Kara Sprague, CEO HackerOne – Seri Wawancara

Kara Sprague, CEO HackerOne, adalah eksekutif teknologi veteran dengan lebih dari dua dekade pengalaman yang meliputi kepemimpinan produk, manajemen umum, dan konsultasi strategis di sektor perangkat lunak dan keamanan. Dia mengambil alih peran CEO pada November 2024 setelah menjabat sebagai eksekutif senior di F5, termasuk Wakil Presiden Eksekutif dan Chief Product Officer, di mana dia memimpin inisiatif produk dan platform besar, serta peran manajer umum sebelumnya yang mengawasi bisnis skala besar. Sebelum F5, dia menghabiskan lebih dari satu dekade sebagai mitra di McKinsey & Company, memberikan saran kepada perusahaan teknologi terkemuka tentang pertumbuhan dan strategi, dan memulai karirnya sebagai anggota staf teknis di Oracle (ORCL ). Selain perannya di HackerOne, dia juga menjabat sebagai anggota dewan direksi di Trimble Inc. (TRMB )

HackerOne adalah perusahaan keamanan siber yang paling dikenal karena mempelopori keamanan yang ditenagai oleh peretas, menghubungkan organisasi dengan komunitas global peretas etis untuk mengidentifikasi dan memperbaiki kerentanan sebelum mereka dapat dieksploitasi. Platform ini mendukung perusahaan dan pemerintah melalui program bug bounty, pengungkapan kerentanan, pengujian penetrasi, dan layanan pengujian keamanan yang menggabungkan keahlian manusia dengan alur kerja otomatis dan AI. Dengan menggeser keamanan dari model reaktif ke proaktif, HackerOne telah menjadi bagian penting dari tumpukan keamanan aplikasi modern untuk organisasi yang ingin mengurangi risiko dan meningkatkan ketahanan dalam skala.

Anda mengambil alih peran CEO di HackerOne pada November 2024 setelah beberapa dekade kepemimpinan di F5, McKinsey, Oracle, dan organisasi teknologi besar lainnya. Apa yang menarik Anda untuk mengambil tantangan ini pada tahap karir Anda, dan apa yang menjadi prioritas pertama Anda saat Anda mulai memimpin perusahaan?

Saya telah menghabiskan karir saya di persimpangan teknologi, strategi, dan risiko, membantu organisasi menavigasi saat-saat ketika taruhan tinggi dan lingkungan berubah cepat. Apa yang menarik saya ke HackerOne adalah bahwa kita berada di titik infleksi seperti itu lagi karena AI mengubah lanskap keamanan siber.

Keamanan tidak lagi menjadi fungsi back-office — itu adalah penggerak utama kepercayaan, ketahanan, dan kecepatan bisnis. Perusahaan sekarang beroperasi pada sistem yang sangat terhubung, aliran data konstan, dan pengambilan keputusan otomatis dalam skala yang belum pernah terjadi sebelumnya. AI mempercepat inovasi, tetapi juga memperkenalkan celah baru, ketergantungan, dan mode kegagalan yang model keamanan tradisional tidak dirancang untuk menangani.

Oleh karena itu, misi HackerOne sangat penting saat ini. Misi kita adalah memberdayakan dunia untuk membangun internet yang lebih aman, dan di dunia yang ditenagai AI, misi tersebut tidak pernah lebih mendesak. HackerOne berbeda karena kita menggabungkan komunitas global peneliti keamanan manusia dengan kecerdasan platform untuk menemukan dan memperbaiki kerentanan sebelum penyerang dapat mengeksploitasi mereka. Model manusia-dalam-layanan itu tidak hanya berbeda — itu penting.

Sejak hari pertama, saya fokus pada tiga prioritas: memperluas kemampuan platform agen, berinvestasi pada komunitas peneliti, dan memperdalam kepercayaan dengan pelanggan dan mitra. Artinya adalah memperluas kemampuan AI red teaming, mengembangkan Hai dari copilot menjadi tim agen AI yang terkoordinasi yang membantu organisasi terus-menerus memprioritaskan, memvalidasi, dan memperbaiki risiko lebih cepat, dan meluncurkan HackerOne Code untuk mengamankan perangkat lunak lebih awal dalam siklus pengembangan. Hari ini, lebih dari 90% pelanggan kita menggunakan Hai untuk mempercepat pekerjaan mereka untuk memvalidasi dan memperbaiki kerentanan.

