Rami Habal, Pendiri dan CEO Magnitude – Seri Wawancara

Rami Habal, Pendiri dan CEO Magnitude adalah eksekutif produk keamanan siber dan AI berpengalaman dengan karier yang mencakup keamanan perusahaan, pembelajaran mesin, teknologi konsumen, dan startup yang didukung modal ventura. Sebelum mendirikan Magnitude, ia menjabat sebagai Entrepreneur in Residence di Ballistic Ventures dan menghabiskan lebih dari empat tahun di Abnormal Security, termasuk peran sebagai Chief Product Officer dan Chief Customer Officer. Sebelumnya, Habal memimpin pengalaman multi-perangkat untuk Amazon Alexa, memimpin produk di Reverb, dan menjadi salah satu karyawan awal di Proofpoint, di mana ia membantu membangun dan mengkomersialkan produk keamanan saat perusahaan berkembang dari startup menuju IPO. Kariernya juga mencakup pengalaman di modal ventura, teknologi seluler, API, dan strategi produk, memberi ia latar belakang luas di persimpangan keamanan siber, AI, dan perangkat lunak perusahaan.

Magnitude adalah perusahaan keamanan siber berbasis AI yang berfokus pada mengubah manajemen risiko pihak ketiga (TPRM) dari tinjauan kepatuhan berkala menjadi fungsi keamanan berkelanjutan. Platform multi‑agennya menggunakan agen AI khusus untuk menilai vendor dan produk, memantau kerentanan serta perubahan risiko secara terus‑menerus, memetakan ketergantungan pihak keempat, kelima, dan lebih dalam, mengotomatiskan komunikasi dengan vendor, dan membantu mengelola remediasi. Alih-alih bergantung pada kuesioner dan penilaian satu‑waktu, Magnitude dirancang untuk menalar berdasarkan kebijakan organisasi sendiri dan memberikan keputusan berbasis bukti dengan sumber dan penalaran yang dapat dilacak. Tujuan yang lebih luas adalah memberikan tim keamanan visibilitas berkelanjutan di ekosistem perangkat lunak dan pemasok yang semakin kompleks, sambil memungkinkan analis manusia fokus pada keputusan penilaian bernilai tinggi.

Setelah membantu membangun produk di Proofpoint, Amazon Alexa, dan Abnormal Security, apa yang meyakinkan Anda bahwa saat ini adalah momen yang tepat untuk mendirikan Magnitude? Apakah ada kesadaran khusus atau titik rasa sakit pelanggan yang membuat Anda percaya bahwa manajemen risiko pihak ketiga yang otonom perlu menjadi perusahaan tersendiri?

Saya tahu bahwa setelah masa saya di Abnormal, saya ingin mendirikan sebuah perusahaan. Namun saya tidak tahu masalah apa yang layak dijadikan dasar pendirian perusahaan. Sepanjang karier saya, saya tertarik pada produk pembelajaran mesin terapan yang memenuhi kebutuhan luas dan universal, seperti keamanan email di Proofpoint, komputasi suara dengan Alexa, dan keamanan perilaku di Abnormal. Saya ingin menemukan masalah lain dengan jangkauan serupa untuk membantu perusahaan.

Kemudian agen‑agen muncul. Setelah melewati gelombang pembelajaran mesin sebelumnya, saya menyadari bahwa ini bukan sekadar fitur produk tambahan. Ini adalah pergeseran platform, dan pergeseran semacam itu tidak sering terjadi.

Saat saya menjadi entrepreneur-in-residence di Ballistic Ventures, saya mulai berbicara dengan para CISO tentang di mana pergeseran itu dapat memberikan dampak terbesar. Risiko pihak ketiga muncul berulang kali. Secara historis, masuk akal bagi TPRM untuk berada di dalam fungsi GRC karena risiko vendor bergerak cukup lambat sehingga tinjauan berkala dapat mengimbanginya. Namun asumsi itu mulai runtuh. Semua orang sepakat bahwa ini adalah masalah besar, namun sebagian besar organisasi masih mengelolanya dengan kuesioner tahunan, spreadsheet, tinjauan berkala, dan pekerjaan manual yang luas. Reaksinya konsisten: manajemen risiko pihak ketiga sangat penting, tetapi kami masih belum memiliki cara yang baik untuk menyelesaikannya.

