विलेम डेलबेयर, एइकिडो के सह-संस्थापक और सीईओ – साक्षात्कार श्रृंखला

विलेम डेलबेयर, Aikido के सह-संस्थापक और सीईओ, SaaS क्षेत्र में कई उद्यम शुरू कर चुके तकनीकी संस्थापक हैं। उन्हें डेवलपर-केंद्रित सॉफ्टवेयर कंपनियाँ बनाने का व्यापक अनुभव है। 2022 में Aikido शुरू करने से पहले उन्होंने एचआर प्लेटफॉर्म Officient, सतत विकास पहल FutureproofedCities और CRM कंपनी Teamleader की सह-स्थापना की। Teamleader में उन्होंने सीटीओ के रूप में कंपनी को बेल्जियम की उल्लेखनीय SaaS सफलताओं में से एक बनाने में मदद की। अपने करियर में उन्होंने क्लाउड इन्फ्रास्ट्रक्चर, SaaS की विस्तार क्षमता और साइबर सुरक्षा की जटिल तकनीकी चुनौतियों को सरल बनाने पर ध्यान दिया है। उनके नेतृत्व में आधुनिक विकास टीमों के लिए व्यावहारिक सुरक्षा समाधानों पर केंद्रित Aikido यूरोप के सबसे तेजी से बढ़ते साइबर सुरक्षा स्टार्टअप में शामिल हो गई है।

Aikido बेल्जियम स्थित साइबर सुरक्षा कंपनी है, जो डेवलपर और इंजीनियरिंग टीमों को एक ही एकीकृत प्लेटफॉर्म से एप्लिकेशन और क्लाउड परिवेश सुरक्षित करने में मदद करती है। यह कोड स्कैनिंग, निर्भरता विश्लेषण, क्लाउड सुरक्षा स्थिति प्रबंधन, रनटाइम सुरक्षा और एआई-सहायता प्राप्त परीक्षण को एक सुव्यवस्थित प्रणाली में जोड़ती है। उद्देश्य जटिलता और गलत चेतावनियाँ कम करना तथा कई प्रदाताओं के बिखरे सुरक्षा उपकरण सँभालने की जरूरत समाप्त करना है। डेवलपर को प्राथमिकता देते हुए Aikido स्वचालन, निरंतर निगरानी और सरल सुधार प्रक्रियाओं पर जोर देती है, ताकि सुरक्षा सीधे सॉफ्टवेयर विकास जीवनचक्र में शामिल हो।

Teamleader और Officient जैसी कंपनियाँ बनाने और बढ़ाने के किन अनुभवों ने आपको 2022 में Aikido Security स्थापित करने के लिए प्रेरित किया? तकनीकी संस्थापक के रूप में आपकी पृष्ठभूमि ने डेवलपर-अनुकूल साइबर सुरक्षा के दृष्टिकोण को कैसे आकार दिया?

पिछले दशक में मुझे B2B SaaS में अपना उद्देश्य मिला। मैं तीन स्टार्टअप में तकनीकी सह-संस्थापक और सीटीओ रहा और एचआर तकनीक, बिल बनाने की तकनीक तथा कार्बन लेखांकन में तीन एग्जिट का हिस्सा बना। ये बहुत अलग क्षेत्र थे, लेकिन जुनून एक था: ऐसा सॉफ्टवेयर बनाना जिसे इस्तेमाल करके लोग अपना लैपटॉप खिड़की से बाहर फेंकना न चाहें।

लेकिन हर कंपनी में सुरक्षा मुझे रातों को जगाए रखती थी। डेटा लीक होने का डर वास्तविक था, और मदद करने वाले उपकरण F-16 के कॉकपिट जैसे लगते थे: महँगे, उलझाने वाले और कंप्यूटर विज्ञान में पीएचडी वाले व्यक्ति के लिए बने, न कि तेजी से सॉफ्टवेयर जारी करना चाहने वाली विकास टीम के लिए।

हमने इसी चुनौती को सीधे हल करने के लिए Aikido Security बनाई। हम हर आकार के संगठन को डेवलपर-प्रथम, एकीकृत सॉफ्टवेयर सुरक्षा प्लेटफॉर्म देते हैं। यह कोड, क्लाउड और रनटाइम की जरूरी सुरक्षा क्षमताएँ एक जगह लाता है, ताकि डेवलपर आसानी से सुरक्षित सॉफ्टवेयर जारी कर सकें।

