Ronen Slavin, CTO ja Co-founder, Cycode – Haastattelusarja

Ronen Slavin, CTO ja Co-founder, Cycode, on sarjayrittäjä ja entinen Israelin puolustusvoimien Unit 8200 -yksikön upseeri. Ennen Cycode-nimisen yrityksen perustamista vuonna 2019, hän perusti FileLockin, jonka Reason Security hankki vuonna 2018, ja toimi tutkimuspäällikkönä Reason Cybersecurityssa. Syvällinen asiantuntemus haittaohjelmien havaitsemisessa, haavoittuvuustutkimuksessa ja hyödyntämisessä on auttanut Slavinia rakentamaan uraa edistyneen turvallisuustutkimuksen ja tuoteinnovaation risteyksessä.

Cycode on AI-käyttöön tarkoitettu sovellusturva-alusta, joka yhdistää turvallisuus- ja kehittäjätiimit toimivalla kontekstilla koodista suoritusaikaan. Yhdistämällä AST:n, ASPM:n ja ohjelmistotoimittajaketjun turvallisuuden, se turvaa sekä AI- että ihmisten luoman koodin. Sen Risk Intelligence Graph (RIG) -ominaisuuden, omien skannereiden ja integraatioiden ansiosta Cycode tarjoaa välittömän riskin havaitsemisen, CIA:n (Change Impact Analysis) ja AI-korjaukset – sulkiessaan näkyvyyden aukot, nopeuttaa korjausta ja laskee kustannuksia ensimmäisestä päivästä lähtien.

Mikä motivoi sinua perustamaan Cycode-nimisen yrityksen, ja mikä oli avainongelma ohjelmistoturva-alalla, jonka halusit ratkaista alusta alkaen?

Idean Cycode-nimiselle yritykselle syntyi havainnosta, jonka olimme toistuvasti havainneet; lähdekoodi varastettiin tai tahattomasti vuotettiin väärään käsiin. Vuosien aikana cybersecurity- ja hyökkäävän turvallisuuden parissa työskennellessäni ja johtaessani endpoint-suojaa Reasonissa, tulimme tietoisiksi siitä, kuinka kriittinen lähdekoodi on – ei vain koodiriveinä, vaan yhtenä yrityksen arvokkaimmista varoista. Se silmäysavaus innoitti minua perustamaan Cycode-nimisen yrityksen. Alusta alkaen meidän tehtävämme oli selvä: suojella lähdekoodia jokaisessa vaiheessa, siitä hetkestä, kun se kirjoitetaan, siihen hetkeen, kun se toimitetaan, ilman, että kehittäjien vauhti ja eteneminen hidastuvat.

Se, mikä oli tärkeintä, oli antaa tiimille näkyvyys, vastuu ja yhteistyö, joita he tarvitsivat. Kehittäjien ei pitäisi uhrata tuottavuuttaan turvallisuuden vuoksi, eikä turvallisuustiimien pitäisi toimia ilman kontekstia tai valvontaa. Cycode luotiin mahdollistamaan molemmat.

Kuinka aiempi kokemuksesi cybersecurity-yrityksen perustajana ja palvellessasi Israelin elitä-intelligenssiyksikössä, Unit 8200:ssa, muovasi teknistä lähestymistapaa Cycode-nimisessä yrityksessä?

Aikani Israelin kyberturvaekosysteemissä, erityisesti teknisissä ympäristöissä, opetti minulle tarkkuuden, sopeutumisen ja uteliaisuuden. Olipa minä sitten Unit 8200:ssa tai varhaisissa startup-päivieni, opin ajattelemaan sekä hyökkääjän että puolustajan näkökulmasta. Se kaksinkertainen näkökulma on ollut perustana sille, miten rakensimme Cycode-nimisen yrityksen.

Cybersecurity-yrityksen perustajana näin, kuinka fragmentoitu ja reaktiivinen turvallisuusmaisema oli kehittynyt. Turvallisuustyökalut oli usein kiinnitetty jälkikäteen, jättäen kehittäjät navigoimaan hälytysten labyrinttiin ilman kontekstia. Sen muutokseen ryhdyimme.

