Varun Badhwar, Pendiri & CEO Endor Labs – Seri Wawancara

Varun Badhwar, Pendiri & CEO Endor Labs, adalah seorang wirausaha keamanan siber yang diakui karena membangun dan memimpin perusahaan di garis depan keamanan awan dan aplikasi. Sejak 2021, ia telah memimpin Endor Labs, yang fokus pada mengamankan pengembangan perangkat lunak yang didorong oleh AI. Sebelumnya, ia menjabat sebagai SVP & GM Prisma Cloud di Palo Alto Networks (PANW ) dan pendiri RedLock, sebuah startup keamanan awan yang diakuisisi oleh Palo Alto Networks.

Endor Labs adalah platform keamanan aplikasi yang dibangun untuk era AI, dirancang untuk membantu tim keamanan dan pengembangan mempertahankan keseimbangan antara kecepatan dan keamanan dalam pengembangan perangkat lunak. Platform ini mengintegrasikan fitur-fitur seperti analisis komposisi perangkat lunak berbasis jangkauan, SAST, pemindaian kontainer, deteksi rahasia, dan perlindungan pipa CI/CD ke dalam tampilan yang terpadu, membantu tim mengidentifikasi kerentanan yang benar-benar penting dan memprioritaskan perbaikan. Ini juga mencakup agen AI yang menganalisis permintaan pull untuk perubahan arsitektur dan mendeteksi risiko dalam kode yang dihasilkan AI pada awal siklus pengembangan.

Sebelumnya Anda membangun dan menskala bisnis keamanan besar — bagaimana pengalaman itu memimpin Anda untuk mendirikan Endor Labs, dan apa masalah yang paling Anda tentukan untuk diselesaikan dari awal?

Kembali pada 2021, saya berada di Palo Alto Networks ketika pelanggaran SolarWinds (SWI ) terjadi. Ini sangat besar. Setiap pelanggan yang menggunakan perangkat lunak mereka terkena, dan kami tidak terkecuali. Ketika saya menyelidiki bagaimana kami mengelola perangkat lunak kami sendiri, saya menyadari bahwa kami memiliki 450 insinyur dan 68.000 kerentanan keamanan, namun insinyur sebagian besar mengabaikannya. Alasannya? Sekitar 80-90% peringatan adalah positif palsu, dan alat tradisional tidak memahami bagaimana pengembang sebenarnya bekerja.

Itulah saatnya saya menyadari: pengembangan perangkat lunak modern lebih seperti perakitan daripada penciptaan. Kami mengirimkan kode yang sebagian besar adalah perpustakaan pihak ketiga, tanpa jaminan tentang kualitas atau keamanan. Saya melihat diskoneksi antara tim keamanan dan insinyur, dinamika yang saling bertentangan, dan gesekan politis. Saya tahu kita perlu merancang ulang keamanan aplikasi dari awal, yang mengarah pada pendirian Endor Labs.

Endor Labs sekarang melindungi jutaan aplikasi untuk organisasi yang berkisar dari fintech hingga platform SaaS. Apa jenis kasus penggunaan yang paling sering Anda lihat, dan mengapa pelanggan berpaling kepada Anda?

Pelanggan kami datang kepada kami untuk melindungi rantai pasokan perangkat lunak mereka dan pipa pengembangan. Mereka ingin memverifikasi ketergantungan sumber terbuka sebelum produksi, secara otomatis menandai kode yang dihasilkan AI dengan risiko tinggi, dan pada akhirnya mengintegrasikan keamanan langsung ke dalam alur kerja pengembang.

Sebagian besar pemindai hanya melemparkan kerentanan kepada pengembang dan berjalan pergi, menciptakan kebisingan yang insinyur pada akhirnya abaikan. Dan dengan coding vibe sekarang menjadi arus utama, pendekatan itu tidak berhasil. Di Endor, kami menyediakan analisis yang sadar konteks dan wawasan yang dapat ditindaklanjuti, sehingga tim keamanan dan pengembangan dapat mempercayai satu sama lain lagi.

Pengembang sering menghadapi ketegangan antara bergerak cepat dan tetap aman. Bagaimana platform Anda membantu memecahkan tantangan itu?

