Ronen Slavin, CTO e Co-fondatore, Cycode – Serie di Interviste

Ronen Slavin, CTO e Co-fondatore di Cycode, è un imprenditore seriale e un ex ufficiale dell’Unit 8200 delle Forze di Difesa israeliane. Prima di lanciare Cycode nel 2019, ha co-fondato FileLock, che è stata acquisita da Reason Security nel 2018, e ha ricoperto il ruolo di Head of Research presso Reason Cybersecurity. Con una profonda esperienza nella rilevazione di malware, nella ricerca di vulnerabilità e nello sfruttamento, Slavin ha costruito una carriera all’intersezione della ricerca di sicurezza avanzata e dell’innovazione dei prodotti.

Cycode è una piattaforma di sicurezza applicativa nativa AI che unisce i team di sicurezza e sviluppo con un contesto azionario da codice a runtime. Unendo AST, ASPM e sicurezza della catena di approvvigionamento del software, protegge sia il codice generato da AI che quello generato dall’uomo. Potenziata dal suo Risk Intelligence Graph (RIG), scanner proprietari e integrazioni, Cycode fornisce una rilevazione istantanea dei rischi, un’analisi dell’impatto delle modifiche (CIA) e soluzioni guidate da AI – riducendo le lacune di visibilità, accelerando il rimedio e riducendo i costi fin dal primo giorno.

Cosa ti ha motivato a fondare Cycode e qual è il problema chiave nella sicurezza del software che hai cercato di risolvere fin dall’inizio?

L’idea di Cycode è nata da qualcosa che avevamo osservato ripetutamente; il codice sorgente rubato o involontariamente perso nelle mani sbagliate. Dopo aver trascorso anni nel settore della sicurezza informatica e nello spazio della sicurezza offensiva, e aver guidato la protezione degli endpoint presso Reason, ci siamo resi conto di quanto sia critico il codice sorgente – non solo come linee di codice, ma come uno degli asset più preziosi di un’azienda. Non stava ricevendo la sicurezza che meritava.

Quella realizzazione illuminante è ciò che mi ha ispirato a fondare Cycode. Fin dall’inizio, la nostra missione era chiara: proteggere il codice sorgente in ogni fase, dal momento in cui viene scritto al momento in cui viene spedito, senza rallentare gli sviluppatori. Ci siamo prefissi di garantire che la sicurezza e l’ingegneria potessero lavorare insieme, con la sicurezza integrata senza problemi nel flusso di lavoro quotidiano, piuttosto che essere un ostacolo.

Ciò che contava di più era dare ai team la visibilità, la responsabilità e la collaborazione di cui avevano bisogno. Gli sviluppatori non dovevano sacrificare la loro produttività per la sicurezza, e i team di sicurezza non dovevano operare senza contesto o controllo. Cycode è stato creato per rendere possibile entrambe le cose.

Come ha influenzato la tua esperienza precedente come imprenditore nel settore della sicurezza informatica e il tuo servizio nell’unità di intelligence d’élite di Israele, Unit 8200, il tuo approccio tecnico a Cycode?

Il mio tempo nel settore della sicurezza informatica israeliana, in particolare in ambienti tecnici d’élite, mi ha instillato una mentalità di precisione, adattabilità e curiosità senza sosta. Sia che fossi a Unit 8200 o nei miei primi giorni di startup, ho imparato a pensare come un attaccante e un difensore. Quella prospettiva duale è stata fondamentale per come abbiamo costruito Cycode.

Come imprenditore nel settore della sicurezza informatica, ho visto di persona come il paesaggio della sicurezza fosse diventato frammentato e reattivo. Gli strumenti di sicurezza erano spesso aggiunti dopo il fatto, lasciando gli sviluppatori a navigare in un labirinto di avvisi senza contesto. È questo che abbiamo cercato di cambiare.