Cycode-nimisessä yrityksessä olemme ottaneet järjestelmätasoiset lähestymistavat, kohdellaan lähdekoodia kriittisenä varana ja rakentaa turvallisuutta ohjelmistokehityksen elinkaareen alusta alkaen. Taustani on opettanut minulle, että turvallisuuden on oltava proaktiivista, kontekstuaalista ja kehittäjäystävällistä. Siksi panostamme automaatioon, näkyvyyteen ja siltaamme turvallisuuden ja ohjelmistokehityksen välistä kuilua. Se ei ole vain havaitseminen, vaan myös korjaaminen nopeasti ja luotettavasti.

Cycode yhdistää useita suojauksen kerroksia, mukaan lukien AST (Sovellusturva-testaus) ja ASPM (Sovellusturvan asennusjohto). Kuinka nämä elementit toimivat yhdessä – ja mikä tekee Cycode-nimisen lähestymistavan ainutlaatuisen?

Täysin. Cycode-nimisessä yrityksessä modernin ohjelmistoturvan turvallisuuden varmistaminen vaatii enemmän kuin vain koodin skannaus; se vaatii holistisen ymmärryksen siitä, miten koodi on rakennettu, käyttöön otettu ja ylläpidetty. Nykyään AI-käyttöön tarkoitetun sovellusturva-alustana lähestymistapamme on erottuva tekijä, joka perustuu AST:n, ASPM:n ja ohjelmistotoimittajaketjun turvallisuuden yhdistämiseen.

AST-työkalut, kuten SAST, DAST ja SCA, ovat tehokkaita koodin haavoittuvuuksien, riippuvuuksien ja infrastruktuurin tunnistamisessa. Mutta ne toimivat usein eristyneissä ympäristöissä, generoimalla hälytyksiä ilman kontekstia. Siinä kohtaa ASPM tulee kuvaan. ASPM yhdistää pisteet koko ohjelmistokehityksen elinkaaren ylitse. Se tarjoaa näkyvyyden sovellusturvan asentoon riskien priorisoinnilla ja toimivalla korjaamisella, SSCS:n avulla turvataan CI/CD-pipeline.

Se, mikä tekee Cycode-nimisen lähestymistavan ainutlaatuisen, on, miten yhdistämme nämä kerrokset ja asetamme uuden yritysstandardin. Tänä AI:n aikakautena turvallisuuden on kehittynä oltava älykkäämpää. Olemme rakentaneet perustamme AST:lle, ASPM:lle ja SSCS:lle AI-agenteilla, jotka auttavat priorisoimaan ja korjaamaan asiat nopeammin, sulkiessaan turvallisuuskuilun, jonka mainitsin aiemmin.

Kuinka Cycode integroituu moderniin DevOps-pipelineen, kuten GitHub, GitLab tai Azure DevOps, jotta voidaan havaita riskit aiemmin elinkaaren aikana?

Cycode on rakennettu modernin DevOpsin näkökulmasta. Integroimme suoraan alustoille, kuten GitHub, GitLab ja Azure DevOps, upottamaan turvallisuuden jokaiseen ohjelmistokehityksen elinkaaren vaiheeseen ilman, että hidastamme tiimejä.

Meidän alustamme yhdistää lähdekoodin hallintaan ja CI/CD-järjestelmiin jatkuvasti seuraamaan koodia, konfiguraatioita ja työnkulkuja. Skannaus- ja pull-pyynnöt tehdään reaaliajassa, jotta kehittäjät saavat välittömän palautteen haavoittuvuuksista ennen kuin koodi yhdistetään. Analysoimme myös commit-historiaa ja metadataa määrittääksesi ongelmat oikeille omistajille, vähentäen kitkaa ja nopeuttaa korjausta.

Lähestymistavassamme emme vain ilmaise hälytyksiä; tarjoamme koko kontekstin. Se sisältää ongelman alkuperän, sen potentiaalisen vaikutuksen ja korjaamisvälineet. Ja koska integroimme työkalujen, kuten JIRA:n, kanssa, voimme automaattisesti luoda ja seurata tikettejä, pitäen turvallisuuden ja kehityksen synkronoituina.

Lopulta tavoitteemme on siirtää turvallisuus vasemmalle hallitulla tavalla, jotta riskit voidaan tunnistaa aikaisin, korjata nopeasti ja eivät muodostu esteiksi myöhemmin putkessa.

