Keith Stewart, Pendiri dan CEO Humanix – Seri Wawancara

Keith Stewart, Pendiri dan CEO Humanix, adalah veteran keamanan siber dengan lebih dari 25 tahun pengalaman yang meliputi manajemen produk, teknik, pengembangan bisnis, dan kepemimpinan eksekutif di beberapa perusahaan terkemuka di industri, termasuk Cisco, Brocade, Riverbed, dan vArmour. Sebelum mendirikan Humanix pada 2023, ia menjabat sebagai CEO Interim dan SVP Produk dan Teknik di vArmour, di mana ia membantu memandu perusahaan melalui akuisisi dan transisi ke model bisnis berbasis SaaS. Sepanjang karirnya, Stewart telah memimpin tim global, mengarahkan inisiatif produk keamanan siber besar, berpartisipasi dalam kegiatan penggalangan dana dan M&A, dan memainkan peran kunci dalam mengembangkan teknologi keamanan generasi berikutnya. Latar belakangnya yang luas di bidang keamanan perusahaan dan pemahaman mendalam tentang bagaimana penyerang mengeksploitasi perilaku manusia membuatnya mendirikan Humanix dengan misi melindungi orang-orang dari serangan teknik sosial yang semakin canggih.

Humanix adalah perusahaan keamanan siber yang mempelopori apa yang mereka sebut Deteksi dan Respon Ancaman Manusia (HTDR), kategori baru yang fokus pada melindungi “lapisan manusia” keamanan perusahaan. Daripada hanya fokus pada titik akhir, jaringan, dan infrastruktur, Humanix menggunakan AI percakapan yang dilatih pada psikologi manusia dan pola serangan bahasa alami untuk mendeteksi manipulasi, penipuan, impersonasi, dan taktik teknik sosial lainnya di seluruh interaksi suara, obrolan, email, video, dan layanan meja bantuan. Platform ini dirancang untuk mengidentifikasi serangan secara real-time, membantu organisasi menghentikan pelanggaran sebelum penyerang mengeksploitasi karyawan, kontraktor, atau pelanggan. Pendekatan Humanix mencerminkan pengakuan yang semakin meningkat bahwa sebagian besar serangan siber yang sukses menargetkan orang-orang, bukan sistem, dan perusahaan bertujuan untuk memberikan tim keamanan dengan tingkat visibilitas dan kemampuan respons yang sama untuk ancaman yang menargetkan manusia seperti yang mereka miliki untuk ancaman siber tradisional.

Anda telah memimpin transformasi besar di perusahaan seperti vArmour, termasuk transisi SaaS, penskalaan tim teknik, dan navigasi akuisisi. Apa celah atau titik balik spesifik yang membuat Anda mendirikan Humanix, dan mengapa fokus begitu kuat pada melindungi manusia daripada sistem?

Tantangan terbesar dalam postur keamanan organisasi mana pun adalah risiko manusia. Manusia adalah aset pertahanan paling kuat dan juga area kerentanan yang paling persisten. Namun, ini adalah masalah yang terus-menerus tidak teratasi. Jawaban industri telah menjadi pelatihan — secara efektif mencoba mengubah karyawan rata-rata menjadi ahli keamanan siber dalam satu sesi satu jam. Kami tahu itu tidak berhasil, tetapi kami tidak memiliki solusi yang lebih baik.

Dua hal telah berubah baru-baru ini, satu untuk lebih buruk dan satu untuk lebih baik. Pertama, yang lebih buruk: AI membuat serangan yang menargetkan manusia langsung lebih mudah diakses. Anda sekarang bisa menjadi remaja di sisi lain dunia, tidak berbicara bahasa Inggris, tidak tahu apa-apa tentang bisnis tertentu, dan tiba-tiba LLM membiarkan Anda tahu hampir semua hal dan terdengar seperti hampir siapa saja. Itu menciptakan bahaya nyata dan sekarang.

