Rick Caccia, CEO y Co-Fundador de WitnessAI – Serie de Entrevistas

Rick Caccia, CEO y Co-Fundador de WitnessAI, tiene una amplia experiencia en el lanzamiento de productos de seguridad y cumplimiento. Ha ocupado puestos de liderazgo en marketing y productos en Palo Alto Networks, Google y Symantec. Caccia anteriormente lideró el marketing de productos en ArcSight a través de su IPO y operaciones posteriores como empresa pública, y se desempeñó como el primer Director de Marketing en Exabeam. Tiene múltiples títulos de la Universidad de California, Berkeley.

WitnessAI está desarrollando una plataforma de seguridad centrada en garantizar el uso seguro y seguro de la IA en las empresas. Con cada cambio tecnológico importante, como la web, la computación móvil y la computación en la nube, surgen nuevos desafíos de seguridad, creando oportunidades para que los líderes de la industria emerjan. La IA representa la próxima frontera en esta evolución.

La empresa tiene como objetivo establecerse como líder en la seguridad de la IA combinando la experiencia en aprendizaje automático, ciberseguridad y operaciones en la nube a gran escala. Su equipo aporta una profunda experiencia en el desarrollo de la IA, ingeniería inversa y despliegue de Kubernetes en múltiples nubes, abordando los desafíos críticos de la seguridad de las tecnologías impulsadas por la IA.

¿Qué te inspiró a co-fundar WitnessAI, y qué desafíos clave en la gobernanza y la seguridad de la IA estabas tratando de resolver? 

Cuando empezamos la empresa, pensamos que los equipos de seguridad estarían preocupados por los ataques a sus modelos de IA internos. En cambio, los primeros 15 CISO con los que hablamos dijeron lo contrario, que la implementación generalizada de LLM en las empresas estaba lejos, pero el problema urgente era proteger el uso de aplicaciones de IA de sus empleados. Nos dimos cuenta de que el problema no era defenderse contra ciberataques aterradores, sino permitir que las empresas utilizaran la IA de manera productiva. Mientras que la gobernanza puede ser menos atractiva que los ciberataques, es lo que los equipos de seguridad y privacidad realmente necesitan. Necesitan visibilidad de lo que sus empleados están haciendo con aplicaciones de IA de terceros, una forma de implementar políticas de uso aceptable y una forma de proteger los datos sin bloquear el uso de esos datos. Así que eso es lo que construimos.

Dado tu amplia experiencia en Google Cloud, Palo Alto Networks y otras empresas de ciberseguridad, ¿cómo influyeron esos puestos en tu enfoque para construir WitnessAI? 

He hablado con muchos CISO a lo largo de los años. Una de las cosas más comunes que escucho de los CISO hoy en día es: “No quiero ser el ‘Doctor No’ cuando se trata de la IA; quiero ayudar a nuestros empleados a utilizarla para ser mejores”. Como alguien que ha trabajado con proveedores de ciberseguridad durante mucho tiempo, esta es una declaración muy diferente. Es más similar a la era de la web, cuando la web era una tecnología nueva y transformadora. Cuando construimos WitnessAI, empezamos específicamente con capacidades de producto que ayudaban a los clientes a adoptar la IA de manera segura; nuestro mensaje era que esto es como la magia y, por supuesto, todos quieren experimentar la magia. Creo que las empresas de seguridad son demasiado propensas a jugar la carta del miedo, y queríamos ser diferentes.

¿Qué distingue a WitnessAI de otras plataformas de gobernanza y seguridad de la IA en el mercado hoy en día? 

Bueno, por un lado, la mayoría de los otros proveedores en el espacio se centran principalmente en la parte de seguridad, y no en la gobernanza. Para mí, la gobernanza es como los frenos de un coche. Si realmente quieres llegar rápido, necesitas frenos efectivos además de un motor potente. Nadie conducirá un Ferrari muy rápido si no tiene frenos. En este caso, tu empresa que utiliza la IA es el Ferrari, y WitnessAI es el freno y el volante.

