Ian Riopel, administrerende direktør og medstifter af Root.io – Intervju-serie

Ian Riopel, administrerende direktør og medstifter af Root.io, leder virksomhedens mission om at sikre softwareforsyningskæden med cloud-native løsninger. Med over 15 års erfaring i tech og cybersikkerhed har han haft ledelsesroller i Slim.AI og FXP, med fokus på enterprise salg, go-to-market-strategi og offentlig sektors vækst. Han har en ACE fra MIT Sloan og er uddannet fra U.S. Army Intelligence School.

Root.io er en cloud-native sikkerhedsplatform designet til at hjælpe virksomheder med at sikre deres softwareforsyningskæde. Ved at automatisere tillid og overholdelse af retningslinjer på tværs af udviklingsprocesser, giver Root.io mulighed for hurtigere og mere pålidelig softwarelevering til moderne DevOps-team.

Hvad inspirerede grundlæggelsen af Root, og hvordan opstod idéen til Automated Vulnerability Remediation (AVR)?

Root blev født af en dyb frustration, som vi gentagne gange havde oplevet førstehånds: organisationer, der brugte massive mængder tid og ressourcer på at jagte sårbarheder, der aldrig helt forsvandt. Triage var blevet den eneste forsvar mod hurtigt voksende tekniske skyldner, men med hastigheden af nye sårbarheder, er triage alene ikke længere nok.

Som vedligeholdere af Slim Toolkit (tidligere DockerSlim) var vi allerede dybt engageret i containeroptimering og sikkerhed. Det var naturligt for os at spørge: Hvad nu, hvis containere kunne proaktivt fikse sig selv som en del af den standard softwareudviklingsløkke? Automatiseret fiksering, nu kendt som Automated Vulnerability Remediation (”AVR”), var vores løsning – en tilgang, der ikke fokuserer på triage og listeopbygning, men automatisk eliminerer dem, direkte i din software, uden at introducere breaking changes.

Root var tidligere kendt som Slim.AI – hvad fik jer til at omdøbe virksomheden, og hvordan udviklede virksomheden sig under denne overgang?

Slim.AI startede som et værktøj til at hjælpe udviklere med at minimere og optimere containere. Men vi opdagede snart, at vores teknologi var udviklet til noget langt mere betydningsfuldt: en kraftfuld platform, der kan proaktivt sikre software til produktion i stor skala. Omdøbningen til Root afspejler denne transformative ændring – fra et udviklerværktøj til en robust sikkerheds løsning, der giver enhver organisation mulighed for at opfylde strenge sikkerheds krav omkring open-source software på få minutter. Root inkarnerer vores mission: at komme til roden af software-risiko og fikse sårbarheder, før de nogensinde bliver til incidenter.

I har et hold med dybe rødder i cybersikkerhed, fra Cisco, Trustwave og Snyk. Hvordan har jeres kollektive erfaring formet DNA’et i Root?

Vores hold har bygget sikkerhedsscannere, forsvaret globale virksomheder og arkitektureret løsninger for nogle af de mest følsomme og højrisikable infrastrukturer. Vi har kæmpet direkte med kompromiserne mellem hastighed, sikkerhed og udvikleroplevelse. Denne kollektive erfaring har fundamentalt formet Root’s DNA. Vi er besat af automation og integration – ikke blot identificering af sikkerhedsproblemer, men løsning af dem hurtigt uden at skabe ny friktion. Vores erfaring informerer hver beslutning, så sikkerhed accelererer innovation i stedet for at bremse den.

Root påstår at kunne patche container sårbarheder på få sekunder – ingen genopbygning, ingen downtime. Hvordan fungerer jeres AVR-teknologi under hood?

AVR fungerer direkte på container-laget, hurtigt identificerer sårbarheder og patcher eller erstatter dem inden for billedet selv – uden at kræve komplekse genopbygninger. Tænk på det som en problemfri hot-swap af sårbar kode-snippets med sikre erstatninger, mens du bevarer dine afhængigheder, lag og runtime-opførsel. Ingen ventetid på upstream-patches, ingen behov for at genopbygge dine pipelines. Det er fiksering i innovativ hastighed.

Hvad adskiller Root fra andre sikkerheds løsninger som Chainguard eller Rapidfort? Hvad er jeres fordel i dette område?

I modsætning til Chainguard, der kræver genopbygning med kuraterede billeder, eller Rapidfort, der reducerer angrebsflader uden direkte at adressere sårbarheder, patcher Root direkte jeres eksisterende container-billeder. Vi integrerer nærmest uden afbrydelse – ingen friktion, ingen håndover. Vi er her for at accelerere og forbedre jeres workflow, ikke for at erstatte den. Hvert billede, der køres gennem Root, bliver essentielt et gyldigt billede – fuldt sikret, gennemsigtigt, kontrolleret – og leverer hurtig ROI ved at reducere sårbarheder og spare tid. Vores platform reducerer fikseringstiden fra uger eller dage til kun 120-180 sekunder, og giver virksomheder i højt regulerede brancher mulighed for at eliminere måneder lange sårbarheds-tilbagehold i en enkelt session.

