Mitchell Amador, Gründer und CEO von Immunefi – Interview-Serie

Mitchell Amador, Gründer und CEO von Immunefi, ist ein bekannter Blockchain-Sicherheitsunternehmer, Angel-Investor und On-Chain-Gedankeführer. Er gründete Immunefi, die führende Bug-Bounty- und Sicherheitsplattform für das Web3-Ökosystem, und half dabei, mehr als 25 Milliarden Dollar an potenziellen Hack-Angriffen und Diebstählen zu verhindern, während er gleichzeitig Bug-Bounty-Programme als Branchenstandard vorantrieb. Er spielte eine Schlüsselrolle bei der Sicherung wichtiger Blockchain-Protokolle, trug zu White-Hat-Sicherheitsinitiativen bei und gründete auch das Instituto New Economy, ein Blockchain-Think-Tank, das half, Portugal als führenden europäischen Hub für Blockchain-Innovation zu positionieren.

Immunefi ist eine führende Web3-Sicherheitsplattform, die Blockchain-Projekte mit ethischen Hackern über Bug-Bounty-Programme, Sicherheitsprüfungen und Schwachstellen-Offenlegungsdienste verbindet. Das Unternehmen hilft dabei, Milliarden von Dollar an digitalen Vermögenswerten zu schützen, indem es Organisationen ermöglicht, kritische Sicherheitslücken zu identifizieren und zu beheben, bevor sie ausgenutzt werden können, und bedient viele der größten Blockchain-Protokolle und dezentralen Finanzprojekte (DeFi).

Bevor Sie Immunefi gründeten, halfen Sie bei der Einführung von Unternehmen wie SingularityNET und Steemit und waren an der Gestaltung der frühen Krypto-Gesetzgebung in Portugal beteiligt. Was überzeugte Sie davon, dass Web3-Sicherheit das Problem war, dem Sie Ihre Karriere widmen sollten, und welche Lücke im Markt sahen Sie, als Sie Immunefi starteten?

Traditionelle Sicherheitsfirmen konnten nicht mit der Geschwindigkeit und Komplexität von Web3 mithalten, und es gab keine vertrauenswürdige Plattform, die Elite-Forscher in großem Umfang anziehen und Protokollen das Vertrauen geben konnte, dass Offenlegungen professionell gehandhabt würden. Wir sahen eine Chance, die Infrastruktur-Ebene für Web3-Sicherheit zu bauen, indem wir Anreize zwischen Projekten und Forschern schufen und proaktive Sicherheit zu einem Kernbestandteil der Industrie machten.

Sie halfen dabei, Immunefi zu einer dominanten Kraft in der Web3-Sicherheit aufzubauen, und schützten Hunderte von Milliarden Dollar an Vermögenswerten und handhabten den größten Teil der kritischen Schwachstellen-Offenlegungen in der Krypto-Branche. Wenn Sie auf diese Reise zurückblicken, welche Lektionen aus der Skalierung von Immunefi beeinflussten Ihre Entscheidung, Code4renas Kunden und Community in das Immunefi-Ökosystem zu integrieren?

Eine der größten Lektionen aus der Skalierung von Immunefi ist, dass Sicherheit am besten funktioniert, wenn Talent konzentriert und nicht fragmentiert ist. Die Integration von Code4renas Kunden und Forschern in das Immunefi-Ökosystem ermöglicht es uns, beide Seiten des Marktes zu stärken: Forscher erhalten Zugang zu mehr Chancen und Ressourcen, während Projekte Zugang zu einem breiteren Spektrum an Sicherheitsdienstleistungen erhalten, die von dem größten Forschernetzwerk in Web3 unterstützt werden.

Code4rena spielte eine wichtige Rolle bei der Popularisierung von Wettbewerbs-Sicherheitsaudits in der Krypto-Branche. Was glauben Sie, führte letztendlich dazu, dass ihr Geschäftsmodell schwierig zu erhalten war, und welche breiteren Lektionen bietet das für die Zukunft der Crowdsourced-Sicherheit?

