David Mytton, CEO Arcjet – Seri Wawancara

David Mytton, pendiri dan CEO Arcjet, memimpin perusahaan rintisan keamanan yang berfokus pada pengembang yang membantu tim memasukkan perlindungan yang kuat seperti deteksi bot, pembatasan laju, validasi email, mitigasi serangan, dan redaksi data langsung ke dalam kode aplikasi, setelah mengambil alih jabatan pada Juni 2023. Ia juga merupakan co-pendiri Console, sebuah newsletter dan podcast devtools yang banyak diikuti, telah menjabat dalam peran penasihat seperti Expert in Residence di Seedcamp, dan sebelumnya memimpin rekayasa produk di StackPath setelah perusahaannya yang bergerak di bidang pemantauan cloud diakuisisi, sambil mempertahankan minat yang kuat dalam komputasi berkelanjutan dan menulis secara aktif tentang topik teknologi.

Arcjet dibangun di sekitar filosofi “keamanan sebagai kode” yang memungkinkan pengembang mengamankan aplikasi dengan integrasi SDK yang sederhana, meletakkan logika keamanan di samping logika bisnis untuk keputusan yang sadar konteks dan menghilangkan kebutuhan akan infrastruktur terpisah; platform ini mendukung perlindungan seperti pemblokiran bot, pembatasan laju, dan penyaringan data sensitif dan terus berkembang dengan fitur seperti model keamanan AI lokal dan dukungan kerangka kerja yang diperluas, mencerminkan misinya untuk membuat keamanan dalam kode menjadi default untuk aplikasi modern. (fly.io)

Anda mendirikan Server Density pada saat menjalankan infrastruktur skala besar jauh menos standar daripada sekarang, dan akhirnya tumbuh dan menjual perusahaan tersebut. Dengan melihat ke belakang, apa yang paling penting yang Anda pelajari tentang membangun untuk pengembang dan mengoperasikan sistem produksi, dan bagaimana pengalaman itu membentuk cara Anda berpikir tentang perangkat lunak hari ini?

Sebagian besar alat pengembang menang dalam demo dan kalah dalam produksi. Mendapatkan pengembang untuk menginstal apa pun yang baru sangat sulit, jadi “mulai cepat” harus tanpa gesekan – tapi itu hanya syarat minimum. Mode kegagalan yang sebenarnya adalah apa yang terjadi setelah “itu bekerja”: produk menjadi terbatas sehingga tim yang serius dengan cepat merasa frustrasi dan mencabutnya.

Itulah mengapa keamanan aplikasi Arcjet yang ada dalam kode dirancang untuk dua kenyataan: Anda memerlukan solusi segera untuk spam pendaftaran, kecurangan akun, serangan bot, penyalahgunaan API, dll, dan Anda juga memerlukan lubang pelarian ke kontrol lanjutan – kuota per pengguna, aturan berbasis risiko, dan keputusan yang sadar konteks – tanpa menulis ulang semuanya.

Produk bukanlah antarmuka pengguna. Produk adalah perilaku runtime, kasus tepi, contoh, dan dokumen referensi yang dapat dipercaya oleh pengembang.

Keluar dari pengalaman itu, apa yang membuat Anda memulai Arcjet, dan mengapa Anda merasa pergeseran besar berikutnya dalam keamanan aplikasi perlu terjadi di dalam kode itu sendiri dan bukan di lapisan jaringan atau infrastruktur?

Keamanan perimeter mengoptimalkan hal yang salah. Pengembang membangun dan mengirimkan kode, bukan di dasbor – dan agen kode AI tidak akan “mengklik di sekitar” konsol keamanan untuk melindungi aplikasi.

Jika perlindungan Anda tidak dapat diekspresikan sebagai kode, ditinjau dalam permintaan tarik, diuji dalam CI, dan diterapkan bersama dengan aplikasi, itu bukan “keamanan pertama pengembang”.

Arcjet ada karena keamanan milik lapisan aplikasi: dikendalikan versi, dapat diuji, dapat diamati, dan dekat dengan logika bisnis di mana niat sebenarnya hidup.

