Willem Delbare, Co-Founder dan CEO Aikido – Seri Wawancara

Willem Delbare, salah satu pendiri dan CEO Aikido, adalah pengusaha yang telah membangun beberapa perusahaan SaaS serta pendiri berlatar teknis dengan pengalaman kuat dalam perangkat lunak untuk pengembang. Sebelum meluncurkan Aikido pada 2022, ia turut mendirikan platform HR Officient, inisiatif keberlanjutan FutureproofedCities, dan perusahaan CRM Teamleader. Di Teamleader, ia menjabat CTO dan membantu mengembangkan perusahaan menjadi salah satu kisah sukses SaaS terkemuka di Belgia. Sepanjang kariernya, Delbare berfokus menyederhanakan tantangan teknis kompleks dalam infrastruktur cloud, skalabilitas SaaS, dan keamanan siber. Di bawah kepemimpinannya, Aikido menjadi salah satu startup keamanan siber dengan pertumbuhan tercepat di Eropa melalui solusi praktis untuk tim pengembangan modern.

Aikido adalah perusahaan keamanan siber berbasis di Belgia yang membantu pengembang dan tim teknik melindungi aplikasi serta lingkungan cloud melalui satu platform terpadu. Platform ini menggabungkan pemindaian kode, analisis dependensi, pengelolaan postur keamanan cloud, perlindungan saat runtime, dan pengujian berbantuan AI dalam satu sistem sederhana. Tujuannya mengurangi kerumitan dan temuan positif palsu, serta menghilangkan kebutuhan mengelola rangkaian solusi keamanan terpisah dari banyak vendor. Dengan mengutamakan pengembang, Aikido menekankan otomatisasi, pemantauan berkelanjutan, dan alur perbaikan yang sederhana agar keamanan menyatu langsung dalam siklus pengembangan perangkat lunak.

Pengalaman apa dalam membangun dan mengembangkan Teamleader serta Officient yang mendorong Anda mendirikan Aikido Security pada 2022? Bagaimana latar teknis Anda sebagai pendiri membentuk visi keamanan siber yang lebih ramah pengembang?

Dalam satu dekade terakhir, saya menemukan panggilan di SaaS B2B. Saya menjadi pendiri bersama berlatar teknis sekaligus CTO di tiga startup, dengan tiga transaksi exit di bidang teknologi HR, penagihan, dan akuntansi karbon. Bidangnya sangat berbeda, tetapi obsesinya sama: membuat perangkat lunak yang tidak membuat orang ingin melempar laptop keluar jendela.

Namun, di setiap perusahaan itu, persoalan keamanan membuat saya sulit tidur. Ketakutan akan kebocoran data memang nyata, sedangkan alat yang seharusnya membantu justru menyerupai kokpit F-16: mahal, membingungkan, dan dibuat untuk pemegang doktor ilmu komputer, bukan tim pengembang yang ingin merilis produk dengan cepat.

Kami mendirikan Aikido Security untuk memecahkan masalah tersebut secara langsung. Kami menyediakan platform keamanan perangkat lunak terpadu bagi organisasi segala ukuran, dengan pengembang sebagai prioritas. Fitur penting untuk kode, cloud, dan runtime disatukan agar pengembang lebih mudah merilis perangkat lunak dengan aman.

Sejak itu, AI semakin mempercepat penyampaian perangkat lunak dan memperluas permukaan serangan. Langkah berikutnya adalah membantu organisasi mengimbangi perubahan ini melalui perangkat lunak yang mengamankan dirinya sendiri.

Pada Februari, kami meluncurkan Aikido Infinite, solusi pengujian penetrasi berkelanjutan dengan AI. Solusi ini memastikan apakah kerentanan benar-benar bisa dieksploitasi dan menuntaskan siklus perbaikan sebelum kode masuk ke produksi.

Lingkungan pengembang sekarang digambarkan sebagai salah satu titik buta keamanan terbesar. Apa yang telah berubah baru-baru ini untuk membuat ini menjadi masalah kritis?

