Ronen Slavin, CTO und Mitbegründer, Cycode – Interviewreihe

Ronen Slawin, CTO und Mitgründer von Cycode, ist ein Serienunternehmer und ehemaliger Offizier der Einheit 8200 der israelischen Streitkräfte. Bevor er 2019 Cycode gründete, war er Mitgründer von FileLock, das 2018 von Reason Security übernommen wurde, und leitete die Forschung bei Reason Cybersecurity. Mit seiner umfassenden Expertise in den Bereichen Malware-Erkennung, Schwachstellenforschung und -ausnutzung hat Slavin eine Karriere an der Schnittstelle von fortschrittlicher Sicherheitsforschung und Produktinnovation aufgebaut.

Cycode ist eine KI-native Anwendungssicherheitsplattform, die Sicherheits- und Entwicklungsteams mit umsetzbarem Kontext vom Code bis zur Laufzeit vereint. Durch die Zusammenführung von AST, ASPM und Software-Lieferkettensicherheit sichert sie sowohl KI- als auch menschlich generierten Code. Basierend auf dem Risk Intelligence Graph (RIG), proprietären Scannern und Integrationen bietet Cycode sofortige Risikoerkennung, Change Impact Analysis (CIA) und KI-gesteuerte Fehlerbehebungen. Das schließt Transparenzlücken, beschleunigt die Fehlerbehebung und senkt die Kosten vom ersten Tag an.

Was hat Sie dazu motiviert, Cycode zu gründen, und welches zentrale Problem der Softwaresicherheit wollten Sie von Anfang an lösen?

Die Idee für Cycode entstand aus einer Beobachtung, die wir wiederholt gemacht hatten: Quellcode wurde gestohlen oder gelangte versehentlich in die falschen Hände. Nach Jahren im Bereich Cybersicherheit und offensiver Sicherheit sowie als Leiter des Endpunktschutzes bei Reason wurde uns klar, wie wichtig Quellcode ist – nicht nur als Codezeilen, sondern als eines der wertvollsten Vermögenswerte eines Unternehmens. Er erhielt nicht die Sicherheit, die er verdient hätte.

Diese augenöffnende Erkenntnis inspirierte mich zur Gründung von Cycode. Unsere Mission war von Anfang an klar: Quellcode in jeder Phase schützen, vom Schreiben bis zur Auslieferung, ohne die Motivation und Dynamik der Entwickler zu beeinträchtigen. Wir wollten sicherstellen, dass Sicherheit und Entwicklung Hand in Hand gehen und die Sicherheit nahtlos in den täglichen Arbeitsablauf integriert wird, anstatt sie zu behindern.

Das Wichtigste war, den Teams die nötige Transparenz, Verantwortlichkeit und Zusammenarbeit zu geben. Entwickler sollten ihre Produktivität nicht der Sicherheit opfern müssen, und Sicherheitsteams sollten nicht ohne Kontext und Kontrolle arbeiten müssen. Cycode wurde entwickelt, um beides zu ermöglichen.

Wie haben Ihre früheren Erfahrungen als Unternehmer im Bereich Cybersicherheit und Ihr Dienst in Israels Elite-Geheimdiensteinheit 8200 Ihren technischen Ansatz bei Cycode geprägt?

Meine Zeit im israelischen Cybersicherheits-Ökosystem, insbesondere in hochkarätigen technischen Umgebungen, hat mir eine Denkweise von Präzision, Anpassungsfähigkeit und unermüdlicher Neugier vermittelt. Ob bei Unit 8200 oder in meinen frühen Startup-Tagen – ich habe gelernt, sowohl als Angreifer als auch als Verteidiger zu denken. Diese duale Perspektive war grundlegend für den Aufbau von Cycode.

Als Unternehmer im Bereich Cybersicherheit habe ich aus erster Hand miterlebt, wie fragmentiert und reaktiv die Sicherheitslandschaft geworden war. Sicherheitstools wurden oft erst nachträglich hinzugefügt, sodass Entwickler sich durch ein Labyrinth von Warnmeldungen ohne Kontext navigieren mussten. Das wollten wir ändern.

