Mitchell Amador, Fundador y CEO de Immunefi – Serie de Entrevistas

Mitchell Amador, Fundador y CEO de Immunefi, es un destacado empresario de seguridad blockchain, inversor ángel y líder de pensamiento en cadena. Fundó Immunefi, la principal plataforma de caza de bugs y seguridad para el ecosistema Web3, ayudando a prevenir más de $25 mil millones en posibles hacks y robos, mientras avanzaba en los programas de caza de bugs como un estándar de la industria. Ha desempeñado un papel clave en la seguridad de importantes protocolos blockchain, ha contribuido a iniciativas de seguridad de whitehat y también fundó el Instituto New Economy, un think tank de blockchain que ha ayudado a posicionar a Portugal como un centro líder en innovación blockchain en Europa.

Immunefi es una plataforma de seguridad Web3 líder que conecta proyectos blockchain con hackers éticos a través de programas de caza de bugs, revisiones de seguridad y servicios de divulgación de vulnerabilidades. La empresa ayuda a proteger miles de millones de dólares en activos digitales permitiendo que las organizaciones identifiquen y corrijan fallos de seguridad críticos antes de que puedan ser explotados, sirviendo a muchos de los protocolos blockchain y proyectos de finanzas descentralizadas (DeFi) más grandes del mundo.

Antes de fundar Immunefi, ayudaste a impulsar la adopción en empresas como SingularityNET y Steemit, y estuviste involucrado en la configuración de la legislación criptográfica temprana de Portugal. ¿Qué te convenció de que la seguridad Web3 era el problema al que debías dedicar tu carrera, y qué brecha en el mercado viste al lanzar Immunefi?

Las empresas de seguridad tradicionales no podían seguir el ritmo de la velocidad y la complejidad de Web3, y no había una plataforma de confianza que pudiera atraer a investigadores de élite a gran escala mientras daba a los protocolos la confianza de que las divulgaciones se manejarían de manera profesional. Vimos una oportunidad para construir la capa de infraestructura para la seguridad Web3, creando incentivos alineados entre proyectos e investigadores mientras se convierte en una parte central de cómo opera la industria.

Ayudaste a construir Immunefi en la fuerza dominante en la seguridad Web3, protegiendo cientos de miles de millones de dólares en activos y manejando la gran mayoría de las divulgaciones de vulnerabilidades críticas en criptomonedas. Al mirar hacia atrás en ese viaje, ¿qué lecciones de la escalada de Immunefi influyeron en tu decisión de traer a los clientes y la comunidad de Code4rena al ecosistema de Immunefi?

Una de las lecciones más grandes de la escalada de Immunefi es que la seguridad funciona mejor cuando el talento se concentra en lugar de fragmentar. Traer a los clientes y los investigadores de Code4rena al ecosistema de Immunefi nos permite fortalecer ambos lados del mercado: los investigadores obtienen acceso a más oportunidades y recursos, mientras que los proyectos obtienen acceso a un conjunto más amplio de servicios de seguridad respaldados por la red de investigadores más grande en Web3.

Code4rena desempeñó un papel importante en la popularización de las auditorías de seguridad competitivas en criptomonedas. ¿Qué crees que finalmente hizo que su modelo de negocio se volviera difícil de sostener, y qué lecciones más amplias ofrece eso para el futuro de la seguridad de crowdsourcing?

El desafío principal no fue el valor de las auditorías competitivas. Ese valor sigue siendo significativo. El desafío fue construir un negocio sostenible alrededor de una oferta independiente en un entorno donde las expectativas de los clientes han evolucionado.

Los protocolos cada vez más quieren soluciones de seguridad integral en lugar de productos de puntos. Quieren caza de bugs, auditorías, inteligencia de amenazas, operaciones de seguridad y capacidades de respuesta a incidentes bajo un mismo techo. A medida que el mercado maduró, se volvió más difícil para los proveedores especializados competir con las plataformas que podían ofrecer una pila de seguridad más amplia.

Muchos investigadores de seguridad vieron a Code4rena como una cultura y una comunidad únicas. ¿Cómo planeas preservar lo que hizo que esa plataforma fuera valiosa mientras integras a los usuarios en Immunefi?

La comunidad es en última instancia lo que hizo que Code4rena fuera exitosa. El objetivo no es reemplazar esa cultura, sino crear un entorno en el que pueda seguir prosperando con un mayor apoyo y escala. El enfoque está en la continuidad en lugar de la interrupción. Queremos que los investigadores sientan que están obteniendo acceso a una plataforma más amplia sin perder los aspectos de la comunidad que los hicieron querer participar en primer lugar.

Las auditorías de seguridad tradicionales a menudo dependen de un grupo relativamente pequeño de revisores, mientras que las competencias de auditoría pueden atraer a cientos de investigadores. ¿Cómo ves la evolución de las competencias de auditoría en los próximos cinco años a medida que la IA se integra cada vez más en los flujos de trabajo de seguridad?

Lo que probablemente veremos es un cambio en el que la IA maneja una parte cada vez mayor del análisis repetitivo, el reconocimiento de patrones y el triaje inicial, lo que permite a los investigadores pasar más tiempo en vectores de ataque novel y vulnerabilidades de sistema complejas.