Presso Cycode, abbiamo adottato un approccio a livello di sistema, trattando il codice sorgente come un asset critico e integrando la sicurezza nel ciclo di vita dello sviluppo del software fin dall’inizio. La mia esperienza mi ha insegnato che la sicurezza deve essere proattiva, contestuale e amichevole per gli sviluppatori. È per questo che ci concentriamo molto sull’automazione, sulla visibilità e sul ponte tra la sicurezza e lo sviluppo del software. Non si tratta solo di trovare vulnerabilità, ma di risolvere ciò che conta, velocemente.

Cycode combina più livelli di protezione, tra cui AST (Application Security Testing) e ASPM (Application Security Posture Management). Per coloro che non sono familiari, puoi spiegare come questi elementi lavorano insieme e cosa rende l’approccio di Cycode unico?

Certo. Presso Cycode, la sicurezza del software moderno richiede più di una semplice scansione del codice; richiede una comprensione olistica di come quel codice venga costruito, distribuito e mantenuto. Ora, come piattaforma di sicurezza applicativa nativa AI, il nostro approccio è un differenziatore a causa della convergenza di Application Security Testing (AST), Application Security Posture Management (ASPM) e sicurezza della catena di approvvigionamento del software (SSCS).

Gli strumenti AST, come SAST, DAST e SCA, sono efficaci nell’identificare le vulnerabilità nel codice, nelle dipendenze e nell’infrastruttura. Tuttavia, spesso operano in silos, generando avvisi senza contesto. È qui che entra in gioco l’ASPM. L’ASPM collega i punti across l’intero ciclo di vita dello sviluppo del software. Fornisce visibilità sulla postura di sicurezza dell’applicazione con priorità dei rischi e rimedi azionabili, SSCS sandwich la piattaforma per proteggere le pipeline CI/CD.

Ciò che rende Cycode unico è come unifichiamo questi livelli e stabiliamo uno standard aziendale. Oggi, in questa era di AI, la sicurezza dovrà diventare più intelligente. Abbiamo costruito sulla nostra base con AST, ASPM e SSCS con agenti AI per aiutare a priorizzare e risolvere ciò che conta più velocemente, chiudendo quella lacuna di sicurezza che ho menzionato in precedenza.

Come Cycode si integra con moderne pipeline DevOps come GitHub, GitLab o Azure DevOps per rilevare i rischi più precocemente nel ciclo di vita?

Cycode è stato costruito tenendo presente il DevOps moderno. Ci integriamo direttamente con piattaforme come GitHub, GitLab e Azure DevOps per incorporare la sicurezza in ogni fase del ciclo di vita dello sviluppo del software, senza rallentare i team.

La nostra piattaforma si collega ai sistemi di controllo del codice sorgente e ai sistemi CI/CD per monitorare continuamente il codice, le configurazioni e i flussi di lavoro. Scansioniamo e analizziamo le richieste di pull in tempo reale, in modo che gli sviluppatori ricevano immediatamente un feedback sulle vulnerabilità prima che il codice venga unito. Analizziamo anche la storia dei commit e i metadati per assegnare le problematiche ai giusti proprietari, riducendo l’attrito e accelerando il rimedio.

Nel nostro approccio, non ci limitiamo a segnalare gli avvisi; forniamo un contesto completo. Ciò include l’origine del problema, il suo potenziale impatto e i passaggi per risolverlo. E poiché ci integriamo con strumenti come JIRA, possiamo creare e tracciare automaticamente i biglietti, mantenendo la sicurezza e l’ingegneria in sincronia.

In definitiva, il nostro obiettivo è spostare la sicurezza a sinistra in modo controllato e amichevole per gli sviluppatori, in modo che i rischi vengano identificati precocemente, affrontati prontamente e non diventino blocchi più tardi nella pipeline.

Puoi guidarci attraverso il modo in cui il Risk Intelligence Graph di Cycode aiuta i team a collegare le minacce attraverso il codice, i contenitori, l’infrastruttura e il runtime?

Sì, è una funzionalità di cui siamo orgogliosi. Il Risk Intelligence Graph, o RIG, è il motore che consente a Cycode di correlare e contestualizzare i dati di sicurezza in tutta la catena di approvvigionamento del software.

