Willem Delbare, Aikidon perustajajäsen ja toimitusjohtaja – Haastattelusarja

Willem Delbare, yksi Aikidon perustajista ja yhtiön toimitusjohtaja, on SaaS-sarjayrittäjä ja tekninen perustaja, jolla on vahva tausta kehittäjille suunnattujen ohjelmistoyritysten rakentamisessa. Ennen Aikidon perustamista vuonna 2022 hän oli mukana perustamassa HR-alusta Officientia, kestävän kehityksen FutureproofedCities-hanketta ja CRM-yritys Teamleaderia. Teamleaderissa hän toimi teknologiajohtajana ja auttoi kasvattamaan yrityksestä yhden Belgian merkittävistä SaaS-menestystarinoista. Urallaan Delbare on keskittynyt pilvi-infrastruktuurin, SaaS-palvelujen skaalautuvuuden ja kyberturvallisuuden monimutkaisten teknisten haasteiden yksinkertaistamiseen. Hänen johdollaan Aikidosta on tullut nopeasti yksi Euroopan nopeimmin nousevista kyberturvallisuusstartupeista. Yritys keskittyy nykyaikaisille kehitystiimeille suunniteltuihin käytännöllisiin tietoturvaratkaisuihin.

Aikido on Belgiassa toimiva kyberturvallisuusyritys, joka auttaa kehittäjiä ja ohjelmistotiimejä suojaamaan sovelluksia ja pilviympäristöjä yhdellä yhtenäisellä alustalla. Se yhdistää koodiskannauksen, riippuvuusanalyysin, pilviympäristön tietoturvatilan hallinnan, ajonaikaisen suojauksen ja tekoälyavusteisen testauksen samaan selkeään järjestelmään. Tavoitteena on vähentää monimutkaisuutta ja vääriä hälytyksiä sekä poistaa tarve hallita useiden toimittajien hajanaisia tietoturvatyökaluja. Kehittäjien tarpeista lähtevä Aikido painottaa automaatiota, jatkuvaa valvontaa ja yksinkertaistettuja korjaustyönkulkuja, joiden avulla tietoturva voidaan liittää suoraan ohjelmistokehityksen elinkaareen.

Mitkä kokemukset Teamleaderin ja Officientin kaltaisten yritysten rakentamisesta ja kasvattamisesta johtivat Aikido Securityn perustamiseen vuonna 2022? Miten taustasi teknisenä perustajana muovasi näkemystäsi kehittäjäystävällisemmästä kyberturvallisuudesta?

Viime vuosikymmenen aikana löysin kutsumukseni B2B-SaaS-liiketoiminnasta. Olin kolmessa startupissa yhtenä perustajista ja teknologiajohtajana, ja takana on kolme exitiä HR-teknologian, laskutusteknologian ja hiililaskennan aloilta. Ne ovat hyvin erilaisia maailmoja, mutta kaikissa minua ajoi sama halu rakentaa ohjelmistoja, jotka eivät saa ihmisiä heittämään kannettavaa tietokonetta ikkunasta.

Jokaisessa yrityksessä tietoturva kuitenkin valvotti minua. Tietomurron pelko oli todellinen, ja avuksi tarkoitetut työkalut näyttivät F-16-hävittäjän ohjaamolta. Ne olivat kalliita ja vaikeasti hahmotettavia, ja ne oli tehty tietojenkäsittelytieteen tohtorille, ei nopeasti julkaisemaan pyrkivälle kehitystiimille.

Perustimme Aikido Securityn ratkaisemaan juuri tämän ongelman. Aikido tarjoaa kaikenkokoisille organisaatioille yhtenäisen, kehittäjien tarpeista lähtevän ohjelmistotietoturva-alustan. Se kokoaa koodin, pilven ja ajonaikaisen ympäristön olennaiset tietoturvaominaisuudet yhteen, jotta kehittäjien olisi helpompi julkaista turvallisesti.

