Willem Delbare, Συνιδρυτής και Διευθύνων Σύμβουλος της Aikido – Σειρά Συνεντεύξεων

Willem Delbare, συνιδρυτής και διευθύνων σύμβουλος της Aikido, είναι κατά συρροή επιχειρηματίας στον χώρο του SaaS και τεχνικός ιδρυτής με μεγάλη εμπειρία στη δημιουργία εταιρειών λογισμικού με επίκεντρο τους προγραμματιστές. Πριν ξεκινήσει την Aikido το 2022, συνίδρυσε την πλατφόρμα ανθρώπινου δυναμικού Officient, την πρωτοβουλία βιωσιμότητας FutureproofedCities και την εταιρεία CRM Teamleader. Στην τελευταία υπηρέτησε ως CTO και συνέβαλε στην εξέλιξή της σε μία από τις σημαντικότερες βελγικές επιτυχίες του SaaS. Στην καριέρα του επικεντρώθηκε στην απλοποίηση σύνθετων τεχνικών προκλήσεων στις υποδομές cloud, την επεκτασιμότητα του SaaS και την κυβερνοασφάλεια. Υπό την ηγεσία του, η Aikido εξελίχθηκε γρήγορα σε μία από τις ταχύτερα αναπτυσσόμενες ευρωπαϊκές νεοφυείς εταιρείες κυβερνοασφάλειας, προσφέροντας πρακτικές λύσεις για σύγχρονες ομάδες ανάπτυξης.

Aikido είναι εταιρεία κυβερνοασφάλειας με έδρα το Βέλγιο που βοηθά προγραμματιστές και ομάδες μηχανικών να προστατεύουν εφαρμογές και περιβάλλοντα cloud μέσω μίας ενιαίας πλατφόρμας. Συνδυάζει σάρωση κώδικα, ανάλυση εξαρτήσεων, διαχείριση της κατάστασης ασφάλειας του cloud, προστασία κατά την εκτέλεση και δοκιμές με υποστήριξη AI σε ένα απλοποιημένο σύστημα. Στόχος είναι να μειώσει την πολυπλοκότητα και τα ψευδώς θετικά ευρήματα και να εξαλείψει την ανάγκη διαχείρισης κατακερματισμένων εργαλείων από πολλούς προμηθευτές. Με επίκεντρο τους προγραμματιστές, δίνει έμφαση στην αυτοματοποίηση, τη συνεχή παρακολούθηση και τις απλές διαδικασίες αποκατάστασης, ώστε η ασφάλεια να ενσωματώνεται άμεσα στον κύκλο ανάπτυξης λογισμικού.

Ποιες εμπειρίες από τη δημιουργία και την ανάπτυξη εταιρειών όπως η Teamleader και η Officient σας οδήγησαν στην ίδρυση της Aikido Security το 2022; Πώς διαμόρφωσε το τεχνικό σας υπόβαθρο ως ιδρυτή το όραμα για μια πιο φιλική προς τους προγραμματιστές κυβερνοασφάλεια;

Την τελευταία δεκαετία βρήκα την κλίση μου στο B2B SaaS. Υπήρξα τεχνικός συνιδρυτής και CTO σε τρεις νεοφυείς εταιρείες και έζησα τρία exits, στους τομείς της τεχνολογίας ανθρώπινου δυναμικού, της τιμολόγησης και της λογιστικής άνθρακα. Πολύ διαφορετικοί κόσμοι, αλλά με την ίδια εμμονή: να δημιουργώ λογισμικό που δεν κάνει τους ανθρώπους να θέλουν να πετάξουν το λάπτοπ τους από το παράθυρο.

Σε καθεμία όμως από αυτές τις εταιρείες, η ασφάλεια με κρατούσε ξύπνιο τη νύχτα. Ο φόβος μιας παραβίασης δεδομένων ήταν πραγματικός και τα εργαλεία που υποτίθεται ότι θα βοηθούσαν έμοιαζαν με πιλοτήριο F-16: ακριβά, δυσνόητα και φτιαγμένα για κάποιον με διδακτορικό στην πληροφορική, όχι για μια ομάδα ανάπτυξης που προσπαθεί να παραδίδει γρήγορα λογισμικό.