Kedua, perubahan untuk lebih baik: sekarang kita memiliki teknologi untuk mendeteksi serangan ini. LLM sangat baik dalam memahami nuansa dan kompleksitas interaksi manusia. Dengan AI percakapan, kita dapat mengidentifikasi pola dalam interaksi tersebut dan merespons hampir secara real-time.

Kita tidak lagi perlu bergantung hanya pada strategi pelatihan yang kuno. Untuk pertama kalinya, kita memiliki cara untuk menyelesaikan masalah kerentanan manusia secara langsung. Itulah mengapa kita membangun Humanix.

Pekerjaan Anda telah lama berfokus pada data skala besar, analitik perilaku, dan model keamanan berbasis grafik. Bagaimana pengalaman tersebut membentuk pendekatan Humanix dalam mendeteksi serangan yang tidak terlihat seperti pelanggaran tradisional?

Di permukaan, mendeteksi serangan teknik sosial interaktif terlihat menantang. Setiap orang berbeda. Bahasa alami sangat berdimensi tinggi. Model perilaku berbasis ML klasik tidak memahami konteks, dan sering kali salah tembak.

Namun, ketika Anda menyelami sedikit lebih dalam, Anda dapat melihat bahwa kelas serangan ini memiliki pola seperti yang lain. Sebagai gantinya mengeksploitasi overflow buffer atau zero day, penyerang mengeksploitasi celah proses bisnis dan kepercayaan manusia. Penyerang memiliki buku petunjuk yang mereka jalankan secara konsisten melawan organisasi, yang berarti kita harus dapat mendeteksi dan merespons serangan ini sama seperti yang kita lakukan pada titik akhir, jaringan, cloud, atau identitas.

Wawasan itu memungkinkan kita untuk menggabungkan pola deteksi dan respons klasik yang kita ketahui efektif — termasuk analitik perilaku dan teori grafik — dengan kemampuan alasan semantik model bahasa. Humanix menggunakan kombinasi itu untuk memahami entitas, hubungan, perilaku, risiko, dan interaksi itu sendiri. Ini adalah bagaimana kita menciptakan kelas deteksi dan respons produk baru: Deteksi dan Respon Ancaman Manusia.

Grup muncul seperti BlackFile menggunakan phishing suara dan teknik sosial engineering waktu nyata sebagai gantinya malware-berat. Apa yang pergeseran ini tunjukkan tentang bagaimana lanskap ancaman berubah?

BlackFile adalah bagian dari pergeseran yang lebih luas menuju serangan yang kurang tentang mendapatkan malware ke dalam lingkungan dan lebih tentang menggunakan bahasa alami untuk membuat seseorang membuka pintu.

Grup-grup ini telah menemukan bahwa panggilan telepon yang meyakinkan, dalih yang masuk akal, dan jumlah urgensi yang tepat dapat sama efektifnya dengan eksploitasi teknis, dan seringkali lebih sulit bagi tim keamanan untuk dilihat. Permukaan serangan tidak berubah sebanyak fokus penyerang telah berubah. Orang-orang selalu menjadi bagian dari permukaan serangan. Yang telah berubah adalah skala, kematangan, dan kemampuan ulang dari buku petunjuk.

Teknik sosial engineering sedang disalin, diperbarui, dan diindustrikan karena itu berhasil. Ini memanfaatkan cara bisnis sebenarnya beroperasi, terutama dalam alur kerja di mana orang-orang diharapkan membantu dengan cepat, menyelesaikan pengecualian, dan menjaga agar semuanya berjalan.

Kita melihat penyerang meniru meja bantuan IT dan mengeksploitasi karyawan secara langsung untuk mendapatkan akses. Mengapa teknik seperti vishing dan manipulasi meja bantuan menjadi titik masuk primer yang efektif?

Teknik seperti vishing dan manipulasi meja bantuan sangat efektif karena mereka mengeksploitasi kombinasi kepercayaan, urgensi, dan akses yang ditemukan di banyak alur kerja dukungan dan administratif.

