Ian Riopel, CEO e Co-Fondatore di Root.io – Serie di Interviste

Ian Riopel, CEO e Co-Fondatore di Root.io, guida la missione dell’azienda per garantire la sicurezza della catena di approvvigionamento del software con soluzioni cloud-native. Con oltre 15 anni di esperienza nel settore tecnologico e della sicurezza informatica, ha ricoperto ruoli di leadership in Slim.AI e FXP, concentrandosi sulle vendite aziendali, sulla strategia di mercato e sulla crescita del settore pubblico. Ha un ACE presso il MIT Sloan ed è un diplomato della Scuola di Intelligence dell’Esercito degli Stati Uniti.

Root.io è una piattaforma di sicurezza cloud-native progettata per aiutare le aziende a garantire la sicurezza della loro catena di approvvigionamento del software. Automatizzando la fiducia e la conformità lungo le pipeline di sviluppo, Root.io consente una consegna del software più rapida e affidabile per i team DevOps moderni.

Cosa ha ispirato la fondazione di Root e come è nata l’idea di Automated Vulnerability Remediation (AVR)?

Root è nata da una profonda frustrazione che abbiamo affrontato ripetutamente di persona: le organizzazioni dedicate enormi quantità di tempo e risorse all’inseguimento di vulnerabilità che non scomparivano mai completamente. La triage era diventata l’unica difesa contro il debito tecnico CVE in rapida crescita, ma con il ritmo di emergere delle vulnerabilità, la sola triage non è più sufficiente.

In quanto manutentori di Slim Toolkit (in precedenza DockerSlim), eravamo già profondamente coinvolti nell’ottimizzazione e nella sicurezza dei container. È stato naturale per noi chiederci: e se i container potessero risolvere automaticamente i problemi come parte del ciclo di vita dello sviluppo del software? La risoluzione automatica, ora nota come Automated Vulnerability Remediation (“AVR”), è stata la nostra soluzione: un approccio non focalizzato sulla triage e sulla creazione di elenchi, ma sull’eliminazione automatica delle vulnerabilità, direttamente nel vostro software, senza introdurre modifiche che potrebbero causare problemi.

Root era precedentemente nota come Slim.AI: cosa ha portato al rebranding e come l’azienda è evoluta durante questo passaggio?

Slim.AI è iniziata come strumento per aiutare gli sviluppatori a minimizzare e ottimizzare i container. Ma presto abbiamo realizzato che la nostra tecnologia era evoluta in qualcosa di molto più impattante: una piattaforma potente in grado di garantire proattivamente la sicurezza del software per la produzione su larga scala. Il rebranding in Root cattura questo cambiamento trasformativo: da uno strumento di ottimizzazione per gli sviluppatori a una solida soluzione di sicurezza che consente a qualsiasi organizzazione di soddisfare le rigorose richieste di sicurezza relative al software open-source in pochi minuti. Root incarna la nostra missione: arrivare alla radice del rischio del software e risolvere le vulnerabilità prima che diventino incidenti.

Il tuo team ha radici profonde nella sicurezza informatica, provenendo da Cisco, Trustwave e Snyk. Come ha plasmato la vostra esperienza collettiva il DNA di Root?

Il nostro team ha costruito scanner di sicurezza, difeso aziende globali e progettato soluzioni per alcune delle infrastrutture più sensibili e ad alto rischio. Abbiamo lottato direttamente con i compromessi tra velocità, sicurezza e esperienza dello sviluppatore. Questa esperienza collettiva ha plasmato fondamentalmente il DNA di Root. Siamo ossessionati dall’automazione e dall’integrazione: non solo identificare i problemi di sicurezza, ma risolverli rapidamente senza creare nuove frizioni. La nostra esperienza informa ogni decisione, assicurandosi che la sicurezza acceleri l’innovazione piuttosto che rallentarla.

Root afferma di patchare le vulnerabilità dei container in pochi secondi: senza ricostruzioni, senza downtime. Come funziona effettivamente la tecnologia AVR?

AVR funziona direttamente al livello del container, identificando rapidamente i pacchetti vulnerabili e applicando patch o sostituendoli all’interno dell’immagine stessa: senza richiedere ricostruzioni complesse. Pensatela come una sostituzione senza problemi di codice vulnerabile con sostituzioni sicure, preservando le dipendenze, i livelli e i comportamenti di runtime. Non è più necessario aspettare patch upstream, non è necessario riarchitettare le vostre pipeline. È rimedio alla velocità dell’innovazione.

Cosa distingue Root dalle altre soluzioni di sicurezza come Chainguard o Rapidfort? Qual è il vostro vantaggio in questo spazio?

