Neatsun Ziv, Mitgründer und CEO von OX Security – Interview-Serie

Neatsun Ziv, Mitgründer und CEO von OX Security, ist an der Spitze der Neugestaltung der Software-Supply-Chain-Sicherheit für die DevSecOps-Ära. Bevor er OX gründete, war er als VP of Cyber Security bei Check Point tätig, wo er globale Initiativen leitete und schnelle Reaktionen auf hochkarätige Bedrohungen wie SolarWinds (SWI ) und NotPetya koordinierte. Seine Arbeit brachte ihn oft in direkte Zusammenarbeit mit Interpol, nationalen CERTs und anderen Strafverfolgungsbehörden während einiger der kritischsten Cyber-Vorfälle des letzten Jahrzehnts.

OX Security ist eine Anwendungssicherheitsplattform, die darauf ausgelegt ist, den Lärm zu reduzieren und Organisationen dabei zu helfen, sich auf den kleinen Prozentsatz der Risiken zu konzentrieren, die wirklich zählen. Durch die Analyse von Ausbeutbarkeit, Erreichbarkeit und Geschäftsauswirkung liefert die Plattform evidenzbasierte Priorisierung über den gesamten Software-Entwicklungslebenszyklus hinweg. Mit vollständiger Code-to-Cloud-Abdeckung, 100+ Integrationen und No-Code-Workflows integriert OX eine geleitete Behebung direkt in die Entwickler-Workflows, um sicherzustellen, dass Sicherheitsmaßnahmen sowohl effektiv als auch reibungslos sind.

Bevor Sie OX Security mitgründeten, leiteten Sie große Vorfallreaktionen bei Check Point. Was hat Sie dazu bewogen, Ihr eigenes Unternehmen zu gründen, und welche Lücke sahen Sie im Bereich der Anwendungssicherheit?

Bei der Arbeit bei Check Point erlebte ich den “Corporate Velocity Gap” – traditionelle Sicherheitsunternehmen bewegen sich in einem langsameren Tempo. Ich sah auch, wie Sicherheitsteams auf verschiedene Weise ineffizient waren, insbesondere bei der Priorisierung von Risiken.

Gleichzeitig erkannte ich, dass generative KI (zu diesem Zeitpunkt noch unterentwickelt) die Zukunft darstellte, wie Sicherheitstools evolvieren mussten, und tatsächlich mit großer Geschwindigkeit voranschritt. Mehrere kritische Verschiebungen erfolgten gleichzeitig:

Beschleunigung von Bedrohungen: Angreifer nahmen neue Technologien und Techniken schnell an und bewegten sich schneller, als Sicherheitslösungen mithalten konnten.

Das “Vibe Coding”-Phänomen: Der Begriff existierte zu diesem Zeitpunkt noch nicht, aber ich sah, wie Entwickler zunehmend auf KI-gestützte Codierungstools wie Copilot angewiesen waren, was grundlegend die Art und Weise veränderte, wie Software erstellt wird, und völlig neue Sicherheitsaspekte mit sich brachte.

Evolution von Software-Supply-Chain-Angriffen: Die Beschleunigung von Software-Supply-Chain-Angriffen schuf einen dringenden Bedarf an neuen Ansätzen für die Anwendungssicherheit, die bestehende Tools einfach nicht ansprachen.

Inkrementelle Verbesserungen innerhalb bestehender Unternehmensstrukturen würden nicht ausreichen, um diese schnell evolvierenden Herausforderungen anzugehen.

Meine endgültige Erkenntnis war, dass Bedrohungen schnell in den Code eindringen – und die Sicherheit muss folgen. Wir mussten uns von den bekannten Rahmenbedingungen lösen und in einem neuen, schnellen Rennen starten.

Die Kernmission von OX besteht darin, Entwicklern zu helfen, sich auf die 5% der Schwachstellen zu konzentrieren, die wirklich zählen. Wann ist diese Erkenntnis für Sie kristallisiert, und wie prägt sie die Produktentscheidungen heute?

Nachdem ich große Entwicklerteams geleitet hatte, sah ich, wie überwältigend die schiere Menge an sicherheitsbezogenen Problemen sein kann. Man muss verstehen, was wichtig ist und was nicht. Durch die Endlose Liste von Problemen zu gehen, bringt das Unternehmen nicht näher an die Risikoreduzierung heran. Stattdessen entsteht Frustration und sogar eine Abkehr von der Risikoreduzierung, da dies einfach zu viel Zeit und Ressourcen verbraucht.

Dies hat uns gelehrt, dass wir Entwicklern helfen müssen, sich auf das zu konzentrieren, was wirklich zählt – und ihnen dann erklären, warum es wichtig ist. Danach müssen wir ihnen zeigen, wie sie es leicht beheben können, oder noch besser – es für sie beheben, was jetzt mit Tools wie Agent OX möglich ist.

