Varun Badhwar, Gründer und CEO von Endor Labs – Interview-Serie

Varun Badhwar, Gründer und CEO von Endor Labs, ist ein Cyber-Sicherheits-Unternehmer, der für den Bau und die Führung von Unternehmen an der Spitze von Cloud- und Anwendungssicherheit bekannt ist. Seit 2021 leitet er Endor Labs, das sich auf die Sicherung von künstlicher Intelligenz-getriebener Software-Entwicklung konzentriert. Zuvor war er SVP und GM von Prisma Cloud bei Palo Alto Networks (PANW ) und Gründer von RedLock, einem Cloud-Sicherheits-Startup, das von Palo Alto Networks übernommen wurde.

Endor Labs ist eine Anwendungssicherheitsplattform, die für die Ära der künstlichen Intelligenz entwickelt wurde und dazu dient, Ingenieur- und Sicherheitsteams dabei zu helfen, Geschwindigkeit und Sicherheit in der Software-Entwicklung in Einklang zu bringen. Die Plattform integriert Funktionen wie Reichweiten-basierte Software-Zusammensetzungsanalyse, SAST, Container-Scanning, Geheimnis-Erkennung und CI/CD-Pipeline-Schutz in einer einheitlichen Ansicht, um Teams dabei zu helfen, zu erkennen, welche Schwachstellen wirklich wichtig sind und welche Prioritäten gesetzt werden sollten. Sie umfasst auch künstliche Intelligenz-Agenten, die Pull-Requests auf architektonische Änderungen analysieren und Risiken in künstlich generiertem Code frühzeitig im Entwicklungszyklus erkennen.

Sie haben zuvor große Sicherheitsunternehmen aufgebaut und skaliert — wie haben diese Erfahrungen dazu geführt, Endor Labs zu gründen, und welches Problem wollten Sie am Anfang am meisten lösen?

Im Jahr 2021 war ich bei Palo Alto Networks, als der SolarWinds (SWI )-Angriff stattfand. Es war massiv. Jeder Kunde, der ihre Software verwendete, war betroffen, und wir waren keine Ausnahme. Als ich mich mit unserer eigenen Software-Verwaltung auseinandersetzte, erkannte ich, dass wir 450 Ingenieure und 68.000 Sicherheits-Schwachstellen hatten, aber die Ingenieure ignorierten sie größtenteils. Der Grund? Ein überwältigender Anteil von 80–90% der Warnungen waren Falschpositiven, und herkömmliche Tools verstanden nicht, wie Entwickler tatsächlich arbeiten.

Damals wurde mir klar: Moderne Software-Entwicklung ist mehr wie Montage als wie Erstellung. Wir versenden Code, der hauptsächlich aus Drittanbieter-Bibliotheken besteht, ohne Garantien für Qualität oder Sicherheit. Ich sah die Diskrepanz zwischen Sicherheits- und Ingenieur-Teams, die adversarischen Dynamiken und die politischen Reibungspunkte. Ich wusste, dass wir die Anwendungssicherheit von Grund auf neu denken mussten, was zur Gründung von Endor Labs führte.

Endor Labs schützt jetzt Millionen von Anwendungen für Organisationen von Finanztechnologie bis hin zu SaaS-Plattformen. Welche Arten von Anwendungsfällen sehen Sie am häufigsten, und warum wenden sich Kunden an Sie?

Unsere Kunden kommen zu uns, um ihre Software-Lieferketten und Entwickler-Pipelines zu sichern. Sie möchten Open-Source-Abhängigkeiten vor der Produktion überprüfen, hochriskanten künstlich generierten Code automatisch kennzeichnen und letztendlich Sicherheit direkt in die Entwickler-Workflows integrieren.

Die meisten Scanner werfen einfach Schwachstellen vor die Entwickler und gehen weg, was Lärm erzeugt, den Ingenieure letztendlich ignorieren. Und mit dem aktuellen Trend zum künstlichen Intelligenz-Code ist dieser Ansatz einfach nicht mehr wirksam. Bei Endor bieten wir kontextbewusste Analysen und handhabbare Erkenntnisse, damit Sicherheits- und Ingenieur-Teams einander wieder vertrauen können.

Entwickler stehen oft vor der Herausforderung, schnell zu sein und gleichzeitig sicher zu bleiben. Wie hilft Ihre Plattform bei dieser Herausforderung?

Geschwindigkeit versus Sicherheit ist das älteste Dilemma in der Software-Entwicklung. Künstliche Intelligenz-Code hat diesen Kompromiss nur noch verschärft. Fünfundvierzig Prozent der Entwickler verwenden täglich künstliche Intelligenz-Assistenten, was die Geschwindigkeit beschleunigt, aber auch unsicheren Code einführt.