En contraste, la mayoría de nuestros competidores se centran en ataques teóricos y aterradores a los modelos de IA de una organización. Ese es un problema real, pero es un problema diferente al de obtener visibilidad y control sobre cómo mis empleados están utilizando cualquiera de las más de 5,000 aplicaciones de IA que ya existen en Internet. Es mucho más fácil para nosotros agregar un firewall de IA (y lo hemos hecho) que para los proveedores de firewalls de IA agregar una gobernanza y gestión de riesgos efectivas.

¿Cómo equilibra WitnessAI la necesidad de innovación en la IA con la seguridad y el cumplimiento empresarial? 

Como escribí anteriormente, creemos que la IA debería ser como la magia: puede ayudarte a hacer cosas increíbles. Con eso en mente, pensamos que la innovación en la IA y la seguridad están vinculadas. Si tus empleados pueden utilizar la IA de manera segura, la utilizarán con frecuencia y te adelantarás. Si aplicas la mentalidad de seguridad típica y la bloqueas, tu competidor no lo hará, y se adelantará. Todo lo que hacemos se trata de permitir la adopción segura de la IA. Como me dijo un cliente: “Esto es magia, pero la mayoría de los proveedores la tratan como si fuera magia negra, algo aterrador y temible”. En WitnessAI, estamos ayudando a permitir la magia.

¿Puedes hablar sobre la filosofía central de la empresa en cuanto a la gobernanza de la IA: ¿ves la seguridad de la IA como un habilitador en lugar de una restricción? 

Regularmente, los CISO nos acercan en eventos donde hemos presentado y nos dicen: “Sus competidores están todos centrados en lo aterrador que es la IA, y ustedes son los únicos que nos están diciendo cómo utilizarla de manera efectiva”. Sundar Pichai de Google ha dicho que “la IA podría ser más profunda que el fuego”, y esa es una metáfora interesante. El fuego puede ser increíblemente dañino, como hemos visto recientemente. Pero el fuego controlado puede hacer acero, lo que acelera la innovación. A veces, en WitnessAI, hablamos de crear la innovación que permite a nuestros clientes dirigir el “fuego” de la IA de manera segura para crear el equivalente del acero. Alternativamente, si piensas que la IA es similar a la magia, entonces quizás nuestro objetivo es darte una varita mágica para dirigir y controlarla.

¿Cuáles son los riesgos más grandes que enfrentan las empresas al implementar la IA generativa, y cómo mitiga WitnessAI esos riesgos?

El primero es la visibilidad. Muchas personas se sorprenden al enterarse de que el universo de aplicaciones de IA no se limita solo a ChatGPT y ahora DeepSeek; hay literalmente miles de aplicaciones de IA en Internet y las empresas asumen riesgos cuando los empleados utilizan estas aplicaciones, así que el primer paso es obtener visibilidad: ¿qué aplicaciones de IA están utilizando mis empleados, qué están haciendo con esas aplicaciones y es riesgoso?

El segundo es el control. Tu equipo legal ha elaborado una política de uso aceptable para la IA, una que garantice la seguridad de los datos del cliente, los datos de los ciudadanos, la propiedad intelectual, así como la seguridad de los empleados. ¿Cómo vas a implementar esta política? ¿Está en tu producto de seguridad de endpoint? En tu firewall? En tu VPN? En tu nube? ¿Qué pasa si todos son de diferentes proveedores? Así que necesitas una forma de definir y hacer cumplir una política de uso aceptable que sea consistente en todos los modelos de IA, aplicaciones, nubes y productos de seguridad.

El tercero es la protección de tus propias aplicaciones. En 2025, veremos una adopción más rápida de LLM en las empresas, y luego una implementación más rápida de aplicaciones de chat impulsadas por esos LLM. Así que las empresas necesitan asegurarse de que no solo las aplicaciones estén protegidas, sino que también las aplicaciones no digan “tonterías”, como recomendar a un competidor.

