Willem Delbare, Co-Founder dan CEO Aikido – Seri Wawancara

Willem Delbare, Co-Founder dan CEO Aikido, adalah seorang wirausaha SaaS serial dan pendiri teknis dengan latar belakang yang kuat dalam membangun perusahaan perangkat lunak yang berfokus pada pengembang. Sebelum meluncurkan Aikido pada 2022, ia mendirikan platform HR Officient, inisiatif keberlanjutan FutureproofedCities, dan perusahaan CRM Teamleader, di mana ia menjabat sebagai CTO dan membantu menskala perusahaan tersebut menjadi salah satu kesuksesan SaaS terkenal di Belgia. Selama karirnya, Delbare telah fokus pada menyederhanakan tantangan teknis yang kompleks dalam infrastruktur cloud, skalabilitas SaaS, dan keamanan siber. Di bawah kepemimpinannya, Aikido telah tumbuh pesat menjadi salah satu startup keamanan siber yang paling cepat berkembang di Eropa dengan fokus pada solusi keamanan praktis yang dirancang untuk tim pengembangan modern.

Aikido adalah perusahaan keamanan siber yang berbasis di Belgia yang berfokus pada membantu pengembang dan tim teknik mengamankan aplikasi dan lingkungan cloud melalui platform terpadu. Perusahaan ini menggabungkan beberapa fungsi keamanan seperti pemindaian kode, analisis ketergantungan, manajemen postur keamanan cloud, perlindungan runtime, dan pengujian yang dibantu AI menjadi satu sistem yang terstruktur. Pendekatannya dirancang untuk mengurangi kompleksitas, meminimalkan positif palsu, dan menghilangkan kebutuhan bagi organisasi untuk mengelola tumpukan keamanan yang terfragmentasi di seluruh vendor. Dibangun dengan filosofi pengembang pertama, Aikido menekankan otomatisasi, pemantauan terus-menerus, dan alur perbaikan yang disederhanakan untuk membantu perusahaan mengintegrasikan keamanan langsung ke dalam siklus hidup pengembangan perangkat lunak.

Apa pengalaman dari membangun dan menskala perusahaan seperti Teamleader dan Officient yang memimpin Anda untuk mendirikan Aikido Security pada 2022, dan bagaimana latar belakang Anda sebagai pendiri teknis membentuk visi Anda untuk menciptakan pendekatan yang lebih ramah pengembang terhadap keamanan siber?

Selama dekade terakhir, saya menemukan panggilan saya di B2B SaaS. Dengan tiga startup sebagai pendiri teknis dan CTO dan tiga keluar di seluruh HR tech, invoice tech, dan akuntansi karbon. Semua sangat berbeda, tetapi dengan obsesi yang sama untuk membangun perangkat lunak yang tidak membuat orang ingin melempar laptop mereka.

Tapi di setiap perusahaan tersebut, keamanan selalu membuat saya khawatir. Ketakutan akan pelanggaran data sangat nyata, dan alat yang seharusnya membantu terlihat seperti kokpit F-16. Mahal, membingungkan, dan dirancang untuk seseorang dengan gelar PhD di ilmu komputer, bukan tim pengembang yang mencoba mengirimkan produk dengan cepat.

Kami mendirikan Aikido Security untuk secara langsung menyelesaikan tantangan ini. Aikido menyediakan platform keamanan perangkat lunak yang terpadu dan ramah pengembang untuk organisasi semua ukuran yang menggabungkan fitur keamanan esensial di seluruh kode, cloud, dan runtime dalam satu tempat untuk membuatnya lebih mudah bagi pengembang untuk mengirimkan produk dengan aman.

Sejak itu, AI telah membuat pengiriman perangkat lunak menjadi lebih cepat dan permukaan serangan menjadi lebih besar. Bab berikutnya kami adalah memungkinkan organisasi untuk tetap mengikuti perangkat lunak yang mengamankan diri sendiri.

Pada Februari, kami meluncurkan Aikido Infinite, solusi pengujian penetrasi AI terus-menerus kami yang memvalidasi eksploitasi dan menutup loop perbaikan sebelum kode mencapai produksi.

Lingkungan pengembang sekarang digambarkan sebagai salah satu titik buta keamanan terbesar. Apa yang telah berubah baru-baru ini untuk membuat ini menjadi masalah kritis?