Lanskapnya berkembang cepat, tetapi fokus kita tetap: mengandung risiko sebelum itu mendefinisikan Anda. Di HackerOne, itu berarti membuat keamanan menjadi kontinu, praktis, dan dirancang untuk kecepatan inovasi modern.

HackerOne telah melihat lonjakan 200% dalam pengujian penetrasi dan AI red teaming dan pergeseran strategis menuju pengelolaan eksposur ancaman kontinu. Bagaimana tren-tren ini mengubah visi jangka panjang perusahaan, dan apa yang ditandai oleh momentum ini tentang masa depan keamanan perusahaan?

Apa yang kita lihat bukanlah lonjakan — itu adalah reset. Lonjakan 200% dalam pengujian penetrasi dan AI red teaming memastikan bahwa keamanan titik-waktu sederhana tidak dapat mengikuti kecepatan perubahan perusahaan modern.

Kenangan itu membentuk visi jangka panjang kita sekitar pengelolaan eksposur ancaman kontinu di seluruh siklus hidup — dari kode dan cloud hingga sistem AI. Ketika AI mempercepat inovasi dan kecepatan serangan, tantangannya bukanlah menemukan kerentanan; itu membuktikan apa yang dapat dieksploitasi, memprioritaskan apa yang paling penting, dan memperbaikinya dengan cepat. Kita sedang membangun platform yang menggabungkan pengujian kontinu, validasi otonom, prioritisasi cerdas, dan keahlian manusia untuk melakukan hal itu.

Bagi pemimpin perusahaan, sinyalnya jelas: keamanan menjadi disiplin bisnis kontinu, bukan audit berkala. Perusahaan yang unggul akan menjadi mereka yang mengidentifikasi risiko lebih awal, bertindak lebih cepat, dan mengandung eksposur sebelum menjadi masalah bisnis. Perubahan itu mendefinisikan masa depan keamanan perusahaan.

Bagaimana sistem AI Hai terintegrasi ke dalam alur kerja penemuan kerentanan, dan di mana itu memberikan keuntungan paling besar bagi peneliti dan pelanggan?

Hai adalah tim agen AI yang terkoordinasi yang tertanam langsung ke dalam alur kerja pengelolaan kerentanan untuk menganalisis dan memvalidasi temuan secara kontinu untuk membantu organisasi memprioritaskan, memvalidasi, dan memperbaiki risiko lebih cepat. Ini beroperasi di seluruh siklus hidup laporan, bertindak sebagai pengganda kekuatan bagi pembela ketika volume meningkat dan ancaman menjadi lebih kompleks.

Hai memberikan keuntungan paling besar dengan memotong kebisingan. Ini memperbaiki triage dan pemahaman dengan merangkum laporan, mengidentifikasi pola, memvalidasi temuan, dan menyoroti masalah yang paling mungkin penting. Penelitian kami menunjukkan bahwa 20% pengguna menghemat 6 hingga 10 jam setiap minggu, secara signifikan mempersingkat jalur dari deteksi ke perbaikan yang percaya diri.

Peneliti juga diuntungkan. Dengan lebih dari setengah dari mereka sekarang menggunakan AI atau otomatisasi dalam pekerjaan mereka, Hai membantu mereka menghasilkan konsep bukti yang lebih kuat, penjelasan yang lebih jelas, dan validasi yang lebih konsisten.

Apa kategori kerentanan baru yang muncul selama setahun terakhir karena perusahaan mengadopsi AI lebih agresif di seluruh tumpukan perangkat lunak mereka?

Ketika AI menjadi tertanam di seluruh produk dan alur kerja, kita melihat kategori kerentanan baru muncul dalam skala yang signifikan. Dalam Laporan Keamanan Berdaya Peretas Terbaru kami, laporan kerentanan AI yang valid meningkat 210% dari tahun ke tahun dan hampir 80% CISO sekarang memasukkan aset AI dalam cakupan pengujian keamanan. Injeksi prompt telah menjadi yang paling terlihat, meningkat lebih dari setengah dari tahun ke tahun, dan tetap menjadi salah satu cara paling umum bagi penyerang untuk mempengaruhi perilaku model. Kita juga melihat pertumbuhan dalam manipulasi model, penanganan output yang tidak aman, pencemaran data, dan kelemahan yang terkait dengan data pelatihan dan manajemen respons.