Voi kuvailla, kuinka Cycode-nimisen Risk Intelligence Graph -ominaisuus auttaa tiimejä yhdistämään uhkat koodin, konttien, infrastruktuurin ja suoritusajan yli?

Kyllä, se on ominaisuus, jota olemme ylpeitä tarjoamaan. Risk Intelligence Graph, mitä kutsumme RIG:ksi, on moottori, joka mahdollistaa Cycode-nimisen kyvyn yhdistää ja kontekstualisoida turvallisuustietoja koko ohjelmistotoimittajaketjun yli.

Ajattele RIG:ä dynaamisena karttana, joka yhdistää kaiken lähdekoodista ja avoimen lähdekoodin riippuvuuksista CI/CD-pipelineen, artifact-rekisteriin ja suoritusaikaympäristöön. Se ei kerää vain tietoja – se ymmärtää suhteita. Kun haavoittuvuus löytyy kontista, RIG voi jäljittää sen takaisin tarkkaan koodiriviin, kehittäjään, joka sitä teki, pipelineen, joka sen rakensi, ja infrastruktuuriin, jolla se ajaa.

Tämä taso näkyvyyttä on kriittinen. Se mahdollistaa turvallisuustiimien priorisoida riskejä niiden todellisen vaikutuksen perusteella, eikä pelkästään vakavuuspisteiden perusteella. AI:n sisäänrakennetun ansiosta se tarjoaa kehittäjille toimivia oivalluksia ja koko kontekstin, mahdollistaen heidän korjata ongelmia nopeammin ja luotettavammin.

On tärkeää huomata, että RIG ei ole vain dashboard; se on päätöksentekotyökalu. Se auttaa tiimejä siirtymään havaitsemisesta korjaamiseen DevOpsin nopeudella, yhdistäen pisteet hajanaisissa järjestelmissä ja ilmaisten riskit, jotka todella merkitsevät.

Kuinka Cycode havaitsee ja hallitsee riskiä, joka liittyy AI-koodiin ja integraatioihin palvelujen, kuten OpenAI tai Hugging Face, kanssa?

AI-koodi tuo uuden kerroksen monimutkaisuutta ja riskiä, erityisesti, kun se on peräisin ulkoisista palveluista, kuten OpenAI tai Hugging Face. Cycode-nimisessä yrityksessä olemme kehittäneet kykyjä, jotka on tarkoitettu tämän kehittyvän uhka-alan ratkaisemiseen. Viimeaikaisimmissa kehityksissämme on AI-hyökkäävyyden agentti ja MCP-palvelin turvallisen AI-kehityksen ja vibe-koodausprosessien turvaamiseksi.

Meidän alustamme tarjoaa keskitetyn sovellusvarainventoinnin, joka kartoittaa kaikki komponentit ohjelmistoympäristössä, mukaan lukien AI-mallit, kolmannen osapuolen AI-kirjastot ja integraatiot palvelujen, kuten OpenAI tai Hugging Face, kanssa. Se tarjoaa tiimille täydellisen näkyvyyden siitä, missä AI:ta käytetään, vaikka se olisi syvällä pinossa.

Toiseksi, käytämme omia koodianalyysityökaluja, jotka tekevät enemmän kuin peruskuvioiden vastaavuutta. Nämä työkalut voivat havaita AI-koodin malleja ja tunnistaa kirjastoja tai kehyksiä, jotka yleensä liittyvät koneoppimiseen, NLP:hen tai generatiiviseen AI:hen – vaikka ne eivät olisi eksplisiittisesti merkitty sellaisiksi.

Kolmanneksi, Cycode skannaa jatkuvasti AI-spesifisiä haavoittuvuuksia, kuten vastakkaisia hyökkäyksen pintoja, datan myrkyttämisen riskejä ja mallin poiston uhkia. Nämä ovat kehittyviä vektoreita, joita perinteiset AST-työkalut usein ohittavat. Priorisoimme nämä riskit vakavuuden ja liiketoimintavaikutuksen perusteella, ja tarjoamme korjaamisohjeita, jotka on räätälöity AI-kontekstiin.

Lopulta, autamme organisaatioita pysymään sääntelyn mukaisina, kuten EU:n AI-lain, automatisoimalla dokumentaation ja tarjoamalla avoimuutta siitä, miten AI:ta käytetään sovelluksissa, mukaan lukien raportit AI-komponenteista, niiden tarkoituksesta ja niiden potentiaalisesta vaikutuksesta, mikä on kriittistä sekä sisäiselle hallinnolle että ulkoisille tarkastuksille.