Die Kernherausforderung bestand nicht im Wert der Wettbewerbsaudits. Dieser Wert bleibt erheblich. Die Herausforderung bestand darin, ein nachhaltiges Geschäft um ein eigenständiges Angebot in einer Umgebung aufzubauen, in der die Erwartungen der Kunden sich entwickelt haben.

Protokolle wollen zunehmend umfassende Sicherheitslösungen anstelle von Einzelprodukten. Sie wollen Bug-Bounties, Audits, Bedrohungs-Intelligence, Sicherheitsbetrieb und Reaktionsfähigkeiten auf einen Schlag. Als der Markt gereift ist, wurde es für spezialisierte Anbieter schwieriger, gegen Plattformen zu konkurrieren, die ein breiteres Sicherheitsangebot bieten konnten.

Viele Sicherheitsforscher sahen Code4rena als eine einzigartige Kultur und Community. Wie planen Sie, das zu erhalten, was Code4rena wertvoll gemacht hat, während Sie Benutzer in Immunefi integrieren?

Die Community war letztendlich das, was Code4rena erfolgreich gemacht hat. Das Ziel ist nicht, diese Kultur zu ersetzen, sondern ein Umfeld zu schaffen, in dem sie mit größerer Unterstützung und Skalierbarkeit gedeihen kann. Der Fokus liegt auf Kontinuität und nicht auf Störung. Wir möchten, dass Forscher das Gefühl haben, dass sie Zugang zu einer breiteren Plattform erhalten, ohne die Aspekte der Community zu verlieren, die sie dazu gebracht haben, teilzunehmen.

Traditionelle Sicherheitsaudits verlassen sich oft auf eine relativ kleine Gruppe von Reviewern, während Audit-Wettbewerbe Hunderte von Forschern anziehen können. Wie sehen Sie die Entwicklung von Audit-Wettbewerben in den nächsten fünf Jahren, wenn künstliche Intelligenz (KI) zunehmend in Sicherheitsworkflows integriert wird?

Was wir wahrscheinlich sehen werden, ist eine Verschiebung, bei der KI einen zunehmenden Anteil der wiederholten Analyse, der Mustererkennung und der initialen Triage übernimmt, und Forschern ermöglicht, mehr Zeit auf neue Angriffspfade und komplexe System-Schwachstellen zu verwenden.

Diese Entwicklung macht tatsächlich Wettbewerbsaudits wertvoller. Wenn Hunderte von Forschern zunehmend leistungsfähige KI-Tools nutzen können, schaffen Sie ein Umfeld, in dem diverse Ansätze auf denselben Codebasis in einem beispiellosen Umfang angewendet werden können. Die Zukunft ist nicht, dass KI Crowdsourced-Sicherheit ersetzt, sondern dass KI die Effektivität großer Forschergemeinschaften verstärkt.

Eines der aufkommenden Anliegen, auf die Sie hingewiesen haben, ist die von KI generierte Spam-Eingabe. Wie ernst ist dieses Problem geworden, und was zeigt es über die ungewollten Folgen der weiten Verfügbarkeit von fortschrittlichen KI-Tools?

Das Problem ist nicht, dass KI zu viele Schwachstellen findet. Das Problem ist, dass sie große Mengen an überzeugenden, aber letztendlich falschen Ergebnissen generieren kann. Jede niedrigwertige Einreichung verbraucht Reviewer-Zeit und erzeugt betrieblichen Overhead.

In einem breiteren Sinne zeigt es ein wiederkehrendes Muster in der Technologie. Wenn leistungsstarke Tools weit verbreitet werden, skaliert sowohl produktive als auch unproduktive Aktivität gleichzeitig. Die Organisationen, die erfolgreich sind, werden diejenigen sein, die Systeme aufbauen, die in der Lage sind, echte Expertise und echte Ergebnisse in einer viel größeren Menge an automatisierter Ausgabe effizient zu identifizieren.

Glauben Sie, dass KI letztendlich die Qualität der Schwachstellen-Entdeckung verbessern wird oder ob Sicherheitsplattformen einem langfristigen Wettlauf zwischen zunehmend leistungsfähigen KI-Systemen und der Flut von niedrigwertigen automatisierten Einreichungen ausgesetzt sind, die sie generieren können?