Jika saya ingin masuk ke lingkungan Anda, saya bisa menghabiskan beberapa minggu mencari eksploitasi teknis. Atau saya bisa menelepon seseorang yang dilatih untuk membantu, membuat cerita yang kredibel, dan membuat mereka melakukan apa yang perlu saya lakukan, apakah itu mereset kata sandi, mendaftarkan faktor MFA baru, mengubah izin, atau menyetujui permintaan.

Orang di ujung lain panggilan sering mencoba menyelesaikan masalah yang terlihat nyata, dengan tekanan waktu, dan informasi yang tidak lengkap. Itulah yang membuat meja bantuan menjadi target yang menarik. Ini adalah salah satu tempat di mana percakapan dapat berubah langsung menjadi akses. Setelah akses diberikan, sisanya dapat terjadi dengan sangat cepat.

Industri telah berinvestasi besar dalam pelatihan kesadaran karyawan, namun pelanggaran yang menargetkan orang-orang terus meningkat. Di mana kesadaran keamanan tradisional gagal, dan apa yang perlu berubah?

Pelatihan kesadaran keamanan telah dianggap sebagai pertahanan utama melawan teknik sosial, meskipun hasilnya jelas menunjukkan keterbatasannya. Organisasi terus menginvestasikan banyak uang dalam pelatihan, namun penyerang terus berhasil karena mereka menargetkan orang-orang dalam interaksi langsung, bukan menguji apakah karyawan mengingat materi dari kursus.

Serangan teknik sosial bukanlah kuis. Ini adalah orang di ujung lain panggilan atau utas obrolan yang menciptakan urgensi, membangun kepercayaan, dan mencoba membuat seseorang melakukan tindakan yang tidak seharusnya mereka lakukan. Model saat ini gagal karena mengharapkan karyawan untuk mengenali dan menghentikan serangan sementara penyerang secara aktif memanipulasi interaksi.

Ketika sesuatu salah, responsnya sering kali menyalahkan karyawan dan mengatur pelatihan lebih lanjut. Namun, karyawan biasanya mencoba membantu, yang merupakan hal yang bisnis minta mereka lakukan setiap hari. Kita perlu berhenti menganggap teknik sosial sebagai masalah kesadaran saja. Ini adalah kelas serangan, dan kita harus mendeteksi dan meresponsnya saat interaksi sedang berlangsung.

Humanix memposisikan diri sekitar mendeteksi serangan pada orang-orang dalam waktu nyata. Apa yang terlihat seperti pengamatan risiko manusia dalam prakteknya?

Pengamatan risiko manusia berarti memberikan tim keamanan visibilitas ke dalam interaksi langsung di mana penyerang mencoba memanipulasi orang-orang untuk mengubah akses, melewati prosedur yang diperlukan, atau mengambil tindakan yang tidak aman lainnya atas nama penyerang.

Hari ini, interaksi ini secara efektif tidak terlihat oleh keamanan. Seseorang menelepon meja bantuan, membuka tiket, atau memulai obrolan. Kata sandi direset, faktor MFA didaftarkan, izin diubah, atau pengecualian disetujui. Ini adalah alur kerja yang sangat sensitif, namun tim keamanan tidak memiliki visibilitas dan pengamatan.

Humanix mengubah ini. Kami memasang ke dalam sistem komunikasi perusahaan yang sudah digunakan — Microsoft 365, ServiceNow , Zoom, Slack, dan lainnya. Humanix memantau tindakan dan interaksi melalui saluran tersebut, dan membandingkannya dengan taktik serangan dan prosedur perusahaan.

Apakah pemanggil diverifikasi dengan benar? Apakah mereka berbicara untuk menghindari verifikasi? Apakah ada urgensi, impersonasi, atau tekanan untuk melewati langkah yang diperlukan? Apakah agen akan mengambil tindakan berisiko tinggi? Bagaimana profil risiko berubah seiring panggilan berlangsung? Humanix memberikan deteksi dan respons keamanan saat interaksi terjadi, dan membiarkan tim keamanan tahu jika sesuatu terlihat mencurigakan.

