Ronen Slavin, CTO und Mitgründer, Cycode – Interviewreihe

Ronen Slavin, CTO und Mitgründer von Cycode, ist ein serieller Unternehmer und ehemaliger Offizier der israelischen Verteidigungskräfte, Unit 8200. Bevor er Cycode 2019 gründete, co-gründete er FileLock, das 2018 von Reason Security übernommen wurde, und war Leiter der Forschung bei Reason Cybersecurity. Durch seine tiefen Kenntnisse in der Malware-Erkennung, der Schwachstellenforschung und der Ausnutzung hat Slavin eine Karriere an der Schnittstelle zwischen fortschrittlicher Sicherheitsforschung und Produktinnovation aufgebaut.

Cycode ist eine AI-nativen Anwendungssicherheitsplattform, die Sicherheits- und Entwicklungsteams mit handhabbaren Kontexten von Code bis zur Laufzeit verbindet. Durch die Konvergenz von AST, ASPM und Software-Lieferketten-Sicherheit sichert es sowohl AI- als auch menschlich generierten Code. Durch seine Risk Intelligence Graph (RIG), proprietäre Scanner und Integrationen bietet Cycode sofortige Risikodetektion, Change-Impact-Analyse (CIA) und AI-getriebene Fixes – schließt Sichtbarkeitslücken, beschleunigt die Behebung und senkt die Kosten von Tag eins an.

Was hat Sie dazu motiviert, Cycode zu gründen, und welches Schlüsselproblem in der Software-Sicherheit wollten Sie von Anfang an lösen?

Die Idee für Cycode entstand aus etwas, das wir wiederholt beobachtet hatten; Quellcode, der gestohlen oder unbeabsichtigt in die falschen Hände geriet. Nachdem wir Jahre in der Cybersicherheit und im offensiven Sicherheitsbereich verbracht und die Endgerätesicherheit bei Reason geleitet hatten, wurde uns bewusst, wie kritisch der Quellcode ist – nicht nur als Codezeilen, sondern als eines der wertvollsten Vermögenswerte eines Unternehmens. Es erhielt nicht die Sicherheit, die es verdiente.

Diese aufschlussreiche Erkenntnis inspirierte mich, Cycode zu gründen. Von Anfang an war unsere Mission klar: Quellcode in jedem Stadium schützen, vom Moment seiner Erstellung bis zum Moment seiner Auslieferung, all dies ohne die Dynamik der Entwickler zu behindern. Wir setzten uns das Ziel, sicherzustellen, dass Sicherheit und Ingenieurwesen Seite an Seite arbeiten können, mit Sicherheit, die nahtlos in den täglichen Arbeitsablauf integriert ist, anstatt ein Hindernis zu sein.

Was am meisten zählte, war es, Teams die Sichtbarkeit, Rechenschaftspflicht und Zusammenarbeit zu geben, die sie benötigten. Entwickler sollten nicht ihre Produktivität für Sicherheit opfern müssen, und Sicherheitsteams sollten nicht ohne Kontext oder Kontrolle operieren müssen. Cycode wurde geschaffen, um beides möglich zu machen.

Wie hat Ihre vorherige Erfahrung als Cybersicherheits-Unternehmer und Ihre Dienstzeit in Israels Elite-Geheimdienst, Unit 8200, Ihre technische Herangehensweise bei Cycode geprägt?

Meine Zeit in Israels Cybersicherheits-Ökosystem, insbesondere in Elite-Technologie-Umgebungen, hat mir eine Denkweise von Präzision, Anpassungsfähigkeit und unermüdlicher Neugier vermittelt. Ob ich bei Unit 8200 oder in meinen frühen Start-up-Tagen war, lernte ich, wie ein Angreifer und ein Verteidiger zu denken. Diese duale Perspektive war grundlegend für den Aufbau von Cycode.

Als Cybersicherheits-Unternehmer sah ich hautnah, wie fragmentiert und reaktiv die Sicherheitslandschaft geworden war. Sicherheitstools wurden oft nachträglich angebracht, was Entwicklern die Navigation durch einen Irrgarten von Warnungen ohne Kontext überließ. Das wollten wir ändern.