A differenza di Chainguard, che richiede ricostruzioni utilizzando immagini curate, o Rapidfort, che riduce le superfici di attacco senza affrontare direttamente le vulnerabilità, Root patcha direttamente le immagini dei container esistenti. Ci integriamo senza problemi nelle vostre pipeline senza interruzioni: nessuna frizione, nessun passaggio. Non siamo qui per sostituire il vostro flusso di lavoro, siamo qui per accelerarlo e migliorarlo. Ogni immagine che passa attraverso Root diventa essenzialmente un’immagine dorata: completamente sicura, trasparente, controllata: fornendo un ritorno sull’investimento rapido riducendo le vulnerabilità e risparmiando tempo. La nostra piattaforma riduce il tempo di rimedio da settimane o giorni a soli 120-180 secondi, consentendo alle aziende di settori altamente regolamentati di eliminare i backlog di vulnerabilità di mesi in una sola sessione.

Gli sviluppatori dovrebbero concentrarsi sulla costruzione e sulla consegna di nuovi prodotti: non dovrebbero spendere ore a risolvere le vulnerabilità di sicurezza, un aspetto tempo-dipendente e spesso temuto dello sviluppo del software che rallenta l’innovazione. Peggio, molte di queste vulnerabilità non sono nemmeno loro: derivano da debolezze in fornitori di terze parti o progetti di software open-source, costringendo i team a spendere ore preziose a risolvere i problemi di qualcun altro.

Gli sviluppatori e i team di R&D sono tra i più grandi centri di costo in qualsiasi organizzazione, sia in termini di risorse umane che di software e infrastrutture cloud che li supportano. Root allevia questo onere sfruttando l’intelligenza artificiale agente, anziché affidarsi a team di sviluppatori che lavorano notte e giorno per controllare e patchare manualmente le vulnerabilità note.

Come Root utilizza specificamente l’intelligenza artificiale agente per automatizzare e semplificare il processo di rimedio delle vulnerabilità?

Il nostro motore AVR utilizza l’intelligenza artificiale agente per replicare i processi di pensiero e le azioni di un ingegnere di sicurezza esperto: valutando rapidamente l’impatto di CVE, identificando le patch migliori disponibili, testando rigorosamente e applicando in modo sicuro le correzioni. Realizza in pochi secondi ciò che altrimenti richiederebbe un notevole sforzo manuale, scalando su migliaia di immagini contemporaneamente. Ogni rimedio insegna al sistema, migliorando continuamente la sua efficacia e adattabilità, incorporando essenzialmente l’esperienza di un ingegnere di sicurezza a tempo pieno direttamente nelle vostre immagini.

Come Root si integra nei flussi di lavoro esistenti senza aggiungere frizioni?

Root si integra senza problemi nei flussi di lavoro esistenti, collegandosi direttamente al registro dei container o alla pipeline: senza rebasing, senza nuovi agenti e senza sidecar aggiuntivi. Gli sviluppatori pushano le immagini come al solito e Root gestisce il patching e la pubblicazione di immagini aggiornate in modo trasparente, sia in-place che come nuovi tag. La nostra soluzione rimane invisibile fino a quando non è necessaria, offrendo una visibilità completa attraverso tracce di audit dettagliate, SBOM completi e opzioni di rollback semplici quando desiderate.

Come bilanciate l’automazione e il controllo? Per i team che desiderano visibilità e controllo, quanto è personalizzabile Root?

In Root, l’automazione migliora, non diminuisce, il controllo. La nostra piattaforma è altamente personalizzabile, consentendo ai team di scalare il livello di automazione in base alle loro esigenze specifiche. Decidete cosa applicare automaticamente, quando coinvolgere la revisione manuale e cosa escludere. Forniamo una visibilità estensiva attraverso viste di diff dettagliate, registri delle modifiche e analisi di impatto, assicurandoci che i team di sicurezza rimangano informati e potenti, mai lasciati al buio.

Con migliaia di vulnerabilità risolte automaticamente, come assicurate la stabilità e evitate di rompere le dipendenze o interrompere la produzione?

La stabilità e l’affidabilità sono alla base di ogni azione che Root’s AVR intraprende. Per impostazione predefinita, adottiamo un approccio conservativo, tracciando meticolosamente i grafici delle dipendenze, utilizzando patch compatibili e testando rigorosamente ogni immagine rimediata contro tutti i framework di test pubblicamente disponibili per i progetti open-source prima della distribuzione. Se si verifica un problema, viene rilevato precocemente e il rollback è facile. Nella pratica, abbiamo mantenuto un tasso di fallimento inferiore allo 0,1% su migliaia di rimedi automatizzati.

Mentre l’AI si evolve, anche le superfici di attacco potenziali si evolvono. Come Root si sta preparando per le minacce di sicurezza emergenti dell’era dell’AI?

Consideriamo l’AI sia come un vettore di minaccia potenziale che come una superpotenza difensiva. Root sta incorporando proattivamente la resilienza direttamente nella catena di approvvigionamento del software, assicurandosi che i carichi di lavoro containerizzati, complessi stack AI/ML, siano continuamente rafforzati. La nostra intelligenza artificiale agente evolve mentre le minacce evolvono, adattando autonomamente le difese più velocemente di quanto gli attaccanti possano agire. Il nostro obiettivo finale è la resilienza autonoma della catena di approvvigionamento del software: un’infrastruttura che si difende da sola alla velocità delle minacce emergenti.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Root.io.