Pensate al RIG come a una mappa dinamica che collega tutto, dalle dipendenze del codice sorgente e open-source ai pipeline CI/CD, ai registri di artifact e agli ambienti di runtime. Non si limita a raccogliere dati; comprende le relazioni. Quindi, quando viene trovata una vulnerabilità in un contenitore, il RIG può rintracciarla fino alla linea di codice esatta, allo sviluppatore che l’ha commessa, al pipeline che l’ha costruita e all’infrastruttura su cui sta girando.

Questo livello di visibilità è critico. Consente ai team di sicurezza di priorizzare i rischi in base al loro impatto reale, piuttosto che solo ai punteggi di gravità. Con l’AI integrata, fornisce agli sviluppatori informazioni azionabili e un contesto completo, consentendo loro di risolvere i problemi più velocemente e con maggiore fiducia.

È importante notare che il RIG non è solo un cruscotto; è uno strumento di supporto alle decisioni. Aiuta i team a passare dalla rilevazione alla risoluzione alla velocità del DevOps, collegando i punti attraverso sistemi frammentati e segnalando i rischi che veramente contano.

Come Cycode rileva e gestisce il rischio legato al codice generato da AI e alle integrazioni con servizi come OpenAI o Hugging Face?

Il codice generato da AI introduce un nuovo livello di complessità e rischio, in particolare quando proviene da servizi esterni come OpenAI o Hugging Face. Presso Cycode, abbiamo costruito capacità specifiche per affrontare questo panorama di minacce in evoluzione. Recentemente, il nostro agente di sfruttamento AI e il server MCP per proteggere lo sviluppo e il flusso di lavoro di coding.

Per quanto riguarda la nostra piattaforma, forniamo un inventario di asset dell’applicazione centralizzato che mappa tutti i componenti in un ecosistema del software, compresi i modelli AI, le librerie AI di terze parti e le integrazioni con servizi come OpenAI o Hugging Face. Ciò fornisce ai team una visibilità completa su dove viene utilizzato l’AI, anche se è profondamente incorporato nello stack.

In secondo luogo, utilizziamo strumenti di analisi del codice proprietari che vanno oltre la semplice corrispondenza dei modelli. Questi strumenti possono rilevare modelli di codice generato da AI e identificare librerie o framework comunemente associati al machine learning, NLP o all’AI generativa – anche se non sono esplicitamente etichettati come tali.

Terzo, Cycode scansiona continuamente per vulnerabilità specifiche dell’AI, come superfici di attacco avversarie, rischi di avvelenamento dei dati e minacce di estrazione del modello. Questi sono vettori emergenti che gli strumenti AST tradizionali spesso mancano. Priorizziamo questi rischi in base alla gravità e all’impatto aziendale e forniamo indicazioni di rimedio adattate al contesto dell’AI.

Infine, aiutiamo le organizzazioni a mantenere la conformità con regolamenti come l’Atto AI dell’UE, automatizzando la documentazione e fornendo trasparenza sull’utilizzo dell’AI in tutta l’applicazione. Ciò include la generazione di report sugli elementi AI, il loro scopo e il loro potenziale impatto, che è critico per la governance interna e gli audit esterni.

In breve, Cycode non si limita a rilevare il rischio legato all’AI; aiuta a gestirlo con un contesto completo, responsabilità e conformità in mente.

Quali sono le sfide più grandi nella rilevazione dei segreti attraverso ambienti SDLC moderni e come Cycode risolve questi problemi?

La rilevazione dei segreti è una delle sfide più critiche e trascurate nello sviluppo del software moderno. I segreti, come le chiavi API, i token e le credenziali, vengono spesso hardcoded nel codice sorgente, nei pipeline CI/CD e nei file di configurazione. E con l’aumento delle squadre distribuite, delle dipendenze open-source e dei cicli di rilascio rapidi, questi segreti possono facilmente fuoriuscire nei repository pubblici o essere sfruttati dagli attaccanti.

La sfida è che i segreti non si trovano più solo nel codice. Sono ovunque, negli ambienti di build, nei registri di artifact e negli strumenti di terze parti. Gli scanner tradizionali spesso li mancano o generano eccessivo rumore, rendendo difficile per i team prendere azioni.