Bei Cycode haben wir einen systemweiten Ansatz verfolgt, bei dem der Quellcode als kritischer Vermögenswert behandelt wird und Sicherheit in den Software-Entwicklungslebenszyklus von Anfang an integriert wird. Mein Hintergrund hat mich gelehrt, dass Sicherheit proaktiv, kontextuell und entwicklungsfreundlich sein muss. Deshalb konzentrieren wir uns so sehr auf Automatisierung, Sichtbarkeit und die Überbrückung der Lücke zwischen Sicherheit und Software-Entwicklung. Es geht nicht nur darum, Schwachstellen zu finden, sondern darum, das zu beheben, was zählt, und das schnell zu tun.

Cycode kombiniert mehrere Schutzschichten, einschließlich AST (Anwendungssicherheitstest) und ASPM (Anwendungssicherheits-Posture-Management). Für diejenigen, die damit nicht vertraut sind, können Sie erklären, wie diese Elemente zusammenarbeiten – und was Cycode’s Ansatz einzigartig macht?

Absolut. Bei Cycode erfordert die Sicherung moderner Software mehr als nur das Scannen von Code; es erfordert ein umfassendes Verständnis davon, wie dieser Code erstellt, bereitgestellt und gewartet wird. Als AI-nativen Anwendungssicherheitsplattform ist unser Ansatz ein Differenzierer aufgrund der Konvergenz von Application Security Testing (AST), Application Security Posture Management (ASPM) und Software-Lieferketten-Sicherheit (SSCS).

AST-Tools wie SAST, DAST und SCA sind effektiv bei der Identifizierung von Schwachstellen in Code, Abhängigkeiten und Infrastruktur. Aber sie operieren oft in Silos, erzeugen Warnungen ohne Kontext. Das ist, wo ASPM herein kommt. ASPM verbindet die Punkte über den gesamten Software-Entwicklungslebenszyklus. Es bietet Sichtbarkeit in die Anwendungssicherheits-Posture mit Risikopriorisierung und handhabbarer Behebung, SSCS sichert CI/CD-Pipelines.

Was Cycode einzigartig macht, ist, wie wir diese Schichten vereinen und einen neuen Unternehmensstandard setzen. Heute, in dieser Ära der KI, muss Sicherheit intelligenter werden. Wir haben auf unserer Grundlage mit AST, ASPM und SSCS mit KI-Agenten aufgebaut, um zu helfen, Prioritäten zu setzen und das zu beheben, was zählt, schneller, und schließen die Sicherheitslücke, die ich vorher erwähnt habe.

Wie integriert Cycode moderne DevOps-Pipelines wie GitHub, GitLab oder Azure DevOps, um Risiken früher im Lebenszyklus zu erkennen?

Cycode wurde mit modernen DevOps im Blick entwickelt. Wir integrieren direkt in Plattformen wie GitHub, GitLab und Azure DevOps, um Sicherheit in jede Phase des Software-Entwicklungslebenszyklus einzubetten, ohne Teams zu behindern.

Unsere Plattform verbindet sich mit Quellcode- und CI/CD-Systemen, um Code, Konfigurationen und Workflows kontinuierlich zu überwachen. Wir scannen und pull-Requests in Echtzeit, sodass Entwickler sofortige Rückmeldung zu Schwachstellen erhalten, bevor Code gemergt wird. Wir analysieren auch Commit-Historie und Metadaten, um Probleme den richtigen Besitzern zuzuweisen, reduzieren Reibung und beschleunigen die Behebung.

In unserem Ansatz präsentieren wir nicht nur Warnungen; wir bieten vollständigen Kontext. Dazu gehören die Herkunft des Problems, seine potenzielle Auswirkung und die Schritte zur Lösung. Und da wir mit Tools wie JIRA integrieren, können wir automatisch Tickets erstellen und verfolgen, halten Sicherheit und Ingenieurwesen im Gleichschritt.

Letztendlich ist unser Ziel, Sicherheit nach links in einer kontrollierten, entwicklungsfreundlichen Weise zu verschieben, sodass Risiken früh identifiziert, prompt angegangen und nicht zu Blockierern später in der Pipeline werden.

