Mitchell Amador, Immunefin perustaja ja toimitusjohtaja – Haastattelusarja

Mitchell Amador, Immunefin perustaja ja toimitusjohtaja, on tunnettu blockchain-turvan yrittäjä, enkeli-investoija ja onchain-ajattelija. Hän perusti Immunefin, johtavan bugipalkkio- ja turvallisuuspalvelun Web3-ekosysteemille, joka on auttanut estämään yli 25 miljardin dollarin potentiaalisia hakkerointeja ja varkauksia sekä edistänyt bugipalkkio-ohjelmia teollisuuden standardina. Hän on ollut avainroolissa suurten blockchain-protokollien turvaamisessa, osallistunut valkohattuiseen turvallisuustyöhön ja perustanut myös Instituto New Economyn, blockchain-ajattelupajan, joka on auttanut Portugalin aseman vahvistamisessa johtavana Euroopan blockchain-innovaatiokeskuksena.

Immunefi on johtava Web3-turva-alusta, joka yhdistää blockchain-projekteja eettisten hakkereiden kanssa bugipalkkio-ohjelmien, turvallisuuden tarkastusten ja haavoittuvuuden ilmoituspalvelujen kautta. Yritys auttaa suojelemaan miljardeja dollareita digitaalisia varoja mahdollistamalla organisaatioiden tunnistaa ja korjata kriittisiä turvallisuusongelmia ennen kuin ne voidaan hyödyntää, palvelemalla monia maailman suurimpia blockchain-protokollia ja hajautettuja rahoitusprojekteja (DeFi).

Ennen Immunefin perustamista, olet auttanut adoptioita yrityksissä kuten SingularityNET ja Steemit, ja olet osallistunut Portugalin varhaiseen krypto-lainsäädännön muotoiluun. Mikä teki sinusta vakuuttuneen siitä, että Web3-turva on ongelma, johon kannattaa omistautua uralla, ja mikä aukko markkinassa näit sinun perustettaessa Immunefiä?

Perinteiset turvallisuusyritykset eivät voineet pysyä Web3:n nopeuden ja monimutkaisuuden kanssa, eikä ollut luotettavaa alustaa, joka voisi houkutella eliittitutkijoita laajassa mittakaavassa ja antaa protokollille luottamusta, että ilmoitukset käsiteltäisiin ammattimaisesti. Näimme mahdollisuuden rakentaa Web3-turvan infrastruktuurikerros, luoden yhdenmukaiset kannustimet projekteille ja tutkijoille sekä tekemällä proaktiivisen turvallisuuden teollisuuden toiminnan ydinosaaksi.

Olet auttanut rakentamaan Immunefin Web3-turvan johtavaksi voimaksi, suojelemalla satoja miljardeja dollareita varoja ja käsittelemällä suurimman osan kriittisistä haavoittuvuuksien ilmoituksista kryptossa. Katsellessasi takaisin tähän matkaan, mitkä Immunefin skaalauttamisesta oppimasi opit vaikuttivat päätökseesi tuoda Code4renan asiakkaat ja yhteisö Immunefin ekosysteemiin?

Yksi suurimmista oppimistani Immunefin skaalauttamisesta on, että turva toimii parhaiten, kun kyky on keskitetty eikä hajautunut. Tuomalla Code4renan asiakkaat ja tutkijat Immunefin ekosysteemiin voimme vahvistaa molempia puolia markkinapaikkaa: tutkijat saavat pääsyn enemmän mahdollisuuksiin ja resursseihin, kun taas projektit saavat pääsyn laajempaan turvallisuuspalveluihin, jota tukee Web3:n suurin tutkijaverkosto.

Code4rena oli tärkeässä roolissa kilpailevien turvallisuuden tarkastusten popularisoinnissa kryptossa. Mikä sinun mielestäsi lopulta aiheutti sen liiketoimintamallin haasteen, ja mitkä laajemmat opit se tarjoaa crowdsourcen turvallisuuden tulevaisuudelle?

Ydinhaaste ei ollut kilpailevien tarkastusten arvo. Se arvo on edelleen merkittävä. Haaste oli rakentaa kestävä liiketoimintamalli yksittäisen tarjoajan ympärille, kun asiakkaiden odotukset olivat kehittyneet.