Udviklere skal fokuserer på at bygge og leverer nye produkter – ikke bruge timer på at fikse sikkerheds-sårbarheder, en tidskrævende og ofte frygtet del af softwareudvikling, der bremser innovation. Desuden stammer mange af disse sårbarheder ikke engang fra udviklerne selv – de kommer fra svagheder i tredjeparts-leverandører eller open-source software-projekter, og tvinger hold til at bruge dyre timer på at fikse andres problemer.

Udviklere og R&D-hold er blandt de største omkostningscentre i enhver organisation, både i form af menneskelige ressourcer og den software- og cloud-infrastruktur, der understøtter dem. Root lettet denne byrde ved at udnytte agentic AI, i stedet for at afhænge af hold af udviklere, der arbejder døgnet rundt for at manuelt tjekke og patche kendte sårbarheder.

Hvordan udnytter Root specifikt agentic AI til at automatisere og strømline fikseringsprocessen af sårbarheder?

Vores AVR-motor bruger agentic AI til at replikere tankeprocesser og handlinger fra en erfaren sikkerhedsingeniør – hurtigt vurderer CVE-impakt, identificerer de bedst tilgængelige patches, tester rigorøst og anvender sikkert fikseringer. Det opnår på få sekunder, hvad der ellers ville kræve betydelig manuel indsats, og skalerer på tværs af tusinder af billeder samtidig. Hver fiksering lærer systemet, og forbedrer kontinuerligt dets effektivitet og tilpasning, og indbygger essentielt ekspertisen fra en fuldtids-sikkerhedsingeniør direkte i dine billeder.

Hvordan integrerer Root i eksisterende udvikler-workflows uden at tilføje friktion?

Root integrerer uden besvær i eksisterende workflows, og kobler direkte til din container-registry eller pipeline – ingen genopbygning, ingen nye agenter, og ingen ekstra sidecars. Udviklere pusher billeder som normalt, og Root håndterer patching og publicering af opdaterede billeder nærmest usynligt på plads eller som nye tags. Vores løsning forbliver usynlig, indtil den er nødvendig, og tilbyder fuld gennemsigtighed gennem detaljerede audit-trails, omfattende SBOMs og simple rollback-muligheder, når det er ønsket.

Hvordan balancerer I automation og kontrol? For hold, der ønsker synlighed og oversigt, hvor tilpasselig er Root?

Hos Root forbedrer automation – ikke formindsker – kontrol. Vores platform er højtilpasselig, og tillader hold at skala niveauet af automation til deres specifikke behov. I bestemmer, hvad der skal auto-anvendes, hvornår manuelt gennemgang er involveret, og hvad der skal ekskluderes. Vi tilbyder omfattende synlighed gennem detaljerede diff-views, changelogs og impakt-analyser, og sikrer, at sikkerhedshold forbliver informerede og beføjede, aldrig efterladt i mørket.

Med tusinder af sårbarheder fikset automatisk, hvordan sikrer I stabilitet og undgår at bryde afhængigheder eller forstyrre produktion?

Stabilitet og pålidelighed underbygger hver handling, som Roots AVR foretager. Som standard antager vi en konservativ tilgang, og sporer nøje afhængigheds-grafer, anvender kompatibilitets-bevidste patches, og tester hver fikset billede mod alle offentligt tilgængelige test-rammer for open-source-projekter, før deployment. Skulle et problem opstå, er det fanget tidligt, og rollback er uden besvær. I praksis har vi opretholdt en fejlrate på under 0,1% på tværs af tusinder af automatiske fikseringer.

Da AI udvikler sig, udvikler også potentielle angrebsflader sig. Hvordan forbereder Root sig på fremtidige AI-æra sikkerheds-trusler?

Vi ser AI som både en potentiel trusselsvektor og en defensiv superkraft. Root indbygger proaktivt resilience direkte i softwareforsyningskæden, og sikrer, at containeriserede workloads – herunder komplekse AI/ML-stacks – kontinuerligt forstærkes. Vores agentic AI udvikler sig, som truslerne udvikler sig, og tilpasser autonomt forsvar hurtigere end angribere kan handle. Vores ultimative mål er autonom softwareforsyningskæde-resilience: infrastruktur, der forsvarer sig selv i takt med fremtidige trusler.

Tak for det gode interview. Læsere, der ønsker at lære mere, kan besøge Root.io.