Mitchell Amador, Fondatore e Amministratore Delegato di Immunefi – Serie di Interviste

Mitchell Amador, Fondatore e Amministratore Delegato di Immunefi, è un noto imprenditore di sicurezza blockchain, investitore angelico e leader di pensiero onchain. Ha fondato Immunefi, la principale piattaforma di bounty per bug e sicurezza per l’ecosistema Web3, aiutando a prevenire più di 25 miliardi di dollari in potenziali hack e furti, oltre a promuovere i programmi di bounty per bug come standard dell’industria. Ha svolto un ruolo chiave nella sicurezza di importanti protocolli blockchain, ha contribuito a iniziative di sicurezza whitehat e ha anche fondato l’Istituto New Economy, un think tank blockchain che ha aiutato a posizionare il Portogallo come un hub leader per l’innovazione blockchain in Europa.

Immunefi è una piattaforma di sicurezza Web3 leader che collega progetti blockchain con hacker etici attraverso programmi di bounty per bug, revisioni di sicurezza e servizi di divulgazione di vulnerabilità. La società aiuta a proteggere miliardi di dollari in attività digitali abilitando le organizzazioni a identificare e correggere gravi vulnerabilità di sicurezza prima che possano essere sfruttate, servendo molti dei principali protocolli blockchain e progetti di finanza decentralizzata (DeFi).

Prima di fondare Immunefi, hai aiutato a promuovere l’adozione in aziende come SingularityNET e Steemit e sei stato coinvolto nella formazione della legislazione crypto portoghese. Cosa ti ha convinto che la sicurezza Web3 fosse il problema da dedicare la tua carriera e quale lacuna nel mercato hai visto quando hai lanciato Immunefi?

Le società di sicurezza tradizionali non potevano tenere il passo con la velocità e la complessità di Web3, e non c’era una piattaforma affidabile che potesse attirare ricercatori d’élite su larga scala, dando ai protocolli la fiducia che le divulgazioni sarebbero state gestite in modo professionale. Abbiamo visto un’opportunità di costruire l’infrastruttura per la sicurezza Web3, creando incentivi allineati tra progetti e ricercatori, rendendo la sicurezza proattiva una parte fondamentale di come l’industria opera.

Hai aiutato a costruire Immunefi nel dominante forza di sicurezza Web3, proteggendo centinaia di miliardi di dollari in attività e gestendo la stragrande maggioranza delle divulgazioni di vulnerabilità critiche nella crypto. Guardando indietro a quel viaggio, quali lezioni dalla scalabilità di Immunefi hanno influenzato la tua decisione di portare i clienti e la comunità di Code4rena all’interno dell’ecosistema Immunefi?

Una delle più grandi lezioni dalla scalabilità di Immunefi è che la sicurezza funziona meglio quando il talento è concentrato piuttosto che frammentato. Portare i clienti e i ricercatori di Code4rena all’interno dell’ecosistema Immunefi ci consente di rafforzare entrambi i lati del mercato: i ricercatori guadagnano accesso a più opportunità e risorse, mentre i progetti guadagnano accesso a un più ampio set di servizi di sicurezza supportati dalla più grande rete di ricercatori in Web3.

Code4rena ha svolto un ruolo importante nella popolarizzazione degli audit di sicurezza competitivi nella crypto. Cosa pensi abbia causato la difficoltà del suo modello di business e quali lezioni più ampie offre per il futuro della sicurezza crowdsourced?

La sfida fondamentale non era il valore degli audit competitivi. Quel valore rimane significativo. La sfida era costruire un business sostenibile intorno a un’offerta autonoma in un ambiente in cui le aspettative dei clienti sono evolute.

I protocolli vogliono sempre più soluzioni di sicurezza complete piuttosto che prodotti puntuali. Vogliono bounty per bug, audit, intelligence sulle minacce, operazioni di sicurezza e capacità di risposta agli incidenti sotto un unico tetto. Man mano che il mercato maturava, diventava più difficile per i fornitori specializzati competere con piattaforme che potevano offrire uno stack di sicurezza più ampio.

Molti ricercatori di sicurezza vedevano Code4rena come una cultura e una comunità uniche. Come intendi preservare ciò che rendeva quella piattaforma preziosa mentre integri gli utenti in Immunefi?

La comunità è alla fine ciò che ha reso Code4rena di successo. L’obiettivo non è sostituire quella cultura, ma creare un ambiente in cui possa continuare a prosperare con maggiore supporto e scala. Il focus è sulla continuità piuttosto che sulla disruption. Vogliamo che i ricercatori si sentano come se stessero guadagnando accesso a una piattaforma più ampia senza perdere gli aspetti della comunità che li hanno fatti partecipare per la prima volta.

Gli audit di sicurezza tradizionali spesso si basano su un gruppo relativamente piccolo di revisori, mentre le competizioni di audit possono attirare centinaia di ricercatori. Come vedi l’evoluzione delle competizioni di audit nei prossimi cinque anni mentre l’AI diventa sempre più integrata nei flussi di lavoro di sicurezza?