Protokollat haluavat yhä useammin kattavia turvallisuusratkaisuja pistetuotteiden sijaan. He haluavat bugipalkkioita, tarkastuksia, uhka-analyysiä, turvallisuustoimintoja ja vastetoimia yhden katon alla. Kun markkina kypsyi, oli haasteellista erikoistuneiden toimijoiden kilpailla laajemman turvallisuuspakettia tarjoavien alustojen kanssa.

Monet turvallisuustutkijat pitivät Code4renaa ainutlaatuisen kulttuurin ja yhteisön omistajana. Miten aiot säilyttää sen, mikä teki alustan arvokkaaksi, integroitessasi käyttäjiä Immunefiin?

Yhteisö oli lopulta se, mikä teki Code4renasta onnistuneen. Tavoitteena ei ole korvata kulttuuria, vaan luoda ympäristö, jossa se voi jatkaa menestyksekästä toimintaa laajemmalla tuella ja skaalalla. Tavoitteena on jatkuvuus, ei keskeytys. Haluamme, että tutkijat kokevat, että he saavat pääsyn laajempaan alustaan ilman menettämättä yhteisön piirteitä, jotka tekivät heidät osallistumaan alustaansa alun perin.

Perinteiset turvallisuustarkastukset usein nojaavat suhteellisen pieneen ryhmään tarkastajia, kun taas tarkastuskilpailut voivat houkutella satoja tutkijoita. Miten näet tarkastuskilpailujen kehittyvän seuraavien viiden vuoden aikana, kun tekoäly muodostuu yhä enemmän osaksi turvallisuustyönkulkua?

Mitä todennäköisesti näemme, on siirtymä, jossa tekoäly käsittelee kasvavan osan toistuvaa analyysiä, mallintunnistusta ja alkuvaiheen triagea, jolloin tutkijat voivat keskittyä enemmän uusiin hyökkäysvektoreihin ja monimutkaisiin järjestelmäkohtaisiin haavoittuvuuksiin.

Tämä kehitys tekee kilpailutarkastukset arvokkaammiksi. Jos satoja tutkijoita voidaan hyödyntää yhä enemmän tekoälytyökaluja, luodaan ympäristö, jossa erilaiset lähestymistavat voidaan soveltaa samaan koodipohjaan ennennäkemättömällä skaalalla. Tulevaisuus ei ole sellainen, jossa tekoäly korvaa crowdsourcen turvallisuuden, vaan tekoäly vahvistaa laajaa tutkijayhteisön tehokkuutta.

Yksi nousevista huolenaiheista, josta olet korostanut, on tekoälyllä generoituja roskatunnisteita. Miten vakava ongelma tämä on, ja mitä se paljastaa tekoälytyökalujen laajan saatavuuden tahattomista seurauksista?

Ongelma ei ole siinä, että tekoäly löytää liian monta haavoittuvuutta. Ongelma on, että se voi generoida suuria määriä vakuuttavia mutta lopulta virheellisiä löytöjä. Jokainen matalan laatuisen ilmoituksen käsittely vie arvokasta aikaa ja luo toiminnallista ylitöitä.

Laajemmin ottaen se osoittaa toistuvan mallin teknologiassa. Kun voimakkaat työkalut tulevat laajasti saataville, sekä tuottava että tuottamaton toiminta skaalautuu samanaikaisesti. Onnistuneet organisaatiot ovat niitä, jotka rakentavat järjestelmiä, jotka voivat tehokkaasti tunnistaa aitoa asiantuntemusta ja aitoja löytöjä paljon laajemman automaattisen tulosteen joukossa.

Uskotko, että tekoäly parantaa lopulta haavoittuvuuksien löytämisen laatua, vai ovatko turvallisuusalustat pitkän aikavälin aseidenkilpailussa yhä enemmän kykenevien tekoälyjärjestelmien ja niiden aiheuttamien matalan laatuisen automaattisen ilmoituksen tulvien kanssa?

Molemmat asiat ovat tosia.

Tekoäly parantaa epäilemättä haavoittuvuuksien löytämistä. Olemme jo nähneet tutkijoiden käyttävän tekoälyä työnkulkujen nopeuttamiseen, laajempien koodipohjien analysointiin ja mahdollisten hyökkäysvektoreiden tunnistamiseen tehokkaammin kuin ennen.