Itulah kesadaran di balik Magnitude. Saya tahu model tradisional tidak lagi berfungsi, dan kami membutuhkan teknologi yang mampu mengubah model operasional secara keseluruhan, bukan sekadar mempercepat proses berbasis spreadsheet yang lama. Sejak awal, pandangan saya adalah bahwa setiap pemasok pada akhirnya akan memiliki sekumpulan agen yang terus-menerus mengevaluasi risiko di sekitarnya. Magnitude tumbuh dari keyakinan itu.

Anda menggambarkan kedatangan \”era Mythos\”, di mana AI dapat mengidentifikasi dan memanfaatkan kerentanan lebih cepat daripada manusia dapat bereaksi. Perubahan apa yang Anda amati selama setahun terakhir yang meyakinkan Anda bahwa pergeseran ini sudah berlangsung dan bukan hanya kekhawatiran di masa depan?

Perubahan terbesar yang saya lihat adalah seberapa cepat serangan ini terjadi sekarang. Setahun yang lalu, sebagian besar pembicaraan masih tentang apa yang mungkin dapat dilakukan AI kepada penyerang di masa depan. Sekarang kami dapat melihat kemampuan tersebut terbentuk secara real time. AI dapat membantu penyerang menelusuri ekosistem perangkat lunak yang jauh lebih besar, menemukan kelemahan yang sebelumnya mungkin tidak diketahui, dan menyerang kelemahan tersebut pada skala yang sulit ditandingi oleh tim manusia.

Dalam era Mythos, sistem AI telah menunjukkan kemampuan untuk mengungkap lebih dari 2.000 cacat yang sebelumnya tidak diketahui di seluruh ekosistem perangkat lunak, dan waktu median dari penemuan kerentanan hingga eksploitasi yang dipersenjatai diproyeksikan turun di bawah satu jam pada akhir 2026. Sementara waktu antara penemuan dan pemersenjataan terus menyusut, hal ini menciptakan kesenjangan antara seberapa cepat eksposur dapat muncul dan seberapa cepat siklus tinjauan tradisional dapat merespons.

Kami juga melihat pola insiden bergerak ke arah yang sama. Dalam analisis kami, frekuensi serangan rantai pasokan meningkat dari sekitar 13 insiden per bulan pada 2024 menjadi 41 per bulan pada 2026. Kami memperhatikan bahwa aktivitas ini meningkat seiring dengan perbaikan signifikan pada model frontier. Saya tidak mengklaim bahwa setiap rilis model secara langsung menyebabkan lebih banyak serangan, tetapi tren ini sulit diabaikan. Alat‑alat menjadi lebih mampu seiring dengan percepatan laju serangan.

Apa yang benar‑benar mengonfirmasi perubahan ini bagi saya adalah percakapan yang saya lakukan dengan para pemimpin keamanan. Mereka tidak lagi membicarakan risiko pihak ketiga sebagai sesuatu yang dapat ditangani melalui tinjauan tahunan dan diperiksa kembali saat pembaruan. Mereka merasa rentan pada bulan‑bulan di antara tinjauan tersebut karena vendor, ketergantungan perangkat lunak, dan pemasok hilir mereka terus berubah.

Itulah yang dimaksud era Mythos bagi saya. Jendela untuk memahami dan merespons risiko semakin menyempit, sementara dampak potensial dari satu pemasok yang dikompromikan semakin meluas. Proses kepatuhan periodik memang tidak dirancang untuk lingkungan seperti itu.

Banyak perusahaan dengan cepat menyebarkan agen AI di seluruh organisasi mereka. Bagaimana para pemimpin keamanan harus memikirkan kembali tata kelola ketika agen‑agen tersebut semakin banyak berinteraksi dengan vendor eksternal, API, dan ketergantungan hilir?