Diese Erkenntnis wurde zur Grundlage, auf der wir das Unternehmen aufbauten, und sie leitet alle unsere Produktentscheidungen heute. Jedes Feature, jede Fähigkeit, die wir entwickeln, beginnt mit der Frage: “Hilft dies Entwicklern, sich auf das zu konzentrieren, was wirklich zählt? Reduziert es das Risiko?”

Die Plattform konzentriert sich auf “Code-Projektion”, um Risiken über den gesamten SDLC zu kartieren. Können Sie erklären, wie diese Technologie funktioniert und was sie von anderen Vulnerabilitäts-Management-Tools unterscheidet?

Code-Projektion ist im Grunde eine Technologie, die ein Problem im Code erkennt und im Voraus weiß, wie es sich verhalten wird, wenn der Code in der Cloud ausgeführt wird. Dies ermöglicht es, Probleme zu lösen, lange bevor sie in der Produktion auftreten – wenn das Risiko bereits offengelegt ist.

Es funktioniert, indem es versteht, dass jeder Code einen Prozess hat, der ihn aufbaut und in die Cloud bringt – CI/CD. Wir können den Code lesen und interpretieren, was er bedeutet. Um ein Beispiel zu geben – was dem Internet ausgesetzt ist, hat offensichtlich andere Auswirkungen als das, was nicht.

Der Hauptunterschied zu anderen Produkten ist, dass die meisten Tools ihre Arbeit mit einer langen Liste von Problemen beenden. Ohne in der Lage zu sein, sich auf die 5% oder sogar weniger der wirklich signifikanten Risiken zu konzentrieren, filtern Sie durch diese – Sie enden mit Zeiträumen, die fast irrelevant sind. Sie wissen auch nicht, welcher Entwickler das Problem zuweisen soll.

Unsere Herangehensweise ändert das vollständig – wir identifizieren nicht nur Probleme, sondern liefern auch Kontext, Priorisierung und klare Eigentümerschaft.

Sie bieten eine vollständige Integration über Scanning-Tools, Secrets-Management, SBOM, SaaS-Discovery und mehr. Welche waren einige der schwierigsten technischen Herausforderungen, all diese in eine nahtlose Entwicklererfahrung zu integrieren?

Das schwierigste Problem ist, Daten in Erkenntnisse umzuwandeln. Daten sind all die Dinge, die Sie gerade erwähnt haben. Aber Entwickler benötigen Klarheit, Bullet-Points und Begründungen. Fokussierte Kommunikation. Wie man Berge von Daten in handhabbare Erkenntnisse umwandelt – das ist die größte Herausforderung in der Branche.

Diese Informationen so zu synthetisieren, dass sie eine kohärente Geschichte erzählen und klare, priorisierte Aktionen liefern, die Entwickler tatsächlich ausführen können – das war die größte Herausforderung.

PBOM (Pipeline Bill of Materials) ist eine OX-Neuerung. Wie unterscheidet es sich von SBOM, und warum ist es für die Sicherheit moderner Software-Supply-Chains unerlässlich?

PBOM ist die Fähigkeit, alles zu betrachten, was mit der Software passiert, vom Moment ihrer Erstellung bis zur Produktion. SBOM ist ein Bestandteil davon – es betrachtet alle Software-Pakete, die innerhalb einer Anwendung enthalten sind.

Um auf die vorherige Frage zu antworten – PBOM ist tatsächlich die Grundlage, die es uns ermöglicht, Daten in Erkenntnisse umzuwandeln, da es ein viel umfassenderes Bild betrachtet – alle Daten. Es erfasst die gesamte Reise und Transformation des Codes, nicht nur die Endkomponenten.

Diese umfassende Sicht ist unerlässlich, da traditionelle Sicherheitswerkzeuge nur das Endresultat sehen und kritische Angriffspunkte wie kompromittierte Build-Tools, bösartige Commits oder Pipeline-Manipulationen während der Entwicklung und des Deployments verpassen.

OX hat gerade Agent OX vorgestellt – eine neue Multi-Agent-Architektur, bei der jedes KI-Modell auf bestimmte Schwachstellen-Typen und Programmiersprachen ausgerichtet ist. Was hat diese Designentscheidung getrieben, und wie stellen Sie sicher, dass die von ihm vorgeschlagenen Lösungen sowohl erklärbar als auch vertrauenswürdig in der Praxis sind?

Wir haben diesen Multi-Agent-Ansatz entwickelt, indem wir uns ansahen, wie Menschen Expertenwissen erwerben, und dieses gleiche Prinzip auf KI anwendeten. Um ein Experte in etwas zu sein, muss ein Entwickler Experte in der Sprache, der spezifischen Architektur und der spezifischen Organisation sein. Ein einzelner Entwickler kann nicht alle Probleme beheben, und nach der gleichen Logik kann auch ein einzelnes KI-Modell nicht dieses Level an Expertise erreichen. Zusätzlich möchten Sie einen Agenten, der Qualitätssicherung durchführen kann.