Bei Cycode verfolgen wir einen systemischen Ansatz, behandeln Quellcode als kritisches Asset und integrieren Sicherheit von Grund auf in den Softwareentwicklungszyklus. Mein Hintergrund hat mich gelehrt, dass Sicherheit proaktiv, kontextbezogen und entwicklerfreundlich sein muss. Deshalb legen wir großen Wert auf Automatisierung, Transparenz und die Überbrückung der Lücke zwischen Sicherheit und Softwareentwicklung. Es geht nicht nur darum, Schwachstellen zu finden, sondern die entscheidenden Probleme schnell zu beheben.

Cycode kombiniert mehrere Schutzebenen, darunter AST (Application Security Testing) und ASPM (Application Security Posture Management). Können Sie für diejenigen, die damit nicht vertraut sind, erklären, wie diese Elemente zusammenarbeiten – und was den Ansatz von Cycode so einzigartig macht?

Absolut. Bei Cycode erfordert die Sicherung moderner Software mehr als nur das Scannen von Code. Sie erfordert ein ganzheitliches Verständnis davon, wie dieser Code erstellt, bereitgestellt und gewartet wird. Als KI-native Anwendungssicherheitsplattform ist unser Ansatz durch die Konvergenz von Application Security Testing (AST), Application Security Posture Management (ASPM) und Software Supply Chain Security (SSCS) ein Alleinstellungsmerkmal.

AST-Tools wie SAST, DAST und SCA identifizieren Schwachstellen in Code, Abhängigkeiten und Infrastruktur. Sie arbeiten jedoch oft isoliert und generieren Warnungen ohne Kontext. Hier kommt ASPM ins Spiel. ASPM verbindet die Punkte über den gesamten Softwareentwicklungszyklus hinweg. Es bietet Einblick in die Anwendungssicherheit mit Risikopriorisierung und umsetzbaren Maßnahmen. SSCS integriert die Plattform zur Sicherung von CI/CD-Pipelines.

Was Cycode einzigartig macht, ist die Vereinheitlichung dieser Ebenen und die Schaffung eines neuen Unternehmensstandards. Im Zeitalter der KI muss Sicherheit heute intelligenter werden. Wir haben unsere Basis mit AST, ASPM und SSCS mit KI-Agenten erweitert, um wichtige Probleme schneller zu priorisieren und zu beheben und so die bereits erwähnte Sicherheitslücke zu schließen.

Wie lässt sich Cycode in moderne DevOps-Pipelines wie GitHub, GitLab oder Azure DevOps integrieren, um Risiken früher im Lebenszyklus zu erkennen?

Cycode wurde mit Blick auf moderne DevOps entwickelt. Wir integrieren direkt in Plattformen wie GitHub, GitLab und Azure DevOps, um Sicherheit in jede Phase des Softwareentwicklungszyklus einzubetten, ohne die Teams auszubremsen.

Unsere Plattform verbindet sich mit Quellcodeverwaltungs- und CI/CD-Systemen, um Code, Konfigurationen und Workflows kontinuierlich zu überwachen. Wir scannen und ziehen Anfragen in Echtzeit, sodass Entwickler sofortiges Feedback zu Schwachstellen erhalten, bevor Code zusammengeführt wird. Wir analysieren außerdem den Commit-Verlauf und die Metadaten, um Probleme den richtigen Verantwortlichen zuzuweisen. Das reduziert Reibungsverluste und beschleunigt die Behebung.

Bei unserem Ansatz zeigen wir nicht nur Warnmeldungen an, sondern liefern den vollständigen Kontext. Dazu gehören der Ursprung des Problems, seine möglichen Auswirkungen und die Schritte zu seiner Lösung. Dank der Integration mit Tools wie JIRA können wir Tickets automatisch erstellen und verfolgen und so Sicherheit und Technik synchronisieren.

Letztendlich besteht unser Ziel darin, die Sicherheit auf kontrollierte und entwicklerfreundliche Weise nach links zu verschieben, sodass Risiken frühzeitig erkannt und umgehend behoben werden und später in der Pipeline nicht zu Blockaden werden.

Können Sie uns erklären, wie der Risk Intelligence Graph von Cycode Teams dabei hilft, Bedrohungen über Code, Container, Infrastruktur und Laufzeit hinweg zu verknüpfen?