तब से एआई ने सॉफ्टवेयर की डिलीवरी और तेज कर दी है और हमले का दायरा बढ़ा दिया है। हमारा अगला चरण ऐसे सॉफ्टवेयर के जरिए संगठनों को इस गति के साथ बनाए रखना है, जो अपनी सुरक्षा खुद सुनिश्चित करता हो।

फरवरी में हमने Aikido Infinite शुरू किया। यह निरंतर एआई-सहायता प्राप्त पेनेट्रेशन टेस्टिंग समाधान वास्तविक दुरुपयोग की संभावना जाँचता है और कोड के प्रोडक्शन परिवेश में पहुँचने से पहले सुधार का चक्र पूरा करता है।

डेवलपर परिवेश को अब सुरक्षा की सबसे बड़ी अनदेखी जगहों में से एक कहा जा रहा है। हाल में क्या बदला है जिससे यह मुद्दा इतना गंभीर हो गया?

डेवलपर के कंप्यूटर हमेशा मूल्यवान लक्ष्य रहे हैं। उनमें क्लाउड क्रेडेंशियल, SSH कुंजियाँ, npm प्रकाशन टोकन, Kubernetes कॉन्फ़िगरेशन और स्रोत कोड तक सीधी पहुँच होती है। पिछले 6–12 महीनों में बदलाव यह हुआ कि हमलावर समझ गए कि डेवलपर जिन उपकरणों पर पहले से भरोसा करते हैं, उनके जरिए इन कंप्यूटरों में कितनी आसानी से घुसा जा सकता है। हमने पूरे साल इसे देखा: Trivy, TanStack, Bitwarden CLI, VS Code एक्सटेंशन Nx Console और अब GitHub। सभी में विकास उपकरणों के जरिए सेंध लगी और हर मामले में लक्ष्य डिवाइस था।

समस्या यह है कि अधिकांश सुरक्षा टीमों को नहीं दिखता कि उन कंप्यूटरों पर वास्तव में क्या चल रहा है। EDR एप्लिकेशन स्तर पर निगरानी करता है, लेकिन उनके भीतर के पैकेज, एक्सटेंशन या एआई उपकरण नहीं देख पाता। दूसरी ओर डेवलपर हर दिन बहुत कम जाँच के साथ नए पैकेज, एक्सटेंशन और एआई उपकरण जोड़ते हैं। बड़े भाषा मॉडल ने विश्वसनीय दिखने वाला मैलवेयर बनाना भी आसान किया है, जिससे आम तौर पर हमलावरों की प्रवेश बाधा घटी है। कंप्यूटरों पर मौजूद चीजों और सुरक्षा टीमों को वास्तव में दिखाई देने वाली चीजों के बीच की यही खाई इन सभी हमलों की जगह है।

एआई के व्यापक इस्तेमाल के साथ आपूर्ति शृंखला हमले भी बढ़ रहे हैं। एआई हमलावरों और रक्षकों का संतुलन कैसे बदल रहा है?

एआई ने आपूर्ति शृंखला हमलों के लिए मैलवेयर बनाना बहुत आसान कर दिया है। प्रभावी हमलावर पेलोड बनाना, कोड को अस्पष्ट करना और पैकेज रजिस्ट्रियों को दुरुपयोग के लायक समझना पहले वास्तविक तकनीकी कौशल माँगता था। अब LLM की सदस्यता काफी है। हमने TeamPCP में यह सीधे देखा है, जो हालिया GitHub सेंध सहित इस साल के अधिकांश बड़े हमलों के पीछे है। यह खास उन्नत समूह नहीं है, लेकिन बहुत हमले करता है और एआई ने उनका पैमाना बढ़ाने में बड़ी भूमिका निभाई है। एक साल पहले हम एकल पैकेज में सेंध से निपट रहे थे। अब Shai-Hulud जैसे खुद की प्रतियाँ बनाने वाले वर्म और रजिस्ट्रियों के बीच चलने वाले जुड़े अभियान दिखते हैं: एक सेंध में चुराए क्रेडेंशियल अगली सेंध को संभव बनाते हैं।