Hal pertama yang perlu disadari para pemimpin keamanan adalah bahwa bahkan agen AI yang dibangun di dalam perusahaan mungkin tidak sepenuhnya internal. Agen tersebut dapat bergantung pada platform luar, keterampilan pihak ketiga melalui MCP, layanan seperti Google Drive, atau teknologi lain yang tidak langsung dikendalikan organisasi. Dan masing‑masing penyedia itu mungkin memiliki pemasoknya sendiri.

Tidak lagi cukup hanya menyetujui agen itu sendiri. Para pemimpin harus memahami informasi apa yang dapat diaksesnya, tindakan apa yang dapat dilakukannya, layanan luar mana yang menjadi dependensinya, dan kapan persetujuan manusia diperlukan. Mereka juga harus mengerti bagaimana ketergantungan tersebut dapat berubah seiring waktu ketika agen memperoleh kemampuan baru, terhubung ke sistem baru, atau mulai bergantung pada penyedia hilir tambahan. Kontrol‑kontrol itu juga tidak dapat diatur sekali lalu dilupakan. Saat agen memperoleh kemampuan atau koneksi baru, tata kelolanya harus beradaptasi secara bersamaan.

Tujuannya bukan memperlambat adopsi AI, melainkan memberi perusahaan visibilitas yang cukup untuk menggunakan agen dengan percaya diri. Tata kelola harus menjadi praktik keamanan yang berkelanjutan, bukan sekadar persetujuan satu kali yang selesai ketika alat baru diperkenalkan.

Manajemen risiko pihak ketiga secara tradisional mengandalkan kuesioner dan tinjauan periodik. Mengapa Anda percaya bahwa model tersebut secara fundamental gagal dalam lingkungan yang digerakkan AI? 

Masalah dengan model TPRM tradisional adalah bahwa ia hanya memberikan gambaran sesaat tentang apa yang diklaim vendor pada titik waktu tertentu. Sebuah perusahaan mungkin menyelesaikan kuesioner saat pertama kali disetujui dan kemudian tidak ditinjau lagi hingga pembaruan, yang bisa berjarak bertahun‑tahun. Sementara itu, teknologi, praktik keamanan, model AI, penggunaan data, dan pemasoknya semuanya dapat berubah. Kita hampir tidak dapat memprediksi apa yang akan berubah dalam beberapa minggu ke depan, sehingga mengandalkan penilaian berusia bertahun‑tahun tidak lagi masuk akal.

Ada pula pertanyaan tentang seberapa dapat dipercaya informasi tersebut. Jawaban yang dilaporkan oleh seseorang yang berusaha mempercepat kesepakatan tidak sama dengan fakta yang didukung audit independen, pengajuan perusahaan yang ditandatangani, atau sumber lain yang dapat diverifikasi. Para pemimpin keamanan perlu mengetahui tidak hanya apa jawabannya, tetapi juga dari mana asalnya dan apakah masih berlaku.

Akhirnya, kuesioner biasanya berhenti pada vendor langsung. Mereka jarang menampilkan pihak‑pihak ke‑N, meskipun hubungan tersembunyi dengan pihak ke‑4 dan ke‑5 dapat menimbulkan eksposur nyata. Penyerang kini tahu bahwa tautan terlemah sebuah perusahaan bukan perusahaan itu sendiri, melainkan salah satu vendor hilir tersebut. Menyerang vendor‑vendor itu pada akhirnya dapat memberi mereka akses ke perusahaan. Itu jauh lebih murah dan lebih mudah.

Itulah mengapa saya tidak berpikir jawabannya sekadar menggunakan AI untuk menyelesaikan kuesioner lebih cepat. Dalam model itu, selalu akan ada celah. Modelnya sendiri harus berubah, dari snapshot periodik yang dilaporkan sendiri menjadi pemahaman risiko yang berkelanjutan, real‑time, berbasis bukti, sedalam rantai pasokan perusahaan.

Magnitude memperkenalkan konsep tenaga kerja AI otonom untuk tim keamanan. Di mana Anda melihat keseimbangan antara pengambilan keputusan berbasis AI dan pengawasan manusia, terutama untuk keputusan keamanan berdampak tinggi? 