Lyhyesti sanottuna, Cycode ei ainoastaan havaitse AI-liittyvää riskiä; se auttaa sen hallitsemisessa täydellisen kontekstin, vastuun ja sääntelynäkökulman valvonnassa.

Mitä ovat suurimmat haasteet salaisuuden havaitsemisessa modernissa SDLC-ympäristössä, ja kuinka Cycode ratkaisee ne?

Salaisuuden havaitseminen on yksi kriittisimmistä ja useimmin ylitetyistä haasteista modernissa ohjelmistokehityksessä. Salaisuudet, kuten API-avaimet, tunnukset ja tunnistautumistiedot, on usein kätketty lähdekoodiin, CI/CD-pipelineen ja konfiguraatiotiedostoihin. Ja jakautuneiden tiimien, avoimen lähdekoodin riippuvuuksien ja nopeiden julkaisujen kasvavan suosion myötä nämä salaisuudet voivat helposti vuotaa julkisiin repositorioihin tai hyödyntää hyökkääjien toimesta.

Haaste on, että salaisuudet eivät ole enää vain koodissa. Ne ovat joka paikassa, build-ympäristöissä, artifact-rekistereissä ja jopa kolmannen osapuolen työkaluissa. Perinteiset skannausvälineet usein ohittavat ne tai generoivat liian paljon melua, mikä tekee tiimille vaikeaksi ryhtyä toimiin.

Cycode-nimisessä yrityksessä otamme holistisen lähestymistavan turvallisuuteen. Meidän alustamme skannaa koko SDLC:hen, lähdekoodirepositorioista CI/CD-pipelineen ja suoritusaikaympäristöön, jotta voidaan havaita alttiit salaisuudet reaaliajassa. Korreloimme löydökset kontekstilla, jotta tiimit tietävät, mikä on paljastunut, missä, kuka on vastuussa ja kuinka kriittinen se on.

Pakotamme myös vähimmäistoimioikeuksia ja turvallista pipeline-konfiguraatiota estääksemme salaisuuksien väärinkäyttöä. Ja koska integroimme ongelmanseurantajärjestelmiin ja kehittäjien työnkulkuun, korjaaminen on nopeaa ja kitkattoma.

Lopulta, salaisuuden havaitseminen ei ole vain vuodon havaitseminen; se on koko ohjelmistotehtaan turvallisuuden varmistaminen. Se on sitä, mitä Cycode-niminen alusta on rakennettu tekemään.

Miten varmistatte tarkin ja vähentät virheellisiä positiivisia tuloksia skannatessasi haavoittuvuuksia tai salaisuuksia?

Virheellisten positiivisten tulosten kanssa kamppailu voi olla erittäin turhauttavaa kehittäjille. Kun tiimit joutuvat jatkuvasti kohtaamaan merkityksettömiä hälytyksiä, on helppo alkaa ignoreerata niitä, ja juuri silloin todelliset uhkat voivat päästä läpi. Meidän SAST-moottorimme avulla autamme tiimejä tunnistamaan koodin heikkoudet, saavuttamaan tarkin ja keskittymään todellisiin positiivisiin tuloksiin säästääksemme aikaa ja kiihdyttääksemme ohjelmistojen toimittamista. OWASP-benchmark-testeissä Cycode saavutti virheellisten positiivisten tulosten osuuden 2,1 %, mikä edustaa yli 94 %:n vähennystä verrattuna vaihtoehtoiseen menetelmään.

Ensinnäkin, keskitymme kontekstuaaliseen korrelaatioon. Sen sijaan, että vain ilmaisisimme potentiaalisen ongelman ja siirtyisimme eteenpäin, meidän alustamme kartoittaa sen isompaan kuvaan organisaation ohjelmistotoimittajaketjusta. Siksi, jos salaisuus löytyy commitista, liitämme sen pipelineen, joka sen rakensi, ympäristöön, jossa se on käytössä, ja kehittäjään, joka sen lisäsi. Tämä lisäkonteksti auttaa meitä määrittämään, onko jokin todellinen riski vai vain vaaraton.

