Neatsun Ziv, Co-Founder dan CEO OX Security – Seri Wawancara

Neatsun Ziv, Co-Founder dan CEO OX Security, berada di garis depan dalam mendefinisikan kembali keamanan rantai pasokan perangkat lunak untuk era DevSecOps. Sebelum mendirikan OX, ia menjabat sebagai VP Keamanan Siber di Check Point, memimpin inisiatif global dan mengoordinasikan respons cepat terhadap ancaman berprofil tinggi seperti SolarWinds (SWI ) dan NotPetya. Pekerjaannya sering membawanya bekerja sama dengan Interpol, CERT nasional, dan lembaga penegakan hukum lainnya selama beberapa insiden siber paling kritis dalam dekade terakhir.

OX Security adalah platform keamanan aplikasi yang dirancang untuk memotong kebisingan, membantu organisasi fokus pada persentase kecil risiko yang benar-benar penting. Dengan menggunakan analisis exploitabilitas, keterjangkauan, dan dampak bisnis, platform ini menyampaikan prioritas berbasis bukti di seluruh siklus hidup pengembangan perangkat lunak. Dengan cakupan kode-ke-awan penuh, 100+ integrasi, dan alur kerja tanpa kode, OX memasukkan perbaikan yang dipandu langsung ke dalam alur kerja pengembang, memastikan langkah-langkah keamanan yang efektif dan tanpa gesekan.

Sebelum mendirikan OX Security, Anda memimpin respons insiden besar di Check Point. Apa yang membuat Anda memutuskan untuk memulai perusahaan Anda sendiri, dan apa celah yang Anda lihat di ruang keamanan aplikasi?

Bekerja di Check Point, saya mengalami secara langsung “Celah Kecepatan Perusahaan” – perusahaan keamanan tradisional bergerak dengan kecepatan yang lebih lambat. Saya juga melihat bagaimana tim keamanan tidak efisien dalam berbagai cara, terutama ketika memprioritaskan risiko dengan benar.

Pada saat yang sama, saya mengakui bahwa kecerdasan buatan generatif (pada saat itu belum berkembang) mewakili masa depan tentang bagaimana peralatan keamanan perlu berkembang, dan memang, itu bergerak dengan kecepatan yang besar. Beberapa pergeseran kritis terjadi secara bersamaan:

Percepatan Aktor Ancaman: Penyerang dengan cepat mengadopsi teknologi dan teknik baru, bergerak lebih cepat daripada solusi keamanan dapat mengimbanginya.

Fenomena “Vibe Coding”: Istilah itu tidak ada pada saat itu, tetapi saya melihat pengembang semakin mengandalkan alat coding yang dibantu AI seperti Copilot, secara fundamental mengubah cara perangkat lunak dibangun dan memperkenalkan pertimbangan keamanan yang sama sekali baru.

Evolusi Serangan Rantai Pasokan: Percepatan serangan rantai pasokan perangkat lunak menciptakan kebutuhan mendesak untuk pendekatan baru dalam keamanan aplikasi yang tidak dapat diatasi oleh alat yang ada.

Perbaikan inkremental dalam struktur perusahaan yang ada tidak akan cukup untuk mengatasi tantangan yang berkembang dengan cepat ini.

Kesadaran terakhir saya adalah bahwa ancaman bergerak cepat ke dalam kode – dan keamanan perlu mengikuti. Kami perlu memutuskan dari kerangka yang diketahui dan mulai berlari dalam balapan baru.

Misi inti OX adalah membantu pengembang fokus pada 5% kerentanan yang benar-benar penting. Kapan wawasan itu mengkristal untuk Anda, dan bagaimana itu membentuk keputusan produk hari ini?

Setelah mengelola operasi tim pengembangan yang cukup besar, saya menyaksikan bagaimana volume masalah keamanan yang luar biasa dapat menjadi sangat menghambat. Anda perlu memahami apa yang penting dan apa yang tidak. Menghadapi daftar tanpa akhir tidak akan membawa perusahaan lebih dekat ke pengurangan risiko. Sebaliknya, itu menciptakan frustrasi dan bahkan membuat perusahaan menjauh dari pengurangan risiko karena itu hanya menghabiskan banyak waktu dan sumber daya.

Hal ini mengajarkan kami bahwa kami perlu membantu pengembang fokus pada apa yang benar-benar penting – dan kemudian menjelaskan kepada mereka mengapa itu penting. Setelah itu, kami perlu menunjukkan kepada mereka bagaimana memecahkan masalah dengan mudah, atau bahkan lebih baik – memecahkan masalah untuk mereka – yang sekarang memungkinkan melalui alat seperti Agent OX.