Apa yang membuat risiko ini sangat konsekuensial adalah bahwa mereka tidak hanya mempengaruhi sistem — mereka mempengaruhi keputusan, alur kerja, dan kepercayaan pelanggan. AI memperkenalkan jalur kegagalan yang pengujian tradisional tidak sepenuhnya tutupi. Ketika sistem ini diterapkan dalam produksi dan menjadi lebih kritis operasional, pengujian keamanan AI yang terus-menerus dan didedikasikan akan menjadi semakin penting bagi program keamanan perusahaan.

Pendekatan kita menggabungkan otomatisasi yang ditenagai AI untuk menskalakan penemuan dan deteksi pola dengan keahlian manusia untuk menemukan kegagalan halus, kelemahan baru, dan dampak dunia nyata — memungkinkan pembela untuk beroperasi pada kecepatan dan skala yang sama dengan penyerang.

Bagaimana Anda mempertahankan kepercayaan, kualitas, dan keadilan saat juga meningkatkan komitmen Anda terhadap keanekaragaman dan inklusi di seluruh ekosistem yang ditenagai kerumunan yang besar?

Kepercayaan adalah fondasi model keamanan yang ditenagai kerumunan, dan itu harus dibangun secara sengaja saat komunitas berkembang. Bagi kita, itu dimulai dengan standar yang jelas, insentif yang konsisten, dan tata kelola yang kuat.

Komunitas kita terdiri dari peneliti keamanan yang diverifikasi yang bermitra dengan pelanggan untuk mengidentifikasi, memvalidasi, dan membantu memperbaiki kerentanan dunia nyata di seluruh teknologi yang luas.

Kita mempertahankan kualitas dan keadilan dengan menggabungkan kecerdasan platform dengan pengawasan manusia — memvalidasi temuan, menegakkan aturan mainan yang seragam, dan menghargaikan peneliti berdasarkan dampak, bukan latar belakang, geografi, atau masa jabatan. Sistem reputasi, triage transparan, dan model pembayaran yang konsisten menciptakan akuntabilitas di kedua sisi pasar.

Kita sangat berinvestasi dalam kesuksesan peneliti. Melalui pengenalan, pelatihan, dan jalur pertumbuhan yang jelas, kita membantu peneliti baru membangun keterampilan dan kredibilitas. Selama enam tahun terakhir, 50 peneliti telah menghasilkan lebih dari $1 juta masing-masing di platform kita — sinyal kuat dari kualitas pekerjaan dan keadilan model.

Keanekaragaman dan inklusi bukanlah inisiatif terpisah; mereka adalah inti dari kekuatan ekosistem. Tantangan keamanan adalah global, dan perspektif yang beragam mengungkapkan jalur serangan dan titik buta yang berbeda. Hasilnya adalah komunitas yang dipercaya, berkinerja tinggi yang menjadi lebih kuat — bukan lebih terfragmentasi — ketika tumbuh.

Apa yang telah HackerOne lakukan untuk memastikan bahwa penemuan kerentanan yang dibantu AI tetap bertanggung jawab dan menghindari bias atau penyalahgunaan?

Di seluruh platform, agen AI dirancang untuk memperbaiki kejelasan, memvalidasi temuan, dan mempercepat perbaikan — sementara manusia tetap bertanggung jawab atas keputusan sekitar penerimaan, keparahan, dan respons.

Kita memegang diri kita sendiri dengan standar yang sama yang kita harapkan dari pelanggan. Kita menggunakan kemampuan AI kita secara internal, menguji tekanan secara terus-menerus dalam alur kerja nyata, dan menghargai komunitas peneliti kita untuk mengidentifikasi kerentanan yang berdampak tinggi di solusi kita sendiri. Itu menciptakan loop umpan balik yang ketat untuk mengungkapkan bias, inkonsistensi, atau penyalahgunaan awal.

Ketika AI menjadi lebih tertanam dalam operasi keamanan, tujuan kita adalah menetapkan standar yang dapat dipercaya tim — yang didasarkan pada transparansi, pengujian terus-menerus, dan tanggung jawab manusia.

Lonjakan 120% dalam temuan kerentanan dan penghargaan menunjukkan pergeseran besar dalam lanskap ancaman. Apakah Anda menafsirkan ini sebagai kemajuan dalam deteksi atau tanda bahwa perangkat lunak perusahaan menjadi lebih berisiko?

Itu keduanya — dan itu titiknya.