Seuraavaksi, meidän omat skannausalgoritmemme tekevät enemmän kuin peruskuvioiden vastaavuutta. Meidän salaisuuden havaitseminen skannaa koodin malleja, entropiaa ja merkkijonon käyttöä, mikä mahdollistaa meille erottaa aitoja salaisuuksia ja samankaltaisia, mutta ei-merkityksellisiä, kuten testidatan tai paikkatietojen kaltaisia.

Integroimme myös ongelmanseurantajärjestelmiin ja kehittäjien työnkulkuun, jotta kaikki on yhteydessä. Kun haavoittuvuus tai salaisuus vahvistetaan ja korjataan, se palaute auttaa meitä tehdä mallejamme älykkäämmiksi. Kehittäjien koodin omistajuuden perusteella määrittelemme ongelmat oikeille omistajille, vähentäen duplikaattia ja nopeuttaen korjaamista.

Lopulta, tavoitteemme on yksinkertainen. Tavoittelemme turvallisuuden, johon voit luottaa: vähemmän virheellisiä hälytyksiä, tarkemmat löydökset ja nopeammat korjaukset. Näin tiimit voivat keskittyä ratkaisemiseen todellisia ongelmia, jotka ovat tärkeimpiä.

Mikä on “kehittäjä-ensin” -turvallisuustyökalujen arvo, ja kuinka Cycode välttää työnkulun häirintää?

Turvallisuuden “kehittäjä-ensin” -lähestymistapa on siinä, että tekee suojaus nopeaa, relevanttia ja vain tarpeen mukaan näkyvää. Se on tapa, jolla pidämme kehitystyön edistyvän, samalla kun ohjelmisto turvataan.

Jos turvallisuustyökalut hidastavat kehittäjiä tai ylikuormittavat heitä liian monilla hälytyksillä, ne vaativat riskiä, että ne joutuvat sivuutetuiksi. Siksi Cycode on suunniteltu auttamaan kehittäjiä, ei hidastamaan heitä.

Oikea arvo tulee siitä, että tuo turvallisuuden suoraan kehittäjän arkipäivän työnkulkuun. Cycode-nimisessä yrityksessä turvallisuustarkastukset tapahtuvat heti, siellä, missä kehittäjät kirjoittavat ja tarkastavat koodia, kuten IDE:ssä tai pull-pyyntöjen aikana. Se tarkoittaa, että kehittäjät saavat palautteen juuri silloin, kun he tarvitsevat sitä, tehdäkseen helpoksi havaita ongelmia aikaisin ja rakentaa turvallista koodaamiskulttuuria ilman ylimääräistä vaivaa.

Konteksti on myös avainasemassa. Sen sijaan, että lähettäisimme epämääräisiä hälytyksiä, Cycode antaa kehittäjille tarkat tiedot: mitä haavoittuvuus on, mistä se on peräisin, kuka on vastuussa ja miten se voidaan korjata. Tällainen tieto auttaa vähentämään sekaannusta ja mahdollistaa tiimien ratkaisemisen ongelmia tehokkaammin.

Integroimalla suosittuihin CI/CD-työkaluihin ja ongelmanseurantajärjestelmiin, kuten JIRA:han, Cycode varmistaa, että turvallisuus muodostuu ohjelmistokehitysprosessin luonnolliseksi osaksi, eikä erilliseksi tai irtautuneeksi asiaksi. Kehittäjät voivat pysyä tehtävissään, ja turvallisuustiimit saavat valvontaa, jonka he tarvitsevat.

Mitä hyökkäyksiä tai haavoittuvuuksia odotatte lisääntyvän, kun enemmän yrityksiä ottaa käyttöön AI:n kehitystyössään?

Kun AI:sta tulee yhä enemmän osa arkipäivän kehitystyötä, kohtaamme uuden joukon haavoittuvuuksia. Nämä eivät ole vain teknisiä haasteita; jotkut niistä tulevat siitä, miten ihmiset ja tiimit vuorovaikuttavat näiden työkalujen kanssa.