Sittemmin tekoäly on nopeuttanut ohjelmistojen toimittamista entisestään ja kasvattanut hyökkäyspintaa. Seuraavaksi haluamme auttaa organisaatioita pysymään mukana ohjelmistoilla, jotka huolehtivat itse tietoturvastaan.

Helmikuussa julkaisimme Aikido Infiniten, jatkuvan tekoälypohjaisen tunkeutumistestausratkaisumme. Se varmistaa, voidaanko haavoittuvuuksia todella hyödyntää, ja vie korjauskierroksen loppuun jo ennen koodin siirtymistä tuotantoon.

Kehittäjäympäristöjä kuvataan nyt yhdeksi tietoturvan suurimmista sokeista pisteistä. Mikä on muuttunut niin, että asiasta on tullut näin kriittinen?

Kehittäjien tietokoneet ovat aina olleet arvokkaita kohteita. Niissä on pilvipalvelujen tunnistetietoja, SSH-avaimia, npm-julkaisutokeneita, Kubernetes-määrityksiä ja suora pääsy lähdekoodiin. Viimeisten 6–12 kuukauden aikana hyökkääjät ovat kuitenkin huomanneet, kuinka helppoa niihin on murtautua kehittäjien jo luottamien työkalujen kautta. Olemme seuranneet tätä koko vuoden. Trivy, TanStack, Bitwarden CLI, VS Coden Nx Console -laajennus ja nyt GitHub: kaikkiin on murtauduttu kehittäjätyökalujen kautta, ja kaikissa kohteena on ollut laite.

Ongelmana on, ettei useimmilla tietoturvatiimeillä ole näkyvyyttä siihen, mitä näissä tietokoneissa todella suoritetaan. EDR valvoo sovellustasolla, mutta ei näe sovellusten sisällä toimivia paketteja, laajennuksia tai tekoälytyökaluja. Kehittäjät puolestaan ottavat päivittäin käyttöön uusia paketteja, laajennuksia ja tekoälytyökaluja hyvin vähäisin tarkistuksin. LLM:t ovat myös helpottaneet uskottavien haittaohjelmien luomista, mikä on madaltanut hyökkääjien kynnystä kautta linjan. Kaikki nämä hyökkäykset osuvat kuiluun, joka on kehittäjien koneiden todellisen sisällön ja tietoturvatiimien näkemän välillä.

Toimitusketjuhyökkäykset lisääntyvät samalla, kun tekoäly yleistyy. Miten tekoäly muuttaa hyökkääjien ja puolustajien välistä tasapainoa?

Tekoäly on helpottanut toimitusketjuihin kohdistuvien haittaohjelmien luomista merkittävästi. Uskottavien hyökkäyskuormien rakentaminen, koodin hämärtäminen ja pakettirekisterien toiminnan ymmärtäminen niin hyvin, että niitä voi käyttää väärin, vaativat aiemmin todellista teknistä osaamista. Nyt riittää LLM-tilaus. Olemme nähneet tämän suoraan TeamPCP:n toiminnassa. Ryhmä on ollut useimpien tämän vuoden suurten toimitusketjuhyökkäysten, myös viimeaikaisen GitHub-tietomurron, takana. Se ei ole erityisen edistynyt ryhmä, mutta iskuja on ollut paljon, ja tekoäly on merkittävä osa toiminnan laajentamista. Vuosi sitten käsittelimme yksittäisiin paketteihin kohdistuneita murtoja. Nyt näemme Shai-Huludin kaltaisia itseään monistavia matoja sekä rekisteristä toiseen eteneviä ketjutettuja kampanjoita, joissa yhdestä murrosta varastettuja tunnistetietoja käytetään seuraavaan.