Beides ist wahr.

KI wird ohne Zweifel die Schwachstellen-Entdeckung verbessern. Wir sehen bereits, wie Forscher KI nutzen, um Arbeitsabläufe zu beschleunigen, größere Codebasen zu analysieren und potenzielle Angriffspfade effizienter als zuvor zu identifizieren.

Gleichzeitig wird es einen anhaltenden Wettlauf zwischen Systemen, die Ergebnisse generieren, und Systemen, die diese Ergebnisse validieren, geben. Der entscheidende Unterschied wird nicht darin bestehen, wer die meisten Berichte generieren kann. Es wird darin bestehen, wer die Ergebnisse mit der höchsten Zuverlässigkeit generieren kann.

Wir beginnen, KI-gestützte Forscher zu sehen, die Schwachstellen schneller als je zuvor identifizieren. Wie nahe sind wir daran, KI-Systeme unabhängig zu entdecken, zu validieren und sogar kritische Schwachstellen mit minimaler menschlicher Beteiligung zu priorisieren?

Wir sind der Entdeckungsphase näher, als viele Menschen realisieren. KI wird bereits nützlich für das Identifizieren von Mustern, das Überprüfen von Code und das Aufdecken potenzieller Schwachstellen.

Die Validierung bleibt die schwierigere Herausforderung. Etwas zu finden, das möglicherweise eine Schwachstelle ist, ist sehr unterschiedlich von der Erweisung der Ausnutzbarkeit, dem Verständnis der geschäftlichen Auswirkungen und der genauen Bewertung der Schwere. Diese Aufgaben erfordern immer noch erhebliche menschliche Urteilsfähigkeit.

Der Aufstieg autonomer KI-Agenten schafft völlig neue Angriffsflächen. Welche Sicherheitsrisiken im Zusammenhang mit agenter KI werden Ihrer Meinung nach derzeit von der Web3-Industrie und dem breiteren Unternehmensmarkt unterschätzt?

Was oft unterschätzt wird, ist die Komplexität der Vertrauensgrenzen. Agente Systeme operieren nicht isoliert. Sie verarbeiten Eingaben von mehreren Quellen, interagieren mit Drittanbieter-Diensten und treffen Entscheidungen auf der Grundlage dynamischer Umgebungen. Jede dieser Interaktionen schafft eine potenzielle Angriffsfläche.

Ich denke, viele Organisationen wenden immer noch traditionelle Software-Sicherheitsannahmen auf Systeme an, die sich grundlegend anders verhalten. Diese Lücke wird zunehmend wichtig, wenn autonome Agenten eine breitere operative Autorität erhalten.

Wenn Sie in drei bis fünf Jahren vorausblicken, wie erwarten Sie, dass KI die Art und Weise verändern wird, wie Schwachstellen entdeckt, gemeldet und gemildert werden, und welche Rolle sehen Sie menschliche Sicherheitsforscher in dieser Zukunft spielen?

KI wird jeden Schritt des Sicherheitslebenszyklus dramatisch beschleunigen. Schwachstellen werden schneller entdeckt, triagiert und in vielen Fällen schneller gemildert als heute. Sicherheitsteams werden Zugang zu weit mehr Intelligenz und Automatisierung haben als je zuvor.

Aber ich glaube nicht, dass die Zukunft eine ist, in der menschliche Forscher irrelevant werden. Wenn überhaupt, wird ihre Rolle wichtiger. Wenn KI Routineaufgaben übernimmt, verschiebt sich die menschliche Expertise hin zu dem Verständnis neuer Systeme, der Identifizierung unkonventioneller Angriffspfade, der Validierung kritischer Ergebnisse und der strategischen Sicherheitsentscheidungen.

Die erfolgreichsten Forscher werden nicht diejenigen sein, die gegen KI konkurrieren. Sie werden diejenigen sein, die lernen, KI als Multiplikator zu nutzen. Sicherheit hat immer die Anpassungsfähigkeit belohnt, und das wird auch in einer KI-getriebenen Zukunft so bleiben.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Immunefi besuchen.