Ιδρύσαμε την Aikido Security για να αντιμετωπίσουμε ευθέως αυτή την πρόκληση. Προσφέρουμε σε οργανισμούς κάθε μεγέθους μια ενιαία πλατφόρμα ασφάλειας λογισμικού με επίκεντρο τους προγραμματιστές. Συγκεντρώνει βασικές δυνατότητες για κώδικα, cloud και περιβάλλον εκτέλεσης, διευκολύνοντας την ασφαλή παράδοση λογισμικού.

Έκτοτε, η AI επιτάχυνε ακόμη περισσότερο την παράδοση λογισμικού και διεύρυνε την επιφάνεια επίθεσης. Το επόμενο κεφάλαιο είναι να βοηθήσουμε τους οργανισμούς να συμβαδίζουν μέσω λογισμικού που διατηρεί μόνο του την ασφάλειά του.

Τον Φεβρουάριο παρουσιάσαμε το Aikido Infinite, τη λύση μας για συνεχείς δοκιμές διείσδυσης με AI. Επαληθεύει την πραγματική δυνατότητα εκμετάλλευσης και ολοκληρώνει τον κύκλο αποκατάστασης πριν ο κώδικας φτάσει στην παραγωγή.

Τα περιβάλλοντα των προγραμματιστών χαρακτηρίζονται πλέον ως ένα από τα μεγαλύτερα τυφλά σημεία της ασφάλειας. Τι άλλαξε πρόσφατα και έκανε το ζήτημα τόσο κρίσιμο;

Οι υπολογιστές των προγραμματιστών ήταν πάντα πολύτιμοι στόχοι. Περιέχουν διαπιστευτήρια cloud, κλειδιά SSH, διακριτικά δημοσίευσης npm, ρυθμίσεις Kubernetes και άμεση πρόσβαση στον πηγαίο κώδικα. Αυτό που άλλαξε τους τελευταίους 6–12 μήνες είναι ότι οι επιτιθέμενοι αντιλήφθηκαν πόσο εύκολα μπορούν να τους παραβιάσουν μέσω εργαλείων που οι προγραμματιστές ήδη εμπιστεύονται. Το παρακολουθούμε όλη τη χρονιά: Trivy, TanStack, Bitwarden CLI, η επέκταση Nx Console του VS Code και τώρα GitHub. Όλα παραβιάστηκαν μέσω εργαλείων ανάπτυξης και σε κάθε περίπτωση στόχος ήταν η συσκευή.

Το πρόβλημα είναι ότι οι περισσότερες ομάδες ασφάλειας δεν βλέπουν τι πραγματικά εκτελείται σε αυτούς τους υπολογιστές. Τα EDR παρακολουθούν εφαρμογές, αλλά όχι τα πακέτα, τις επεκτάσεις και τα εργαλεία AI μέσα σε αυτές. Στο μεταξύ, οι προγραμματιστές προσθέτουν καθημερινά νέα πακέτα, επεκτάσεις και εργαλεία AI με ελάχιστους ελέγχους. Τα LLM διευκόλυναν επίσης τη δημιουργία πειστικού κακόβουλου λογισμικού, μειώνοντας το εμπόδιο εισόδου για τους επιτιθέμενους γενικά. Όλες αυτές οι επιθέσεις εκδηλώνονται στο κενό ανάμεσα σε όσα υπάρχουν στους υπολογιστές και σε όσα μπορούν πραγματικά να δουν οι ομάδες ασφάλειας.