Können Sie uns durch die Funktionsweise von Cycode’s Risk Intelligence Graph führen, der Teams hilft, Bedrohungen über Code, Container, Infrastruktur und Laufzeit zu verbinden?

Ja, es ist eine Funktion, auf die wir stolz sind. Der Risk Intelligence Graph, was wir RIG nennen, ist der Motor hinter Cycode’s Fähigkeit, Sicherheitsdaten über die gesamte Software-Lieferkette zu korrelieren und zu kontextualisieren.

Denken Sie an RIG als eine dynamische Karte, die alles von Quellcode und Open-Source-Abhängigkeiten bis hin zu CI/CD-Pipelines, Artifact-Registern und Laufzeitumgebungen verbindet. Es sammelt nicht nur Daten – es versteht Beziehungen. Wenn also eine Schwachstelle in einem Container gefunden wird, kann RIG sie zurückverfolgen zu der genauen Codezeile, dem Entwickler, der sie committete, der Pipeline, die sie baute, und der Infrastruktur, auf der sie läuft.

Diese Art von Sichtbarkeit ist kritisch. Sie ermöglicht Sicherheitsteams, Risiken basierend auf ihrer tatsächlichen Auswirkung zu priorisieren, anstatt nur nach Schweregraden. Mit AI im Inneren bietet es Entwicklern handhabbare Erkenntnisse und vollständigen Kontext, sodass sie Probleme schneller und zuverlässiger beheben können.

Es ist wichtig zu beachten, dass RIG nicht nur ein Dashboard ist; es ist ein Entscheidungsinstrument. Es hilft Teams, von Erkennung zu Lösung mit der Geschwindigkeit von DevOps zu gelangen, verbindet die Punkte über fragmentierte Systeme und bringt die Risiken ans Licht, die wirklich zählen.

Wie erkennt und verwaltet Cycode Risiken, die mit AI-generiertem Code und Integrationen mit Diensten wie OpenAI oder Hugging Face verbunden sind?

AI-generierter Code führt eine neue Ebene der Komplexität und des Risikos ein, insbesondere wenn er aus externen Diensten wie OpenAI oder Hugging Face stammt. Bei Cycode haben wir Fähigkeiten aufgebaut, um speziell diese sich entwickelnde Bedrohungslandschaft anzugehen. Zuletzt haben wir unseren AI-Exploitability-Agent und MCP-Server entwickelt, um AI-Entwicklung und Vibe-Coding-Workflows zu sichern.

Was unsere Plattform betrifft, bieten wir ein zentrales Anwendungs-Asset-Inventar, das alle Komponenten in einem Software-Ökosystem kartiert, einschließlich AI-Modelle, Drittanbieter-AI-Bibliotheken und Integrationen mit Diensten wie OpenAI oder Hugging Face. Dies bietet Teams vollständige Sichtbarkeit darüber, wo AI eingesetzt wird, auch wenn sie tief in den Stapel eingebettet ist.

Zweitens verwenden wir proprietäre Code-Analyse-Tools, die über das einfache Mustererkennen hinausgehen. Diese Tools können AI-generierten Code-Muster erkennen und Bibliotheken oder Frameworks identifizieren, die häufig mit maschinellem Lernen, NLP oder generativer AI assoziiert werden – auch wenn sie nicht explizit als solche gekennzeichnet sind.

Drittens scannen wir kontinuierlich nach AI-spezifischen Schwachstellen, Dingen wie adversarialen Angriffsflächen, Datenvergiftungsrisiken und Modell-Extraktionsbedrohungen. Diese sind aufkommende Vektoren, die traditionelle AST-Tools oft verpassen. Wir priorisieren diese Risiken basierend auf Schwere und Geschäftsauswirkung und bieten Behebungsleitfäden, die auf den AI-Kontext zugeschnitten sind.

Schließlich helfen wir Organisationen, regulatorischen Anforderungen wie dem EU-AI-Gesetz nachzukommen, indem wir die Dokumentation automatisieren und Transparenz über die Verwendung von AI in der Anwendung bieten. Dazu gehören Berichte über AI-Komponenten, ihren Zweck und ihre potenzielle Auswirkung, was für interne Governance und externe Audits von entscheidender Bedeutung ist.