Samaan aikaan on käynnissä jatkuva aseidenkilpailu löytöjä generoivien ja niiden validointijärjestelmien välillä. Ratkaiseva tekijä ei ole se, kuka voi generoida enemmän raportteja. Se on se, kuka voi generoida korkean luottamuksen löytöjä.

Olemme jo alkuun saaneet nähdä tekoälyavusteisia tutkijoita, jotka löytävät haavoittuvuuksia nopeammin kuin koskaan aiemmin. Miten lähellä olemme tekoälyjärjestelmien itsenäisesti löytävän, validoinnin ja jopa priorisoinnin kriittisiä haavoittuvuuksia vähäisen ihmisen osallistumisen kanssa?

Olemme lähempänä löytämisen vaihetta kuin monet ihmiset tajuvat. Tekoäly on jo nyt hyödyllistä mallien tunnistamiseen, koodin tarkasteluun ja mahdollisten haavoittuvuuksien pinnan viemiseen.

Validointi on edelleen haastavampi tehtävä. Löytää jotain, mikä saattaa olla haavoittuvuus, on eri asia kuin todistaa hyödyntämiskyky, ymmärtää liiketoimintavaikutus ja arvioida oikein vakavuutta. Nämä tehtävät edellyttävät edelleen merkittävää ihmisen arviointia.

Autonominen tekoälyagenttien nousu luo kokonaan uusia hyökkäyspintoja. Mitkä tekoälyyn liittyvät turvallisuusriskit, jotka mielestäsi ovat tällä hetkellä aliarvioituja sekä Web3-teollisuudessa että laajemmassa yritysmarkkinassa?

Usein aliarvioidaan luottamuksen rajojen monimutkaisuutta. Autonominen järjestelmä ei toimi eristyneisyyden tilassa. Ne ottavat syötteitä useista lähteistä, vuorovaikuttavat kolmannen osapuolen palvelujen kanssa ja tekevät päätöksiä dynaamisten ympäristöjen perusteella. Jokainen näistä vuorovaikutuksista luo potentiaalisen hyökkäyspinnan.

Luulen, että monet organisaatiot soveltavat edelleen perinteisiä ohjelmistoturvallisuusoletuksia järjestelmiin, jotka toimivat perustavanlaatuisesti toisin. Tämä aukko tulee olemaan yhä tärkeämpää, kun autonomiset agentit saavat laajempaa toimivaltaa.

Katsoessaan eteenpäin kolmeen viiden vuoteen, miten odotat tekoälyn muuttavan haavoittuvuuksien löytämistä, ilmoittamista ja lieventämistä, ja mikä rooli näet ihmisten turvallisuustutkijoilla tässä tulevaisuudessa?

Tekoäly vauhdittaa jokaisen turvallisuuselinkaaren vaihetta dramaattisesti. Haavoittuvuuksia löydetään nopeammin, priorisoidaan nopeammin ja useissa tapauksissa lievennetään nopeammin kuin nykyään. Turvallisuustiimit saavat käyttöönsä enemmän älykkyyttä ja automaatiota kuin koskaan aiemmin.

En kuitenkaan usko, että tulevaisuus on sellainen, jossa ihmistutkijat tulevat olemaan merkityksettömiä. Jos mikä, heidän roolinsa tulee tärkeämmäksi. Kun tekoäly käsittelee rutiinitehtäviä, ihmisten asiantuntemus siirtyy ymmärtämään uusia järjestelmiä, tunnistamaan epäperinteisiä hyökkäysreittejä, validointiin kriittisiä löytöjä ja tekemään strategisia turvallisuuspäätöksiä.

Menestyksekkäimmät tutkijat eivät ole niitä, jotka kilpailevat tekoälyä vastaan. He ovat niitä, jotka oppivat hyödyntämään tekoälyä voimakkaana moninkertaistajana. Turvallisuus on aina palkinnut sopeutumiskykyä, ja se pysyy totena tekoälyohjatussa tulevaisuudessa.

Kiitos haastattelusta, lukijat, jotka haluavat oppia lisää, voivat vierailla Immunefin sivustolla.