Οι επιθέσεις στην εφοδιαστική αλυσίδα αυξάνονται παράλληλα με τη διάδοση της AI. Πώς αλλάζει η AI την ισορροπία μεταξύ επιτιθέμενων και αμυνόμενων;

Η AI διευκόλυνε σημαντικά τη δημιουργία κακόβουλου λογισμικού για επιθέσεις στην εφοδιαστική αλυσίδα. Η δημιουργία πειστικών κακόβουλων φορτίων, η συσκότιση κώδικα και η επαρκής κατανόηση των μητρώων πακέτων για την κατάχρησή τους απαιτούσαν πραγματικές τεχνικές δεξιότητες. Τώρα αρκεί μια συνδρομή LLM. Το είδαμε άμεσα στην TeamPCP, που ευθύνεται για τις περισσότερες μεγάλες φετινές επιθέσεις, συμπεριλαμβανομένης της πρόσφατης παραβίασης του GitHub. Δεν είναι ιδιαίτερα εξελιγμένη ομάδα, αλλά πραγματοποιεί πολλές επιθέσεις και η AI συνέβαλε σημαντικά στην αύξηση της κλίμακάς τους. Πριν από έναν χρόνο αντιμετωπίζαμε παραβιάσεις μεμονωμένων πακέτων. Τώρα βλέπουμε αυτοαναπαραγόμενα σκουλήκια όπως το Shai-Hulud και αλυσιδωτές εκστρατείες μεταξύ μητρώων, όπου τα διαπιστευτήρια που κλέβονται σε μία παραβίαση επιτρέπουν την επόμενη.

Η AI βοηθά και την άμυνα, αλλά διαφορετικά. Οι ομάδες ασφάλειας μπορούν να εκτελούν συνεχείς δοκιμές διείσδυσης σε ολόκληρες βάσεις κώδικα με πράκτορες AI που δοκιμάζουν εκατοντάδες διαδρομές επίθεσης παράλληλα. Έτσι εξοικονομείται χρόνος για αποφάσεις που εξακολουθούν να απαιτούν ανθρώπινη κρίση. Στις συσκευές, η AI βοηθά επίσης στον έγκαιρο εντοπισμό κακόβουλων πακέτων, αναλύοντας όσα πρόκειται να εγκατασταθούν πριν φτάσουν στον υπολογιστή του προγραμματιστή. Η ειλικρινής πραγματικότητα όμως είναι ότι σήμερα οι επιτιθέμενοι ωφελούνται περισσότερο. Το εμπόδιο για τη δημιουργία κακόβουλου λογισμικού μειώθηκε γρηγορότερα από το εμπόδιο για την ανίχνευσή του.

Η Aikido μιλά για μεταφορά της ασφάλειας σε προγενέστερα στάδια. Τι σημαίνει αυτό πρακτικά για τις ομάδες που δημιουργούν και παραδίδουν λογισμικό σήμερα;

Μεγάλο μέρος του κλάδου πέρασε χρόνια μεταφέροντας την ασφάλεια αριστερά, σε προγενέστερα στάδια της αλυσίδας CI/CD. Η επιφάνεια επίθεσης όμως μετακινήθηκε ακόμη νωρίτερα, στον ίδιο τον υπολογιστή του προγραμματιστή. Η παραβίαση του GitHub είναι καλό παράδειγμα. Δεν επρόκειτο για μη ασφαλή κώδικα στην παραγωγή, αλλά για παραβιασμένη επέκταση VS Code στο λάπτοπ ενός προγραμματιστή, η οποία υπέκλεπτε διαπιστευτήρια πριν γραφτεί έστω μία γραμμή κώδικα.

Πρακτικά, η ασφάλεια πρέπει να λειτουργεί συνεχώς εκεί όπου γράφεται ο κώδικας και εγκαθίστανται τα εργαλεία. Πρέπει να επαληθεύει τι εκτελείται στις συσκευές των προγραμματιστών, να εντοπίζει κακόβουλα πακέτα και επεκτάσεις πριν φτάσουν εκεί και να ελέγχει αυτόματα για εκμεταλλεύσιμους κινδύνους όταν αλλάζει ο κώδικας, αντί να περιμένει προγραμματισμένη ανασκόπηση. Στόχος είναι ένας κλειστός κύκλος ανίχνευσης, επαλήθευσης και αποκατάστασης μέσα στη διαδικασία ανάπτυξης, όχι μια ξεχωριστή διαδικασία εκ των υστέρων.