Bei Endor Labs integrieren wir Sicherheit direkt in die Workflows, die Entwickler bereits verwenden. Denken Sie an IDEs, Pull-Requests, Git-Pipelines. Unsere Philosophie ist einfach: Sicherheit ist nur eine Klasse von Fehlern. Behandeln Sie sie wie jeden anderen Software-Fehler, und sie wird Teil des natürlichen Entwicklungsprozesses anstelle eines Nachgedankens. Durch die Reduzierung von Lärm und die Bereitstellung klarer Anleitung ermöglichen wir es Entwicklern, schnell zu sein und gleichzeitig sicherzustellen, dass die Software, die sie ausliefern, sicher ist.

Falschpositive Ergebnisse sind einer der größten Schmerzpunkte in der Sicherheit. Wie gehen Sie dieses Problem anders an?

Falschpositive Ergebnisse sind enorm. Ich habe gesehen, wie Ingenieure bedeutende Warnungen ignorieren, weil sie bedeutungslos sind. Das ist gefährlich in einer Welt, in der Angriffe auf Drittanbieter-Attacken im zweistelligen Bereich wachsen und Angreifer Seitenwege in Entwickler-Pipelines ausnutzen.

Unser Ansatz besteht darin, Kontext zu priorisieren. Anstatt jeden Common Vulnerability and Exposure (CVE) mit einer Abhängigkeit abzugleichen, analysieren wir den Code-Pfad, die Geschäftslogik und sogar künstlich generierte Design-Änderungen. Wir haben auch den Endor Labs Model Context Protocol (MCP) Server entwickelt, der es künstlichen Intelligenz-Agenten ermöglicht, auf Backend-Tools für präzise Korrekturen zuzugreifen, anstatt halluzinierte Korrekturen vorzunehmen. Andere Tools können diese Präzision nicht bieten, da sie den Kontext der Anwendung nicht verstehen. Sie wissen nicht, was Ihr Code tut, wie Ihre Dienste miteinander sprechen oder was eine sichere Korrektur aussieht. Das Ergebnis ist weniger bedeutungslose Warnungen und mehr pragmatische Anleitung, die Entwickler tatsächlich befolgen können.

Die Software-Lieferkette gilt jetzt als eines der dringendsten Risiken für Unternehmen. Warum ist dieses Problem heute so kritisch?

Open Source dominiert jetzt die Unternehmenssoftware, und die Software-Entwicklung hat sich zu einer Software-Montage entwickelt. Etwa 90% der Komponenten in modernen Anwendungen sind extern, und künstliche Intelligenz-Code-Assistenten führen automatisch noch mehr Abhängigkeiten ein. Das bedeutet, dass eine einzige Schwachstelle sich über Millionen von Anwendungen ausbreiten kann.

Die Einsätze sind hoch: Regulierungsbehörden betrachten Open Source jetzt als nationales Sicherheitsproblem. Und Angriffe wie der jüngste Shai-Hulud npm-Angriff zeigen, wie Angreifer diese schwachen Punkte gezielt angreifen. Ohne die richtigen Schutzmechanismen sind Unternehmen in großem Umfang exponiert.

Künstliche Intelligenz verändert, wie Software entwickelt wird. Welche neuen Risiken erzeugt dies für die Anwendungssicherheit?

Künstliche Intelligenz-Assistenten sind wie die Einstellung von Tausenden von Praktikanten auf einmal — sie können die Produktivität steigern, aber auch Chaos einführen, wenn sie unkontrolliert bleiben. Studien zeigen, dass 62% des künstlich generierten Codes Sicherheits-, Qualitäts- oder Architekturprobleme aufweist. Neben bekannten CVEs umfassen diese Logikfehler, neue API-Endpunkte oder kryptografische Fehler, die herkömmliche Tools nie dazu ausgelegt waren, zu erkennen.

Die neue Herausforderung besteht darin, sichere Code-Überprüfungen zu skalieren. Die alleinige Abhängigkeit von überlasteten Senior-Ingenieuren, um jeden Pull-Request manuell zu überprüfen, funktioniert nicht. Man benötigt automatisierte Systeme, die Code-Überprüfungen, Priorisierungen und Anleitungen für Entwickler in der gleichen Geschwindigkeit wie künstliche Intelligenz-Code-Generierung durchführen können.

Einige argumentieren, dass künstliche Intelligenz mehr Schwachstellen einführt, als sie verhindert. Sehen Sie sie als Netto-Risiko oder Netto-Vorteil an diesem Punkt?