Mesin pengembang selalu menjadi target yang berharga. Mereka menyimpan kredensial cloud, kunci SSH, token npm publish, konfigurasi Kubernetes, akses langsung ke kode sumber. Tapi apa yang berubah dalam 6 hingga 12 bulan terakhir adalah bahwa penyerang telah menemukan betapa mudahnya mereka untuk dikompromikan melalui alat yang sudah dipercayai oleh pengembang. Kami telah melacak ini sepanjang tahun penuh. Trivy, TanStack, Bitwarden CLI, ekstensi Konsol VS Code Nx, dan sekarang GitHub, semua diretas melalui alat pengembang, semua menargetkan perangkat.

Masalahnya adalah bahwa sebagian besar tim keamanan tidak memiliki visibilitas ke apa yang sebenarnya berjalan di mesin-mesin tersebut. EDR memantau pada tingkat aplikasi, tetapi tidak melihat paket, ekstensi, atau alat AI yang berjalan di dalam aplikasi tersebut. Sementara itu, pengembang menarik paket, ekstensi, dan alat AI baru setiap hari dengan sangat sedikit pengawasan manusia. LLM juga telah membuatnya lebih mudah untuk menciptakan malware yang meyakinkan, yang telah menurunkan batangan untuk penyerang di seluruh papan. Jarak antara apa yang ada di mesin pengembang dan apa yang tim keamanan dapat lihat adalah di mana semua serangan ini mendarat.

Kita melihat lonjakan serangan rantai pasokan pada saat yang sama AI menjadi lebih luas digunakan. Bagaimana AI mengubah keseimbangan antara penyerang dan pembela?

AI telah membuatnya jauh lebih mudah untuk menciptakan malware rantai pasokan. Membangun payload yang meyakinkan, mengaburkan kode, dan memahami bagaimana registri paket bekerja dengan cukup baik untuk menyalahgunakan mereka semua sebelumnya memerlukan keterampilan teknis yang sebenarnya. Sekarang hanya memerlukan langganan LLM. Kami telah melihat ini secara langsung dengan TeamPCP, yang telah berada di belakang sebagian besar serangan rantai pasokan utama tahun ini, termasuk pelanggaran GitHub baru-baru ini. Mereka bukanlah kelompok yang sangat canggih, tetapi mereka telah berkembang pesat, dan AI adalah bagian besar dari bagaimana mereka telah menskala. Setahun yang lalu kita berhadapan dengan kompromi paket tunggal. Sekarang kita melihat cacing yang dapat mereplikasi diri seperti Shai-Hulud dan kampanye yang dirantai yang bergerak melintasi registri, mencuri kredensial dari satu kompromi untuk membiayai yang berikutnya.

Di sisi pertahanan, AI juga membantu, tetapi dengan cara yang berbeda. Tim keamanan sekarang dapat menjalankan pengujian penetrasi terus-menerus di seluruh kodebasis menggunakan agen AI yang menguji ratusan jalur serangan secara paralel. Ini membebaskan waktu untuk keputusan yang masih memerlukan penilaian manusia. Pada tingkat perangkat, AI juga membantu menangkap paket berbahaya lebih awal dengan menganalisis apa yang sedang diinstal sebelum mencapai mesin pengembang. Tapi kenyataan yang jujur adalah bahwa penyerang saat ini lebih banyak mendapat manfaat dari AI daripada pembela. Batangan untuk menciptakan malware telah turun lebih cepat daripada batangan untuk mendeteksi malware.

Aikido berbicara tentang menggeser keamanan ke hulu. Apa artinya ini dalam praktiknya bagi tim yang membangun dan mengirimkan perangkat lunak hari ini?

Sebagian besar industri telah menghabiskan tahun-tahun terakhir untuk menggeser keamanan ke kiri ke dalam pipa CI/CD. Masalahnya adalah permukaan serangan telah bergeser lebih jauh ke kiri dari itu, ke mesin pengembang itu sendiri. Pelanggaran GitHub adalah contoh yang baik. Itu bukanlah kode yang tidak aman yang mencapai produksi. Itu adalah ekstensi VS Code yang dikompromikan di laptop pengembang yang mengekstraksi kredensial sebelum siapa pun menulis satu baris kode.

Dalam praktiknya, menggeser ke hulu berarti keamanan harus beroperasi terus-menerus di mana kode sebenarnya ditulis dan di mana alat dipasang. Ini berarti memvalidasi apa yang berjalan di perangkat pengembang, menangkap paket dan ekstensi berbahaya sebelum mereka mendarat, dan secara otomatis menguji risiko yang dapat dieksploitasi saat kode berubah, bukan menunggu seseorang untuk menjadwalkan ulasan. Tujuannya adalah loop tertutup di mana deteksi, validasi, dan perbaikan terjadi sebagai bagian dari alur kerja pengembangan, bukan sebagai proses terpisah yang berjalan setelahnya.