Ja, wir sind stolz darauf, diese Funktion anbieten zu können. Der Risk Intelligence Graph, von uns RIG genannt, ist der Motor hinter Cycodes Fähigkeit, Sicherheitsdaten über die gesamte Software-Lieferkette hinweg zu korrelieren und zu kontextualisieren.

Stellen Sie sich RIG als dynamische Karte vor, die alles miteinander verbindet – von Quellcode und Open-Source-Abhängigkeiten bis hin zu CI/CD-Pipelines, Artefakt-Registrierungen und Laufzeitumgebungen. Es sammelt nicht nur Daten, sondern versteht auch Zusammenhänge. Wird also eine Schwachstelle in einem Container gefunden, kann RIG diese bis zur genauen Codezeile, dem Entwickler, der sie implementiert hat, der Pipeline, die sie erstellt hat, und der Infrastruktur, auf der sie läuft, zurückverfolgen.

Dieser Grad an Transparenz ist entscheidend. Er ermöglicht es Sicherheitsteams, Risiken anhand ihrer tatsächlichen Auswirkungen zu priorisieren, anstatt nur anhand von Schweregraden. Dank integrierter KI erhalten Entwickler umsetzbare Erkenntnisse und den vollständigen Kontext, sodass sie Probleme schneller und sicherer beheben können.

Wichtig zu wissen: RIG ist nicht nur ein Dashboard, sondern ein Entscheidungstool. Es unterstützt Teams dabei, mit DevOps-Geschwindigkeit von der Erkennung zur Lösung zu gelangen, indem es die Zusammenhänge zwischen fragmentierten Systemen verbindet und die wirklich wichtigen Risiken aufdeckt.

Wie erkennt und verwaltet Cycode Risiken im Zusammenhang mit KI-generiertem Code und Integrationen mit Diensten wie OpenAI oder Hugging Face?

KI-generierter Code bringt eine neue Ebene der Komplexität und des Risikos mit sich, insbesondere wenn er von externen Diensten wie OpenAI oder Hugging Face stammt. Bei Cycode haben wir spezielle Funktionen entwickelt, um dieser sich entwickelnden Bedrohungslandschaft zu begegnen. Zuletzt haben wir unseren AI Exploitability Agent und unseren MCP Server entwickelt, um KI-Entwicklungs- und Vibe-Coding-Workflows zu sichern.

Unsere Plattform bietet ein zentrales Application Asset Inventory, das alle Komponenten eines Software-Ökosystems abbildet, einschließlich KI-Modellen, KI-Bibliotheken von Drittanbietern und Integrationen mit Diensten wie OpenAI oder Hugging Face. Dadurch erhalten Teams vollständige Transparenz darüber, wo KI eingesetzt wird, selbst wenn sie tief im Stack eingebettet ist.

Zweitens verwenden wir proprietäre Codeanalyse-Tools, die über die bloße Keyword-Übereinstimmung hinausgehen. Diese Tools können KI-generierte Codemuster erkennen und Bibliotheken oder Frameworks identifizieren, die üblicherweise mit maschinellem Lernen, NLP oder generativer KI in Verbindung gebracht werden – auch wenn sie nicht explizit als solche gekennzeichnet sind.

Drittens sucht Cycode kontinuierlich nach KI-spezifischen Schwachstellen, wie etwa Angriffsflächen für Angreifer, Risiken durch Datenvergiftung und Bedrohungen durch Modellextraktion. Dies sind neue Vektoren, die herkömmliche AST-Tools oft übersehen. Wir priorisieren diese Risiken nach Schweregrad und geschäftlichen Auswirkungen und bieten auf den KI-Kontext zugeschnittene Anleitungen zur Behebung.

Schließlich unterstützen wir Unternehmen bei der Einhaltung von Vorschriften wie dem EU-KI-Gesetz, indem wir die Dokumentation automatisieren und Transparenz über den KI-Einsatz in der gesamten Anwendung schaffen. Dazu gehört die Erstellung von Berichten über KI-Komponenten, ihren Zweck und ihre potenziellen Auswirkungen, die sowohl für die interne Governance als auch für externe Audits von entscheidender Bedeutung sind.

Kurz gesagt: Cycode erkennt nicht nur KI-bezogene Risiken, sondern hilft auch bei deren Management unter Berücksichtigung des vollständigen Kontexts, der Verantwortlichkeit und der Compliance.

