako součást standardního softwarového vývojového cyklu? Automatizované opravy, nyní známé jako Automatized Vulnerability Remediation („AVR“), byla naše řešení – přístup, který se nezaměřuje na triage a vytváření seznamů, ale automaticky je odstraňuje, přímo ve vašem softwaru, bez zavedení změn, které by způsobovaly rozbití.

Root dříve známý jako Slim.AI—co vyvolalo přejmenování a jak se společnost vyvinula během této transformace?

Slim.AI začal jako nástroj pro pomoc vývojářům minimalizovat a optimalizovat kontejnery. Ale brzy jsme si uvědomili, že naše technologie se vyvinula do něčeho mnohem významnějšího: silné platformy schopné proaktivně zabezpečit software pro produkci ve velkém měřítku. Přejmenování na Root zachycuje tuto transformační změnu – od vývojářského optimalizačního nástroje na robustní bezpečnostní řešení, které umožňuje jakékoli organizaci splnit přísné bezpečnostní požadavky kolem open-source softwaru během několika minut. Root ztělesňuje naši misi: dostat se k základu softwarového rizika a odstranit zranitelnosti, než se stanou incidenty.

Máte tým s hlubokými kořeny v kybernetické bezpečnosti, od Cisco, Trustwave a Snyk. Jak vaše kolektivní zkušenosti formovaly DNA Root?

Náš tým vytvořil bezpečnostní skenery, bránil globální podniky a architektoval řešení pro některé z nejcitlivějších a nejrizikovějších infrastruktur. Přímě se vypořádali s kompromisy mezi rychlostí, bezpečností a zkušenostmi vývojářů. Tyto kolektivní zkušenosti fundamentálně formovaly DNA Root. Jsme posedlí automatizací a integrací – ne pouze identifikací bezpečnostních problémů, ale jejich rychlým řešením bez vytváření nové tření. Naše zkušenosti informují každé rozhodnutí, zajišťují, že bezpečnost urychluje inovace, spíše než je zpomaluje.

Root tvrdí, že opravuje zranitelnosti kontejnerů během sekund — žádné přebudování, žádné výpadky. Jak vaše technologie AVR vlastně funguje pod kapotou?

AVR funguje přímo na úrovni kontejneru, rychle identifikuje zranitelné balíčky a opravuje nebo nahrazuje je uvnitř obrazu samotného – bez nutnosti komplexních přebudování. Představte si to jako bezproblémovou výměnu zranitelných kódových úseků za bezpečné náhrady, zatímco zachovává vaše závislosti, vrstvy a runtime chování. Žádné čekání na upstream opravy, žádná potřeba re-architektury vašich kanálů. Je to náprava rychlostí inovací.

Můžete vysvětlit, co odlišuje Root od jiných bezpečnostních řešení, jako je Chainguard nebo Rapidfort? Co je váš náskok v tomto prostoru?

Na rozdíl od Chainguard, který vyžaduje přebudování pomocí kurátorovaných obrazů, nebo Rapidfort, který zmenšuje útočný povrch bez přímého řešení zranitelností, Root přímo opravuje vaše stávající kontejnerové obrazy. Bezproblémově se integruje do vašeho kanálu bez přerušení – žádné tření, žádné předávání. Není naší snahou nahradit váš pracovní postup, jsme zde, abychom jej urychlit a vylepšit. Každý obraz, který prochází Root, se vlastně stává zlatým obrazem – plně zabezpečeným, transparentním, řízeným – dodávajícím rychlý ROI snížením zranitelností a úsporou času. Naše platforma snižuje nápravu z týdnů nebo dnů na pouhých 120-180 sekund, umožňující společnostem v vysoce regulovaných odvětvích odstranit měsíce staré zranitelnosti v jediné relaci.

Vývojáři by se měli soustředit na budování a dodávku nových produktů – ne na trávení hodin opravou bezpečnostních zranitelností, časově náročné a často obávané aspekty softwarového vývoje, které brzdí inovace. Horší je, že mnoho z těchto zranitelností není ani jejich vlastní – pocházejí ze slabostí třetích stran nebo open-source softwarových projektů, což nutí týmy trávit cenné hodiny opravou cizího problému.