रक्षा में भी एआई मदद करता है, लेकिन अलग ढंग से। सुरक्षा टीमें अब एआई एजेंटों से पूरे कोडबेस पर निरंतर पेनेट्रेशन टेस्ट चला सकती हैं, जो सैकड़ों हमले के रास्ते समानांतर जाँचते हैं। इससे उन फैसलों के लिए समय मिलता है जिन्हें अब भी मानवीय विवेक चाहिए। डिवाइस पर भी एआई इंस्टॉल होने वाली सामग्री का डेवलपर के कंप्यूटर तक पहुँचने से पहले विश्लेषण करके दुर्भावनापूर्ण पैकेज जल्दी पकड़ता है। लेकिन सच यह है कि अभी हमलावरों को रक्षकों से ज्यादा लाभ मिल रहा है। मैलवेयर बनाने की बाधा उसे पहचानने की बाधा से ज्यादा तेजी से घटी है।

Aikido सुरक्षा को पहले के चरणों में ले जाने की बात करता है। आज सॉफ्टवेयर बनाने और जारी करने वाली टीमों के लिए इसका व्यावहारिक अर्थ क्या है?

उद्योग का बड़ा हिस्सा वर्षों से सुरक्षा को CI/CD पाइपलाइन में बाईं ओर, यानी पहले के चरणों में ले जाता रहा है। लेकिन हमले का दायरा उससे भी पहले, खुद डेवलपर के कंप्यूटर पर आ गया। GitHub सेंध इसका अच्छा उदाहरण है। समस्या प्रोडक्शन में असुरक्षित कोड नहीं था। एक डेवलपर के लैपटॉप का VS Code एक्सटेंशन हैक हो गया था और किसी के एक पंक्ति कोड लिखने से पहले ही क्रेडेंशियल चुरा रहा था।

व्यवहार में सुरक्षा को वहीं लगातार चलना चाहिए जहाँ कोड लिखा और उपकरण इंस्टॉल किए जाते हैं। डेवलपर डिवाइस पर चलने वाली चीजें जाँचनी होंगी, दुर्भावनापूर्ण पैकेज और एक्सटेंशन वहाँ पहुँचने से पहले पकड़ने होंगे, और कोड बदलते ही दुरुपयोग योग्य जोखिम स्वतः जाँचने होंगे, न कि निर्धारित समीक्षा का इंतजार करना होगा। लक्ष्य पहचान, सत्यापन और सुधार का बंद चक्र है जो विकास प्रक्रिया का हिस्सा हो, बाद में चलने वाली अलग प्रक्रिया नहीं।

जब एआई एजेंट निर्भरताएँ और उपकरण अपने आप डाउनलोड करते हैं, तो कंपनियों को खुले स्रोत और तीसरे पक्ष के कोड पर भरोसे को कैसे दोबारा सोचना चाहिए?

एआई एजेंट सामान्यतः बहुत कम मानवीय निगरानी में निर्भरताएँ और उपकरण स्वतः लेते हैं। इससे भरोसे का मॉडल मूल रूप से बदल जाता है: डेवलपर के कंप्यूटर पर ऐसा कोड चलता है जिसे इंस्टॉल करने का स्पष्ट चुनाव किसी ने नहीं किया।

Vercel की सेंध दिखाती है कि यह कैसे बिगड़ सकता है। Vercel सीधे हैक नहीं हुआ था। एक वैध एआई एक्सटेंशन को कर्मचारी के Google खाते का OAuth एक्सेस था; वह प्रदाता की तरफ जानकारी चुराने वाले मैलवेयर के जरिए पहले के चरण में हैक हुआ। खुले स्रोत में यही ढर्रा बार-बार दिखता है: भरोसेमंद तीसरे पक्ष का कोड प्रवेश बिंदु बन जाता है। जोखिम बढ़ता है क्योंकि हैक हुआ डेवलपर वर्कस्टेशन हमलावर को भरोसेमंद इंजीनियर जितनी पहुँच देता है। वह कोड बदल सकता है, दुर्भावनापूर्ण निर्भरताएँ डाल सकता है या वैध सॉफ्टवेयर के छेड़छाड़ किए संस्करण प्रकाशित कर सकता है। बिल्ड पाइपलाइन इन बदलावों को ले लेती हैं और वे भरोसेमंद अपडेट के जरिए आगे फैलते हैं।

कंपनियों को डेवलपर के कंप्यूटर की हर चीज को हमले के दायरे का हिस्सा मानना चाहिए: एआई एजेंट, उनके इंस्टॉल किए उपकरण, वे एक्सटेंशन जिन पर वे निर्भर हैं, सब कुछ। अगर केवल ज्ञात खुले स्रोत पैकेज दिखते हैं, तो हमले वाली वास्तविक परतें छूट जाती हैं।

अपनी सुरक्षा खुद सुनिश्चित करने वाले सॉफ्टवेयर का विचार आकर्षक है। इसे बड़े पैमाने पर काम कराने के लिए कौन-सी मुख्य क्षमताएँ चाहिए?