Komputer pengembang selalu menjadi sasaran berharga. Di dalamnya terdapat kredensial cloud, kunci SSH, token publikasi npm, konfigurasi Kubernetes, serta akses langsung ke kode sumber. Dalam 6–12 bulan terakhir, penyerang menyadari betapa mudahnya menyusup melalui alat yang sudah dipercaya pengembang. Kami mengamati hal ini sepanjang tahun: Trivy, TanStack, Bitwarden CLI, ekstensi Nx Console untuk VS Code, dan kini GitHub. Semuanya diretas melalui alat pengembang, dengan perangkat sebagai sasaran.

Masalahnya, sebagian besar tim keamanan tidak mengetahui apa yang benar-benar berjalan di komputer tersebut. EDR memantau aplikasi, tetapi tidak melihat paket, ekstensi, atau alat AI yang berjalan di dalamnya. Sementara itu, pengembang memasukkan paket, ekstensi, dan alat AI baru setiap hari dengan sangat sedikit pemeriksaan. LLM juga memudahkan pembuatan malware yang meyakinkan, sehingga secara umum menurunkan hambatan bagi penyerang. Semua serangan ini memanfaatkan kesenjangan antara isi komputer pengembang dan hal yang dapat dilihat tim keamanan.

Kita melihat lonjakan serangan rantai pasokan pada saat yang sama AI menjadi lebih luas digunakan. Bagaimana AI mengubah keseimbangan antara penyerang dan pembela?

AI sangat memudahkan pembuatan malware untuk menyerang rantai pasokan. Membuat muatan serangan yang meyakinkan, menyamarkan kode, dan memahami registri paket cukup dalam untuk menyalahgunakannya dahulu memerlukan keterampilan teknis nyata. Kini cukup berlangganan LLM. Kami melihatnya langsung pada TeamPCP, yang berada di balik sebagian besar serangan besar tahun ini, termasuk peretasan GitHub baru-baru ini. Kelompok ini tidak terlalu canggih secara teknis, tetapi melakukan banyak serangan, dan AI sangat membantu perluasan kegiatannya. Setahun lalu kami menangani peretasan paket tunggal. Sekarang muncul worm yang mereplikasi diri seperti Shai-Hulud dan kampanye berantai yang berpindah antarregistri, memakai kredensial curian dari satu peretasan untuk melancarkan peretasan berikutnya.

AI juga membantu pertahanan, tetapi dengan cara berbeda. Tim keamanan dapat melakukan pengujian penetrasi berkelanjutan pada seluruh basis kode dengan agen yang memeriksa ratusan jalur serangan secara paralel. Ini memberi waktu untuk keputusan yang tetap membutuhkan pertimbangan manusia. Pada perangkat, AI juga membantu mendeteksi paket berbahaya lebih awal dengan menganalisis isi yang akan diinstal sebelum mencapai komputer pengembang. Namun, kenyataannya penyerang saat ini lebih diuntungkan AI daripada pihak bertahan. Hambatan membuat malware turun lebih cepat daripada hambatan mendeteksinya.

Aikido berbicara tentang memindahkan keamanan ke tahap lebih awal. Apa artinya bagi tim yang mengembangkan dan merilis perangkat lunak saat ini?

Sebagian besar industri bertahun-tahun memindahkan keamanan ke kiri, yaitu tahap yang lebih awal dalam pipeline CI/CD. Namun, permukaan serangan bergeser lebih jauh lagi, sampai ke komputer pengembang sendiri. Peretasan GitHub adalah contoh jelas. Masalahnya bukan kode tidak aman yang masuk produksi, melainkan ekstensi VS Code yang telah disusupi di laptop seorang pengembang dan mengirimkan kredensial keluar sebelum siapa pun menulis sebaris kode.

Dalam praktiknya, keamanan harus berjalan terus di tempat kode ditulis dan alat diinstal. Isi perangkat pengembang harus diverifikasi, paket serta ekstensi berbahaya dicegat sebelum masuk, dan risiko yang dapat dieksploitasi diuji otomatis setiap kali kode berubah, tanpa menunggu peninjauan terjadwal. Tujuannya siklus tertutup yang menjadikan deteksi, validasi, dan perbaikan bagian dari pengembangan, bukan proses terpisah sesudahnya.

