Mitchell Amador, Fondateur et PDG d’Immunefi – Série d’entretiens

Mitchell Amador, Fondateur et PDG d’Immunefi, est un entrepreneur éminent de la sécurité blockchain, investisseur providentiel et leader de pensée en chaîne. Il a fondé Immunefi, la principale plateforme de chasse aux bogues et de sécurité pour l’écosystème Web3, aidant à prévenir plus de 25 milliards de dollars de hacks et de vols potentiels tout en faisant progresser les programmes de chasse aux bogues comme une norme industrielle. Il a joué un rôle clé dans la sécurisation de protocoles blockchain majeurs, a contribué à des initiatives de sécurité whitehat et a également fondé l’Instituto New Economy, un think tank blockchain qui a aidé à positionner le Portugal comme un hub européen de premier plan pour l’innovation blockchain.

Immunefi est une plateforme de sécurité Web3 de premier plan qui relie les projets blockchain avec des hackers éthiques grâce à des programmes de chasse aux bogues, des examens de sécurité et des services de divulgation de vulnérabilités. L’entreprise aide à protéger des milliards de dollars d’actifs numériques en permettant aux organisations d’identifier et de corriger les failles de sécurité critiques avant qu’elles ne puissent être exploitées, en servant de nombreux protocoles blockchain et projets de finance décentralisée (DeFi) les plus importants du monde.

Avant de fonder Immunefi, vous avez aidé à promouvoir l’adoption chez des entreprises comme SingularityNET et Steemit et vous avez été impliqué dans l’élaboration de la législation crypto portugaise. Qu’est-ce qui vous a convaincu que la sécurité Web3 était le problème auquel il fallait consacrer votre carrière, et quel écart dans le marché avez-vous vu lors du lancement d’Immunefi?

Les sociétés de sécurité traditionnelles ne pouvaient pas suivre le rythme et la complexité de Web3, et il n’y avait pas de plateforme de confiance qui puisse attirer des chercheurs de premier plan à grande échelle tout en donnant aux protocoles la confiance que les divulgations seraient traitées de manière professionnelle. Nous avons vu une opportunité de construire la couche d’infrastructure pour la sécurité Web3, en créant des incitations alignées entre les projets et les chercheurs tout en faisant de la sécurité proactive une partie intégrante de la façon dont l’industrie fonctionne.

Vous avez aidé à construire Immunefi en une force dominante dans la sécurité Web3, en protégeant des centaines de milliards de dollars d’actifs et en traitant la grande majorité des divulgations de vulnérabilités critiques dans le crypto. En regardant en arrière sur ce parcours, quels enseignements de la croissance d’Immunefi ont influencé votre décision d’amener les clients et la communauté de Code4rena dans l’écosystème d’Immunefi?

L’une des plus grandes leçons de la croissance d’Immunefi est que la sécurité fonctionne mieux lorsque le talent est concentré plutôt que fragmenté. Amener les clients et les chercheurs de Code4rena dans l’écosystème d’Immunefi nous permet de renforcer les deux côtés du marché : les chercheurs ont accès à plus d’opportunités et de ressources, tandis que les projets ont accès à un ensemble plus large de services de sécurité soutenus par le plus grand réseau de chercheurs en Web3.

Code4rena a joué un rôle important dans la popularisation des audits de sécurité compétitifs dans le crypto. Qu’est-ce que vous pensez avoir finalement causé son modèle d’entreprise à devenir difficile à maintenir, et quels enseignements plus larges cela offre-t-il pour l’avenir de la sécurité mutualisée?

Le défi fondamental n’était pas la valeur des audits compétitifs. Cette valeur reste significative. Le défi était de construire un modèle d’entreprise durable autour d’une offre autonome dans un environnement où les attentes des clients ont évolué.

Les protocoles veulent de plus en plus des solutions de sécurité globales plutôt que des produits ponctuels. Ils veulent des chasses aux bogues, des audits, des renseignements sur les menaces, des capacités d’exploitation de la sécurité et des capacités de réponse aux incidents sous un même toit. À mesure que le marché a mûri, il est devenu plus difficile pour les fournisseurs spécialisés de concurrencer les plateformes qui pouvaient offrir une pile de sécurité plus large.

De nombreux chercheurs en sécurité considéraient Code4rena comme ayant une culture et une communauté uniques. Comment prévoyez-vous de préserver ce qui rendait cette plateforme précieuse tout en intégrant les utilisateurs dans Immunefi?

La communauté est finalement ce qui a rendu Code4rena réussi. L’objectif n’est pas de remplacer cette culture, mais de créer un environnement où elle peut continuer à prospérer avec un soutien et une échelle plus importants. L’accent est mis sur la continuité plutôt que sur la perturbation. Nous voulons que les chercheurs se sentent gagnants en accédant à une plateforme plus large sans perdre les aspects de la communauté qui les ont fait participer en premier lieu.

Les audits de sécurité traditionnels s’appuient souvent sur un groupe relativement restreint de réviseurs, tandis que les concours d’audits peuvent attirer des centaines de chercheurs. Comment voyez-vous les concours d’audits évoluer au cours des cinq prochaines années à mesure que l’IA devient de plus en plus intégrée dans les flux de travail de sécurité?