In Kürze, Cycode erkennt nicht nur AI-bezogene Risiken; es hilft, sie zu verwalten, mit vollständigem Kontext, Rechenschaftspflicht und Compliance im Blick.

Was sind die größten Herausforderungen bei der Geheimnis-Erkennung in modernen SDLC-Umgebungen, und wie löst Cycode diese?

Geheimnis-Erkennung ist eine der kritischsten und übersehenen Herausforderungen in der modernen Software-Entwicklung. Geheimnisse wie API-Schlüssel, Token und Anmeldeinformationen werden oft direkt in den Quellcode, CI/CD-Pipelines und Konfigurationsdateien hartcodiert. Und mit dem Aufkommen verteilter Teams, Open-Source-Abhängigkeiten und schneller Release-Zyklen können diese Geheimnisse leicht in öffentliche Repositorys auslaufen oder von Angreifern ausgenutzt werden.

Die Herausforderung besteht darin, dass Geheimnisse nicht mehr nur im Code sind. Sie sind überall, in Build-Umgebungen, Artifact-Registern und sogar in Drittanbieter-Tools. Traditionelle Scanner verpassen sie oft oder erzeugen übermäßigen Lärm, was es Teams schwer macht, Maßnahmen zu ergreifen.

Bei Cycode gehen wir einen umfassenden Sicherheitsansatz. Unsere Plattform scannet den gesamten SDLC, von Code-Repositorys bis hin zu CI/CD-Pipelines und Laufzeitumgebungen, um exponierte Geheimnisse in Echtzeit zu erkennen. Wir korrelieren Funde mit Kontext, sodass Teams wissen, nicht nur was exponiert wurde, sondern wo, von wem und wie kritisch es ist.

Wir setzen auch Least-Privilege-Zugriff und sichere Pipeline-Konfigurationen um, um zu verhindern, dass Geheimnisse missbraucht werden. Und da wir mit Issue-Tracking-Systemen und Entwickler-Workflows integrieren, ist die Behebung schnell und reibungslos.

Letztendlich ist die Geheimnis-Erkennung nicht nur darum, die Leckage zu finden, sondern die gesamte Software-Fabrik zu sichern. Das ist, was Cycode’s Plattform aufgebaut ist, um zu tun.

Wie stellen Sie sicher, dass die Genauigkeit gewährleistet und falsche Positives bei der Überprüfung von Schwachstellen oder Geheimnissen reduziert werden?

Mit falschen Positiven umzugehen, kann sehr frustrierend für Entwickler sein. Wenn Teams ständig mit irrelevanten Warnungen bombardiert werden, ist es leicht, sie zu ignorieren, und genau dann können tatsächliche Bedrohungen durchschlüpfen. Durch unseren SAST-Motor helfen wir Teams, Code-Schwächen zu identifizieren, Genauigkeit zu erzielen und sich auf wahre Positives zu konzentrieren, um Zeit zu sparen und Software-Lieferung zu beschleunigen. In OWASP-Benchmark-Tests erzielte Cycode eine Falsch-Positiv-Rate von 2,1 %, was einer Reduktion von über 94 % im Vergleich zu alternativen Methoden entspricht.

Zuerst konzentrieren wir uns auf kontextuelle Korrelation. Anstatt nur ein potenzielles Problem zu markieren und weiterzumachen, ordnet unsere Plattform es dem größeren Bild eines Unternehmens-Software-Lieferketten zu. Wenn also ein Geheimnis in einem Commit entdeckt wird, assoziieren wir diese Feststellung mit der Pipeline, die es baute, der Umgebung, in der es bereitgestellt wurde, und dem Entwickler, der es hinzufügte. Dieser zusätzliche Kontext hilft uns, zu bestimmen, ob etwas ein echtes Risiko darstellt oder harmlos ist.

Als Nächstes analysieren unsere proprietären Scanning-Algorithmen weit mehr als nur grundlegende Muster. Unsere Geheimnis-Erkennungs-Engine analysiert Muster, Entropie und die Art und Weise, wie die Zeichenfolge verwendet wird, sodass wir zwischen echten Geheimnissen und ähnlich aussehenden Entitäten, wie Testdaten oder Platzhaltertext, unterscheiden können.