Tekoäly auttaa myös puolustajia, mutta eri tavoin. Tietoturvatiimit voivat tehdä jatkuvaa tunkeutumistestausta koko koodipohjalle tekoälyagenteilla, jotka testaavat satoja hyökkäysreittejä rinnakkain. Näin aikaa vapautuu harkintaa vaativiin ratkaisuihin, joissa ihmistä yhä tarvitaan. Laitetasolla tekoäly auttaa havaitsemaan haitalliset paketit aiemmin analysoimalla asennettavan sisällön jo ennen sen päätymistä kehittäjän koneelle. Rehellisesti sanottuna hyökkääjät kuitenkin hyötyvät tekoälystä tällä hetkellä puolustajia enemmän. Haittaohjelmien luomisen kynnys on madaltunut nopeammin kuin niiden havaitsemisen kynnys.

Aikido puhuu tietoturvan siirtämisestä kehitysketjussa aiemmaksi. Mitä se tarkoittaa käytännössä ohjelmistoja rakentaville ja julkaiseville tiimeille?

Suurin osa alasta on käyttänyt vuosia tietoturvan siirtämiseen kehitysprosessissa vasemmalle eli aiemmaksi, CI/CD-putkeen. Hyökkäyspinta on kuitenkin siirtynyt vielä sitäkin aiemmaksi, itse kehittäjän koneelle. GitHub-tietomurto on hyvä esimerkki. Kyse ei ollut turvattoman koodin päätymisestä tuotantoon, vaan yhden kehittäjän kannettavan tietokoneen murretusta VS Code -laajennuksesta, joka vei tunnistetietoja jo ennen ensimmäistäkään koodiriviä.

Käytännössä tämä tarkoittaa, että tietoturvan on toimittava jatkuvasti siellä, missä koodia kirjoitetaan ja työkaluja asennetaan. Kehittäjien laitteissa toimiva sisältö pitää tarkistaa, haitalliset paketit ja laajennukset havaita ennen niiden pääsyä koneelle ja hyödynnettävissä olevia riskejä testata automaattisesti koodin muuttuessa, ei vasta erikseen sovitussa tarkastuksessa. Tavoitteena on suljettu toimintakierto, jossa havaitseminen, todentaminen ja korjaaminen kuuluvat kehitystyöhön eivätkä erilliseen jälkikäteiseen prosessiin.

Kun tekoälyagentit lataavat riippuvuuksia ja työkaluja automaattisesti, miten yritysten pitäisi arvioida uudelleen luottamustaan avoimeen lähdekoodiin ja kolmansien osapuolten koodiin?

Tekoälyagentit lataavat oletusarvoisesti riippuvuuksia ja työkaluja automaattisesti hyvin vähäisellä ihmisen valvonnalla. Se muuttaa luottamusmallia perustavanlaatuisesti: kehittäjien koneissa suoritetaan koodia, jota kukaan ei ole nimenomaisesti päättänyt asentaa.

Vercel-tietomurto on hyvä esimerkki siitä, miten tämä voi mennä pieleen. Verceliin ei murtauduttu suoraan. Laillisella tekoälylaajennuksella oli OAuth-pääsy työntekijän Google-tilille, ja laajennus oli murrettu aiemmassa toimitusketjun vaiheessa toimittajan puolella olleen tietoja varastavan haittaohjelman kautta. Sama kuvio toistuu avoimessa lähdekoodissa: luotetusta kolmannen osapuolen koodista tulee sisäänpääsyreitti. Riski kasvaa, koska murrettu kehittäjän työasema antaa hyökkääjälle saman pääsyn kuin luotetulle ohjelmistokehittäjälle. Hyökkääjä voi muuttaa koodia, lisätä haitallisia riippuvuuksia tai julkaista peukaloituja versioita aidoista ohjelmistoista. Koontiputket ottavat muutokset käyttöön, ja ne leviävät toimitusketjussa eteenpäin luotettujen päivitysten mukana.