Otonom tidak harus berarti tidak dapat dipertanggungjawabkan. Cara saya memikirkannya adalah AI harus menangani pekerjaan kritis namun berulang yang menyita banyak waktu tim keamanan, sementara manusia tetap terlibat ketika keputusan memerlukan penilaian, konteks, atau membawa konsekuensi bisnis yang signifikan. Fakta sebenarnya adalah tidak ada tim keamanan yang memiliki sumber daya cukup saat ini untuk menangani mandat yang ada. AI dapat membantu mengisi kesenjangan itu.

Kualitas AI sangat penting. Ketika AI bekerja dengan baik, ia menjadi pengganda kekuatan. Ia memberi tim kapasitas lebih dan membantu orang fokus pada pekerjaan bernilai tinggi. Sebaliknya, bila AI bekerja buruk, efeknya justru sebaliknya karena seseorang harus memeriksa ulang setiap output. Untuk keputusan keamanan berdampak tinggi, sistem harus berkualitas tinggi dan mampu menunjukkan bukti yang digunakannya serta bagaimana ia mencapai rekomendasi, sehingga tercipta catatan yang dapat diaudit.

Tingkat pengawasan yang tepat juga akan bervariasi antar organisasi. Perusahaan besar dengan tim keamanan mapan mungkin menggunakan AI lebih seperti autopilot, dengan orang mengawasi pekerjaan dan turun tangan pada pengecualian. Organisasi yang lebih kecil mungkin memilih mengotomatisasi lebih banyak program karena kekurangan staf atau anggaran untuk membangun tim besar. Dalam kedua kasus, harus ada titik yang jelas di mana isu tersebut di‑eskalasi ke manusia.

Pada akhirnya, organisasi harus dapat memutuskan seberapa banyak keterlibatan manusia yang diinginkannya berdasarkan pentingnya keputusan tersebut. Tujuannya bukan menghilangkan orang dari keamanan, melainkan membantu mereka menggunakan waktu lebih efektif, membuat keputusan bisnis lebih cepat, dan menyisakan perhatian manusia untuk keputusan yang memberikan nilai paling besar.

Tim Anda menggabungkan keahlian dari AI, keamanan siber, dan platform berskala konsumen. Bagaimana kombinasi itu memengaruhi cara Anda merancang Magnitude dibandingkan produk keamanan siber tradisional? 

Setiap latar belakang kami mengajarkan hal yang berbeda tentang apa yang harus dilakukan dengan baik oleh produk keamanan AI. Dalam keamanan siber, sebuah jawaban hanya berguna jika Anda dapat mempercayinya, menelusurnya kembali ke bukti, dan bertindak atasnya. Dari pekerjaan kami di AI dan pembelajaran mesin, kami belajar bahwa peluang sebenarnya bukan sekadar merangkum informasi, melainkan mengubah pekerjaan ahli menjadi sistem yang dapat melakukan pekerjaan tersebut secara konsisten. Membangun platform seperti Alexa dan Pandora mengajarkan kami untuk memikirkan keandalan dan kegunaan pada skala yang sangat besar.

Pelajaran-pelajaran itu membuat kami menjauh dari model keamanan siber tradisional yang menghasilkan dasbor lain atau aliran peringatan lain untuk tim yang sudah terbebani menyelidikinya. Kami merancang Magnitude untuk melakukan pekerjaan tersebut: mengumpulkan dan memverifikasi informasi, menilai pemasok, memantau perubahan, menghubungkan informasi baru dengan risiko bisnis, dan membantu menggerakkan isu menuju penyelesaian.

Di balik layar, hal itu melibatkan beberapa agen AI khusus yang bekerja bersama. Namun pengalaman pelanggan harus tetap sederhana. Tim keamanan tidak perlu menjadi ahli AI untuk memahami apa yang ditemukan sistem, mengapa hal itu penting, atau tindakan apa yang harus diambil.