Dengan agen AI yang secara otomatis mengunduh ketergantungan dan alat, bagaimana perusahaan harus memikirkan kembali kepercayaan terhadap kode sumber terbuka dan kode pihak ketiga?

Default dengan agen AI adalah bahwa mereka menarik ketergantungan dan alat secara otomatis dengan sangat sedikit pengawasan manusia. Ini mengubah model kepercayaan secara fundamental karena Anda memiliki kode yang berjalan di mesin pengembang yang tidak dipilih secara eksplisit untuk dipasang.

Pelanggaran Vercel adalah contoh yang baik di mana ini salah. Vercel tidak diretas langsung. Ekstensi AI yang sah memiliki akses OAuth ke akun Google (GOOGL ) seorang karyawan, dan ekstensi itu dikompromikan di hulu melalui infostealer di sisi vendor. Ini adalah pola yang sama yang kita lihat di sumber terbuka, di mana kode pihak ketiga yang dipercaya menjadi titik masuk. Risikonya berkompilasi karena stasiun kerja pengembang yang dikompromikan memberikan penyerang akses yang sama dengan insinyur yang dipercaya. Mereka dapat memodifikasi kode, menyisipkan ketergantungan berbahaya, atau menerbitkan versi yang dimanipulasi dari perangkat lunak yang sah, dan perubahan tersebut dipilih oleh pipa bangunan dan menyebar melalui pembaruan yang dipercaya di hilir.

Perusahaan perlu mulai memperlakukan semua yang berjalan di mesin pengembang sebagai bagian dari permukaan serangan mereka. Ini termasuk agen AI, alat yang mereka pasang, ekstensi yang mereka andalkan, semuanya. Jika Anda hanya memiliki visibilitas ke paket sumber terbuka yang diketahui, Anda melewatkan lapisan di mana serangan ini sebenarnya terjadi.

Konsep perangkat lunak yang mengamankan diri sendiri sangat menarik. Apa kemampuan inti yang diperlukan untuk membuat visi ini bekerja pada skala besar?

Untuk membuat perangkat lunak yang mengamankan diri sendiri bekerja pada skala besar, Anda memerlukan loop tertutup. Sistem harus dapat menguji jalur serangan nyata setiap kali kode berubah, mengkonfirmasi apakah sesuatu benar-benar dapat dieksploitasi atau menolaknya jika tidak, dan menghasilkan dan menerapkan perbaikan dalam alur kerja pengembangan, lalu menguji ulang untuk mengkonfirmasi bahwa perbaikan berhasil. Seluruh siklus itu perlu berjalan terus-menerus tanpa menunggu seseorang untuk menjadwalkannya. Yang penting adalah bahwa ini bukan tentang menghilangkan manusia dari keamanan. Ini tentang menangani pekerjaan konstan sehingga tim keamanan dapat fokus pada keputusan yang sebenarnya memerlukan penilaian.

Pengembang sering bergelut dengan terlalu banyak peringatan dan positif palsu dari alat keamanan. Bagaimana Aikido membantu tim fokus pada apa yang benar-benar penting?

Dua pertiga pemimpin keamanan dalam survei kami tentang AI dalam Keamanan & Pengembangan mengatakan bahwa tim mereka telah melewati proses keamanan, menolak temuan, atau menunda perbaikan karena positif palsu. Itu adalah biaya nyata dari alat yang bising. Ini tidak hanya membuang waktu, tetapi juga secara aktif melemahkan keamanan karena orang berhenti mempercayai peringatan.

Cara kami menangani ini di Aikido adalah melalui analisis jangkauan dan autotriage. Daripada mengibarkan setiap kerentanan dan meninggalkannya kepada tim keamanan untuk menentukan apa yang penting, kami menganalisis apakah kerentanan benar-benar dapat dijangkau dalam kode Anda dan dapat dieksploitasi dalam lingkungan Anda. Jika tidak, tim Anda tidak pernah melihatnya. Ini secara drastis mengurangi volume peringatan dan berarti bahwa ketika sesuatu muncul, itu layak untuk bertindak.

Platform Anda menggabungkan keamanan kode, cloud, runtime, dan pengujian penetrasi otomatis. Mengapa pendekatan terpadu lebih efektif daripada menggunakan alat yang berdiri sendiri?

Penelitian kami tentang AI dalam Keamanan & Pengembangan menemukan sesuatu yang kontradiktif: tim keamanan yang menderita insiden sebenarnya menjalankan lebih banyak alat vendor daripada mereka yang tidak. Lebih banyak alat tidak berarti keamanan yang lebih baik. Ini berarti lebih banyak kebisingan, lebih banyak temuan duplikat, dan lebih banyak waktu yang dihabiskan untuk mengorelasikan peringatan di seluruh dasbor daripada benar-benar memperbaiki masalah.