Ketika agen AI otomatis mengunduh dependensi dan alat, bagaimana perusahaan perlu meninjau ulang kepercayaan pada kode sumber terbuka dan kode pihak ketiga?

Secara bawaan, agen AI mengunduh dependensi dan alat secara otomatis dengan pengawasan manusia yang sangat sedikit. Ini mengubah model kepercayaan secara mendasar: kode yang tidak pernah dipilih secara eksplisit oleh siapa pun untuk diinstal berjalan di komputer pengembang.

Peretasan Vercel menunjukkan bagaimana hal ini bisa bermasalah. Vercel tidak diretas secara langsung. Ekstensi AI yang sah memiliki akses OAuth ke akun Google seorang karyawan, dan ekstensi tersebut telah disusupi di tahap sebelumnya melalui malware pencuri informasi di pihak vendor. Polanya sama dengan yang terus muncul pada sumber terbuka: kode pihak ketiga yang dipercaya menjadi pintu masuk. Risikonya berlipat karena workstation pengembang yang disusupi memberi penyerang akses setara dengan insinyur tepercaya. Penyerang dapat mengubah kode, memasukkan dependensi berbahaya, atau menerbitkan versi perangkat lunak sah yang telah dimanipulasi. Pipeline build mengambil perubahan tersebut, lalu menyebarkannya ke tahap berikut melalui pembaruan yang dipercaya.

Perusahaan perlu menganggap semua yang berjalan di komputer pengembang sebagai bagian dari permukaan serangannya: agen AI, alat yang diinstalnya, ekstensi yang menjadi dependensinya, semuanya. Jika hanya melihat paket sumber terbuka yang sudah dikenal, perusahaan melewatkan lapisan tempat serangan ini benar-benar terjadi.

Konsep perangkat lunak yang mengamankan diri sendiri sangat menarik. Apa kemampuan inti yang diperlukan untuk membuat visi ini bekerja pada skala besar?

Diperlukan siklus tertutup. Setiap kali kode berubah, sistem harus menguji jalur serangan nyata, memastikan suatu masalah dapat dieksploitasi atau menolak temuannya jika tidak, menghasilkan serta menerapkan perbaikan dalam alur pengembangan, kemudian menguji ulang keberhasilannya. Siklus ini harus berjalan terus tanpa menunggu seseorang menjadwalkannya. Tujuannya bukan mengeluarkan manusia dari keamanan, melainkan menangani pekerjaan rutin yang terus muncul agar tim dapat fokus pada keputusan yang memerlukan pertimbangan manusia.

Pengembang sering bergelut dengan terlalu banyak peringatan dan positif palsu dari alat keamanan. Bagaimana Aikido membantu tim fokus pada apa yang benar-benar penting?

Dua pertiga pemimpin keamanan dalam survei State of AI in Security & Development kami mengatakan tim mereka mengabaikan prosedur keamanan, menolak temuan, atau menunda perbaikan akibat temuan positif palsu. Itulah biaya sebenarnya dari alat yang menghasilkan terlalu banyak derau. Bukan hanya membuang waktu, tetapi juga melemahkan keamanan karena orang berhenti mempercayai peringatan.

Di Aikido, kami memakai analisis keterjangkauan dan triase otomatis. Alih-alih menandai setiap kerentanan lalu menyerahkan penilaian kepentingannya kepada tim, kami memeriksa apakah kerentanan benar-benar dapat dijangkau dalam kode Anda dan dieksploitasi di lingkungan Anda. Jika tidak, tim tidak pernah melihatnya. Jumlah peringatan turun drastis, dan peringatan yang lolos memang layak ditindaklanjuti.

Platform Anda menggabungkan keamanan kode, cloud, runtime, dan pengujian penetrasi otomatis. Mengapa pendekatan terpadu lebih efektif daripada beberapa alat terpisah?

Riset State of AI in Security & Development kami menemukan hal yang berlawanan dengan intuisi: tim yang mengalami insiden justru memakai lebih banyak alat vendor daripada tim tanpa insiden. Lebih banyak alat tidak berarti keamanan lebih baik, tetapi lebih banyak derau, temuan duplikat, dan waktu untuk menghubungkan peringatan antardasbor alih-alih memperbaiki masalah.