Hasilnya adalah produk yang dirancang untuk beroperasi secara terus-menerus melintasi ribuan pemasok sekaligus tetap memenuhi standar yang diperlukan untuk keputusan keamanan berdampak tinggi. Ini bukan AI yang ditambahkan pada alur kerja lama. Produk ini dibangun sejak awal dengan gagasan bahwa AI dapat melakukan sebagian besar alur kerja sendiri, sambil memberikan orang bukti, visibilitas, dan kontrol yang mereka butuhkan.

Salah satu kekhawatiran terbesar seputar AI dalam keamanan siber adalah bahwa ia memberi kekuatan baik bagi pembela maupun penyerang. Apakah Anda percaya keunggulan saat ini berada di pihak pembela atau lawan, dan apa yang akan menentukan siapa yang tetap di depan dalam beberapa tahun ke depan?

Saya rasa keunggulan saat ini condong ke pihak penyerang, terutama dalam serangan rantai pasokan. Saya tidak akan mengatakan pembela berada jauh di belakang. Ajakan bagi pembela adalah berhenti memperlakukan ini sebagai masalah masa depan dan bergerak lebih cepat sekarang. Kedua belah pihak memiliki akses ke banyak alat AI yang sama, namun ekonomi dan waktu ke pasar saat ini lebih menguntungkan penyerang.

AI membuatnya lebih murah dan lebih mudah untuk menguji lebih banyak jalur serangan, meluncurkan lebih banyak percobaan hingga kedalaman N level, dan mengulang proses tersebut secara skala besar. Ketika penyerang mengkompromikan pemasok atau komponen perangkat lunak yang banyak digunakan, satu serangan yang berhasil dapat menyebar ke ratusan bahkan ribuan perusahaan.

Pembela memiliki pekerjaan yang lebih sulit karena mereka harus memahami dan melindungi jaringan besar vendor, komponen perangkat lunak, dan pemasok hilir, serta dibutuhkan waktu bagi perusahaan untuk merespons, memperoleh perangkat lunak yang membantu, dan mengoperasionalkan alat tersebut, yang menciptakan celah yang dapat dimanfaatkan penyerang.

Yang menentukan siapa yang tetap di depan adalah apakah pembela dapat mengubah persamaan itu. Mereka perlu melampaui tinjauan sesekali dan tindak lanjut manual menuju pemantauan berkelanjutan dan tindakan yang lebih cepat. Sistem tata kelola dan pertahanan otomatis yang terus memantau perubahan, menghubungkannya dengan risiko bisnis, dan dapat merespons dengan cepat akan membuat serangan lebih sulit untuk diskalakan dan lebih mahal untuk diulang.

Keamanan siber selalu menjadi permainan kucing dan tikus. AI tidak mengubah hal itu, tetapi meningkatkan kecepatan dan taruhannya. Pembela membutuhkan sistem yang dapat belajar, beradaptasi, dan bertindak pada tempo yang sama dengan penyerang yang mulai beroperasi.

Rantai pasokan AI semakin kompleks, dengan organisasi bergantung pada banyak model dasar, vendor SaaS, dan agen otonom. Risiko baru apa yang Anda rasa masih diremehkan oleh perusahaan?

Risiko yang paling diremehkan adalah teknologi yang berada di balik produk yang diyakini perusahaan telah menyetujuinya. Bahkan agen yang dibangun secara internal dapat bergantung pada platform eksternal, plug-in, kontraktor, atau komponen perangkat lunak. Hubungan tersembunyi tersebut menciptakan risiko pihak ke-N, yaitu pemasok di belakang pemasok langsung.

Kebanyakan perusahaan masih memiliki visibilitas yang sangat terbatas pada lapisan yang lebih dalam itu. Mereka mungkin tahu dengan siapa mereka menandatangani kontrak, tetapi tidak mengetahui setiap layanan eksternal, komponen perangkat lunak, atau subkontraktor yang pada akhirnya mendukung produk.

Masalah lain adalah seberapa terhubungnya sistem-sistem ini. Kelemahan pada satu plug-in atau layanan pendukung mungkin tidak tetap terisolasi pada penyedia tersebut. Hal itu dapat membuka jalur ke platform yang lebih besar dan kemudian memengaruhi banyak organisasi yang bergantung padanya. Artinya, pemasok yang relatif kecil dapat menjadi sumber eksposur yang jauh lebih besar.

