Varun Badhwar, Fondatore e Amministratore Delegato di Endor Labs – Serie di Interviste

Varun Badhwar, Fondatore e Amministratore Delegato di Endor Labs, è un imprenditore nel settore della sicurezza informatica riconosciuto per aver costruito e guidato aziende all’avanguardia nella sicurezza cloud e delle applicazioni. Dal 2021, ha diretto Endor Labs, che si concentra sulla sicurezza dello sviluppo software guidato dall’intelligenza artificiale. In precedenza, è stato SVP e GM di Prisma Cloud presso Palo Alto Networks (PANW ) e fondatore di RedLock, una startup di sicurezza cloud acquisita da Palo Alto Networks.

Endor Labs è una piattaforma di sicurezza delle applicazioni costruita per l’era dell’intelligenza artificiale, progettata per aiutare i team di ingegneria e sicurezza a bilanciare velocità e sicurezza nello sviluppo software. La piattaforma integra funzionalità come l’analisi della composizione del software basata sulla raggiungibilità, SAST, scansione dei container, rilevamento dei segreti e protezione della pipeline CI/CD in una vista unificata, aiutando i team a identificare quali vulnerabilità sono realmente importanti e a priorizzare le correzioni. Include anche agenti di intelligenza artificiale che analizzano le richieste di pull per modifiche architettoniche e rilevano rischi nel codice generato dall’intelligenza artificiale all’inizio del ciclo di vita dello sviluppo.

Ha costruito e scalato importanti imprese di sicurezza — come hanno portato quelle esperienze a fondare Endor Labs e qual era il problema che era più determinato a risolvere all’inizio?

Nel 2021, ero a Palo Alto Networks quando si verificò la violazione di SolarWinds (SWI ). È stato enorme. Ogni cliente che utilizzava il loro software è stato interessato e noi non eravamo un’eccezione. Quando ho esaminato come gestivamo il nostro software, ho realizzato che avevamo 450 ingegneri e 68.000 vulnerabilità di sicurezza, eppure gli ingegneri ignoravano la maggior parte di esse. Il motivo? Un’enorme percentuale di allarmi, tra l’80-90%, erano falsi positivi e gli strumenti tradizionali non capivano come lavoravano realmente gli sviluppatori.

È stato allora che ho capito: lo sviluppo software moderno è più un’assemblea che una creazione. Stiamo spedendo codice che è per lo più costituito da librerie di terze parti, senza garanzie sulla qualità o sulla sicurezza. Ho visto la disconnessione tra i team di sicurezza e gli ingegneri, la dinamica avversariale e l’attrito politico. Sapevo che dovevamo ripensare la sicurezza delle applicazioni dall’inizio, il che ha portato alla fondazione di Endor Labs.

Endor Labs ora protegge milioni di applicazioni per organizzazioni che vanno dalle società finanziarie alle piattaforme SaaS. Quali sono i casi d’uso più comuni che sta vedendo e perché i clienti si rivolgono a lei?

I nostri clienti vengono da noi per proteggere le loro catene di approvvigionamento software e i flussi di lavoro degli sviluppatori. Vogliono verificare le dipendenze open source prima della produzione, segnalare automaticamente il codice generato dall’intelligenza artificiale ad alto rischio e, in ultima analisi, integrare la sicurezza direttamente nei flussi di lavoro degli sviluppatori.

La maggior parte degli scanner semplicemente lancia vulnerabilità agli sviluppatori e se ne va, creando rumore che gli ingegneri inevitabilmente ignorano. E con la codifica basata sull’intelligenza artificiale ormai mainstream, quell’approccio semplicemente non funziona. In Endor, forniamo analisi consapevoli del contesto e informazioni azionabili, in modo che i team di sicurezza e ingegneria possano nuovamente fidarsi l’uno dell’altro.

Gli sviluppatori spesso affrontano tensioni tra velocità e sicurezza. Come aiuta la sua piattaforma a riconciliare questa sfida?