Yritysten on ryhdyttävä pitämään kaikkea kehittäjän koneella suoritettavaa osana hyökkäyspintaansa. Siihen kuuluvat tekoälyagentit, niiden asentamat työkalut, niiden käyttämät laajennukset — kaikki. Jos näkyvyys rajoittuu tunnettuihin avoimen lähdekoodin paketteihin, todellisten hyökkäysten kohteena olevat kerrokset jäävät näkemättä.

Ajatus itse tietoturvastaan huolehtivasta ohjelmistosta on kiinnostava. Mitä keskeisiä kyvykkyyksiä sen toteuttaminen laajassa mittakaavassa vaatii?

Tarvitaan suljettu toimintakierto. Järjestelmän pitää testata todellisia hyökkäysreittejä aina koodin muuttuessa, varmistaa, voidaanko havaittua ongelmaa todella hyödyntää, tai hylätä havainto, jos ei voida. Sen on luotava ja otettava käyttöön korjaukset osana kehitystyötä ja testattava uudelleen, että korjaus toimii. Koko kierroksen pitää pyöriä jatkuvasti odottamatta erillistä aikataulutusta. Tarkoitus ei ole poistaa ihmisiä tietoturvasta, vaan hoitaa jatkuvasti toistuva työ, jotta tietoturvatiimit voivat keskittyä aidosti harkintaa vaativiin päätöksiin.

Tietoturvatyökalujen suuri hälytysmäärä ja väärät hälytykset ovat usein kehittäjille ongelma. Miten Aikido auttaa tiimejä keskittymään olennaiseen?

Kaksi kolmasosaa State of AI in Security & Development -kyselymme tietoturvajohtajista kertoi tiiminsä ohittaneen tietoturvaprosesseja, sivuuttaneen havaintoja tai lykänneen korjauksia väärien hälytysten vuoksi. Se on hälytyksiä tulvivien työkalujen todellinen hinta. Aikaa ei vain kulu hukkaan: tietoturva heikkenee aktiivisesti, koska ihmiset lakkaavat luottamasta hälytyksiin.

Aikidossa käytämme saavutettavuusanalyysiä ja automaattista havaintojen luokittelua. Emme merkitse jokaista haavoittuvuutta ja jätä tietoturvatiimin selvitettäväksi, mikä on tärkeää, vaan analysoimme, onko haavoittuvuus todella saavutettavissa koodissasi ja hyödynnettävissä ympäristössäsi. Ellei ole, tiimisi ei koskaan näe havaintoa. Tämä vähentää hälytysten määrää jyrkästi ja tarkoittaa, että läpi tuleviin havaintoihin kannattaa reagoida.

Alustanne yhdistää koodin, pilven ja ajonaikaisen ympäristön tietoturvan sekä automaattisen tunkeutumistestauksen. Miksi yhtenäinen ratkaisu on useita erillisiä työkaluja tehokkaampi?

State of AI in Security & Development -tutkimuksessamme löytyi odotusten vastainen tulos: tietoturvapoikkeamista kärsineet tiimit käyttivät itse asiassa enemmän eri toimittajien työkaluja kuin tiimit, joilla poikkeamia ei ollut. Enemmän työkaluja ei tarkoittanut parempaa tietoturvaa, vaan enemmän hälytyskohinaa ja päällekkäisiä havaintoja. Aikaa kului eri hallintanäkymien hälytysten yhdistämiseen korjaamisen sijaan.

Siksi rakensimme Aikidon yhdeksi alustaksi, joka kattaa koodin, pilven, ajonaikaisen ympäristön, riippuvuudet ja putket. Kun kaikki signaalit ovat samassa paikassa, päällekkäiset havainnot voidaan poistaa, selvittää, onko koodin haavoittuvuus todella saavutettavissa pilviympäristössä, ja priorisoida todellisen riskin perusteella sen sijaan, että jokaisen skannerin tulosta pidettäisiin yhtä kiireellisenä. Tiimit käyttävät vähemmän aikaa eri työkalujen havaintojen luokitteluun ja enemmän olennaisten ongelmien korjaamiseen. Jokaisen ominaisuuden on myös toimittava hyvin itsenäisesti. Alusta, joka on kaikessa keskinkertainen, vain kokoaa ongelman yhteen paikkaan. Jokaisen osan on oltava vähintään yhtä hyvä kuin erillinen vaihtoehto, muuten yhdistämisen perustelu ei kestä.