Was sind die größten Herausforderungen bei der Geheimniserkennung in modernen SDLC-Umgebungen und wie löst Cycode sie?

Die Erkennung von Geheimnissen ist eine der kritischsten und am häufigsten übersehenen Herausforderungen in der modernen Softwareentwicklung. Geheimnisse wie API-Schlüssel, Token und Anmeldeinformationen sind häufig fest in Quellcode, CI/CD-Pipelines und Konfigurationsdateien einprogrammiert. Und mit der Zunahme verteilter Teams, Open-Source-Abhängigkeiten und schneller Release-Zyklen können diese Geheimnisse leicht in öffentliche Repositories gelangen oder von Angreifern ausgenutzt werden.

Die Herausforderung besteht darin, dass Geheimnisse nicht mehr nur im Code stecken. Sie sind überall zu finden, in Build-Umgebungen, Artefakt-Registern und sogar in Tools von Drittanbietern. Herkömmliche Scanner übersehen sie oft oder erzeugen übermäßiges Rauschen, was es den Teams erschwert, Maßnahmen zu ergreifen.

Bei Cycode verfolgen wir einen ganzheitlichen Sicherheitsansatz. Unsere Plattform scannt den gesamten SDLC, von Code-Repositories über CI/CD-Pipelines bis hin zu Laufzeitumgebungen, um offengelegte Geheimnisse in Echtzeit zu erkennen. Wir korrelieren die Ergebnisse mit dem Kontext, sodass Teams nicht nur wissen, was offengelegt wurde, sondern auch wo, von wem und wie kritisch es ist.

Wir setzen außerdem auf den Zugriff mit den geringsten Berechtigungen und sichern Pipeline-Konfigurationen, um den Missbrauch von Geheimnissen zu verhindern. Und da wir in Problemverfolgungssysteme und Entwickler-Workflows integriert sind, erfolgt die Behebung schnell und reibungslos.

Letztendlich geht es bei der Geheimniserkennung nicht nur darum, das Leck zu finden, sondern die gesamte Softwarefabrik zu sichern. Genau dafür ist die Plattform von Cycode konzipiert.

Wie stellen Sie die Genauigkeit sicher und reduzieren Fehlalarme beim Scannen nach Schwachstellen oder Geheimnissen?

Der Umgang mit Fehlalarmen kann für Entwickler unglaublich frustrierend sein. Wenn Teams ständig mit irrelevanten Warnungen bombardiert werden, ignorieren sie diese leicht. Genau dann können echte Bedrohungen durchkommen. Mit unserer SAST-Engine helfen wir Teams, Code-Schwachstellen zu identifizieren, Genauigkeit zu erreichen und sich auf echte Positive zu konzentrieren, um Zeit zu sparen und die Softwarebereitstellung zu beschleunigen. In OWASP-Benchmark-Tests erreichte Cycode eine Fehlalarmrate von 2.1 %, was einer Reduzierung um über 94 % im Vergleich zu alternativen Methoden entspricht.

Zunächst konzentrieren wir uns auf den Kontext. Anstatt ein potenzielles Problem nur zu markieren und weiterzumachen, ordnet unsere Plattform es dem Gesamtbild der Software-Lieferkette eines Unternehmens zu. Wenn also in einem Commit ein Geheimnis entdeckt wird, verknüpfen wir diesen Fund mit der Pipeline, die es erstellt hat, der Umgebung, in der es bereitgestellt wurde, und dem Entwickler, der es hinzugefügt hat. Dieser zusätzliche Kontext hilft uns zu bestimmen, ob etwas ein echtes Risiko darstellt oder lediglich harmlos ist.

Unsere proprietären Scan-Algorithmen leisten weit mehr als nur einfache Mustererkennung. Unsere Engine zur Geheimniserkennung analysiert Muster, Entropie und die Art und Weise, wie die Zeichenfolge verwendet wird. So können wir zwischen echten Geheimnissen und ähnlich aussehenden Entitäten wie Testdaten oder Platzhaltertext unterscheiden.