Tujuan akhir dari analisis ini bukanlah untuk menghukum korban setelah fakta. Ini adalah untuk melindungi mereka saat itu juga. Jika percakapan menjadi serangan, tim keamanan perlu tahu.

Seiring teknologi suara dan deepfake AI yang diperbarui, seberapa dekat kita dengan titik di mana kepercayaan manusia menjadi permukaan serangan terlemah?

Kepercayaan manusia telah menjadi salah satu permukaan serangan terlemah selama ini. AI membuat serangan terhadap kepercayaan lebih mudah dibuat, disesuaikan, dan diperluas.

Namun, kita perlu berhati-hati untuk tidak berlebihan pada kasus ‘deepfake’ khusus. Deepfakes hanyalah salah satu medium yang digunakan penyerang untuk memanipulasi seseorang. Pada kenyataannya, jika kita melihat sebagian besar serangan teknik sosial yang sukses selama beberapa tahun terakhir, sebagian besar bukanlah deepfakes — mereka hanya penyerang manusia dan penipu yang mengangkat telepon. Grup seperti Scattered Spider, ShinyHunters, dan BlackFile telah menunjukkan bahwa panggilan telepon normal, dalih yang kredibel, dan urgensi yang tepat lebih dari cukup untuk membuat seseorang melakukan tindakan atas nama penyerang.

Tim keamanan perlu fokus pada pesan, bukan medium. Seseorang yang dipaksa untuk melanggar kebijakan atau menyetujui pengecualian dalam keadaan curiga — ini adalah perilaku berisiko sebenarnya. Risiko terletak pada interaksi itu sendiri dan tindakan yang dirancang untuk diinduksi.

Kepercayaan bukanlah sesuatu yang dapat kita hapus dari bisnis. Orang-orang harus menjawab panggilan, menyelesaikan masalah, menyetujui permintaan, dan membantu satu sama lain. Jawabannya tidak dapat membuat semua orang kurang manusiawi. Ini harus melindungi momen-momen di mana kepercayaan dieksploitasi.

Apa peran yang harus dimainkan AI dalam melawan teknik sosial yang didorong AI, dan apa tantangan teknis terbesar dalam mendeteksi manipulasi dalam waktu nyata?

AI percakapan membuka peluang untuk mengubah teknik sosial yang didorong AI dari masalah pelatihan menjadi masalah deteksi dan respons. Model bahasa memungkinkan kita untuk menerapkan semua pembelajaran dari domain seperti titik akhir atau jaringan dan menerapkannya pada lapisan manusia. Kita perlu mendeteksi dan merespons serangan ini, bukan terus berusaha melatih mereka.

Ada banyak tantangan teknis dalam membuat visi ini menjadi kenyataan. Bahasa alami sangat berdimensi, yang berarti ada banyak cara untuk menyampaikan makna yang sama. Mengatakan “Saya terkunci dari sistem saya” adalah pernyataan yang fungsional setara dengan mengatakan “Saya perlu kata sandi saya direset,” meskipun kata “kata sandi” dan “reset” tidak pernah digunakan.

Yang lainnya adalah pentingnya konteks. Interaksi manusia bersifat kontekstual dan kumulatif, dan demikian juga manipulasi manusia. Pemanggil dapat terdengar tenang, sopan, dan kredibel sementara masih mengarahkan seseorang untuk melewati verifikasi atau menuju tindakan yang tidak aman. Kita perlu menggabungkan beberapa sinyal dan data kontekstual bersama untuk memisahkan yang benar dari yang jahat dengan akurat.