Arcjet memasukkan deteksi ancaman yang ditenagai AI langsung ke dalam penanganan permintaan aplikasi. Dari perspektif teknis, apa kelebihan yang diberikan oleh pendekatan lokal, dalam-kode ini dibandingkan dengan alat keamanan berbasis perimeter tradisional?

Di dalam penanganan permintaan, Anda memiliki identitas, status sesi, riwayat pembelian, usia akun, bendera fitur, dan kebenaran database. Anda dapat membuat keputusan seperti: “Ini terlihat aneh, tapi ini pelanggan setia – tingkatkan verifikasi alih-alih memblokir.” Proksi jaringan tidak bisa melakukan itu karena tidak tahu apa itu “pelanggan”.

Tujuan bukanlah pemblokiran maksimum. Tujuan adalah meminimalkan positif palsu dengan keamanan yang sadar konteks karena kesalahan keamanan yang paling mahal adalah memblokir checkout yang sah atau mengunci pengguna nyata.

AI telah mengubah secara dramatis ekonomi penyalahgunaan, dari pengikisan bot dan pendaftaran spam hingga eksploitasi API yang diotomatisasi. Jenis serangan apa yang paling sering Anda lihat di produksi hari ini, dan bagaimana mereka berkembang karena penyerang mengadopsi sistem AI yang lebih maju?

Penghasilan AI membantu penyerang juga! Perubahan besar adalah volume dan kecepatan iterasi: lebih banyak pengisian kredensial, lebih banyak spam pendaftaran yang diotomatisasi, lebih banyak pengikisan bot, lebih banyak penyelidikan API, dan “senjata” kerentanan yang lebih cepat.

Kami juga melihat penyerang menjalankan loop umpan balik yang lebih ketat: mereka menguji pertahanan, menyesuaikan prompt dan payload, memutar infrastruktur, dan terus berlanjut sampai mereka berhasil. Saat ini semua tentang kecepatan bukan kecanggihan.

Masih terlalu sedikit orang yang mengikuti praktik terbaik seperti menggunakan pengelola kata sandi, menerapkan autentikasi dua faktor dengan kredensial tahan phising seperti kunci atau kunci perangkat keras, dan menjaga ketergantungan tetap mutakhir. Dengan volume serangan yang meningkat, itu akan menjadi semakin penting.

Salah satu ketegangan terbesar dalam keamanan adalah melindungi aplikasi tanpa memperlambat pengembangan. Bagaimana tim yang menggunakan Arcjet dapat mengintegrasikan keamanan ke dalam alur kerja mereka sambil mempertahankan siklus rilis yang cepat?

Arcjet dapat berjalan di lingkungan mana pun, termasuk di lingkungan pengkodean di laptop. Ini berarti pengembang dapat menguji tanpa harus mengirimkan ke produksi. Ini adalah keuntungan besar karena Anda dapat memvalidasi dan mendemonstrasikan integrasi tanpa memerlukan izin khusus dan tanpa risiko memengaruhi produksi. Ini memecahkan masalah klasik tim keamanan yang memaksa pengembang untuk mengadopsi alat yang mengganggu kemampuan mereka untuk menyelesaikan pekerjaan.

Arcjet telah mendapatkan traksi awal dengan produk AI-asli dan platform e-commerce. Apa yang membuat lingkungan ini sangat rentan terhadap serangan otomatis modern, dan mengapa pertahanan warisan cenderung gagal?

Kedua kategori ini berbagi kesamaan di mana setiap permintaan penyalahgunaan memiliki biaya langsung.

Produk AI membayar token dan inferensi – penyerang mengubah margin Anda menjadi taman bermain mereka melalui pengikisan, otomatisasi, dan pertanian tingkat gratis. E-commerce membayar penipuan, chargeback, penyalahgunaan inventori, dan pengambilalihan akun. Keduanya sangat sensitif terhadap positif palsu karena memblokir pengguna nyata berarti kehilangan pendapatan.