Wir integrieren auch mit Issue-Tracking-Systemen und Entwickler-Workflows, um alles zu verbinden. Wenn eine Schwachstelle oder ein Geheimnis bestätigt und behoben wird, hilft uns diese Rückmeldung, unsere Modelle intelligenter zu machen. Durch die Zuweisung von Problemen basierend auf Code-Eigentum helfen wir sicherzustellen, dass Probleme an die richtigen Personen ohne unnötliche Duplizierung gerichtet werden.

Letztendlich ist unser Ziel einfach. Wir zielen darauf ab, Sicherheit zu etwas zu machen, auf das Teams zählen können: weniger falsche Alarme, genauere Funde und schnellere Lösungen. Damit können Teams sich auf die Lösung der echten Probleme konzentrieren, die am meisten zählen.

Was ist der Wert von “Entwickler-zuerst”-Sicherheitstools, und wie vermeidet Cycode die Störung von Workflows?

Im Kern ist Entwickler-zuerst-Sicherheit darum, Schutz schnell, relevant und nur so sichtbar wie notwendig zu machen. Das ist, wie wir Entwicklung vorantreiben, während Software-Sicherheit aufrechterhalten wird.

Wenn Sicherheitstools Entwickler behindern oder mit zu vielen Warnungen überfluten, riskieren diese Tools, ignoriert zu werden. Deshalb wurde Cycode so konzipiert, um Entwickler zu unterstützen, anstatt sie zu behindern.

Der wahre Wert kommt aus der Einbindung von Sicherheit direkt in den täglichen Arbeitsablauf der Entwickler. Mit Cycode erfolgen Sicherheitsprüfungen sofort, genau dort, wo Entwickler Code schreiben und überprüfen, wie in der IDE oder während Pull-Requests. Das bedeutet, dass Entwickler Feedback erhalten, genau im Moment, wenn sie es benötigen, was es leicht macht, Probleme früh zu erkennen und sichere Codiergewohnheiten aufzubauen, ohne zusätzlichen Aufwand.

Kontext ist auch entscheidend. Anstatt vage Warnungen zu senden, bietet Cycode Entwicklern präzise Details: was die Schwachstelle ist, wo sie entstand, wer dafür verantwortlich ist und wie sie zu beheben ist. Diese Art von Information hilft, Verwirrung zu reduzieren und ermöglicht es Teams, Probleme effizienter zu lösen.

Durch die Integration mit beliebten CI/CD-Tools und Issue-Trackern wie JIRA stellt Cycode sicher, dass Sicherheit ein integraler Bestandteil des Software-Entwicklungsprozesses wird, anstatt etwas Separates oder Getrenntes. Entwickler können bei der Arbeit bleiben, und Sicherheitsteams erhalten die notwendige Aufsicht.

Welche Arten von Angriffen oder Schwachstellen erwarten Sie, dass sie zunehmen, wenn mehr Unternehmen AI in ihre Entwicklungsworkflows integrieren?

Wenn AI immer mehr Teil des täglichen Entwicklungsprozesses wird, werden wir wahrscheinlich eine neue Reihe von Schwachstellen erleben. Diese werden nicht nur technische Herausforderungen sein – einige werden aus der Art und Weise entstehen, wie Menschen und Teams mit diesen Tools interagieren.

Ein eines der größten Risiken ist, dass Entwickler zu sehr auf AI-generierten Code angewiesen werden. Wenn Entwickler annehmen, dass jeder AI-Vorschlag korrekt ist, können sie unbeabsichtigt versteckte Fehler oder Sicherheitsprobleme einführen. Da die Verantwortlichkeitslinien verschwimmen können, wenn Code von einer Maschine stammt, können diese Probleme unbemerkt bleiben.

Es gibt auch eine wachsende Besorgnis über Lieferkettenangriffe, die speziell AI-Modelle und -APIs ins Visier nehmen. Wenn vertrauenswürdige Dienste wie OpenAI oder Hugging Face kompromittiert werden oder wenn jemand ein schädliches Modell in einen Workflow einschleust, können Angreifer Ausgaben ändern oder sensible Informationen stehlen.