Nosotros abordamos los tres. Proporcionamos visibilidad sobre qué aplicaciones están accediendo las personas, cómo están utilizando esas aplicaciones, política basada en quién eres y qué estás tratando de hacer, y herramientas muy efectivas para prevenir ataques como jailbreaks o comportamientos no deseados de tus bots.

¿Cómo ayuda la característica de observabilidad de la IA de WitnessAI a las empresas a rastrear el uso de la IA por parte de los empleados y a prevenir riesgos de “IA en la sombra”?

WitnessAI se conecta a tu red de manera fácil y silenciosa, y construye un catálogo de cada aplicación de IA (y hay literalmente miles de ellas en Internet) a la que acceden tus empleados. Te decimos dónde están ubicadas esas aplicaciones, dónde alojan sus datos, etc., para que entiendas qué tan riesgosas son esas aplicaciones. Puedes activar la visibilidad de conversaciones, donde utilizamos inspección de paquetes profundos para observar las solicitudes y respuestas. Podemos clasificar las solicitudes por riesgo e intención. La intención podría ser “escribir código” o “escribir un contrato corporativo”. Es importante porque entonces te permitimos escribir controles de política basados en la intención.

¿Cuál es el papel de la aplicación de la política de la IA en la garantía del cumplimiento de la IA corporativa, y cómo simplifica WitnessAI este proceso?

El cumplimiento significa garantizar que tu empresa está siguiendo las regulaciones o políticas, y hay dos partes para garantizar el cumplimiento. La primera es que debes poder identificar la actividad problemática. Por ejemplo, necesito saber que un empleado está utilizando los datos del cliente de una manera que podría violar una ley de protección de datos. Lo hacemos con nuestra plataforma de observabilidad. La segunda parte es describir y hacer cumplir la política contra esa actividad. No solo quieres saber que los datos del cliente están filtrándose, quieres detener la filtración de esos datos. Así que hemos construido un motor de política de IA único, Witness/CONTROL, que te permite construir políticas basadas en la identidad y la intención para proteger los datos, prevenir respuestas dañinas o ilegales, etc. Por ejemplo, puedes construir una política que diga algo como: “Solo nuestro departamento legal puede utilizar ChatGPT para escribir contratos corporativos, y si lo hacen, automáticamente redactar cualquier información personal identificable”. Fácil de decir, y con WitnessAI, fácil de implementar.

¿Cómo aborda WitnessAI las preocupaciones sobre jailbreaks de LLM y ataques de inyección de solicitudes?

Tenemos un equipo de investigación de IA muy sólido, realmente afilado. Al principio, construyeron un sistema para crear datos de ataque sintéticos, además de recopilar conjuntos de datos de entrenamiento ampliamente disponibles. Como resultado, hemos benchmarking nuestra inyección de solicitudes contra todo lo que hay ahí fuera, y somos más del 99% efectivos y regularmente capturamos ataques que los modelos en sí mismos pierden.

En la práctica, la mayoría de las empresas con las que hablamos quieren empezar con la gobernanza de aplicaciones de los empleados, y luego un poco más tarde implementan una aplicación de IA para los clientes basada en sus datos internos. Así que utilizan Witness para proteger a su gente, y luego activan el firewall de inyección de solicitudes. Un sistema, una forma consistente de construir políticas, fácil de escalar.

¿Cuáles son tus objetivos a largo plazo para WitnessAI, y dónde ves la evolución de la gobernanza de la IA en los próximos cinco años? 

Hasta ahora, solo hemos hablado de un modelo de aplicación de chat a persona. Nuestra próxima fase será manejar la aplicación a aplicación, es decir, la IA agente. Hemos diseñado las API en nuestra plataforma para funcionar igual de bien con agentes y humanos. Más allá de eso, creemos que hemos construido una nueva forma de obtener visibilidad y control a nivel de red en la era de la IA, y creceremos la empresa con eso en mente. Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar WitnessAI.