Itulah mengapa kami membangun Aikido sebagai platform tunggal di seluruh kode, cloud, runtime, ketergantungan, dan pipa. Ketika semua sinyal tersebut berada dalam satu tempat, Anda dapat menduplikasi temuan, memahami apakah kerentanan dalam kode Anda benar-benar dapat dijangkau dalam lingkungan cloud Anda, dan memprioritaskan berdasarkan risiko nyata daripada mengobati setiap output pemindai sebagai sama-sama mendesak. Tim menghabiskan lebih sedikit waktu untuk triage di seluruh alat dan lebih banyak waktu untuk memperbaiki apa yang benar-benar penting. Dan setiap kemampuan tersebut harus berdiri sendiri. Platform terpadu yang median di semua hal hanya mengkonsolidasikan masalah. Setiap bagian dari platform harus sama baiknya atau lebih baik daripada alternatif yang berdiri sendiri, jika tidak, argumen konsolidasi runtuh.

Aikido telah berkembang pesat dan mencapai traksi signifikan dalam waktu singkat. Apa yang menjadi tantangan terbesar dalam membangun dan mengembangkan perusahaan keamanan siber dengan kecepatan ini?

Yang jelas adalah menjadi perusahaan keamanan siber dari Belgia. Industri ini secara tradisional dibangun dari Tel Aviv dan Lembah Silikon, dan ada skeptisisme awal tentang apakah platform keamanan kelas dunia bisa datang dari tempat lain. Tapi jarak itu ternyata menjadi keuntungan. Kami tidak mendaur ulang buku petunjuk yang sama. Kami memulai dengan pendekatan pengembang pertama dan produk yang dibundel yang membuat tim mudah untuk self-onboard, yang merupakan cara kami diam-diam menjadi platform keamanan pengembang dominan untuk SMB.

Tantangan yang lebih besar adalah kecepatan. Kami mencapai status unicorn pada Januari 2026 dengan Seri B kami, pendapatan tumbuh lima kali lipat tahun lalu, dan kami sekarang dipercaya oleh lebih dari 100.000 tim, termasuk Premier League, Revolut, dan SoundCloud. Tahun ini saja kami telah meluncurkan Perlindungan Perangkat untuk keamanan rantai pasokan, Infinite untuk pengujian penetrasi AI, dan kemitraan dengan Lovable untuk keamanan yang tertanam dalam alur kerja pengkodean. Bergerak secepat itu sambil menjaga kualitas tetap tinggi di seluruh platform adalah tantangan konstan. Tapi itu adalah masalah yang baik untuk dimiliki.

Seiring berkembangnya pengembangan asli AI menjadi standar, bagaimana masa depan keamanan perangkat lunak terlihat dalam beberapa tahun ke depan?

Jawaban yang jujur adalah bahwa alur kerja keamanan tradisional sudah kesulitan mengikuti. Ulasan berkala, pengujian penetrasi yang dijadwalkan, pemindaian setelah fakta, semua itu mengasumsikan kecepatan pengembangan yang tidak benar-benar ada lagi. Kode yang dihasilkan AI dan agen otonom memperkenalkan perubahan lebih cepat daripada proses tersebut dapat memvalidasi.

Kami pikir keamanan harus menjadi umpan balik loop terus-menerus yang dibangun langsung ke dalam cara perangkat lunak dikembangkan. Kami menyebut ini perangkat lunak yang mengamankan diri sendiri. Setiap perubahan kode diuji untuk jalur serangan nyata, temuan divalidasi untuk eksploitasi yang sebenarnya, perbaikan dihasilkan dan diuji ulang, semua tanpa menunggu seseorang untuk menjadwalkannya. Versi awal dari ini sudah ada hari ini, dan kami sedang membangun menuju itu di seluruh kode, cloud, runtime, dan rantai pasokan.

Langkah berikutnya setelah itu adalah perangkat lunak yang memelihara diri sendiri, di mana keamanan tidak hanya menangkap dan memperbaiki masalah, tetapi secara aktif memelihara kesehatan basis kode selama waktu. Itu lebih jauh, tapi dasar-dasarnya sedang dibangun sekarang. Satu-satunya hal yang pasti adalah bahwa batangan untuk menjalankan serangan yang canggih telah runtuh berkat AI, sehingga sisi pertahanan harus bergerak dengan kecepatan yang sama.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Aikido.