Kecepatan versus keamanan adalah dilema tertua dalam pengembangan perangkat lunak. Coding vibe hanya membuat pertukaran itu lebih menonjol. Empat puluh lima persen pengembang menggunakan asisten AI setiap hari, yang mempercepat kecepatan tetapi juga memperkenalkan kode yang tidak aman.

Di Endor Labs, kami menyematkan keamanan langsung ke dalam alur kerja yang sudah digunakan pengembang. Pikirkan IDE, permintaan pull, pipa Git. Filosofi kami sederhana: keamanan hanya merupakan salah satu kelas bug. Perlakukan seperti bug perangkat lunak lainnya, dan itu menjadi bagian dari proses pengembangan alami bukan sebagai pemikiran terakhir. Dengan mengurangi kebisingan dan memberikan panduan yang jelas, kami memungkinkan pengembang untuk bergerak cepat sambil tetap memastikan perangkat lunak yang mereka kirimkan aman.

Palsu positif adalah salah satu poin nyeri terbesar dalam keamanan. Bagaimana Anda mendekati masalah itu secara berbeda?

Palsu positif sangat besar. Saya telah melihat insinyur mengabaikan sebagian besar peringatan karena tidak berguna. Itu berbahaya di dunia di mana serangan pihak ketiga tumbuh dengan dua digit dan musuh mengeksploitasi pintu samping di pipa pengembangan.

Pendekatan kami adalah untuk memprioritaskan konteks. Alih-alih mencocokkan setiap Common Vulnerability and Exposure (CVE) dengan ketergantungan, kami menganalisis jalur kode, logika bisnis, dan bahkan perubahan desain yang dihasilkan AI. Kami juga mengembangkan Endor Labs Model Context Protocol (MCP) Server, yang memungkinkan agen AI untuk memanggil alat backend untuk perbaikan yang tepat daripada yang dibayangkan. Alat lain tidak dapat menawarkan presisi ini karena mereka kekurangan konteks aplikasi. Mereka tidak tahu apa yang dilakukan kode Anda, bagaimana layanan Anda berbicara satu sama lain, atau apa yang terlihat seperti perbaikan yang aman. Hasilnya adalah peringatan yang lebih sedikit dan panduan yang lebih pragmatis yang dapat diambil oleh pengembang.

Rantai pasokan perangkat lunak sekarang dianggap sebagai salah satu risiko paling mendesak bagi perusahaan. Mengapa masalah ini sangat kritis hari ini?

Sumber terbuka sekarang mendominasi perangkat lunak perusahaan, dan pengembangan perangkat lunak telah berubah menjadi perakitan perangkat lunak. Sekitar 90% komponen dalam aplikasi modern adalah eksternal, dan asisten pengkodean AI memperkenalkan ketergantungan lebih lanjut secara otomatis. Itu berarti kerentanan tunggal dapat bergema di seluruh jutaan aplikasi.

Taruhannya tinggi: regulator sekarang membingkai sumber terbuka sebagai masalah keamanan nasional. Dan serangan seperti Shai-Hulud npm exploit menunjukkan bagaimana musuh secara aktif menargetkan titik lemah ini. Tanpa perangkat pelindung yang tepat, perusahaan terpapar pada skala besar.

AI mengubah cara perangkat lunak dibangun. Apa jenis risiko baru yang diciptakan untuk keamanan aplikasi?

Asisten AI seperti merekrut ribuan magang sekaligus — mereka dapat meningkatkan produktivitas tetapi juga memperkenalkan kekacauan ketika dibiarkan tidak terkelola. Studi menunjukkan 62% kode yang dihasilkan AI memiliki masalah keamanan, kualitas, atau arsitektur. Di luar CVE yang diketahui, ini termasuk kelemahan logika, endpoint API baru, atau kesalahan kriptografi yang alat warisan tidak pernah dirancang untuk menangkap.

Tantangan baru adalah mengukur ulang tinjauan kode yang aman. Mengandalkan insinyur senior yang sibuk untuk memeriksa setiap permintaan pull secara manual tidak berhasil. Anda memerlukan sistem otomatis yang dapat meninjau, memprioritaskan, dan membimbing pengembang dengan kecepatan yang sama dengan AI yang menghasilkan kode.

Beberapa orang berpendapat bahwa AI memperkenalkan lebih banyak kerentanan daripada yang dicegah. Apakah Anda melihatnya sebagai risiko bersih atau manfaat bersih pada tahap ini?