Cosa probabilmente vedremo è uno spostamento in cui l’AI gestisce una porzione crescente di analisi ripetitive, riconoscimento di pattern e triage iniziale, consentendo ai ricercatori di spendere più tempo su vettori di attacco nuovi e vulnerabilità di sistema complesse.

Quell’evoluzione rende effettivamente le competizioni di audit più preziose. Se centinaia di ricercatori possono sfruttare strumenti AI sempre più capaci, si crea un ambiente in cui approcci diversi possono essere applicati alla stessa base di codice su una scala senza precedenti. Il futuro non è l’AI che sostituisce la sicurezza crowdsourced, ma l’AI che amplifica l’efficacia delle grandi comunità di ricercatori.

Una delle preoccupazioni emergenti che hai evidenziato è la spam di invii generati dall’AI. Quanto grave è diventato questo problema e cosa rivela sulle conseguenze inintenzionali del rendere ampiamente accessibili strumenti AI avanzati?

Il problema non è che l’AI trova troppe vulnerabilità. Il problema è che può generare grandi volumi di risultati convincenti ma alla fine errati. Ogni invio di bassa qualità consuma tempo del revisore e crea un sovraccarico operativo.

In generale, dimostra un modello ricorrente nella tecnologia. Quando strumenti potenti diventano ampiamente accessibili, sia l’attività produttiva che quella improduttiva si ampliano simultaneamente. Le organizzazioni che avranno successo saranno quelle che costruiranno sistemi in grado di identificare efficientemente il vero expertise e i risultati genuini in mezzo a un volume molto più grande di output automatizzato.

Credi che l’AI migliorerà alla fine la qualità della scoperta delle vulnerabilità o le piattaforme di sicurezza affronteranno una lunga corsa agli armamenti tra sistemi AI sempre più capaci e il diluvio di invii automatizzati di bassa qualità che possono generare?

Entrambe le cose sono vere.

L’AI migliorerà senza dubbio la scoperta delle vulnerabilità. Stiamo già vedendo i ricercatori utilizzare l’AI per accelerare i flussi di lavoro, analizzare basi di codice più ampie e identificare potenziali vettori di attacco più efficientemente di prima.

Allo stesso tempo, ci sarà una corsa continua agli armamenti tra i sistemi che generano risultati e i sistemi che li convalidano. Il differenziatore chiave non sarà chi può generare il maggior numero di rapporti. Sarà chi può generare i risultati con la maggiore fiducia.

Stiamo iniziando a vedere ricercatori assistiti dall’AI identificare vulnerabilità più velocemente che mai. Quanto siamo vicini al fatto che i sistemi AI possano scoprire, convalidare e addirittura priorizzare vulnerabilità critiche con un coinvolgimento umano minimo?

Siamo più vicini alla fase di scoperta di quanto molte persone si rendano conto. L’AI sta già diventando utile per l’identificazione di pattern, la revisione del codice e la superficie di potenziali vulnerabilità.

La convalida rimane la sfida più dura. Trovare qualcosa che potrebbe essere una vulnerabilità è molto diverso dal provare l’exploitabilità, capire l’impatto aziendale e valutare con precisione la gravità. Quei compiti richiedono ancora un giudizio umano sostanziale.

L’ascesa di agenti AI autonomi sta creando intere nuove superfici di attacco. Quali rischi di sicurezza associati all’AI agente pensi siano attualmente sottovalutati sia dall’industria Web3 che dal mercato aziendale più ampio?

Cosa spesso viene sottovalutato è la complessità dei confini di fiducia coinvolti. I sistemi agente non operano in isolamento. Consumano input da molteplici fonti, interagiscono con servizi di terze parti e prendono decisioni in base ad ambienti dinamici. Ogni una di quelle interazioni crea una potenziale superficie di attacco.

Penso che molte organizzazioni stiano ancora applicando assunzioni di sicurezza del software tradizionale a sistemi che si comportano in modo fondamentalmente diverso. Quella lacuna diventerà sempre più importante man mano che gli agenti autonomi guadagnano autorità operativa più ampia.

Guardando avanti tre o cinque anni, come pensi che l’AI trasformerà il modo in cui le vulnerabilità vengono scoperte, segnalate e mitigate, e quale ruolo pensi che i ricercatori di sicurezza umani giocheranno in quel futuro?

L’AI accelererà drasticamente ogni fase del ciclo di vita della sicurezza. Le vulnerabilità saranno scoperte più velocemente, triate più velocemente e in molti casi mitigate più velocemente di quanto lo siano oggi. I team di sicurezza avranno accesso a molto più intelligence e automazione di quanto abbiano mai avuto.

Ma non credo che il futuro sia uno in cui i ricercatori umani diventano irrilevanti. Se mai, il loro ruolo diventa più importante. Mentre l’AI gestisce i compiti di routine, l’esperienza umana si sposta verso la comprensione di sistemi nuovi, l’identificazione di percorsi di attacco non convenzionali, la convalida di risultati critici e la presa di decisioni strategiche di sicurezza.

I ricercatori più di successo non saranno quelli che competono contro l’AI. Saranno quelli che imparano a sfruttare l’AI come moltiplicatore di forza. La sicurezza ha sempre premiato l’adattabilità, e questo rimarrà vero in un futuro guidato dall’AI.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Immunefi.