Ian Riopel, CEO e co-fondatore di Root.io – Serie di interviste

Ian Riopel, CEO e co-fondatore di Root.io, guida la missione dell'azienda: proteggere la supply chain del software con soluzioni cloud-native. Con oltre 15 anni di esperienza nel settore tecnologico e della sicurezza informatica, ha ricoperto ruoli dirigenziali presso Slim.AI e FXP, concentrandosi sulle vendite aziendali, sulla strategia di immissione sul mercato e sulla crescita del settore pubblico. Ha conseguito un ACE presso il MIT Sloan e si è laureato presso la US Army Intelligence School.

Root.io Root.io è una piattaforma di sicurezza cloud-native progettata per aiutare le aziende a proteggere la propria supply chain software. Automatizzando l'affidabilità e la conformità lungo le pipeline di sviluppo, Root.io consente una distribuzione del software più rapida e affidabile per i moderni team DevOps.

Cosa ha ispirato la fondazione di Root e come è nata l'idea di Automated Vulnerability Remediation (AVR)?

Root è nato da una profonda frustrazione che abbiamo ripetutamente affrontato in prima persona: le organizzazioni dedicavano enormi quantità di tempo e risorse alla ricerca di vulnerabilità che non si risolvevano mai completamente. Il triage era diventato l'unica difesa contro il rapido accumulo di debito tecnico CVE, ma con il ritmo delle vulnerabilità emergenti, il triage da solo non è più sufficiente.

Come responsabili della manutenzione di Slim Toolkit (precedentemente DockerSlim), eravamo già profondamente impegnati nell'ottimizzazione e nella sicurezza dei container. Ci siamo quindi chiesti: e se i container potessero ripararsi proattivamente come parte del normale ciclo di vita dello sviluppo software? La correzione automatica, ora nota come Automated Vulnerability Remediation ("AVR"), è stata la nostra soluzione: un approccio che non si concentrava sul triage e sulla creazione di elenchi, ma eliminava automaticamente le vulnerabilità, direttamente nel software, senza introdurre modifiche che interrompessero la funzionalità.

In precedenza Root era nota come Slim.AI: cosa ha spinto a cambiare il marchio e come si è evoluta l'azienda durante questa transizione?

Slim.AI è nato come strumento per aiutare gli sviluppatori a minimizzare e ottimizzare i container. Ma presto ci siamo resi conto che la nostra tecnologia si era evoluta in qualcosa di molto più efficace: una potente piattaforma in grado di proteggere proattivamente il software per la produzione su larga scala. Il rebranding in Root cattura questo cambiamento radicale: da strumento di ottimizzazione per gli sviluppatori a una solida soluzione di sicurezza che consente a qualsiasi organizzazione di soddisfare in pochi minuti i rigorosi requisiti di sicurezza del software open source. Root incarna la nostra missione: arrivare alla radice del rischio software e correggere le vulnerabilità prima che si trasformino in incidenti.

Il vostro team vanta una solida esperienza nella sicurezza informatica, maturata in Cisco, Trustwave e Snyk. In che modo la vostra esperienza collettiva ha plasmato il DNA di Root?

Il nostro team ha sviluppato scanner di sicurezza, difeso aziende globali e progettato soluzioni per alcune delle infrastrutture più sensibili e rischiose. Ci siamo confrontati direttamente con i compromessi tra velocità, sicurezza ed esperienza degli sviluppatori. Questa esperienza collettiva ha plasmato profondamente il DNA di Root. Siamo ossessionati dall'automazione e dall'integrazione: non ci limitiamo a identificare i problemi di sicurezza, ma li risolviamo rapidamente senza creare ulteriori attriti. La nostra esperienza guida ogni decisione, garantendo che la sicurezza acceleri l'innovazione anziché rallentarla.

Root afferma di risolvere le vulnerabilità dei container in pochi secondi, senza ricompilazioni e senza tempi di inattività. Come funziona effettivamente la vostra tecnologia AVR?

AVR opera direttamente a livello di contenitore, identificando rapidamente i pacchetti vulnerabili e applicando patch o sostituendoli all'interno dell'immagine stessa, senza richiedere complesse ricostruzioni. Immaginatelo come un hot-swap fluido di frammenti di codice vulnerabili con sostituzioni sicure, preservando al contempo dipendenze, livelli e comportamenti di runtime. Niente più attese per le patch upstream, nessuna necessità di riprogettare le pipeline. È una correzione alla velocità dell'innovazione.

Puoi spiegare cosa distingue Root da altre soluzioni di sicurezza come Chainguard o Rapidfort? Qual è il vostro vantaggio in questo settore?

A differenza di Chainguard, che impone ricostruzioni utilizzando immagini curate, o di Rapidfort, che riduce le superfici di attacco senza affrontare direttamente le vulnerabilità, Root applica patch direttamente alle immagini dei container esistenti. Ci integriamo perfettamente nella tua pipeline senza interruzioni, senza attriti, senza passaggi di consegne. Non siamo qui per sostituire il tuo flusso di lavoro, ma per accelerarlo e migliorarlo. Ogni immagine che passa attraverso Root diventa essenzialmente un'immagine d'oro, completamente protetta, trasparente e controllata, che offre un rapido ROI riducendo le vulnerabilità e risparmiando tempo. La nostra piattaforma riduce i tempi di ripristino da settimane o giorni a soli 120-180 secondi, consentendo alle aziende di settori altamente regolamentati di eliminare backlog di vulnerabilità lunghi mesi in un'unica sessione.