Wawasan ini menjadi landasan bagi kami untuk membangun perusahaan, dan itu membimbing semua keputusan produk kami hari ini. Setiap fitur, setiap kemampuan yang kami kembangkan dimulai dengan pertanyaan: “Apakah ini membantu pengembang fokus pada apa yang benar-benar penting? Apakah ini mengurangi risiko?”

Platform ini berfokus pada “Proyeksi Kode” untuk memetakan risiko di seluruh SDLC. Bisakah Anda menjelaskan bagaimana teknologi ini bekerja dan apa yang membuatnya berbeda dari alat manajemen kerentanan lainnya?

Proyeksi Kode secara fundamental adalah teknologi yang melihat masalah dalam kode dan tahu sebelumnya bagaimana itu akan berperilaku ketika kode itu mencapai awan. Ini memungkinkan Anda untuk memecahkan masalah jauh sebelum mereka berjalan di produksi – ketika risiko sudah terbuka.

Ini bekerja dengan memahami bahwa setiap potongan kode memiliki proses yang membangun dan membawanya ke awan – CI/CD. Kami dapat membaca kode dan menafsirkan apa yang dimaksud. Untuk memberikan contoh yang tegas – apa yang terbuka ke internet memiliki implikasi yang berbeda daripada apa yang tidak.

Perbedaan kunci dari produk lain adalah bahwa sebagian besar alat berhenti bekerja dengan daftar panjang masalah. Tanpa dapat fokus pada 5% atau bahkan kurang dari risiko yang benar-benar signifikan, menyaring melalui ini – Anda berakhir dengan kerangka waktu yang hampir tidak relevan. Anda juga tidak tahu pengembang mana yang harus ditugaskan untuk masalah tersebut.

Pendekatan kami mengubah itu sepenuhnya – kami tidak hanya mengidentifikasi masalah, kami menyediakan konteks, prioritas, dan kepemilikan yang jelas.

Anda menawarkan integrasi penuh di seluruh alat pemindaian, manajemen rahasia, SBOM, penemuan SaaS, dan lain-lain. Apa saja tantangan teknis terberat dalam menyatukan semua ini menjadi pengalaman pengembang yang mulus?

Masalah terberat adalah mengubah data menjadi wawasan. Data adalah semua hal yang baru saja Anda sebutkan. Tetapi pengembang membutuhkan kejelasan, poin-poin, dan alasan. Komunikasi yang terfokus. Bagaimana mengubah gunung data menjadi wawasan yang dapat diambil tindakan – itu adalah tantangan terbesar di industri.

Menggabungkan informasi tersebut dengan cara yang memberitahu cerita yang kohesif dan menyediakan tindakan yang jelas dan diprioritaskan yang pengembang dapat benar-benar jalankan – ini adalah tantangan terbesar.

PBOM (Pipeline Bill of Materials) adalah inovasi OX. Bagaimana itu berbeda dari SBOM, dan mengapa itu penting untuk mengamankan rantai pasokan perangkat lunak modern?

PBOM adalah kemampuan untuk melihat semua yang terjadi pada perangkat lunak dari saat itu ditulis hingga berada di produksi. SBOM adalah komponen di dalamnya – itu melihat semua paket perangkat lunak yang ada di dalam aplikasi.

Untuk menjawab pertanyaan sebelumnya – PBOM sebenarnya adalah landasan yang memungkinkan kami untuk mengubah data menjadi wawasan, karena itu melihat gambaran yang jauh lebih luas – semua data. Ini menangkap seluruh perjalanan dan transformasi kode, bukan hanya komponen akhir.

Pandangan komprehensif ini penting karena alat keamanan tradisional hanya melihat hasil akhir, melewatkan vektor serangan kritis seperti alat pembangun yang dikompromikan, komit yang berbahaya, atau manipulasi pipa yang terjadi selama pengembangan dan penerapan.

OX baru saja memperkenalkan Agent OX – arsitektur multi-agents baru di mana setiap model AI fokus pada jenis kerentanan dan bahasa pemrograman tertentu. Apa yang mendorong keputusan desain ini, dan bagaimana Anda memastikan bahwa perbaikan yang diajukan adalah dapat dijelaskan dan dipercaya dalam prakteknya?

Kami menciptakan pendekatan multi-agents ini dengan melihat bagaimana manusia mengembangkan keahlian dan menerapkan prinsip yang sama pada AI. Untuk menjadi ahli dalam sesuatu, pengembang perlu menjadi ahli dalam bahasa, arsitektur tertentu, dan organisasi tertentu. Seorang pengembang tidak bisa memperbaiki semua masalah, dan dengan logika yang sama, satu agen AI juga tidak bisa mencapai tingkat keahlian itu. Selain itu, Anda ingin agen yang dapat menangani pengujian kualitas.

