Ian Riopel, PDG et co-fondateur de Root.io – Série d’entretiens

Ian Riopel, PDG et co-fondateur de Root.io, dirige la mission de l’entreprise pour sécuriser la chaîne d’approvisionnement logicielle avec des solutions cloud natives. Avec plus de 15 ans dans la technologie et la cybersécurité, il a occupé des postes de direction chez Slim.AI et FXP, en se concentrant sur les ventes d’entreprise, la stratégie de lancement sur le marché et la croissance du secteur public. Il détient un ACE du MIT Sloan et est diplômé de l’École d’intelligence de l’armée américaine.

Root.io est une plateforme de sécurité cloud native conçue pour aider les entreprises à sécuriser leur chaîne d’approvisionnement logicielle. En automatisant la confiance et la conformité tout au long des pipelines de développement, Root.io permet une livraison de logiciels plus rapide et plus fiable pour les équipes DevOps modernes.

Qu’est-ce qui a inspiré la fondation de Root, et comment l’idée de la réparation automatique des vulnérabilités (AVR) est-elle née ?

Root est né d’une frustration profonde que nous avons rencontrée à plusieurs reprises : les organisations consacrent des quantités massives de temps et de ressources à la poursuite de vulnérabilités qui ne disparaissent jamais complètement. Le triage est devenu la seule défense contre la dette technique CVE en constante augmentation, mais avec le rythme d’émergence des vulnérabilités, le triage seul ne suffit plus.

En tant que responsables de Slim Toolkit (anciennement DockerSlim), nous étions déjà profondément impliqués dans l’optimisation et la sécurité des conteneurs. Il était naturel pour nous de nous demander : Et si les conteneurs pouvaient se réparer eux-mêmes de manière proactive dans le cadre du cycle de vie de développement logiciel ? La réparation automatique, maintenant connue sous le nom de réparation automatique des vulnérabilités (AVR), était notre solution – une approche qui ne se concentre pas sur le triage et la construction de listes, mais qui élimine automatiquement les vulnérabilités, directement dans votre logiciel, sans introduire de changements cassants.

Root était autrefois connu sous le nom de Slim.AI – qu’est-ce qui a motivé le rebranding, et comment l’entreprise a-t-elle évolué pendant cette transition ?

Slim.AI a commencé comme un outil pour aider les développeurs à minimiser et à optimiser les conteneurs. Mais nous avons rapidement réalisé que notre technologie était devenue quelque chose de beaucoup plus impactant : une plateforme puissante capable de sécuriser proactivement les logiciels pour la production à grande échelle. Le rebranding en Root capture cette transformation – d’un outil d’optimisation des développeurs à une solution de sécurité robuste qui permet à toute organisation de répondre aux exigences de sécurité rigoureuses autour des logiciels open source en quelques minutes. Root incarne notre mission : aller à la racine des risques logiciels et remédier aux vulnérabilités avant qu’elles ne deviennent des incidents.

Vous avez une équipe avec des racines profondes dans la cybersécurité, de Cisco, Trustwave et Snyk. Comment votre expérience collective a-t-elle façonné l’ADN de Root ?

Notre équipe a construit des analyseurs de sécurité, défendu des entreprises mondiales et conçu des solutions pour certaines des infrastructures les plus sensibles et les plus critiques. Nous avons directement affronté les compromis entre vitesse, sécurité et expérience développeur. Cette expérience collective a fondamentalement façonné l’ADN de Root. Nous sommes obsédés par l’automatisation et l’intégration – non seulement pour identifier les problèmes de sécurité, mais pour les résoudre rapidement sans créer de nouveaux frottements. Notre expérience éclaire chaque décision, en veillant à ce que la sécurité accélère l’innovation plutôt que de la ralentir.

Root prétend patcher les vulnérabilités des conteneurs en quelques secondes – sans rebâtir, sans temps d’arrêt. Comment fonctionne réellement votre technologie AVR sous le capot ?

AVR fonctionne directement au niveau du conteneur, en identifiant rapidement les packages vulnérables et en les patchant ou en les remplaçant dans l’image elle-même – sans nécessiter de rebâtir complexes. Imaginez-le comme un remplacement en chaud des extraits de code vulnérables par des remplacements sécurisés tout en préservant vos dépendances, vos couches et vos comportements de runtime. Plus de temps d’attente pour les correctifs en amont, plus besoin de réarchitecturer vos pipelines. C’est la remédiation à la vitesse de l’innovation.

Pouvez-vous expliquer ce qui distingue Root des autres solutions de sécurité comme Chainguard ou Rapidfort ? Quel est votre avantage dans cet espace ?

Contrairement à Chainguard, qui exige des rebâtis en utilisant des images curées, ou Rapidfort, qui réduit les surfaces d’attaque sans aborder directement les vulnérabilités, Root patche directement vos images de conteneur existantes. Nous nous intégrons sans effort dans votre pipeline sans perturbation – sans frottement, sans transfert. Nous ne sommes pas là pour remplacer votre flux de travail, nous sommes là pour l’accélérer et le renforcer. Chaque image qui passe par Root devient essentiellement une image dorée – entièrement sécurisée, transparente, contrôlée – en fournissant un ROI rapide en réduisant les vulnérabilités et en économisant du temps. Notre plateforme réduit la remédiation de semaines ou de jours à seulement 120-180 secondes, permettant aux entreprises des secteurs réglementés d’éliminer des retards de vulnérabilités de plusieurs mois en une seule session.