Wir integrieren außerdem Issue-Tracking-Systeme und Entwickler-Workflows, um die Vernetzung zu gewährleisten. Wenn eine Schwachstelle oder ein Geheimnis bestätigt und behoben wird, hilft uns dieses Feedback, unsere Modelle zu optimieren. Durch die Zuweisung von Problemen basierend auf der Code-Eigentümerschaft stellen wir sicher, dass Probleme ohne unnötige Doppelarbeit an die richtigen Personen weitergeleitet werden.

Letztendlich ist unser Ziel einfach: Wir möchten Sicherheit zu etwas machen, auf das sich Teams verlassen können: weniger Fehlalarme, präzisere Ergebnisse und schnellere Lösungen. So können sich die Teams auf die Lösung der wirklich wichtigen Probleme konzentrieren.

Welchen Wert haben „Entwickler-zuerst“-Sicherheitstools und wie vermeidet Cycode Unterbrechungen der Arbeitsabläufe?

Im Kern geht es bei der Entwicklersicherheit darum, den Schutz schnell, relevant und nur so sichtbar wie nötig zu gestalten. So treiben wir die Entwicklung voran und gewährleisten gleichzeitig die Softwaresicherheit.

Wenn Sicherheitstools Entwickler ausbremsen oder mit zu vielen Warnmeldungen überfordern, besteht die Gefahr, dass diese Tools ignoriert werden. Deshalb wurde Cycode entwickelt, um Entwickler zu unterstützen, anstatt sie zu behindern.

Der wahre Mehrwert liegt darin, Sicherheit direkt in den täglichen Arbeitsablauf des Entwicklers zu integrieren. Mit Cycode erfolgen Sicherheitsprüfungen sofort, direkt dort, wo Entwickler Code schreiben und überprüfen, beispielsweise in der IDE oder bei Pull Requests. So erhalten Entwickler sofort Feedback, sobald sie es benötigen. So können Probleme frühzeitig erkannt und sichere Programmiergewohnheiten ohne zusätzlichen Aufwand entwickelt werden.

Auch der Kontext ist entscheidend. Statt vage Warnungen zu versenden, liefert Cycode den Entwicklern präzise Details: Worin besteht die Schwachstelle, wo sie entstanden ist, wer dafür verantwortlich ist und wie sie behoben werden kann. Diese Informationen tragen dazu bei, Verwirrung zu vermeiden und ermöglichen es den Teams, Probleme effizienter zu lösen.

Durch die Integration mit gängigen CI/CD-Tools und Issue-Trackern wie JIRA stellt Cycode sicher, dass Sicherheit ein integraler Bestandteil des Softwareentwicklungsprozesses wird und nicht als separater oder isolierter Aspekt fungiert. Entwickler können sich auf ihre Aufgaben konzentrieren, und Sicherheitsteams erhalten die nötige Übersicht.

Welche Arten von Angriffen oder Schwachstellen werden Ihrer Meinung nach zunehmen, wenn immer mehr Unternehmen KI in ihre Entwicklungsabläufe integrieren?

Da KI immer mehr zu einem integralen Bestandteil der täglichen Entwicklungsarbeit wird, werden wir wahrscheinlich auf eine Reihe neuer Schwachstellen stoßen. Dabei handelt es sich nicht nur um technische Herausforderungen – einige ergeben sich auch aus der Art und Weise, wie Menschen und Teams mit diesen Tools interagieren.

Eines der größten Risiken besteht darin, dass sich Entwickler zu sehr auf KI-generierten Code verlassen. KI kann den Prozess zwar beschleunigen, ist aber nicht perfekt. Wenn Entwickler davon ausgehen, dass jeder KI-Vorschlag richtig ist, können sie versehentlich versteckte Fehler oder Sicherheitsprobleme einführen. Da die Verantwortungsbereiche bei maschinellem Code verschwimmen können, können diese Probleme unbemerkt bleiben.

Zudem wächst die Besorgnis über Supply-Chain-Angriffe, die speziell auf KI-Modelle und APIs abzielen. Werden beispielsweise vertrauenswürdige Dienste wie OpenAI oder Hugging Face kompromittiert oder schleust jemand ein bösartiges Modell in einen Workflow ein, könnten Angreifer Ergebnisse verändern oder vertrauliche Informationen stehlen.