Pertahanan warisan sebagian besar melindungi bandwidth dan infrastruktur. Penyerang modern menargetkan logika bisnis: alur pendaftaran, alur checkout, logika promo, pemulihan akun, dan titik akhir API. Itulah mengapa kontrol perimeter generik dan “selesaikan dengan CAPTCHA” semakin tidak memadai.

Membangun perangkat lunak keamanan memiliki trade-off yang sangat berbeda dibandingkan dengan observabilitas atau pemantauan. Apa yang paling mengejutkan Anda tentang mengembangkan produk keamanan dibandingkan dengan pengalaman sebelumnya dengan tooling infrastruktur?

Dengan observabilitas, pelanggan mempercayai Anda untuk tersedia. Dengan keamanan, pelanggan mempercayai Anda untuk aman dan tidak menjadi eksploitasi rantai pasokan mereka.

Membangun produk keamanan berarti menjalankan perusahaan keamanan. Kami menggunakan kerangka seperti SOC 2, meminimalkan ketergantungan pihak ketiga, dan memperlakukan laptop pengembang dan akses ke alat sebagai aset produksi. Ini berarti banyak pemantauan dan reaksi cepat terhadap masalah potensial.

Seiring aplikasi semakin mengandalkan agen AI yang bertindak atas nama pengguna, bagaimana pengembang harus memikirkan kembali konsep identitas, niat, dan kepercayaan di lapisan aplikasi?

Seiring agen AI bertindak untuk pengguna, identitas berhenti menjadi keadaan login biner dan menjadi masalah delegasi: siapa yang bertindak, atas nama siapa, dengan izin apa, untuk berapa lama, dan dengan konstrain apa.

Pengembang harus beralih ke verifikasi terus-menerus: memperlakukan setiap permintaan sebagai memerlukan keputusan kepercayaan yang segar berdasarkan konteks – riwayat pengguna, sinyal perangkat, perilaku sesi, dan risiko tindakan. “Niat” didefinisikan dari perilaku selama waktu, bukan diklaim dalam header.

Ini berarti membangun momen langkah (verifikasi, pembatasan laju, gesekan) di sekitar tindakan berisiko tinggi seperti reset sandi, checkout, dan pembuatan token – dan membuat kontrol tersebut hidup dalam kode, di mana aplikasi dapat membedakan pelanggan setia dari bot dengan cookie yang dicuri.

Menghadap ke depan, bagaimana Anda melihat peran keamanan dalam-kode yang sadar konteks berkembang selama beberapa tahun ke depan seiring lalu lintas AI yang dihasilkan terus tumbuh?

Alat perimeter tidak akan menghilang – tapi mereka akan menjadi filter kasar untuk hal-hal yang terbaik ditangani di jaringan seperti serangan DDoS. Keputusan yang tepat akan terjadi di dalam aplikasi, menggunakan konteks nyata.

Jika keamanan tertanam menjadi model default untuk aplikasi modern, apa yang dimaksud dengan pergeseran ini untuk cara pengembang menguji, menerapkan, dan mempertimbangkan keamanan di sistem produksi?

Jika keamanan tertanam menjadi standar, tim akan menguji penyalahgunaan dengan cara mereka menguji kesalahan: pengujian keamanan unit, simulasi serangan yang dapat diputar ulang, dan pemeriksaan CI untuk titik akhir yang berisiko.

Pergeseran yang lebih besar adalah bahwa agen kode AI akan menerapkan keamanan sebagai kode, bukan sebagai konfigurasi dasbor. Agen hanya dapat mempropose, meninjau, dan memvalidasi perlindungan dengan andal ketika kontrol hidup dalam repo: kebijakan, aturan, pengujian, dan instrumentasi. Jika “lapisan keamanan” adalah antarmuka web, agen tidak dapat menguji perubahan untuk mengirimkan dengan aman.

Itulah alasan nyata “keamanan dalam kode” menang – itu sesuai dengan cara perangkat lunak modern (dan pengembangan yang dibantu AI) sebenarnya dibangun.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Arcjet.