Presso Cycode, adottiamo un approccio olistico alla sicurezza. La nostra piattaforma scansiona l’intero SDLC, dal repository del codice ai pipeline CI/CD e agli ambienti di runtime, per rilevare i segreti esposti in tempo reale. Correliamo i risultati con il contesto, in modo che i team sappiano non solo cosa è stato esposto, ma dove, da chi e quanto è critico.

Enforziamo anche l’accesso con privilegi minimi e configurazioni di pipeline sicure per prevenire l’uso improprio dei segreti. E poiché ci integriamo con i sistemi di tracciamento dei problemi e i flussi di lavoro degli sviluppatori, il rimedio è rapido e senza attrito.

In definitiva, la rilevazione dei segreti non è solo questione di trovare la fuoriuscita, ma di proteggere l’intero “software factory”. È questo che la piattaforma di Cycode è stata progettata per fare.

Come assicuri l’accuratezza e riduci i falsi positivi quando scansioni per vulnerabilità o segreti?

Affrontare i falsi positivi può essere incredibilmente frustrante per gli sviluppatori. Quando i team sono costantemente bombardati da avvisi irrilevanti, è facile iniziare a ignorarli, ed è proprio quando le vere minacce possono sfuggire. Attraverso il nostro motore SAST, aiutiamo i team a identificare le debolezze del codice, raggiungere l’accuratezza e concentrarsi sui veri positivi per risparmiare tempo e accelerare la consegna del software. Nei test di benchmark OWASP, Cycode ha raggiunto un tasso di falsi positivi del 2,1%, rappresentando una riduzione del 94% rispetto ai metodi alternativi.

Primo, ci concentriamo sulla correlazione contestuale. Invece di semplicemente segnalare un potenziale problema e passare oltre, la nostra piattaforma lo collega al quadro più ampio della catena di approvvigionamento del software di un’organizzazione. Pertanto, se un segreto viene scoperto in un commit, associamo quella scoperta al pipeline che l’ha costruito, all’ambiente in cui è stato distribuito e allo sviluppatore che l’ha aggiunto. Questo contesto aggiuntivo ci aiuta a determinare se qualcosa rappresenta un rischio reale o è semplicemente inoffensivo.

Successivamente, i nostri algoritmi di scansione proprietari fanno molto più del semplice abbinamento dei modelli. Il nostro motore di rilevamento dei segreti analizza i modelli, l’entropia e il modo in cui la stringa viene utilizzata, consentendoci di distinguere tra segreti genuini e entità simili, come dati di test o testo di placeholder.

Ci integriamo anche con i sistemi di tracciamento dei problemi e i flussi di lavoro degli sviluppatori per mantenere tutto collegato. Quando una vulnerabilità o un segreto viene confermato e risolto, quel feedback aiuta a rendere i nostri modelli più intelligenti. Assegnando le problematiche in base alla proprietà del codice, aiutiamo a garantire che i problemi vengano diretti alle persone giuste senza duplicazione inutile.

In definitiva, il nostro obiettivo è semplice. Ci concentriamo su rendere la sicurezza qualcosa su cui i team possano fare affidamento: meno falsi allarmi, più risultati precisi e risoluzioni più rapide. In questo modo, i team possono concentrarsi sul risolvere i problemi reali che contano di più.

Quali tipi di attacchi o vulnerabilità ti aspetti che aumentino man mano che più aziende adottano l’AI nei loro flussi di lavoro di sviluppo?

Man mano che l’AI diventa sempre più parte integrante del lavoro di sviluppo quotidiano, ci aspettiamo di incontrare un nuovo insieme di vulnerabilità. Queste non saranno solo sfide tecniche; alcune verranno dal modo in cui le persone e i team interagiscono con questi strumenti.

Uno dei rischi più significativi è che gli sviluppatori potrebbero diventare eccessivamente dipendenti dal codice generato da AI. Se gli sviluppatori suppongono che ogni suggerimento dell’AI sia corretto, potrebbero accidentalmente introdurre bug o problemi di sicurezza nascosti. Poiché le linee di responsabilità possono diventare confuse quando il codice proviene da una macchina, questi problemi potrebbero sfuggire inosservati.