Yksi merkittävimmistä riskeistä on, että kehittäjät voivat tulla liian riippuvaisiksi AI-koodista. Vaikka AI voi auttaa nopeuttamaan prosessia, se ei ole täydellinen. Jos kehittäjät olettavat, että jokainen AI-ehdotus on oikein, he saattavat tahattomasti esittää piileviä virheitä tai turvallisuusongelmia. Koska vastuun rajat voivat tulla epäselviksi, kun koodi on peräisin koneesta, nämä ongelmat saattavat jäädyttää huomion.

On myös kasvava huolenaihe siitä, että hyökkääjät kohdistavat hyökkäyksiä erityisesti AI-malleihin ja -rajapintoihin. Esimerkiksi, jos luotettavat palvelut, kuten OpenAI tai Hugging Face, on murrettu, tai jos joku onnistuu pääsemään sisään workflow:hen, hyökkääjät voivat muuttaa tuloksia tai varastaa arkaluontoisia tietoja.

Lisäksi on uhka datan myrkyttämisestä. Tässä skenaariossa hyökkääjät tekevät hienoja, strategisia muutoksia koulutusdataan, mikä voi myöhemmin vaikuttaa siihen, miten AI-malli toimii. Tämäntyyppinen hyökkäys on erityisen vaarallinen alueilla, kuten petostentorjunnassa tai pääsytarkastuksessa, joissa turvallisuus on kriittistä.

Cycode-nimisessä yrityksessä kehitymme työkaluja, jotka auttavat tiimejä tunnistamaan AI-spesifiset riskit, kuten vastakkaiset haavoittuvuudet, mallin väärinkäytön ja epäturvalliset integraatiot. Autamme myös varmistamaan, että kehittäjät vastaavat koodista, jonka he toimittavat, riippumatta siitä, onko se kirjoitettu ihmisen vai autonomisesti.

Näkymä viiden vuoden päähän, kuinka näet AI:n roolin kehittyvän ohjelmistotoimittajaketjujen turvaamisessa?

AI on jo muuttamassa, miten lähestymme sovellusturvallisuutta, mutta sen täysi vaikutus ohjelmistotoimittajaketjuun on vasta aluillaan. Seuraavan viiden vuoden aikana uskon, että AI tulee olemaan avainosa, miten tunnistamme, priorisoimme ja osoitamme riskejä koko kehitysprosessin aikana.

Aluksi, AI auttaa lähentämään turvallisuus- ja kehittäjätiimejä. Tällä hetkellä on usein jännite, koska turvallisuustyökalut voivat keskeyttää työnkulkuja tai puuttua kontekstia. Cycode on suunniteltu auttamaan kehittäjiä, ei hidastamaan heitä.

AI myös tulee olemaan tärkeässä roolissa ymmärtäessämme, mitä tapahtuu reaaliajassa. Se tarkkailee build-ympäristöjä, kontteja ja API:ja, tunnistaa epätavallista toimintaa, kun se tapahtuu. Tämä reaaliaikainen seuranta on olennainen, kun ohjelmistotoimittajaketjun hyökkäykset tulevat yhä monimutkaisemmiksi ja vaikeammiksi havaita perinteisillä skannauksilla.

Lisäksi, AI auttaa yrityksiä navigoimaan kasvavan sääntelyverkon. Kun hallitukset esittävät enemmän sääntöjä siitä, miten AI:ta tulisi käyttää, yritysten on tarjoittava selkeää dokumentaatiota siitä, miten heidän AI-järjestelmänsä tekevät päätöksiä ja mitä ne perustuvat. AI tulee auttamaan luomaan tämän dokumentaation, seuraamaan riippuvuuksia ja varmistamaan, että kaikki on yhdenmukaisesti sääntelyvaatimusten kanssa.

Viime kädessä, AI ei tule korvaamaan ihmisiä; se on tarkoitettu ihmisten voimaannuttamiseen. Kehittäjien ja turvallisuustiimien on edelleen otettava vastuu, erityisesti kun AI-koodi voi esittää uusia riskejä. Se on suuri syy, miksi olemme omistautuneita rakentamaan työkaluja, jotka tekevät AI:n läpinäkyväksi, ymmärrettäväksi ja vastuulliseksi.

Lopulta, AI tulee muodostumaan turvallisuuden yhdeksi päätekijäksi, joka tekee ohjelmistotoimittajaketjut turvallisemmiksi, mutta vain, jos käytämme sitä tarkoituksenmukaisesti ja pitämme ihmisiä mukana jokaisessa vaiheessa.