Mitchell Amador, grundlægger og administrerende direktør for Immunefi – Intervju-serie

Mitchell Amador, grundlægger og administrerende direktør for Immunefi, er en fremtrædende blockchain-sikkerheds-entrepreneur, business-angel og onchain-tænketank. Han grundlagde Immunefi, den førende bug-bounty- og sikkerhedsplatform for Web3-økosystemet, og har hjulpet med at forhindre mere end 25 milliarder dollars i potentielle hackerangreb og tyverier, samtidig med at han har fremmet bug-bounty-programmer som en industrienorm. Han har spillet en nøglerolle i at sikre større blockchain-protokoller, bidraget til whitehat-sikkerhedsinitiativer og grundlagt Instituto New Economy, en blockchain-tænketank, der har hjulpet med at positionere Portugal som en førende europæisk hub for blockchain-innovation.

Immunefi er en førende Web3-sikkerhedsplatform, der forbinder blockchain-projekter med etiske hackere gennem bug-bounty-programmer, sikkerheds-gennemgange og sårbarheds-rapporterings-tjenester. Virksomheden hjælper med at beskytte milliarder af dollars i digitale aktiver ved at give organisationer mulighed for at identificere og rette kritiske sikkerhedsfejl, før de kan udnyttes, og betjener mange af verdens største blockchain-protokoller og decentraliserede finans-projekter (DeFi).

Før du grundlagde Immunefi, hjalp du med at fremme adoption hos virksomheder som SingularityNET og Steemit, og var involveret i at forme Portugals tidlige krypto-lovgivning. Hvad overbeviste dig om, at Web3-sikkerhed var det problem, der var værd at dedikere din karriere til, og hvilken lukket marked så du, da du lancerede Immunefi?

Traditionelle sikkerhedsfirmaer kunne ikke følge med i Web3’s hastighed og kompleksitet, og der var ingen pålidelig platform, der kunne tiltrække elite-forskere i stor målestok, samtidig med at den gav protokoller tillid til, at rapporter ville blive behandlet professionelt. Vi så en mulighed for at bygge infrastruktur-laget for Web3-sikkerhed, og skabte samtidig incitamenter mellem projekter og forskere, mens vi gjorde proaktiv sikkerhed til en kernefunktion i, hvordan industrien fungerer.

Du hjalp med at bygge Immunefi op til at være den dominerende kraft i Web3-sikkerhed, og har beskyttet hundredvis af milliarder af dollars i aktiver, og har behandlet det overvældende flertal af kritiske sårbarheds-rapporter i krypto. Når du ser tilbage på den rejse, hvilke lærdomme fra at opbygge Immunefi har påvirket din beslutning om at bringe Code4rena’s kunder og samfund ind i Immunefi-økosystemet?

En af de største lærdomme fra at opbygge Immunefi er, at sikkerhed fungerer bedst, når talent er koncentreret og ikke fragmenteret. At bringe Code4rena’s kunder og forskere ind i Immunefi-økosystemet giver os mulighed for at styrke begge sider af markedet: Forskere får adgang til flere muligheder og ressourcer, mens projekter får adgang til en bredere vifte af sikkerhedstjenester, der er bakket op af det største forsker-netværk i Web3.

Code4rena spillede en stor rol i at popularisere konkurrerende sikkerheds-gennemgange i krypto. Hvad mener du var den underliggende årsag til, at deres forretningsmodel blev svær at opretholde, og hvilke bredere lærdomme giver det for fremtiden for crowdsourced-sikkerhed?

Den grundlæggende udfordring var ikke værdien af konkurrerende gennemgange. Den værdi er stadig betydelig. Udfordringen var at bygge en bæredygtig forretning omkring en selvstændig tilbud i en omgang, hvor kundes forventninger er ændret.

Protokoller ønsker mere og mere omfattende sikkerheds-løsninger i stedet for punkt-produkter. De ønsker bug-bounty’er, gennemgange, trussels-intelligence, sikkerheds-drift og reaktion på incidenter under ét tag. Da markedet modnedes, blev det sværere for specialiserede leverandører at konkurrere med platforme, der kunne tilbyde en bredere sikkerheds-stack.

Mange sikkerheds-forskere så på Code4rena som havende en unik kultur og samfund. Hvordan planlægger du at bevare, hvad der gjorde den platform værdifuld, mens du integrerer brugere i Immunefi?

Samfundet er ultimativt, hvad der gjorde Code4rena succesfuldt. Målet er ikke at erstatte den kultur, men at skabe en omgang, hvor den kan fortsætte med at trives med større støtte og skala. Fokus er på kontinuitet i stedet for afbrydelse. Vi ønsker, at forskere skal føle, at de får adgang til en bredere platform uden at miste de aspekter af samfundet, der gjorde dem ønske at deltage fra starten.

Traditionelle sikkerheds-gennemgange afhænger ofte af en relativt lille gruppe af gennemseere, mens gennemgangskonkurrencer kan tiltrække hundredvis af forskere. Hvordan ser du på, at gennemgangskonkurrencer udvikler sig de næste fem år, mens AI bliver mere integreret i sikkerheds-arbejdsgange?