Ini bisa keduanya. AI sangat baik untuk prototipe dan eksperimen, tetapi pengembang yang tidak berpengalaman yang mengandalkan AI dapat menciptakan skenario buta memimpin buta. Cara untuk membalik persamaan itu adalah dengan menggabungkan AI dengan perangkat pelindung keamanan. Dengan sistem tinjauan yang tepat dan perbaikan yang didorong oleh MCP di tempat, Anda dapat mengubah AI dari risiko bersih menjadi manfaat bersih. Tanpa mereka, risikonya lebih besar daripada keuntungannya.

Dengan kode yang dihasilkan AI menjadi lebih umum, apa perangkat pelindung yang harus diterapkan organisasi untuk memastikan kepercayaan dalam apa yang mereka terapkan?

Perlakukan kode yang dihasilkan AI seperti ketergantungan pihak ketiga lainnya. Itu berarti pemantauan terus-menerus, verifikasi otomatis, dan perangkat pelindung pada setiap tahap pipa. Anda juga perlu memastikan bahwa alat tinjau AI Anda dilatih pada kode yang aman dan berkualitas tinggi — bukan hanya repository GitHub acak.

Dan kemudian melampaui deteksi. Ketika ketergantungan berisiko diberi tanda, alat Anda harus merekomendasikan jalur upgrade yang menghindari memecahkan aplikasi Anda. Itu adalah perbedaan antara kekacauan dan kontrol. Saya suka memikirkan ini seperti jalur bumper di bowling: bola masih bergerak cepat, tetapi tetap pada trek.

Transparansi adalah pusat dari gaya kepemimpinan Anda. Bagaimana berbagi kemenangan dan kegagalan mempengaruhi budaya dan kinerja?

Kami bertujuan untuk transparansi radikal di Endor Labs. Itu berarti berbagi baik yang baik dan yang buruk – dan tidak hanya kinerja perusahaan, tetapi juga hal-hal seperti rencana saham dan risiko strategis. Karyawan adalah orang dewasa. Tim kami dapat menangani kenyataan. Keterbukaan membangun kepercayaan, keterlibatan, dan kepemilikan, dan membantu orang membuat keputusan yang lebih baik.

Anda sering memberdayakan pemimpin yang naik daun awal dalam karir mereka. Apa saran yang Anda berikan kepada manajer pertama kali yang mengambil tanggung jawab besar?

Saya suka memberikan anggota tim yang menjanjikan peran besar awal dan mempercayai mereka untuk tumbuh ke dalam posisi. Dengan bimbingan dan dukungan, mereka belajar dengan cepat. Saran saya: terima tanggung jawab, belajar dari kegagalan, dan bangun kredibilitas melalui tindakan. Orang sering terkejut dengan apa yang dapat mereka capai ketika Anda memberi mereka ruang.

Memprediksi lima tahun ke depan, apa yang Anda lihat sebagai peluang dan tantangan terbesar dalam melindungi rantai pasokan perangkat lunak?

Dengan asisten pengkodean AI dan pengembang warga yang mengubah alur kerja, kita akan memerlukan sistem yang bertindak seperti “pasangan programmer keamanan” yang meninjau setiap permintaan pull secara waktu nyata, mengukur ulang tinjauan kode yang aman, dan memberikan konteks yang dapat dipercaya kepada pengembang. Itulah mengapa di Endor Labs kami membangun server MCP dan arsitektur multi-agennya, yang sudah membantu pelanggan kami mengikuti pengembangan asli AI.

Tantangannya adalah bahwa rantai pasokan itu sendiri hanya menjadi lebih kompleks. Hari ini, kode sebagian besar dirakit dari komponen eksternal, dan setiap alat AI baru memperkenalkan lapisan ketergantungan lain. Perusahaan yang tidak merancang ulang model mereka akan menemukan diri mereka terpapar.

Kita melihat urgensi ini terjadi secara nyata — Endor Labs sekarang melindungi lebih dari 7 juta aplikasi, memindai 1,6 juta permintaan pull per bulan, dan mengurangi kebisingan lebih dari 90% untuk tim insinyur. Lima tahun dari sekarang, organisasi yang keluar di atas adalah mereka yang memperlakukan pengkodean aman sebagai bagian inti dari produktivitas pengembang.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Endor Labs.