Καθώς οι πράκτορες AI κατεβάζουν αυτόματα εξαρτήσεις και εργαλεία, πώς πρέπει οι εταιρείες να επανεξετάσουν την εμπιστοσύνη τους στο λογισμικό ανοικτού κώδικα και στον κώδικα τρίτων;

Οι πράκτορες AI κατεβάζουν εξ ορισμού εξαρτήσεις και εργαλεία αυτόματα, με ελάχιστη ανθρώπινη επίβλεψη. Αυτό αλλάζει θεμελιωδώς το μοντέλο εμπιστοσύνης: στους υπολογιστές των προγραμματιστών εκτελείται κώδικας που κανείς δεν επέλεξε ρητά να εγκαταστήσει.

Η παραβίαση της Vercel δείχνει πώς μπορεί να πάει στραβά αυτό. Η Vercel δεν παραβιάστηκε απευθείας. Μια νόμιμη επέκταση AI είχε πρόσβαση OAuth στον λογαριασμό Google ενός υπαλλήλου και παραβιάστηκε σε προγενέστερο στάδιο, μέσω κακόβουλου λογισμικού κλοπής πληροφοριών στην πλευρά του προμηθευτή. Είναι το επαναλαμβανόμενο μοτίβο στο λογισμικό ανοικτού κώδικα: έμπιστος κώδικας τρίτων γίνεται σημείο εισόδου. Ο κίνδυνος πολλαπλασιάζεται επειδή ένας παραβιασμένος σταθμός εργασίας δίνει στον επιτιθέμενο την ίδια πρόσβαση με έναν έμπιστο μηχανικό. Μπορεί να τροποποιήσει κώδικα, να εισαγάγει κακόβουλες εξαρτήσεις ή να δημοσιεύσει αλλοιωμένες εκδόσεις νόμιμου λογισμικού. Τα συστήματα κατασκευής ενσωματώνουν τις αλλαγές, που κατόπιν διαδίδονται στα επόμενα στάδια μέσω έμπιστων ενημερώσεων.

Οι εταιρείες πρέπει να αντιμετωπίζουν οτιδήποτε υπάρχει στον υπολογιστή του προγραμματιστή ως μέρος της επιφάνειας επίθεσης: πράκτορες AI, τα εργαλεία που εγκαθιστούν, τις επεκτάσεις από τις οποίες εξαρτώνται, τα πάντα. Αν βλέπουν μόνο γνωστά πακέτα ανοικτού κώδικα, χάνουν τα επίπεδα όπου πραγματικά συμβαίνουν οι επιθέσεις.

Η ιδέα λογισμικού που διατηρεί μόνο του την ασφάλειά του είναι ελκυστική. Ποιες βασικές δυνατότητες χρειάζονται για να λειτουργήσει σε μεγάλη κλίμακα;

Χρειάζεται ένας κλειστός κύκλος. Κάθε φορά που αλλάζει ο κώδικας, το σύστημα πρέπει να δοκιμάζει πραγματικές διαδρομές επίθεσης, να επιβεβαιώνει αν ένα πρόβλημα είναι πράγματι εκμεταλλεύσιμο ή να απορρίπτει το εύρημα αν δεν είναι, να δημιουργεί και να εφαρμόζει διορθώσεις μέσα στη διαδικασία ανάπτυξης και να επαναλαμβάνει τις δοκιμές για να επιβεβαιώσει την αποτελεσματικότητά τους. Ολόκληρος ο κύκλος πρέπει να λειτουργεί συνεχώς, χωρίς αναμονή για ανθρώπινο προγραμματισμό. Σκοπός δεν είναι να αφαιρεθούν οι άνθρωποι από την ασφάλεια, αλλά να διεκπεραιώνεται η διαρκής εργασία ώστε οι ομάδες να επικεντρώνονται στις αποφάσεις που πραγματικά απαιτούν κρίση.