C’è anche una crescente preoccupazione per gli attacchi alla catena di approvvigionamento che prendono di mira specificamente i modelli AI e le API. Ad esempio, se servizi di fiducia come OpenAI o Hugging Face vengono compromessi, o se qualcuno inserisce un modello maligno in un flusso di lavoro, gli attaccanti potrebbero alterare gli output o rubare informazioni sensibili.

Un’altra minaccia emergente è l’avvelenamento dei dati. In questo scenario, gli attaccanti apportano modifiche sottili e strategiche ai dati di training che possono successivamente influenzare il comportamento del modello AI. Questo tipo di attacco è particolarmente pericoloso in aree come la rilevazione delle frodi o il controllo di accesso, dove la sicurezza è cruciale.

Inoltre, le aziende affronteranno una crescente pressione intorno all’esplicabilità e alla conformità. Nuove normative, come l’Atto AI dell’UE, richiederanno alle organizzazioni di spiegare come i loro sistemi AI prendono decisioni e quali sono le basi per queste decisioni. Ciò può essere molto impegnativo se i modelli sono scatole nere o se i team utilizzano strumenti di terze parti che mancano di trasparenza.

Presso Cycode, stiamo sviluppando strumenti che aiutano i team a identificare rischi specifici dell’AI, come vulnerabilità avversarie, abuso dei modelli e integrazioni non sicure. Vogliamo anche assicurarci che gli sviluppatori rimangano responsabili del codice che consegnano, sia esso scritto da una persona o generato autonomamente.

Guardando cinque anni avanti, come vedi l’evoluzione del ruolo dell’AI nella sicurezza della catena di approvvigionamento del software?

L’AI sta già trasformando il modo in cui affrontiamo la sicurezza delle applicazioni, ma la sua influenza completa sulla catena di approvvigionamento del software è solo all’inizio. Nei prossimi cinque anni, credo che l’AI diventerà una parte integrante di come identifichiamo, priorizziamo e affrontiamo i rischi in tutto il processo di sviluppo.

Per iniziare, l’AI aiuterà a portare i team di sicurezza e sviluppo più vicini. Attualmente, c’è spesso tensione, poiché gli strumenti di sicurezza possono interrompere i flussi di lavoro o mancare di contesto essenziale. L’AI ha il potenziale di smussare questi bordi trasformando le scoperte di sicurezza in informazioni azionabili, raccomandando automaticamente le soluzioni e generando soluzioni di codice sicuro adattate al flusso di lavoro di ogni team.

L’AI sarà anche sempre più importante per capire cosa sta succedendo in tempo reale. Monitorerà gli ambienti di build, i contenitori e le API, identificando attività insolite man mano che si verificano. Questo monitoraggio in tempo reale sarà essenziale man mano che gli attacchi alla catena di approvvigionamento diventeranno più sofisticati e più difficili da rilevare con la sola scansione tradizionale.

Inoltre, l’AI aiuterà le aziende a navigare nel crescente labirinto di regolamenti. Man mano che i governi introducono più regole su come utilizzare l’AI, le organizzazioni avranno bisogno di strumenti che possano spiegare il ragionamento dietro ogni decisione AI, tracciare da dove provengono i modelli e garantire la responsabilità attraverso sistemi complessi. Vedrò l’AI intervenire per creare documentazione, mappare le dipendenze e aiutare a far rispettare le politiche.

Tuttavia, con tutti questi progressi, la supervisione umana rimarrà critica. L’AI non è qui per sostituire le persone, ma per potenziarle. Gli sviluppatori e i team di sicurezza dovranno sempre assumersi la responsabilità, soprattutto quando il codice generato da AI potrebbe introdurre nuovi rischi. È un grande motivo per cui siamo impegnati a costruire strumenti che rendano l’AI il più trasparente, comprensibile e responsabile possibile.

In definitiva, l’AI diventerà il filo conduttore che rende le catene di approvvigionamento del software più sicure, ma solo se la useremo in modo ponderato e manterremo le persone coinvolte in ogni fase del percorso.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Cycode.