Eine weitere neue Bedrohung ist die Datenvergiftung. Dabei nehmen Angreifer subtile, strategische Änderungen an den Trainingsdaten vor, die sich später auf das Verhalten des KI-Modells auswirken können. Diese Art von Angriff ist besonders gefährlich in Bereichen wie der Betrugserkennung oder der Zugangskontrolle, wo Sicherheit von entscheidender Bedeutung ist.

Darüber hinaus werden Unternehmen zunehmend unter Druck geraten, ihre Systeme nachvollziehbar und konform zu gestalten. Neue Vorschriften wie der EU-KI-Act verpflichten Unternehmen dazu, die Entscheidungsfindung und -grundlage ihrer KI-Systeme zu erläutern. Dies kann eine große Herausforderung darstellen, wenn es sich bei den Modellen um Blackboxes handelt oder die Teams Tools von Drittanbietern verwenden, denen Transparenz fehlt.

Bei Cycode entwickeln wir Tools, die Teams dabei helfen, KI-spezifische Risiken wie Angriffspunkte, Modellmissbrauch und unsichere Integrationen zu identifizieren. Wir möchten außerdem sicherstellen, dass Entwickler für den von ihnen bereitgestellten Code verantwortlich bleiben, unabhängig davon, ob dieser von einer Person geschrieben oder autonom generiert wurde.

Wie sehen Sie die Entwicklung der Rolle der KI bei der Sicherung von Software-Lieferketten in den nächsten fünf Jahren?

KI verändert bereits unseren Umgang mit Anwendungssicherheit, doch ihr voller Einfluss auf die Software-Lieferkette beginnt gerade erst. Ich bin überzeugt, dass KI in den nächsten fünf Jahren ein integraler Bestandteil der Identifizierung, Priorisierung und Bewältigung von Risiken im gesamten Entwicklungsprozess sein wird.

Zunächst einmal wird KI dazu beitragen, Sicherheits- und Entwicklungsteams enger zusammenzubringen. Derzeit kommt es häufig zu Spannungen, da Sicherheitstools Arbeitsabläufe unterbrechen oder wichtigen Kontext vermissen lassen. KI hat das Potenzial, diese Probleme zu lösen, indem sie Sicherheitsbefunde in umsetzbare Erkenntnisse umwandelt, automatisch Fehlerbehebungen empfiehlt und sogar sichere Codelösungen generiert, die auf den Arbeitsablauf jedes Teams zugeschnitten sind.

KI wird auch für das Echtzeit-Verstehen von Vorgängen immer wichtiger. Sie überwacht Build-Umgebungen, Container und APIs und erkennt ungewöhnliche Aktivitäten, sobald sie auftreten. Diese Echtzeitüberwachung ist unerlässlich, da Angriffe auf die Lieferkette immer ausgefeilter werden und mit herkömmlichen Scans allein schwerer zu erkennen sind.

Darüber hinaus wird KI Unternehmen dabei helfen, sich im wachsenden Regulierungsdschungel zurechtzufinden. Da Regierungen immer mehr Regeln für den Einsatz von KI einführen, benötigen Organisationen Tools, die die Gründe für jede KI-Entscheidung erklären, die Herkunft der Modelle nachverfolgen und die Mitarbeiter zur Verantwortung ziehen. Ich sehe KI in der Dokumentationserstellung, der Abbildung von Abhängigkeiten und der Durchsetzung von Richtlinien in komplexen Systemen.

Trotz all dieser Fortschritte bleibt die menschliche Kontrolle weiterhin entscheidend. KI soll Menschen nicht ersetzen, sondern ihnen mehr Macht verleihen. Entwickler und Sicherheitsteams werden immer Verantwortung übernehmen müssen, vor allem wenn KI-generierter Code neue Risiken birgt. Das ist ein wichtiger Grund, warum wir uns der Entwicklung von Tools widmen, die KI so transparent, verständlich und nachvollziehbar wie möglich machen.

Letztendlich wird KI zum verbindenden Element, das Software-Lieferketten sicherer macht, aber nur, wenn wir sie mit Bedacht einsetzen und die Menschen bei jedem Schritt einbeziehen.

Vielen Dank für das tolle Interview, Leser, die mehr erfahren möchten, sollten vorbeischauen Cycode.