Esa evolución en realidad hace que las auditorías competitivas sean más valiosas. Si cientos de investigadores pueden aprovechar herramientas de IA cada vez más capaces, se crea un entorno en el que se pueden aplicar enfoques diversos a la misma base de código a una escala sin precedentes. El futuro no es la IA reemplazando la seguridad de crowdsourcing. Es la IA amplificando la efectividad de las comunidades de investigadores grandes.

Una de las preocupaciones emergentes que has destacado es la presentación de spam generada por IA. ¿Qué tan grave se ha vuelto este problema y qué revela sobre las consecuencias no intencionadas de hacer que las herramientas de IA avanzadas estén ampliamente disponibles?

El problema no es que la IA esté encontrando demasiadas vulnerabilidades. El problema es que puede generar grandes volúmenes de hallazgos convincentes pero en última instancia incorrectos. Cada presentación de baja calidad consume tiempo de revisor y crea sobrecarga operativa.

Más ampliamente, demuestra un patrón recurrente en la tecnología. Cuando las herramientas poderosas se vuelven ampliamente accesibles, tanto la actividad productiva como la improductiva se escalan simultáneamente. Las organizaciones que tendrán éxito serán aquellas que construyan sistemas capaces de identificar eficientemente la verdadera experiencia y los verdaderos hallazgos entre un volumen mucho mayor de producción automatizada.

¿Crees que la IA mejorará finalmente la calidad del descubrimiento de vulnerabilidades, o las plataformas de seguridad enfrentarán una carrera armamentista a largo plazo entre sistemas de IA cada vez más capaces y la inundación de presentaciones automatizadas de baja calidad que pueden generar?

Ambas cosas son ciertas.

La IA mejorará sin duda el descubrimiento de vulnerabilidades. Ya estamos viendo a los investigadores utilizar la IA para acelerar los flujos de trabajo, analizar bases de código más grandes y identificar posibles vectores de ataque de manera más eficiente que antes.

Al mismo tiempo, habrá una carrera armamentista continua entre los sistemas que generan hallazgos y los sistemas que los validan. El diferenciador clave no será quién puede generar los informes más. Será quién puede generar los hallazgos de mayor confianza.

Estamos comenzando a ver a investigadores asistidos por IA que identifican vulnerabilidades más rápido que nunca antes. ¿Qué tan cerca estamos de que los sistemas de IA descubran, validen y even prioricen vulnerabilidades críticas con un mínimo de intervención humana?

Estamos más cerca de la fase de descubrimiento de lo que mucha gente se da cuenta. La IA ya se está volviendo útil para identificar patrones, revisar código y superficar posibles vulnerabilidades.

La validación sigue siendo el desafío más difícil. Encontrar algo que podría ser una vulnerabilidad es muy diferente a probar la explotabilidad, comprender el impacto comercial y evaluar con precisión la gravedad. Esas tareas aún requieren un juicio humano sustancial.

El surgimiento de agentes de IA autónomos está creando superficies de ataque completamente nuevas. ¿Qué riesgos de seguridad asociados con la IA agente crees que están siendo subestimados actualmente por la industria Web3 y el mercado empresarial más amplio?

Lo que a menudo se subestima es la complejidad de los límites de confianza involucrados. Los sistemas agente no operan en aislamiento. Consumen entradas de múltiples fuentes, interactúan con servicios de terceros y toman decisiones basadas en entornos dinámicos. Cada una de esas interacciones crea una posible superficie de ataque.

Creo que muchas organizaciones todavía están aplicando suposiciones de seguridad de software tradicional a sistemas que se comportan fundamentalmente de manera diferente. Esa brecha se volverá cada vez más importante a medida que los agentes autónomos ganen autoridad operativa más amplia.

Mirando hacia adelante tres a cinco años, ¿cómo esperas que la IA transforme la forma en que se descubren, informan y mitiguen las vulnerabilidades, y qué papel crees que los investigadores de seguridad humanos desempeñarán en ese futuro?

La IA acelerará dramáticamente cada etapa del ciclo de vida de la seguridad. Las vulnerabilidades se descubrirán más rápido, se triarán más rápido y, en muchos casos, se mitigarán más rápido de lo que se hace hoy. Los equipos de seguridad tendrán acceso a mucha más inteligencia y automatización de lo que tienen ahora.

Pero no creo que el futuro sea uno en el que los investigadores humanos se vuelvan irrelevantes. Si algo, su papel se vuelve más importante. A medida que la IA maneja tareas rutinarias, la experiencia humana se desplaza hacia la comprensión de sistemas novel, la identificación de caminos de ataque no convencionales, la validación de hallazgos críticos y la toma de decisiones estratégicas de seguridad.

Los investigadores más exitosos no serán aquellos que compitan contra la IA. Serán aquellos que aprendan a aprovechar la IA como un multiplicador de fuerza. La seguridad siempre ha recompensado la adaptabilidad, y eso seguirá siendo cierto en un futuro impulsado por la IA.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Immunefi.