Gli sviluppatori dovrebbero concentrarsi sulla creazione e il rilascio di nuovi prodotti, non passare ore a correggere vulnerabilità di sicurezza, un aspetto dello sviluppo software che richiede tempo e spesso temuto e che frena l'innovazione. Peggio ancora, molte di queste vulnerabilità non sono nemmeno loro, ma derivano da debolezze di fornitori terzi o progetti software open source, costringendo i team a dedicare ore preziose alla risoluzione di problemi altrui.

Sviluppatori e team di ricerca e sviluppo rappresentano tra i maggiori centri di costo in qualsiasi organizzazione, sia in termini di risorse umane che di infrastrutture software e cloud che li supportano. Root allevia questo onere sfruttando l'intelligenza artificiale agentica, anziché affidarsi a team di sviluppatori che lavorano 24 ore su 24 per verificare e correggere manualmente le vulnerabilità note.

In che modo Root sfrutta specificamente l'intelligenza artificiale agentica per automatizzare e semplificare il processo di correzione delle vulnerabilità?

Il nostro motore AVR utilizza l'intelligenza artificiale agentica per replicare i processi mentali e le azioni di un ingegnere della sicurezza esperto, valutando rapidamente l'impatto di CVE, identificando le migliori patch disponibili, testando rigorosamente e applicando le correzioni in modo sicuro. Realizza in pochi secondi ciò che altrimenti richiederebbe un notevole sforzo manuale, scalando simultaneamente su migliaia di immagini. Ogni correzione istruisce il sistema, migliorandone costantemente l'efficacia e l'adattabilità, integrando essenzialmente l'esperienza di un ingegnere della sicurezza a tempo pieno direttamente nelle vostre immagini.

In che modo Root si integra nei flussi di lavoro degli sviluppatori esistenti senza creare problemi?

Root si integra perfettamente nei flussi di lavoro esistenti, collegandosi direttamente al registro o alla pipeline dei container, senza bisogno di rebase, nuovi agenti o sidecar aggiuntivi. Gli sviluppatori inviano le immagini come di consueto e Root gestisce l'applicazione di patch e la pubblicazione delle immagini aggiornate senza problemi, sia direttamente che come nuovi tag. La nostra soluzione rimane invisibile finché non serve, offrendo una visibilità completa grazie a percorsi di controllo dettagliati, SBOM completi e semplici opzioni di rollback quando necessario.

Come si bilanciano automazione e controllo? Per i team che desiderano visibilità e supervisione, quanto è personalizzabile Root?

In Root, l'automazione migliora, non diminuisce, il controllo. La nostra piattaforma è altamente personalizzabile, consentendo ai team di adattare il livello di automazione alle proprie esigenze specifiche. Sei tu a decidere cosa applicare automaticamente, quando richiedere la revisione manuale e cosa escludere. Offriamo un'ampia visibilità attraverso viste dettagliate delle differenze, changelog e analisi dell'impatto, garantendo che i team di sicurezza rimangano informati e operativi, mai lasciati all'oscuro.

Con migliaia di vulnerabilità risolte automaticamente, come si può garantire la stabilità ed evitare di interrompere le dipendenze o la produzione?

Stabilità e affidabilità sono alla base di ogni azione intrapresa da Root's AVR. Per impostazione predefinita, adottiamo un approccio conservativo, monitorando meticolosamente i grafici delle dipendenze, utilizzando patch compatibili e testando rigorosamente ogni immagine corretta con tutti i framework di test disponibili al pubblico per progetti open source prima della distribuzione. Se dovesse sorgere un problema, viene individuato tempestivamente e il rollback è semplice. In pratica, abbiamo mantenuto un tasso di errore inferiore allo 0.1% in migliaia di correzioni automatiche.

Con l'avanzare dell'intelligenza artificiale, aumentano anche le potenziali superfici di attacco. Come si sta preparando Root alle nuove minacce alla sicurezza dell'era dell'intelligenza artificiale?

Consideriamo l'IA sia come un potenziale vettore di minaccia che come una superpotenza difensiva. Root sta integrando proattivamente la resilienza direttamente nella catena di fornitura del software, garantendo che i carichi di lavoro containerizzati, inclusi stack di IA/ML complessi, siano costantemente rafforzati. La nostra IA agentica si evolve con l'evoluzione delle minacce, adattando autonomamente le difese a una velocità superiore a quella degli aggressori. Il nostro obiettivo finale è la resilienza autonoma della catena di fornitura del software: un'infrastruttura che si difende alla velocità delle minacce emergenti.

Grazie per l'ottima intervista, i lettori che desiderano saperne di più dovrebbero visitare Root.io.