Es kann beides sein. Künstliche Intelligenz ist fantastisch für Prototyping und Experimentierung, aber unerfahrene Entwickler, die auf künstliche Intelligenz vertrauen, können ein Szenario des “blind führt den blind” erzeugen. Der Weg, diese Gleichung umzukehren, besteht darin, künstliche Intelligenz mit Sicherheits-Schutzmechanismen zu paaren. Mit den richtigen Überprüfungssystemen und MCP-getriebenen Korrekturen können Sie künstliche Intelligenz von einem Netto-Risiko in einen Netto-Vorteil umwandeln. Ohne diese Mechanismen überwiegen die Risiken die Vorteile.

Da künstlich generierter Code häufiger wird, welche Schutzmaßnahmen sollten Organisationen ergreifen, um Vertrauen in das zu schützen, was sie bereitstellen?

Behandeln Sie künstlich generierten Code wie jede andere Drittanbieter-Abhängigkeit. Das bedeutet kontinuierliche Überwachung, automatisierte Überprüfung und Schutzmechanismen in jeder Phase der Pipeline. Sie sollten auch sicherstellen, dass Ihre künstliche Intelligenz-Überprüfungstools auf hochwertigem, sicheren Code trainiert sind — nicht nur auf zufälligen GitHub-Repositorys.

Und gehen Sie über die Erkennung hinaus. Wenn eine riskante Abhängigkeit gekennzeichnet ist, sollten Ihre Tools den Upgrade-Pfad empfehlen, der das Brechen Ihrer App vermeidet. Das ist der Unterschied zwischen Chaos und Kontrolle. Ich denke gerne daran, als Bahnen in der Bowlingbahn: Der Ball bewegt sich schnell, bleibt aber auf Kurs.

Transparenz ist zentral für Ihren Führungsstil. Wie wirkt sich das Teilen von Erfolgen und Rückschlägen auf Kultur und Leistung aus?

Wir streben nach radikaler Transparenz bei Endor Labs. Das bedeutet, sowohl die guten als auch die schlechten Nachrichten zu teilen — und nicht nur die Unternehmensleistung, sondern auch Dinge wie Aktienpläne und strategische Risiken. Mitarbeiter sind Erwachsene. Unser Team kann mit der Realität umgehen. Offenheit baut Vertrauen, Engagement und Eigentumsgefühl auf und hilft den Menschen, bessere Entscheidungen zu treffen.

Sie befähigen oft aufstrebende Führungskräfte früh in ihrer Karriere. Welche Ratschläge geben Sie ersten Führungskräften, die große Verantwortung übernehmen?

Ich bevorzuge es, vielversprechenden Teammitgliedern frühzeitig große Rollen zu übertragen und ihnen zu vertrauen, dass sie in die Position hineinwachsen. Mit Mentoring und Unterstützung lernen sie schnell. Mein Rat: Übernehmen Sie Verantwortung, lernen Sie aus Fehlern und bauen Sie Glaubwürdigkeit durch Handeln auf. Menschen überraschen Sie oft mit dem, was sie erreichen können, wenn Sie ihnen den Raum geben.

Wenn Sie in fünf Jahren vorausblicken, sehen Sie die größten Chancen und Herausforderungen bei der Sicherung der Software-Lieferkette?

Da künstliche Intelligenz-Code-Assistenten und Citizen-Entwickler die Arbeitsabläufe umgestalten, benötigen wir Systeme, die wie ein “Sicherheits-Paar-Programmierer” funktionieren, der jeden Pull-Request in Echtzeit überprüft, sichere Code-Überprüfungen skaliert und Entwicklern Kontext bietet, dem sie vertrauen können. Deshalb haben wir bei Endor Labs unseren MCP-Server und die Multi-Agent-Architektur entwickelt, die unseren Kunden bereits helfen, mit der künstlichen Intelligenz-nativen Entwicklung Schritt zu halten.

Die Herausforderung besteht darin, dass die Lieferkette selbst nur komplexer wird. Heute besteht der Code größtenteils aus externen Komponenten, und jedes neue künstliche Intelligenz-Tool führt eine weitere Abhängigkeitsebene ein. Unternehmen, die ihre Modelle nicht neu denken, werden sich selbst exponieren.

Wir sehen diese Dringlichkeit in Echtzeit — Endor Labs schützt jetzt über 7 Millionen Anwendungen, scannen 1,6 Millionen Pull-Requests pro Monat und reduzieren den Lärm um mehr als 90% für Ingenieur-Teams. In fünf Jahren werden die Organisationen, die an der Spitze stehen, diejenigen sein, die sicheres Coden als Kernbestandteil der Entwickler-Produktivität betrachten.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Endor Labs besuchen.