Οι προγραμματιστές συχνά αντιμετωπίζουν υπερβολικά πολλές ειδοποιήσεις και ψευδώς θετικά ευρήματα από τα εργαλεία ασφάλειας. Πώς τους βοηθά η Aikido να εστιάζουν σε όσα έχουν σημασία;

Τα δύο τρίτα των επικεφαλής ασφάλειας στην έρευνά μας State of AI in Security & Development δήλωσαν ότι οι ομάδες τους παρέκαμψαν διαδικασίες ασφάλειας, απέρριψαν ευρήματα ή καθυστέρησαν διορθώσεις λόγω ψευδώς θετικών ευρημάτων. Αυτό είναι το πραγματικό κόστος των εργαλείων που παράγουν θόρυβο. Δεν σπαταλούν απλώς χρόνο· υποβαθμίζουν ενεργά την ασφάλεια, επειδή οι άνθρωποι σταματούν να εμπιστεύονται τις ειδοποιήσεις.

Στην Aikido το αντιμετωπίζουμε με ανάλυση προσβασιμότητας και αυτόματη διαλογή ευρημάτων. Αντί να επισημαίνουμε κάθε ευπάθεια και να αφήνουμε την ομάδα να αποφασίσει τι έχει σημασία, ελέγχουμε αν είναι πράγματι προσβάσιμη στον δικό σας κώδικα και εκμεταλλεύσιμη στο δικό σας περιβάλλον. Αν δεν είναι, η ομάδα σας δεν τη βλέπει ποτέ. Αυτό μειώνει δραστικά τις ειδοποιήσεις και σημαίνει ότι όσες φτάνουν στην ομάδα αξίζουν την προσοχή της.

Η πλατφόρμα σας συνδυάζει ασφάλεια κώδικα, cloud και περιβάλλοντος εκτέλεσης με αυτοματοποιημένες δοκιμές διείσδυσης. Γιατί είναι αποτελεσματικότερη η ενιαία προσέγγιση από πολλά ανεξάρτητα εργαλεία;

Η έρευνα State of AI in Security & Development έδειξε κάτι αντίθετο από το αναμενόμενο: οι ομάδες που υπέστησαν περιστατικά χρησιμοποιούσαν περισσότερα εργαλεία προμηθευτών από εκείνες που δεν υπέστησαν. Περισσότερα εργαλεία δεν σήμαιναν καλύτερη ασφάλεια, αλλά περισσότερο θόρυβο, διπλά ευρήματα και χρόνο συσχέτισης ειδοποιήσεων μεταξύ πινάκων ελέγχου αντί επίλυσης προβλημάτων.

Γι’ αυτό δημιουργήσαμε την Aikido ως ενιαία πλατφόρμα για κώδικα, cloud, περιβάλλον εκτέλεσης, εξαρτήσεις και αλυσίδες ανάπτυξης. Συγκεντρώνοντας τα σήματα, μπορείτε να αφαιρείτε διπλά ευρήματα, να κατανοείτε αν μια ευπάθεια κώδικα είναι πράγματι προσβάσιμη στο περιβάλλον cloud και να δίνετε προτεραιότητα στον πραγματικό κίνδυνο, αντί να αντιμετωπίζετε κάθε αποτέλεσμα κάθε σαρωτή ως εξίσου επείγον. Οι ομάδες αφιερώνουν λιγότερο χρόνο στη διαλογή μεταξύ εργαλείων και περισσότερο στις ουσιαστικές διορθώσεις. Κάθε δυνατότητα όμως πρέπει να στέκεται και μόνη της. Μια πλατφόρμα μέτρια σε όλα απλώς συγκεντρώνει το πρόβλημα. Κάθε μέρος πρέπει να είναι εξίσου καλό ή καλύτερο από την ανεξάρτητη εναλλακτική, αλλιώς το επιχείρημα της ενοποίησης καταρρέει.

Η Aikido αναπτύχθηκε γρήγορα και απέκτησε σημαντική δυναμική σε σύντομο διάστημα. Ποιες ήταν οι μεγαλύτερες προκλήσεις για τη δημιουργία και την ανάπτυξη μιας εταιρείας κυβερνοασφάλειας με τέτοιο ρυθμό;

Η προφανής είναι ότι είμαστε εταιρεία κυβερνοασφάλειας από το Βέλγιο. Ο κλάδος αναπτύχθηκε παραδοσιακά στο Τελ Αβίβ και τη Silicon Valley και αρχικά υπήρχε σκεπτικισμός για το αν μια πλατφόρμα παγκόσμιας κλάσης μπορούσε να προέλθει από αλλού. Η απόσταση όμως έγινε πλεονέκτημα. Δεν ανακυκλώναμε τις ίδιες μεθόδους. Ξεκινήσαμε με επίκεντρο τους προγραμματιστές και ένα ολοκληρωμένο προϊόν που οι ομάδες μπορούσαν να υιοθετήσουν μόνες τους. Έτσι γίναμε αθόρυβα η κυρίαρχη πλατφόρμα ασφάλειας προγραμματιστών για μικρομεσαίες επιχειρήσεις.