Ce que nous verrons probablement, c’est un déplacement où l’IA gère une part croissante d’analyse répétitive, de reconnaissance de modèles et de triage initial, permettant aux chercheurs de passer plus de temps sur les nouveaux vecteurs d’attaque et les vulnérabilités système complexes.

Cette évolution rend en fait les audits compétitifs plus précieux. Si des centaines de chercheurs peuvent utiliser des outils d’IA de plus en plus capables, vous créez un environnement où des approches diverses peuvent être appliquées à la même base de code à une échelle sans précédent. Le futur n’est pas l’IA remplaçant la sécurité mutualisée. C’est l’IA qui amplifie l’efficacité des grandes communautés de chercheurs.

L’une des préoccupations émergentes que vous avez soulignées est les soumissions de spam générées par l’IA. Quelle est la gravité de ce problème et qu’est-ce qu’il révèle sur les conséquences involontaires de la mise à disposition d’outils d’IA avancés à grande échelle?

Le problème n’est pas que l’IA trouve trop de vulnérabilités. Le problème est qu’elle peut générer de grands volumes de résultats convaincants mais finalement incorrects. Chaque soumission de mauvaise qualité consomme du temps de révision et crée un surcroît d’activité opérationnelle.

Plus largement, cela démontre un modèle récurrent dans la technologie. Lorsque des outils puissants deviennent largement accessibles, à la fois l’activité productive et l’activité improductive s’accroissent simultanément. Les organisations qui réussiront seront celles qui construiront des systèmes capables d’identifier efficacement l’expertise et les résultats réels parmi un volume beaucoup plus important de sortie automatisée.

Croyez-vous que l’IA améliorera finalement la qualité de la découverte des vulnérabilités, ou les plateformes de sécurité sont-elles confrontées à une course aux armements à long terme entre des systèmes d’IA de plus en plus capables et le flot de soumissions automatisées de mauvaise qualité qu’ils peuvent générer?

Les deux choses sont vraies.

L’IA améliorera sans aucun doute la découverte des vulnérabilités. Nous voyons déjà des chercheurs utiliser l’IA pour accélérer les flux de travail, analyser des bases de code plus grandes et identifier des vecteurs d’attaque potentiels plus efficacement qu’auparavant.

En même temps, il y aura une course aux armements permanente entre les systèmes générant des résultats et les systèmes les validant. Le facteur de différenciation ne sera pas qui peut générer le plus de rapports. Ce sera qui peut générer les résultats les plus fiables.

Nous commençons à voir des chercheurs assistés par l’IA identifier des vulnérabilités plus rapidement que jamais auparavant. À quel point sommes-nous proches de systèmes d’IA capables de découvrir, de valider et même de prioriser des vulnérabilités critiques avec une implication humaine minimale?

Nous sommes plus proches de la phase de découverte que beaucoup de gens ne le réalisent. L’IA devient déjà utile pour identifier les modèles, examiner le code et faire surface des vulnérabilités potentielles.

La validation reste le défi le plus difficile. Trouver quelque chose qui pourrait être une vulnérabilité est très différent de prouver l’exploitabilité, de comprendre l’impact commercial et d’évaluer avec précision la gravité. Ces tâches nécessitent encore un jugement humain important.

L’émergence d’agents d’IA autonomes crée de nouvelles surfaces d’attaque. Quels risques de sécurité associés à l’IA agente croyez-vous être actuellement sous-estimés à la fois par l’industrie Web3 et le marché d’entreprise plus large?

Ce qui est souvent sous-estimé, c’est la complexité des limites de confiance impliquées. Les systèmes agents ne fonctionnent pas en isolation. Ils consomment des entrées provenant de multiples sources, interagissent avec des services tiers et prennent des décisions basées sur des environnements dynamiques. Chacune de ces interactions crée une surface d’attaque potentielle.

Je pense que de nombreuses organisations appliquent encore des hypothèses de sécurité logicielle traditionnelles à des systèmes qui se comportent fondamentalement différemment. Cet écart deviendra de plus en plus important à mesure que les agents autonomes gagneront une autorité opérationnelle plus large.

En regardant trois à cinq ans à l’avance, comment prévoyez-vous que l’IA transformera la façon dont les vulnérabilités sont découvertes, signalées et atténuées, et quel rôle les chercheurs en sécurité humains joueront dans cet avenir?

L’IA accélérera considérablement chaque étape du cycle de vie de la sécurité. Les vulnérabilités seront découvertes plus rapidement, triées plus rapidement et, dans de nombreux cas, atténuées plus rapidement qu’elles ne le sont aujourd’hui. Les équipes de sécurité auront accès à beaucoup plus d’intelligence et d’automatisation qu’auparavant.

Mais je ne pense pas que l’avenir soit un où les chercheurs humains deviennent sans importance. Si quoi que ce soit, leur rôle devient plus important. À mesure que l’IA gère les tâches routinières, l’expertise humaine se déplace vers la compréhension de systèmes nouveaux, l’identification de chemins d’attaque non conventionnels, la validation de résultats critiques et la prise de décisions stratégiques de sécurité.

Les chercheurs les plus réussis ne seront pas ceux qui concurrencent l’IA. Ce seront ceux qui apprennent à utiliser l’IA comme un multiplicateur de force. La sécurité a toujours récompensé l’adaptabilité, et cela restera vrai dans un avenir piloté par l’IA.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Immunefi.