Karena itu, kami membangun Aikido sebagai satu platform untuk kode, cloud, runtime, dependensi, dan pipeline. Menyatukan sinyal memungkinkan Anda menghapus temuan duplikat, memahami apakah kerentanan kode benar-benar terjangkau di cloud, dan memprioritaskan risiko nyata, bukan menganggap semua hasil pemindai sama mendesaknya. Tim menghabiskan lebih sedikit waktu melakukan triase antaralat dan lebih banyak waktu memperbaiki hal penting. Namun, setiap kemampuan juga harus bagus secara mandiri. Platform yang biasa-biasa saja dalam semua hal hanya menyatukan masalah di satu tempat. Setiap komponen harus setara atau lebih baik daripada alternatif terpisahnya; jika tidak, alasan konsolidasi runtuh.

Aikido tumbuh pesat dan mendapat pijakan kuat dalam waktu singkat. Apa tantangan terbesar membangun dan mengembangkan perusahaan keamanan siber dengan kecepatan ini?

Yang paling jelas adalah menjadi perusahaan keamanan siber dari Belgia. Industri ini secara tradisional berkembang di Tel Aviv dan Silicon Valley, sehingga awalnya ada keraguan apakah platform kelas dunia bisa lahir di tempat lain. Namun, jarak itu menjadi keunggulan. Kami tidak mengulang cara yang sama. Kami memulai dari kebutuhan pengembang dengan produk terpadu yang bisa diadopsi tim secara mandiri. Begitulah kami diam-diam menjadi platform keamanan pengembang yang dominan bagi usaha kecil dan menengah.

Tantangan lebih besar adalah kecepatannya. Kami mencapai status unicorn pada Januari 2026 lewat Seri B, pendapatan naik menjadi lima kali lipat tahun lalu, dan kini lebih dari 100.000 tim mempercayai kami, termasuk Premier League, Revolut, dan SoundCloud. Tahun ini saja kami meluncurkan Device Protection untuk keamanan rantai pasokan, Infinite untuk pengujian penetrasi AI, dan kemitraan dengan Lovable guna menanamkan keamanan dalam alur vibe coding. Menjaga mutu semua bagian platform sambil bergerak secepat ini merupakan tantangan terus-menerus. Namun, itu masalah yang baik.

Seiring pengembangan yang sejak awal bertumpu pada AI menjadi standar, bagaimana masa depan keamanan perangkat lunak dalam beberapa tahun mendatang?

Terus terang, alur keamanan tradisional sudah kesulitan mengimbangi laju pengembangan. Peninjauan berkala, pengujian penetrasi terjadwal, dan pemindaian setelah kejadian mengasumsikan kecepatan pengembangan yang sebenarnya sudah tidak ada. Kode buatan AI dan agen otonom memasukkan perubahan lebih cepat daripada kemampuan proses tersebut untuk memvalidasinya.

Kami percaya keamanan harus menjadi siklus umpan balik berkelanjutan yang menyatu langsung dengan pengembangan perangkat lunak. Kami menyebutnya perangkat lunak yang mengamankan dirinya sendiri. Setiap perubahan kode diuji terhadap jalur serangan nyata, temuan dipastikan benar-benar dapat dieksploitasi, dan perbaikan dihasilkan serta diuji ulang tanpa menunggu penjadwalan manusia. Bentuk awalnya sudah ada, dan kami mengembangkannya untuk kode, cloud, runtime, serta rantai pasokan.

Langkah berikutnya adalah perangkat lunak yang memelihara dirinya sendiri: keamanan tidak hanya mendeteksi dan memperbaiki masalah, tetapi secara aktif menjaga kesehatan basis kode dari waktu ke waktu. Itu masih lebih jauh, tetapi fondasinya sedang dibangun. Yang pasti, AI telah meruntuhkan hambatan pelaksanaan serangan canggih, sehingga pertahanan harus bergerak dengan kecepatan yang sama.

Terima kasih atas wawancara yang berharga. Pembaca yang ingin mengetahui lebih lanjut dapat mengunjungi Aikido.