एक बंद चक्र चाहिए। हर कोड बदलाव पर प्रणाली वास्तविक हमले के रास्ते जाँचे, पुष्टि करे कि समस्या का सचमुच दुरुपयोग हो सकता है या नहीं हो सकता तो निष्कर्ष हटा दे, विकास प्रक्रिया में सुधार बनाए और लागू करे, फिर दोबारा जाँचकर पुष्टि करे कि सुधार कारगर है। यह चक्र किसी के समय तय करने का इंतजार किए बिना लगातार चलना चाहिए। उद्देश्य सुरक्षा से इंसानों को हटाना नहीं, बल्कि लगातार होने वाला काम सँभालना है ताकि टीमें वास्तव में विवेक माँगने वाले फैसलों पर ध्यान दें।

डेवलपर अक्सर सुरक्षा उपकरणों की बहुत अधिक चेतावनियों और गलत अलर्ट से जूझते हैं। Aikido टीमों को वास्तव में महत्वपूर्ण काम पर कैसे केंद्रित करता है?

हमारे State of AI in Security & Development सर्वेक्षण में दो-तिहाई सुरक्षा प्रमुखों ने बताया कि गलत अलर्ट के कारण उनकी टीमों ने सुरक्षा प्रक्रियाएँ टालीं, निष्कर्ष अनदेखे किए या सुधार देर से किए। शोर वाले उपकरणों की यही असली कीमत है। वे केवल समय नहीं गँवाते, बल्कि सुरक्षा को सक्रिय रूप से कमजोर करते हैं, क्योंकि लोग चेतावनियों पर भरोसा करना छोड़ देते हैं।

Aikido में हम पहुँच-योग्यता विश्लेषण और स्वचालित छँटाई से इसे हल करते हैं। हर कमजोरी चिह्नित करके टीम पर महत्व तय करने का काम छोड़ने के बजाय हम देखते हैं कि क्या वह आपके कोड में वास्तव में पहुँच योग्य और आपके परिवेश में दुरुपयोग योग्य है। अगर नहीं, तो आपकी टीम वह चेतावनी कभी नहीं देखती। इससे अलर्ट बहुत कम होते हैं और जो आते हैं, उन पर कार्रवाई करना सार्थक होता है।

आपका प्लेटफॉर्म कोड, क्लाउड और रनटाइम सुरक्षा को स्वचालित पेनेट्रेशन टेस्टिंग से जोड़ता है। कई स्वतंत्र उपकरणों की तुलना में एकीकृत दृष्टिकोण ज्यादा प्रभावी क्यों है?

State of AI in Security & Development शोध में एक अप्रत्याशित बात मिली: जिन टीमों ने सुरक्षा घटनाएँ झेलीं, वे घटना न झेलने वाली टीमों से ज्यादा प्रदाताओं के उपकरण चलाती थीं। ज्यादा उपकरणों का मतलब बेहतर सुरक्षा नहीं था, बल्कि ज्यादा शोर, दोहराए निष्कर्ष और समस्याएँ सुधारने के बजाय अलग डैशबोर्ड की चेतावनियाँ जोड़कर समझने में ज्यादा समय था।

इसलिए हमने Aikido को कोड, क्लाउड, रनटाइम, निर्भरताओं और पाइपलाइन के लिए एक प्लेटफॉर्म बनाया। संकेत एक जगह होने से दोहराए निष्कर्ष हटाए जा सकते हैं, कोड की कमजोरी क्लाउड में वास्तव में पहुँच योग्य है या नहीं समझा जा सकता है, और हर स्कैनर के हर आउटपुट को समान रूप से तत्काल मानने के बजाय वास्तविक जोखिम के आधार पर प्राथमिकता तय की जा सकती है। टीमें उपकरणों के बीच छँटाई पर कम और जरूरी सुधारों पर ज्यादा समय देती हैं। लेकिन हर क्षमता अपने आप में भी मजबूत होनी चाहिए। हर मामले में औसत प्लेटफॉर्म केवल समस्या एक जगह जमा करता है। उसका प्रत्येक हिस्सा स्वतंत्र विकल्प जितना अच्छा या उससे बेहतर हो, वरना एकीकरण का तर्क विफल हो जाता है।

Aikido तेजी से बढ़ा और थोड़े समय में महत्वपूर्ण प्रगति की। इस गति से साइबर सुरक्षा कंपनी बनाने और बढ़ाने की सबसे बड़ी चुनौतियाँ क्या रहीं?