Jadi setiap agen mengembangkan keahlian yang mendalam dalam domain tertentu, sama seperti spesialis manusia.

Untuk kepercayaan dan keterjelasan, setiap agen tidak hanya mengusulkan perbaikan tetapi juga menjelaskan alasan, menunjukkan pekerjaannya, dan memungkinkan pengembang untuk memahami secara tepat mengapa solusi tertentu dipilih.

Apa yang membuat Anda fokus pada perbaikan satu-klik langsung di dalam alur kerja pengembang? Dan bagaimana Anda memastikan bahwa pengembang mempertahankan kontrol dan tidak mengalami efek sampingan yang tidak diinginkan?

Gagasan utama adalah mengurangi gesekan dan meningkatkan perbaikan keamanan. Kami memberikan pengembang kontrol penuh untuk meninjau dan memvalidasi perbaikan yang diusulkan sebelum menerimanya.

Kunci dari ini adalah bahwa “satu-klik” tidak berarti “otomatis” – itu berarti aliran yang mulus. Pengembang dapat melihat secara tepat apa yang akan diubah, memahami mengapa, meninjau solusi yang diusulkan, dan kemudian memilih untuk menerapkannya dengan satu tindakan. Kontrol dan pengambilan keputusan tetap sepenuhnya di tangan mereka, tetapi kami menghilangkan pekerjaan manual yang membosankan dari penelitian dan implementasi perbaikan.

Anda memiliki Microsoft (MSFT ), IBM, dan SoFi di antara pelanggan Anda. Bagaimana hubungan perusahaan ini membentuk peta jalan dan proses umpan balik untuk alat seperti Agent OX?

Kami bekerja dengan ratusan pelanggan, dan puluhan di antaranya terbuka membagikan tantangan yang mereka hadapi. Diskusi mendalam tentang pola desain dan peta jalan adalah fondasi dari kemampuan kami untuk menyempurnakan solusi yang diusulkan. Kami sangat menghargai hubungan yang kami miliki dengan pelanggan kami dan melihatnya sebagai prioritas utama bagi kami sebagai perusahaan, dan yang membimbing kami ketika kami memahami kebutuhan dunia nyata dan menciptakan solusi untuk memenuhinya.

Seiring alat keamanan AI menjadi lebih umum, bagaimana Anda menyeimbangkan otomatisasi dengan kepercayaan dan kontrol pengembang? Di mana Anda menarik garis antara bantuan dan otonomi?

Seperti yang kita lihat dalam revolusi sebelumnya, mereka yang tidak melompat ke kereta itu tidak akan bertahan. Kami mulai melihat organisasi yang kami kerjakan yang telah memindahkan semua sumber daya mereka ke adopsi AI karena mereka memahami bahwa kami sedang menyaksikan revolusi.

Mereka sebenarnya adalah pelanggan yang paling kolaboratif karena mereka menghadapi ketegangan baru yang tidak dipetakan: pengembang mereka perlu bergerak cepat dengan alat AI, tetapi mereka khawatir kehilangan kontrol. Mereka bahkan bersedia menerima risiko dan kehilangan kontrol sementara untuk mendapatkan keunggulan kompetitif, tetapi mereka membutuhkan bantuan kami untuk mendapatkan kembali kepercayaan. Tugas kami adalah memungkinkan mereka mendapatkan kecepatan yang mereka butuhkan, sambil membangun kembali kepercayaan dalam proses.

Anda baru saja menutup pendanaan Seri B sebesar $60M. Bagaimana pendanaan ini akan mempercepat fase pertumbuhan berikutnya OX – apakah di sisi teknologi, go-to-market, atau ekspansi internasional?

Pendanaan baru ini secara fundamental tentang ekspansi, dan juga akan membantu kami meningkatkan kemampuan kami dalam mengidentifikasi risiko yang berasal dari kode yang dihasilkan AI, yang kami mulai lihat dengan peluncuran Agent OX.

Kami sudah menganalisis lebih dari 100 juta baris kode setiap hari untuk lebih dari 200 pelanggan yang membayar. Pendanaan ini memungkinkan kami untuk memperluas dampak ini secara global sambil mempertahankan fokus kami pada pertanyaan inti yang selalu membimbing kami: “Apakah ini membantu pengembang fokus pada apa yang penting? Apakah ini mengurangi risiko?”

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi OX Security.