Det, vi sandsynligvis vil se, er en skift, hvor AI håndterer en større del af repetitiv analyse, mønster-genkendelse og initial triage, og giver forskere mulighed for at bruge mere tid på nye angrebsvektorer og komplekse system-niveau-sårbarheder.

Den udvikling gør faktisk, at konkurrerende gennemgange bliver mere værdifulde. Hvis hundredvis af forskere kan udnytte stadig mere kapable AI-værktøjer, skaber man en omgang, hvor forskellige tilgange kan anvendes på samme kodebase i en hidtil uset skala. Fremtiden er ikke, at AI erstatter crowdsourced-sikkerhed, men at AI forstærker effektiviteten af store forsker-samfund.

En af de opdykkende bekymringer, du har fremhævet, er AI-genererede spam-indsendelser. Hvor alvorlig er dette problem blevet, og hvad afslører det om de uventede konsekvenser af at gøre avancerede AI-værktøjer bredt tilgængelige?

Problemet er ikke, at AI finder for mange sårbarheder. Problemet er, at den kan generere store mængder overbevisende, men ultimativt forkerte fund. Hver lavkvalitets-indsendelse forbruger gennemseer-tid og skaber operationel overhead.

I bredere forstand demonstrerer det en gentagen mønster i teknologi. Når kraftfulde værktøjer bliver bredt tilgængelige, skalerer både produktiv og uproduktiv aktivitet samtidig. De organisationer, der lykkes, vil være dem, der bygger systemer, der kan identificere ægte ekspertise og ægte fund midt i en langt større mængde af automatiseret output.

Tror du, at AI vil forbedre kvaliteten af sårbarheds-opdagelse, eller er sikkerheds-platforme på vej mod en langvarig kapløb mellem stadig mere kapable AI-systemer og den strøm af lavkvalitets-automatiserede indsendelser, de kan generere?

Begge ting er sande.

AI vil uden tvivl forbedre sårbarheds-opdagelse. Vi ser allerede, at forskere bruger AI til at accelerere arbejdsgange, analysere større kode-baser og identificere potentielle angrebs-vektorer mere effektivt end før.

På samme tid vil der være en løbende kapløb mellem systemer, der genererer fund, og systemer, der validerer dem. Den afgørende forskel vil ikke være, hvem der kan generere flest rapporter. Det vil være, hvem der kan generere fund med den højeste tillid.

Vi begynder at se AI-assisterede forskere identificere sårbarheder hurtigere end nogensinde før. Hvor tæt er vi på, at AI-systemer uafhængigt kan opdage, validere og endda prioritere kritiske sårbarheder med minimal menneskelig indblanding?

Vi er tættere på opdagelses-fasen, end mange mennesker er klar over. AI bliver allerede nyttig til at identificere mønstre, gennemse kode og fremme potentielle sårbarheder.

Validering er den sværere udfordring. At finde noget, der måske er en sårbarhed, er meget forskelligt fra at bevise udnyttelighed, forstå forretnings-påvirkning og nøjagtigt vurdere alvorlighed. Disse opgaver kræver stadig betydelig menneskelig dømmekraft.

Opkomsten af autonome AI-agenter skaber helt nye angrebs-overflader. Hvilke sikkerheds-risici forbundet med agenter-AI tror du, er underestimeret af både Web3-industrien og den bredere virksomheds-marked?

Det, der ofte er underestimeret, er kompleksiteten af tillids-grænserne. Agenter-systemer opererer ikke i isolation. De forbruger input fra multiple kilder, interagerer med tredjeparts-tjenester og tager beslutninger baseret på dynamiske omgivelser. Hver af disse interaktioner skaber en potentiel angrebs-overflade.

Jeg tror, at mange organisationer stadig anvender traditionelle software-sikkerheds-antagelser til systemer, der opfører sig fundamentalt forskelligt. Den lukket vil blive stadig mere vigtig, når autonome agenter får bredere operationel myndighed.

Set tre til fem år frem, hvordan forventer du, at AI vil forvandle, hvordan sårbarheder opdages, rapporteres og afhjælpes, og hvilken rol ser du, at menneskelige sikkerheds-forskere spiller i den fremtid?

AI vil dramatisk accelerere hver fase af sikkerheds-livscyklussen. Sårbarheder vil blive opdaget hurtigere, triageret hurtigere og i mange tilfælde afhjulpet hurtigere end i dag. Sikkerheds-hold vil have adgang til langt mere intelligens og automation end nogensinde før.

Men jeg tror ikke, at fremtiden er en, hvor menneskelige forskere bliver irrelevant. Hvis noget, bliver deres rol mere vigtig. Når AI håndterer rutine-opgaver, skifter menneskelig ekspertise mod at forstå nye systemer, identificere usædvanlige angrebs-vektorer, validere kritiske fund og træffe strategiske sikkerheds-beslutninger.

De mest succesfulde forskere vil ikke være dem, der konkurrerer mod AI. De vil være dem, der lærer at udnytte AI som en kraft-forstærker. Sikkerhed har altid belønnet tilpasning, og det vil forblive sandt i en AI-dreven fremtid.

Tak for det store interview. Læsere, der ønsker at lære mere, skal besøge Immunefi.