Vývojáři a týmy R&D jsou mezi největšími nákladovými centry v jakékoli organizaci, a to jak z hlediska lidských zdrojů, tak softwaru a cloudové infrastruktury, která je podporuje. Root odstraňuje tuto zátěž využíváním agentic AI, spíše než spoléháním se na týmy vývojářů, kteří pracují nonstop, aby ručně kontrolovali a opravovali známé zranitelnosti.

Jak Root konkrétně využívá agentic AI k automatizaci a zefektivnění procesu nápravy zranitelností?

Náš motor AVR využívá agentic AI k replikaci myšlenkových procesů a akcí zkušených bezpečnostních inženýrů – rychle vyhodnocuje dopad CVE, identifikuje nejlepší dostupné opravy, důkladně testuje a bezpečně aplikuje opravy. Dokáže to během sekund, co by jinak vyžadovalo značné manuální úsilí, škálovatelné napříč tisíci obrazů současně. Každá náprava učí systém, který neustále zlepšuje svou efektivitu a adaptabilitu, prakticky vkládající odbornost plnohodnotného bezpečnostního inženýra přímo do vašich obrazů.

Jak Root integruje do stávajících vývojářských pracovních postupů bez přidání tření?

Root se bezproblémově integruje do stávajících pracovních postupů, zapojuje se přímo do vašeho kontejnerového registru nebo kanálu – žádné přebudování, žádné nové agenty a žádné další sidecary. Vývojáři odesílají obrazy jako obvykle a Root zajišťuje opravu a publikování aktualizovaných obrazů bezproblémově na místě nebo jako nové značky. Naše řešení zůstává neviditelné, dokud není potřeba, nabízí kompletní viditelnost prostřednictvím podrobných auditních stop, komplexních SBOM a jednoduchých možností rollbacku, když je požadováno.

Jak vyvažujete automatizaci a kontrolu? Pro týmy, které chtějí viditelnost a dohled, jak přizpůsobitelný je Root?

V Rootu automatizace zvyšuje – ne snižuje – kontrolu. Naše platforma je vysoce přizpůsobitelná, umožňuje týmům škálovat úroveň automatizace podle jejich specifických potřeb. Rozhodujete, co automaticky aplikovat, kdy zapojit manuální kontrolu a co vyloučit. Poskytujeme rozsáhlou viditelnost prostřednictvím podrobných dif views, changelogů a analýz dopadu, zajišťujících, že bezpečnostní týmy zůstávají informovány a vybaveny, nikdy nezůstanou v temnotě.

S tisíci automaticky opravenými zranitelnostmi, jak zajišťujete stabilitu a避免ete rozbití závislostí nebo narušení produkce?

Stabilita a spolehlivost jsou základem každého kroku, který Rootův AVR činí. Ve výchozím nastavení přijímáme konzervativní přístup, pečlivě sledujeme grafy závislostí, používáme kompatibilní opravy a důkladně testujeme každý opravený obraz proti všem veřejně dostupným testovacím rámcům pro open-source projekty před nasazením. Pokud by se někdy vyskytla nějaká otázka, je zachycena brzy a rollback je bezproblémový. V praxi jsme udrželi méně než 0,1% míru selhání napříč tisíci automatizovanými opravami.

Jak Root připravuje na vznikající bezpečnostní hrozby éry AI?

Považujeme AI za potenciální hrozbu i obrannou super sílu. Root proaktivně vkládá odolnost přímo do softwarového dodavatelského řetězce, zajišťuje, že kontejnerizované úkoly – včetně komplexních AI/ML stacků – jsou nepřetržitě zpevňovány. Naše agentic AI se vyvíjí, jak se vyvíjejí hrozby, autonomně přizpůsobuje obrany rychleji, než útočníci mohou jednat. Naším konečným cílem je autonomní odolnost softwarového dodavatelského řetězce: infrastruktura, která se sama brání rychlostí vznikajících hrozeb.

Děkuji za skvělý rozhovor, čtenáři, kteří chtějí se dozvědět více, by měli navštívit Root.io.