Velocità contro sicurezza è il più antico dilemma nello sviluppo software. La codifica basata sull’intelligenza artificiale ha reso quel compromesso ancora più pronunciato. Il 45% degli sviluppatori utilizza assistenti di intelligenza artificiale quotidianamente, il che accelera la velocità ma introduce anche codice insicuro.

In Endor Labs, incorporiamo la sicurezza direttamente nei flussi di lavoro che gli sviluppatori già utilizzano. Pensiamo a IDE, richieste di pull, pipeline Git. La nostra filosofia è semplice: la sicurezza è solo una classe di bug. Trattatela come qualsiasi altro bug del software e diventa parte del processo di sviluppo naturale invece di un ripensamento. Riducendo il rumore e fornendo indicazioni chiare, consentiamo agli sviluppatori di muoversi rapidamente mentre assicuriamo che il software che consegnano sia sicuro.

I falsi positivi sono uno dei più grandi punti dolenti nella sicurezza. Come sta affrontando quel problema in modo diverso?

I falsi positivi sono enormi. Ho visto ingegneri ignorare significative porzioni di allarmi perché sono insignificanti. È pericoloso in un mondo in cui gli attacchi basati su terze parti stanno crescendo a due cifre e gli avversari sfruttano porte laterali nei flussi di lavoro degli sviluppatori.

Il nostro approccio è quello di dare priorità al contesto. Invece di abbinare ogni vulnerabilità comune e esposizione (CVE) a una dipendenza, analizziamo il percorso del codice, la logica aziendale e persino le modifiche progettuali generate dall’intelligenza artificiale. Abbiamo anche sviluppato il protocollo di contesto del server Endor Labs Model (MCP), che consente agli agenti di intelligenza artificiale di chiamare gli strumenti backend per correzioni precise invece che immaginarle. Altri strumenti non possono offrire questo livello di precisione perché mancano del contesto dell’applicazione. Non sanno cosa fa il tuo codice, come si parlano i tuoi servizi, o cosa sembri una correzione sicura. Il risultato è un minor numero di allarmi insignificanti e indicazioni più pragmatiche che gli sviluppatori possono effettivamente seguire.

La catena di approvvigionamento del software è ora considerata uno dei rischi più urgenti per le imprese. Perché questo problema è così critico oggi?

Il codice open source domina ormai il software aziendale e lo sviluppo software si è trasformato in assemblaggio di software. Circa il 90% dei componenti nelle applicazioni moderne sono esterni e gli assistenti di codifica dell’intelligenza artificiale stanno introducendo ulteriori dipendenze automaticamente. Ciò significa che una singola vulnerabilità può propagarsi attraverso milioni di applicazioni.

Le poste in gioco sono alte: i regolatori ora inquadrano il codice open source come una questione di sicurezza nazionale. E attacchi come l’ultimo exploit Shai-Hulud npm mostrano come gli avversari stanno attivamente prendendo di mira questi punti deboli. Senza le giuste protezioni, le imprese sono esposte su scala massiccia.

L’intelligenza artificiale sta trasformando come viene costruito il software. Quali nuovi rischi crea per la sicurezza delle applicazioni?

Gli assistenti di intelligenza artificiale sono come assumere migliaia di tirocinanti alla volta — possono aumentare la produttività, ma anche introdurre il caos se non gestiti. Gli studi mostrano che il 62% del codice generato dall’intelligenza artificiale ha problemi di sicurezza, qualità o architettura. Oltre alle vulnerabilità note, questi includono errori logici, nuovi endpoint API o errori crittografici che gli strumenti legacy non erano progettati per rilevare.

La nuova sfida è scalare la revisione del codice sicuro. Fare affidamento su ingegneri senior sovraccarichi per controllare manualmente ogni richiesta di pull non funziona. Hai bisogno di sistemi automatizzati che possano esaminare, priorizzare e guidare gli sviluppatori alla stessa velocità con cui l’intelligenza artificiale genera codice.

Alcuni sostengono che l’intelligenza artificiale introduce più vulnerabilità di quante ne prevenisce. La vede come un rischio netto o un beneficio netto a questo stadio?