Jadi hal yang harus ditanyakan oleh para pemimpin risiko bukan sekadar, “Model AI mana yang kami gunakan?” Tetapi, “Apa yang menjadi ketergantungan sistem ini, apa yang menjadi ketergantungan penyedia tersebut, dan bagaimana sebuah masalah di mana saja dalam rantai itu dapat memengaruhi kami?” Sampai perusahaan dapat menjawab pertanyaan-pertanyaan itu, mereka akan terus mewarisi risiko yang tidak dapat mereka lihat.

Melihat melampaui model bahasa besar saat ini, perkembangan teknologi apa dalam lima tahun ke depan yang Anda perkirakan akan paling signifikan mengubah keamanan siber perusahaan dan manajemen risiko? 

Saya tidak berpikir perubahan utama akan berupa satu model baru. Perubahannya adalah peralihan dari AI yang menjawab pertanyaan menjadi sistem AI yang dapat terus mengamati apa yang terjadi, menghubungkan informasi dari berbagai sumber, dan mengambil tindakan.

Generasi berikutnya dari model tidak hanya akan sedikit lebih baik; mereka akan jauh lebih mampu. Namun pergeseran yang lebih besar akan datang dari agen khusus yang bekerja bersama di seluruh operasi keamanan. Saat ini, tinjauan vendor, informasi ancaman, risiko bisnis, dan remediasi sering dikelola dengan alat terpisah dan oleh tim terpisah. Seiring waktu, fungsi-fungsi tersebut akan mulai bersatu.

Saya memperkirakan sistem keamanan akan menjadi jauh lebih terhubung, menyatukan informasi ancaman, konteks bisnis, kebijakan perusahaan, dan tindakan respons daripada mengelolanya dalam alat terpisah. Sistem tersebut dapat mengenali bahwa seorang pemasok telah terpapar ancaman baru, memahami bagian bisnis mana yang mungkin terpengaruh, dan membantu memulai respons tanpa menunggu beberapa serah terima manual.

Hal itu akan mengubah manajemen risiko dari serangkaian latihan periodik menjadi kemampuan operasional yang berkelanjutan. Program risiko terkuat akan dibangun di sekitar konteks perusahaan, bukti yang dapat diandalkan, dan kemampuan mengubah informasi menjadi tindakan yang dapat dipercaya.

Jika Anda dapat memberikan satu nasihat kepada para CISO dan pemimpin perusahaan yang mempersiapkan diri untuk generasi berikutnya dari ancaman berbasis AI, apa itu dan tindakan apa yang harus mereka prioritaskan hari ini?

Nasihat saya adalah berhenti mengelola risiko rantai pasokan sebagai latihan tahunan sekali saja. Risiko berubah secara terus-menerus, dan pendekatan Anda harus mengikuti kecepatan tersebut. Lingkungannya hidup dan bernafas. Terlalu terhubung, dan berubah terlalu cepat bagi serangkaian tinjauan dan alat terpisah untuk mengimbanginya.

Cara Anda melindungi permukaan serangan yang muncul ini adalah dengan satu bidang kontrol AI-native untuk tata kelola dan pertahanan otonom yang berkelanjutan bagi semua risiko eksternal Anda.

Tempat untuk memulai adalah pada bagian bisnis yang paling penting. Identifikasi pemasok dan layanan eksternal yang mendukung operasi kritis tersebut, pahami di mana ketergantungan tersembunyi berada, dan tetapkan kepemilikan yang jelas untuk apa yang terjadi ketika risiko ditemukan. Kemudian otomatisasi sebanyak mungkin pemantauan berkelanjutan dan respons rutin, sambil melibatkan orang untuk keputusan dengan konsekuensi bisnis yang besar.

Tujuannya bukan sekadar mengumpulkan lebih banyak informasi. Ini tentang terus menghubungkan apa yang Anda ketahui, memutuskan apa yang penting, dan mengambil tindakan sebelum masalah pemasok menjadi masalah di seluruh perusahaan.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin belajar lebih lanjut harus mengunjungi Magnitude.