Η μεγαλύτερη πρόκληση είναι ο ρυθμός. Τον Ιανουάριο του 2026 αποκτήσαμε καθεστώς unicorn με τον γύρο χρηματοδότησης Series B, τα έσοδα πενταπλασιάστηκαν πέρυσι και πλέον μας εμπιστεύονται πάνω από 100.000 ομάδες, όπως οι Premier League, Revolut και SoundCloud. Μόνο φέτος παρουσιάσαμε το Device Protection για την ασφάλεια της εφοδιαστικής αλυσίδας, το Infinite για δοκιμές διείσδυσης με AI και συνεργασία με τη Lovable για ενσωμάτωση της ασφάλειας στις ροές εργασίας vibe coding. Η διατήρηση της ποιότητας σε κάθε μέρος της πλατφόρμας ενώ κινούμαστε τόσο γρήγορα είναι συνεχής πρόκληση. Αλλά είναι ένα καλό πρόβλημα.

Καθώς η ανάπτυξη με την AI στον πυρήνα της γίνεται ο κανόνας, πώς θα εξελιχθεί η ασφάλεια λογισμικού τα επόμενα χρόνια;

Η ειλικρινής απάντηση είναι ότι οι παραδοσιακές διαδικασίες ασφάλειας ήδη δυσκολεύονται να συμβαδίσουν. Οι περιοδικές ανασκοπήσεις, οι προγραμματισμένες δοκιμές διείσδυσης και οι εκ των υστέρων σαρώσεις προϋποθέτουν έναν ρυθμό ανάπτυξης που ουσιαστικά δεν υπάρχει πια. Ο κώδικας που παράγεται από AI και οι αυτόνομοι πράκτορες εισάγουν αλλαγές γρηγορότερα από όσο μπορούν να τις επαληθεύσουν αυτές οι διαδικασίες.

Πιστεύουμε ότι η ασφάλεια πρέπει να γίνει ένας συνεχής κύκλος ανατροφοδότησης ενσωματωμένος άμεσα στην ανάπτυξη λογισμικού. Το ονομάζουμε λογισμικό που διατηρεί μόνο του την ασφάλειά του. Κάθε αλλαγή κώδικα δοκιμάζεται έναντι πραγματικών διαδρομών επίθεσης, τα ευρήματα επαληθεύονται ως προς την πραγματική δυνατότητα εκμετάλλευσης και δημιουργούνται και επανελέγχονται διορθώσεις, χωρίς αναμονή για ανθρώπινο προγραμματισμό. Οι πρώτες μορφές υπάρχουν ήδη σήμερα και αναπτύσσουμε αυτή την προσέγγιση σε κώδικα, cloud, περιβάλλον εκτέλεσης και εφοδιαστική αλυσίδα.

Πέρα από αυτό, το επόμενο βήμα είναι το λογισμικό που συντηρείται μόνο του: η ασφάλεια δεν εντοπίζει και διορθώνει απλώς προβλήματα, αλλά διατηρεί ενεργά την υγεία της βάσης κώδικα με την πάροδο του χρόνου. Αυτό είναι πιο μακρινό, αλλά τα θεμέλια μπαίνουν τώρα. Το βέβαιο είναι ότι η AI έχει ήδη καταρρίψει το εμπόδιο για την εκτέλεση προηγμένων επιθέσεων, οπότε η άμυνα πρέπει να κινηθεί με την ίδια ταχύτητα.

Ευχαριστούμε για την εξαιρετική συνέντευξη. Οι αναγνώστες που θέλουν να μάθουν περισσότερα μπορούν να επισκεφθούν την Aikido.