Akhirnya, setiap organisasi berbeda. Mereka memiliki prosedur dan norma yang berbeda, hampir semuanya tidak dapat dibaca mesin. Ini adalah area lain di mana AI dapat membantu besar — memahami kebijakan tersebut dan membandingkannya dengan perilaku dunia nyata yang diamati.

Banyak alat keamanan masih fokus pada titik akhir, jaringan, dan sistem identitas. Bagaimana CISO harus merancang ulang arsitektur mereka jika medan pertempuran utama bergeser ke perilaku manusia?

Pertama, CISO harus secara resmi mengakui apa yang kita semua ketahui secara intuitif: modal manusia organisasi adalah kelas aset (seperti titik akhir, jaringan, atau cloud) yang perlu dikelola. Ancaman dan risiko perlu dimodelkan dan dikendalikan dengan akurat.

Kerangka Kerja Keamanan Siber NIST sudah menyediakan pedoman tentang cara melakukannya. “Identifikasi” dan “pengelolaan” orang adalah bagian dari subset Identifikasi Aset (ID.AM) dari identifikasi risiko. Namun, banyak organisasi mendefinisikan masalah risiko manusia sebagai masalah pelatihan, dan hanya mengelolanya melalui persyaratan kepatuhan pelatihan kesadaran keamanan. Ini perlu berubah.

Ketika kita menganggap modal manusia sebagai kelas asetnya sendiri, ini membuka playbook standar yang kita jalankan untuk setiap kelas aset lainnya. Apa risiko utama (ID.RA)? Bagaimana saya secara sistematis membela diri melawan mereka (Lindungi)? Apa sistem dan proses kita untuk mendeteksi apakah penyerang akan melanggar pertahanan tersebut, atau lebih buruk, sudah melakukannya (Deteksi)? Bagaimana organisasi merespons untuk mengandung ancaman dan akhirnya memulihkan layanan (Respon dan Pemulihan)? Dengan mengambil pendekatan sistematis yang sama terhadap modal manusia kita seperti yang kita lakukan untuk setiap kelas aset lainnya, kita dapat lebih jelas mengidentifikasi risiko dan lebih efektif memprioritaskan sumber daya untuk mengelola risiko tersebut.

Menghadap ke depan, apakah Anda mengharapkan serangan lapisan manusia untuk mendominasi kejahatan siber, atau apakah kita akan melihat model hybrid di mana otomatisasi AI yang didorong dan teknik sosial yang berkonvergensi menjadi sesuatu yang lebih sulit untuk dibela?

Akan hampir pasti menjadi model ancaman yang dicampur. Kita memiliki dua hal yang terjadi secara bersamaan. Pertama, penyerang belajar untuk menskalakan serangan mereka dengan AI, meningkatkan akses, dan menurunkan biaya kelas serangan ini. Kedua, perusahaan itu sendiri mengalami transformasi AI yang dipimpin oleh layanan bisnis yang diserang oleh BlackFile dan rekan-rekan mereka.

Layanan dukungan pelanggan, meja bantuan, meja layanan, operasi keuangan, dan dukungan internal semua bertransformasi dari yang dilakukan manusia menjadi yang dilakukan AI. Ini berarti kita akan mengalami ledakan permukaan serangan bahasa alami sambil menghilangkan kehati-hatian manusia. Model bahasa besar dilatih untuk merespons instruksi dan membantu. Kehati-hatian atau “perasaan” manusia yang telah menjadi pertahanan terbaik kita melawan serangan teknik sosial telah sengaja dihilangkan dari respons model. Transisi ke layanan yang disampaikan AI akhirnya akan meningkatkan risiko serangan teknik sosial, bukan menguranginya.

Sebagai hasilnya, paparan perusahaan terhadap kelas serangan ini hampir pasti akan terus tumbuh selama beberapa tahun ke depan. Manusia dan agen sama-sama rentan terhadap serangan bahasa alami. Tim keamanan perlu mulai merencanakan hari ini untuk rencana pertahanan dan respons sistematis terhadap kenyataan baru ini.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut Humanix.