Aikido on kasvanut nopeasti ja saanut lyhyessä ajassa vahvan jalansijan. Mitkä ovat olleet suurimmat haasteet kyberturvallisuusyrityksen rakentamisessa ja kasvattamisessa tällä vauhdilla?

Ilmeisin on se, että olemme belgialainen kyberturvallisuusyritys. Ala on perinteisesti rakentunut Tel Avivin ja Piilaakson ympärille, ja aluksi epäiltiin, voiko maailmanluokan tietoturva-alusta tulla muualta. Etäisyydestä tulikin kuitenkin etu. Emme kierrättäneet samoja toimintamalleja. Lähdimme kehittäjien tarpeista ja tarjosimme paketoidun tuotteen, jonka tiimit pystyivät ottamaan itse käyttöön. Näin meistä tuli kaikessa hiljaisuudessa pk-yritysten hallitseva kehittäjätietoturvan alusta.

Suurempi haaste on yksinkertaisesti vauhti. Saavutimme yksisarvisaseman tammikuussa 2026 B-rahoituskierroksellamme, liikevaihtomme viisinkertaistui viime vuonna, ja nyt meihin luottaa yli 100 000 tiimiä, muun muassa Premier League, Revolut ja SoundCloud. Pelkästään tänä vuonna olemme julkaisseet toimitusketjun tietoturvaan tarkoitetun Device Protectionin ja tekoälypohjaisen tunkeutumistestauksen Infiniten sekä solmineet Lovablen kanssa kumppanuuden, jolla tietoturva sisällytetään vibe-koodauksen työnkulkuihin. Jatkuva haaste on edetä nopeasti ja pitää alustan jokaisen osan laatu korkeana. Mutta se on hyvä ongelma.

Kun tekoälyn varaan rakentuvasta kehityksestä tulee normi, miltä ohjelmistotietoturva näyttää tulevina vuosina?

Rehellisesti sanottuna perinteisillä tietoturvatyönkuluilla on jo vaikeuksia pysyä mukana. Määräaikaiset tarkastukset, aikataulutetut tunkeutumistestit ja jälkikäteinen skannaus olettavat kaikki kehitystahdin, jota ei enää oikeastaan ole. Tekoälyn tuottama koodi ja autonomiset agentit tuovat muutoksia nopeammin kuin prosessit ehtivät todentaa niitä.

Uskomme tietoturvan muuttuvan jatkuvaksi palautesilmukaksi, joka on rakennettu suoraan ohjelmistokehitykseen. Kutsumme sitä itse tietoturvastaan huolehtivaksi ohjelmistoksi. Jokaisen koodimuutoksen yhteydessä testataan todelliset hyökkäysreitit ja varmistetaan havaintojen todellinen hyödynnettävyys. Korjaukset luodaan ja testataan uudelleen ilman, että ihminen joutuu ajoittamaan työn. Tästä on jo varhaisia versioita, ja rakennamme sitä koodin, pilven, ajonaikaisen ympäristön ja toimitusketjun kattavaksi.

Seuraava askel on itseään ylläpitävä ohjelmisto: tietoturva ei vain havaitse ja korjaa ongelmia, vaan ylläpitää aktiivisesti koodipohjan kuntoa ajan mittaan. Siihen on vielä matkaa, mutta perustaa rakennetaan nyt. Yksi asia on varma: tekoäly on jo romahduttanut kehittyneiden hyökkäysten toteuttamisen kynnyksen, joten puolustuksen on edettävä samaa vauhtia.

Kiitos hyvästä haastattelusta. Lisätietoja haluavat lukijat voivat tutustua Aikidon sivustoon.