Jeder Agent entwickelt also tiefes Fachwissen in seinem spezifischen Bereich, genau wie menschliche Spezialisten.

Für Vertrauenswürdigkeit und Erklärbarkeit schlägt jeder Agent nicht nur Lösungen vor, sondern erklärt auch seine Begründung, zeigt seine Arbeit und ermöglicht es Entwicklern, genau zu verstehen, warum eine bestimmte Lösung gewählt wurde.

Was hat Sie dazu bewogen, sich auf eine Ein-Klick-Behebung direkt innerhalb der Entwickler-Workflows zu konzentrieren? Und wie stellen Sie sicher, dass Entwickler die Kontrolle behalten und nicht unerwünschte Nebeneffekte erleben?

Die Hauptidee ist, Reibung zu reduzieren und Sicherheitsbehebungen zu verbessern. Wir geben Entwicklern die volle Kontrolle, die vorgeschlagene Lösung zu überprüfen und zu validieren, bevor sie sie annehmen.

Der Schlüssel ist, dass “Ein-Klick” nicht “automatisch” bedeutet – es bedeutet gestreamt. Entwickler können genau sehen, was geändert wird, verstehen, warum, die vorgeschlagene Lösung überprüfen und dann mit einer einzigen Aktion anwenden. Die Kontrolle und Entscheidungsbefugnis bleiben vollständig in ihren Händen, aber wir eliminieren die mühsame manuelle Arbeit der Recherche und Implementierung der Lösung.

Sie zählen Microsoft (MSFT ), IBM und SoFi zu Ihren Kunden. Wie prägen diese Unternehmensbeziehungen Ihre Roadmap und Ihren Feedback-Prozess für Tools wie Agent OX?

Wir arbeiten mit Hunderten von Kunden zusammen, und Dutzende von ihnen teilen mit uns die Herausforderungen, mit denen sie konfrontiert sind. Diese tiefen Diskussionen über Roadmap und Designmuster sind der Eckpfeiler unserer Fähigkeit, die vorgeschlagene Lösung fein zu justieren. Wir schätzen die Beziehungen, die wir mit unseren Kunden haben, sehr und sehen sie als oberste Priorität für uns als Unternehmen, da sie uns helfen, reale Bedürfnisse zu verstehen und Lösungen zu entwickeln, um sie zu erfüllen.

Wenn AI-Sicherheitswerkzeuge immer mainstream werden, wie balancieren Sie Automatisierung mit Entwickler-Vertrauen und -Kontrolle? Wo ziehen Sie die Grenze zwischen assistiver und autonomer Technologie?

Wie wir in vorherigen Revolutionen gesehen haben, überleben diejenigen, die nicht auf den Zug aufspringen, nicht. Wir sehen Organisationen, mit denen wir zusammenarbeiten, die alle ihre Ressourcen auf die AI-Adoption verlagert haben, weil sie verstehen, dass wir Zeugen einer Revolution sind.

Diese sind tatsächlich unsere kooperativsten Kunden, da sie mit einer neuen, unerforschten Spannung konfrontiert sind: Ihre Entwickler müssen schnell mit AI-Tools arbeiten, aber sie sind besorgt über den Verlust der Kontrolle. Sie sind sogar bereit, das Risiko und den vorübergehenden Verlust der Kontrolle zu akzeptieren, um einen Wettbewerbsvorteil zu erlangen, aber sie benötigen unsere Hilfe, um das Vertrauen wiederherzustellen. Unsere Aufgabe ist es, ihnen die Geschwindigkeit zu geben, die sie benötigen, während wir das Vertrauen in den Prozess wieder aufbauen.

Sie haben kürzlich eine Finanzierungsrunde von 60 Millionen Dollar abgeschlossen. Wie wird diese Finanzierung die nächste Wachstumsphase von OX vorantreiben – sei es auf der technischen, go-to-market- oder internationalen Expansionsseite?

Die neue Finanzierung ist im Grunde eine Expansion und wird uns auch helfen, unsere Fähigkeiten im Bereich der Identifizierung von Risiken, die aus AI-generiertem Code stammen, zu verbessern, was wir jetzt mit dem Start von Agent OX beginnen.

Wir analysieren bereits über 100 Millionen Codezeilen täglich für mehr als 200 zahlende Kunden. Diese Finanzierung ermöglicht es uns, diesen Einfluss global zu skalieren, während wir unsere Konzentration auf die Kernfragen beibehalten, die uns immer geleitet haben: “Hilft dies Entwicklern, sich auf das zu konzentrieren, was wichtig ist? Reduziert es das Risiko?”

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten OX Security besuchen.