Ein weiteres aufkommendes Risiko ist Datenvergiftung. In diesem Szenario machen Angreifer subtile, strategische Änderungen an den Trainingsdaten, die später die Art und Weise beeinflussen können, wie das AI-Modell funktioniert. Diese Art von Angriff ist besonders gefährlich in Bereichen wie Betrugsbekämpfung oder Zugangskontrolle, wo Sicherheit von entscheidender Bedeutung ist.

Daneben werden Unternehmen unter zunehmendem Druck stehen, was Erklärbarkeit und Compliance betrifft. Neue Vorschriften wie das EU-AI-Gesetz werden Unternehmen verpflichten, zu erklären, wie ihre AI-Systeme Entscheidungen treffen und auf welcher Grundlage diese Entscheidungen getroffen werden. Dies kann sehr herausfordernd sein, wenn Modelle Black-Boxen sind oder wenn Teams Drittanbieter-Tools verwenden, die keine Transparenz bieten.

Bei Cycode entwickeln wir Tools, die Teams helfen, AI-spezifische Risiken zu identifizieren, wie adversarialen Schwachstellen, Modellmissbrauch und unsichere Integrationen. Wir möchten auch sicherstellen, dass Entwickler für den Code, den sie ausliefern, verantwortlich bleiben, egal ob er von einer Person oder autonom generiert wird.

Blicken Sie fünf Jahre voraus, wie sehen Sie die Rolle von AI bei der Sicherung von Software-Lieferketten?

AI transformiert bereits, wie wir Anwendungssicherheit angehen, aber sein voller Einfluss auf die Software-Lieferkette hat gerade erst begonnen. In den nächsten fünf Jahren glaube ich, dass AI ein integraler Bestandteil davon wird, wie wir Risiken im gesamten Entwicklungsprozess identifizieren, priorisieren und angehen.

Zunächst wird AI helfen, Sicherheits- und Entwicklungsteams näher zusammenzubringen. Derzeit gibt es oft Spannungen, da Sicherheitstools den Arbeitsablauf stören oder essenziellen Kontext fehlt. AI hat das Potenzial, diese Kanten zu glätten, indem es Sicherheitsfeststellungen in handhabbare Erkenntnisse umwandelt, Reparaturen automatisch empfiehlt und sogar sichere Code-Lösungen generiert, die auf den Workflow jedes Teams zugeschnitten sind.

AI wird auch immer wichtiger, um zu verstehen, was in Echtzeit passiert. Es wird Build-Umgebungen, Container und APIs überwachen und ungewöhnliche Aktivitäten erkennen, sobald sie auftreten. Diese Echtzeit-Überwachung wird entscheidend, da Lieferkettenangriffe immer komplexer und schwerer zu erkennen werden durch traditionelles Scannen allein.

Darüber hinaus wird AI Unternehmen helfen, das Labyrinth der Vorschriften zu navigieren. Wenn Regierungen mehr Regeln darüber einführen, wie AI eingesetzt werden soll, werden Organisationen Tools benötigen, die erklären können, warum AI-Systeme Entscheidungen treffen, wie sie getroffen werden, und wer dafür verantwortlich ist. Ich sehe AI, das Dokumentation erstellt, Abhängigkeiten kartiert und Richtlinien über komplexe Systeme hinweg durchsetzt.

Trotz all dieser Fortschritte wird menschliche Aufsicht immer noch entscheidend sein. AI ist nicht hier, um Menschen zu ersetzen, sondern um sie zu befähigen. Entwickler und Sicherheitsteams werden immer die Verantwortung tragen, besonders wenn AI-generierter Code neue Risiken einführen kann. Das ist ein großer Grund, warum wir uns auf die Entwicklung von Tools konzentrieren, die AI so transparent, verständlich und rechenschaftspflichtig wie möglich machen.

Letztendlich wird AI der verbindende Faden sein, der Software-Lieferketten sicherer macht, aber nur, wenn wir sie sorgfältig einsetzen und Menschen auf jedem Schritt beteiligen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Cycode besuchen.