Les développeurs devraient se concentrer sur la construction et la livraison de nouveaux produits – et non passer des heures à corriger les vulnérabilités de sécurité, un aspect chronophage et souvent redouté du développement logiciel qui freine l’innovation. Pire encore, beaucoup de ces vulnérabilités ne sont même pas les leurs – elles proviennent de faiblesses chez les fournisseurs tiers ou les projets de logiciels open source, obligeant les équipes à passer des heures précieuses à résoudre les problèmes de quelqu’un d’autre.

Les développeurs et les équipes de R&D sont parmi les plus grands centres de coûts de toute organisation, à la fois en termes de ressources humaines et de logiciels et d’infrastructure cloud qui les soutiennent. Root allège ce fardeau en exploitant l’IA agente, plutôt que de compter sur des équipes de développeurs travaillant jour et nuit pour vérifier et corriger manuellement les vulnérabilités connues.

Comment Root exploite-t-il spécifiquement l’IA agente pour automatiser et rationaliser le processus de remédiation des vulnérabilités ?

Notre moteur AVR utilise l’IA agente pour reproduire les processus de pensée et les actions d’un ingénieur de sécurité chevronné – en évaluant rapidement l’impact des CVE, en identifiant les correctifs les plus disponibles, en testant rigoureusement et en appliquant en toute sécurité les correctifs. Il accomplit en quelques secondes ce qui nécessiterait autrement un effort manuel important, en évoluant simultanément sur des milliers d’images. Chaque remédiation enseigne le système, améliorant continuellement son efficacité et son adaptabilité, en incorporant essentiellement l’expertise d’un ingénieur de sécurité à plein temps directement dans vos images.

Comment Root s’intègre-t-il dans les flux de travail des développeurs existants sans ajouter de frottement ?

Root s’intègre sans effort dans les flux de travail existants, en se branchant directement sur votre registre de conteneurs ou votre pipeline – sans rebasage, sans nouveaux agents et sans sidecars supplémentaires. Les développeurs poussent les images comme d’habitude, et Root gère le patching et la publication d’images mises à jour de manière transparente sur place ou sous forme de nouvelles balises. Notre solution reste invisible jusqu’à ce qu’elle soit nécessaire, offrant une visibilité complète grâce à des traces d’audit détaillées, des SBOM complets et des options de rétablissement simples lorsqu’elles sont souhaitées.

Comment équilibrez-vous l’automatisation et le contrôle ? Pour les équipes qui veulent de la visibilité et un contrôle, jusqu’à quel point Root est-il personnalisable ?

Chez Root, l’automatisation améliore – et non diminue – le contrôle. Notre plateforme est hautement personnalisable, permettant aux équipes de mettre à l’échelle le niveau d’automatisation en fonction de leurs besoins spécifiques. Vous décidez de ce que vous souhaitez appliquer automatiquement, quand impliquer une révision manuelle et ce que vous souhaitez exclure. Nous offrons une visibilité étendue grâce à des vues de différences détaillées, des journaux des modifications et des analyses d’impact, en veillant à ce que les équipes de sécurité restent informées et autonomes, jamais laissées dans l’obscurité.

Avec des milliers de vulnérabilités corrigées automatiquement, comment assurez-vous la stabilité et évitez-vous de casser les dépendances ou de perturber la production ?

La stabilité et la fiabilité sous-tendent chaque action que prend la technologie AVR de Root. Par défaut, nous adoptons une approche conservatrice, en traçant soigneusement les graphiques de dépendance, en utilisant des correctifs compatibles et en testant rigoureusement chaque image corrigée contre tous les cadres de test publics pour les projets open source avant le déploiement. Si un problème survient, il est détecté tôt et le rétablissement est facile. Dans la pratique, nous avons maintenu un taux d’échec inférieur à 0,1 % sur des milliers de remédiations automatisées.

Alors que l’IA progresse, les surfaces d’attaque potentielles évoluent également. Comment Root se prépare-t-il aux menaces de sécurité émergentes de l’ère de l’IA ?

Nous considérons l’IA à la fois comme un vecteur de menace potentiel et comme une superpuissance défensive. Root intègre proactivement la résilience directement dans la chaîne d’approvisionnement logicielle, en veillant à ce que les charges de travail conteneurisées – y compris les piles complexes d’IA/ML – soient continuellement durcies. Notre IA agente évolue à mesure que les menaces évoluent, en adaptant défensivement de manière autonome plus rapidement que les attaquants ne peuvent agir. Notre objectif ultime est la résilience autonome de la chaîne d’approvisionnement logicielle : une infrastructure qui se défend elle-même à la vitesse des menaces émergentes.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Root.io.