Kenaikan itu mencerminkan kemajuan nyata dalam deteksi. Peneliti menemukan lebih banyak kelemahan yang dapat ditindaklanjuti, berkualitas tinggi, dan penghargaan yang meningkat menunjukkan bahwa perusahaan menghargai mengungkap dan memperbaiki risiko nyata. Lebih banyak temuan tidak secara otomatis berarti perangkat lunak lebih berisiko — itu berarti eksposur akhirnya terlihat.

Pada saat yang sama, perangkat lunak perusahaan menjadi lebih kompleks dan terhubung. AI, ketergantungan pihak ketiga, dan siklus rilis yang lebih cepat memperluas permukaan serangan lebih cepat dari yang dirancang oleh kontrol tradisional.

Intinya sederhana: risiko dinamis, dan keamanan harus sama. Organisasi yang paling tangguh menganggap eksposur tidak terhindarkan dan fokus secara gigih pada memperbaiki apa yang benar-benar penting.

Apa yang Anda lihat sebagai tantangan terbesar untuk platform keamanan yang ditenagai kerumunan selama beberapa tahun mendatang karena AI menjadi lebih mampu?

Tantangan terbesar dalam platform keamanan apa pun adalah mempertahankan sinyal dan kepercayaan saat kecepatan dan skala meningkat.

Ketika AI menurunkan hambatan penemuan, platform akan melihat lonjakan volume dari alur kerja otomatis dan hibrida. Risikonya bukanlah terlalu sedikit temuan — itu adalah kebisingan yang menghancurkan pelanggan dan insentif yang tidak sejalan yang mengikis kepercayaan.

Platform yang berhasil akan menjadi mereka yang memvalidasi eksploitasi, memprioritaskan dampak, dan menghubungkan penghargaan dengan hasil — sambil mempertahankan tata kelola yang kuat dan tanggung jawab manusia. Masa depan bukanlah tentang menemukan lebih banyak masalah; itu tentang menemukan masalah yang tepat lebih cepat dan mengubah wawasan menjadi tindakan sebelum masalah bisnis dapat muncul.

Apakah Anda membayangkan HackerOne mengembang ke luar penemuan kerentanan ke area seperti pemantauan kontinu, perbaikan yang ditenagai AI, atau pemodelan ancaman prediktif?

Fokus kita adalah memecahkan masalah inti yang dihadapi perusahaan: memahami dan mengandung risiko nyata dalam lingkungan yang berubah terus.

Itu berarti secara alami bergerak melampaui penemuan titik-waktu. Kita sudah beroperasi di seluruh siklus eksposur, dari kode dan AI red teaming hingga validasi dan prioritisasi, dan kita akan terus berinvestasi dalam kemampuan yang membantu pelanggan melihat eksposur lebih awal, memahami dampak lebih cepat, dan mengarahkan perbaikan ke penutupan.

AI memainkan peran pusat dalam evolusi itu — terutama dalam prioritisasi dan percepatan alur kerja — tetapi selalu dengan tanggung jawab manusia di pusat. Bintang utara kita adalah keamanan kontinu, praktis yang mengikuti kecepatan inovasi modern.

Ketika lawan semakin mengadopsi AI, bagaimana HackerOne berencana untuk tetap unggul dan memastikan alat pertahanan berkembang dengan kecepatan yang sama?

Kita tetap unggul dari lawan kita dengan beroperasi di mana serangan nyata muncul. Komunitas peneliti global kita sudah menguji teknik yang ditenagai AI melawan lingkungan langsung, memberi kita visibilitas awal tentang bagaimana lawan sebenarnya beroperasi.

Kita menggabungkan wawasan manusia itu dengan otomatisasi yang ditenagai AI untuk menskalakan penemuan, validasi, prioritisasi, dan perbaikan. Yang tidak kalah penting, kita menguji tekanan platform kita secara terus-menerus menggunakan pendekatan AI red teaming yang sama yang kita tawarkan kepada pelanggan.

Tujuannya bukanlah untuk memprediksi setiap serangan baru — itu adalah membangun sistem yang belajar lebih cepat dari lawan. Itulah bagaimana alat pertahanan mengikuti kecepatan di lanskap ancaman yang ditenagai AI.

Terima kasih atas wawancara yang luar biasa—pembaca yang ingin mempelajari lebih lanjut tentang bagaimana perusahaan menggunakan keahlian manusia dan keamanan yang ditenagai AI untuk membantu organisasi mengidentifikasi dan mengandung risiko dunia nyata sebelum menjadi masalah bisnis dapat mengunjungi HackerOne.