सबसे स्पष्ट बात हमारा बेल्जियम की साइबर सुरक्षा कंपनी होना है। उद्योग परंपरागत रूप से तेल अवीव और सिलिकॉन वैली में विकसित हुआ; शुरू में संदेह था कि विश्वस्तरीय प्लेटफॉर्म कहीं और से आ सकता है या नहीं। लेकिन दूरी फायदा बन गई। हमने पुराने तरीके नहीं दोहराए। डेवलपर-प्रथम दृष्टिकोण और ऐसा एकीकृत उत्पाद दिया जिसे टीमें खुद अपनाकर इस्तेमाल शुरू कर सकती थीं। इसी तरह हम चुपचाप छोटे और मझोले व्यवसायों के लिए प्रमुख डेवलपर सुरक्षा प्लेटफॉर्म बन गए।

बड़ी चुनौती रफ्तार है। जनवरी 2026 में Series B के साथ हम यूनिकॉर्न बने; पिछले साल राजस्व पाँच गुना हुआ और अब Premier League, Revolut तथा SoundCloud सहित 100,000 से ज्यादा टीमें हम पर भरोसा करती हैं। केवल इसी साल हमने आपूर्ति शृंखला सुरक्षा के लिए Device Protection, एआई पेनेट्रेशन टेस्टिंग के लिए Infinite और वाइब कोडिंग प्रक्रियाओं में सुरक्षा जोड़ने के लिए Lovable के साथ साझेदारी शुरू की। इतनी तेजी से बढ़ते हुए प्लेटफॉर्म के हर हिस्से में गुणवत्ता बनाए रखना लगातार चुनौती है। लेकिन यह एक अच्छी समस्या है।

एआई को केंद्र में रखकर विकास करना मानक बनने पर अगले कुछ वर्षों में सॉफ्टवेयर सुरक्षा का भविष्य कैसा होगा?

ईमानदार जवाब है कि पारंपरिक सुरक्षा प्रक्रियाएँ अभी से गति बनाए रखने में संघर्ष कर रही हैं। समय-समय पर समीक्षा, निर्धारित पेनेट्रेशन टेस्ट और बाद में स्कैनिंग ऐसे विकास वेग को मानकर चलते हैं जो अब वास्तव में मौजूद नहीं है। एआई-निर्मित कोड और स्वायत्त एजेंट इन प्रक्रियाओं की जाँच क्षमता से ज्यादा तेजी से बदलाव ला रहे हैं।

हम मानते हैं कि सुरक्षा को सीधे सॉफ्टवेयर विकास में शामिल निरंतर फीडबैक चक्र बनना चाहिए। हम इसे अपनी सुरक्षा खुद सुनिश्चित करने वाला सॉफ्टवेयर कहते हैं। हर कोड बदलाव पर वास्तविक हमले के रास्ते जाँचे जाते हैं, निष्कर्षों की असली दुरुपयोग संभावना सत्यापित होती है, सुधार बनते और दोबारा जाँचे जाते हैं; इंसान के समय तय करने का इंतजार नहीं होता। इसके शुरुआती रूप आज मौजूद हैं और हम इसे कोड, क्लाउड, रनटाइम तथा आपूर्ति शृंखला में विकसित कर रहे हैं।

अगला कदम अपना रखरखाव खुद करने वाला सॉफ्टवेयर है: सुरक्षा न केवल समस्याएँ पकड़कर सुधारती है, बल्कि समय के साथ कोडबेस का स्वास्थ्य सक्रिय रूप से बनाए रखती है। यह आगे की बात है, पर नींव अभी रखी जा रही है। इतना निश्चित है कि एआई ने उन्नत हमले करने की बाधा पहले ही ढहा दी है, इसलिए रक्षा को उसी गति से बढ़ना होगा।

इस शानदार साक्षात्कार के लिए धन्यवाद। अधिक जानने के इच्छुक पाठक Aikido पर जा सकते हैं।