Possono essere entrambi. L’intelligenza artificiale è fantastica per la prototipazione e la sperimentazione, ma gli sviluppatori inesperti che si affidano all’intelligenza artificiale possono creare uno scenario in cui il cieco guida il cieco. Il modo per capovolgere quell’equazione è accoppiare l’intelligenza artificiale con protezioni di sicurezza. Con i sistemi di revisione e le correzioni guidate da MCP in atto, puoi trasformare l’intelligenza artificiale da un rischio netto in un beneficio netto. Senza di essi, i rischi superano i guadagni.

Con il codice generato dall’intelligenza artificiale che diventa più comune, quali salvaguardie dovrebbero implementare le organizzazioni per garantire la fiducia in ciò che distribuiscono?

Trattare il codice generato dall’intelligenza artificiale come qualsiasi altra dipendenza di terze parti. Ciò significa monitoraggio continuo, verifica automatizzata e protezioni a ogni fase della pipeline. Devi anche assicurarti che gli strumenti di revisione dell’intelligenza artificiale siano stati addestrati su codice sicuro di alta qualità — non solo repository casuali di GitHub.

E poi vai oltre la rilevazione. Quando una dipendenza a rischio viene segnalata, i tuoi strumenti dovrebbero raccomandare il percorso di aggiornamento che evita di rompere la tua app. È la differenza tra caos e controllo. Mi piace pensare che sia come le corsie di bowling: la palla si muove ancora velocemente, ma rimane sulla pista.

La trasparenza è centrale nel suo stile di leadership. Come condividere sia vittorie che passi falsi influenza la cultura e le prestazioni?

Cerchiamo la trasparenza radicale in Endor Labs. Ciò significa condividere sia il bene che il male – e non solo le prestazioni aziendali, ma anche cose come piani di stock e rischi strategici. I dipendenti sono adulti. Il nostro team può gestire la realtà. Essere aperti costruisce fiducia, impegno e senso di proprietà, e aiuta le persone a prendere decisioni migliori.

Spesso potenzia i leader emergenti all’inizio della loro carriera. Quali consigli dà ai primi manager che assumono grandi responsabilità?

Mi piace dare ai membri del team promettenti grandi ruoli all’inizio e fidarmi che crescano nella posizione. Con la mentorship e il supporto, imparano in fretta. Il mio consiglio: abbracciare la responsabilità, imparare dai fallimenti e costruire credibilità attraverso l’azione. Le persone spesso sorprendono con ciò che possono realizzare quando gli si dà lo spazio.

Guardando avanti di cinque anni, quali sono le più grandi opportunità e sfide nella sicurezza della catena di approvvigionamento del software?

Con gli assistenti di codifica dell’intelligenza artificiale e i citizen developer che ridisegnano i flussi di lavoro, avremo bisogno di sistemi che agiscano come un “programmatore di sicurezza in coppia” che esaminano ogni richiesta di pull in tempo reale, scalano la revisione del codice sicuro e danno agli sviluppatori un contesto in cui possono fidarsi. È il motivo per cui in Endor Labs abbiamo costruito il nostro server MCP e l’architettura multi-agente, che già aiutano i clienti a stare al passo con lo sviluppo nativo dell’intelligenza artificiale.

La sfida è che la catena di approvvigionamento stessa sta diventando solo più complessa. Oggi, il codice è in larga misura assemblato da componenti esterni e ogni nuovo strumento di intelligenza artificiale introduce un altro livello di dipendenza. Le aziende che non ripensano i loro modelli si troveranno esposte.

Stiamo vedendo questa urgenza svolgersi in tempo reale — Endor Labs ora protegge oltre 7 milioni di applicazioni, scansiona 1,6 milioni di richieste di pull al mese e riduce il rumore di più del 90% per i team di ingegneria. Cinque anni da ora, le organizzazioni che usciranno vincitrici saranno quelle che trattano la codifica sicura come parte fondamentale della produttività degli sviluppatori.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Endor Labs.