Ian Riopel、Root.ioのCEO兼共同創設者 – インタビュー・シリーズ

イアン・リオペル、Root.ioのCEO兼共同創設者は、クラウドネイティブ・ソリューションを使用してソフトウェア・サプライ・チェーンをセキュアにする会社のミッションをリードしています。15年以上のテクノロジーとサイバーセキュリティの経験を持つ彼は、Slim.AIとFXPでのエンタープライズ・セールス、ゴー・トゥ・マーケット・ストラテジー、パブリック・セクター・グロースに関するリーダーシップ・ロールを担ってきました。また、MITスローンからACEを取得し、アメリカ陸軍諜報学校の卒業生でもあります。

Root.ioは、エンタープライズがソフトウェア・サプライ・チェーンをセキュアにするために設計されたクラウドネイティブ・セキュリティ・プラットフォームです。開発パイプライン全体で信頼とコンプライアンスを自動化することで、Root.ioはモダンなDevOpsチームにとってより迅速で信頼性の高いソフトウェア・デリバリーを可能にします。

Rootの創設にインスパイアされたのは何ですか？また、自動脆弱性修復（AVR）のアイデアはどのようにして生まれたのですか？

Rootは、私たちが繰り返し直面した深い苛立ちから生まれました。組織が脆弱性を完全に排除することができない大量の時間とリソースを費やしているのを見てきました。トリアージは、技術的負債であるCVEの急速な蓄積に対する唯一の防御手段となりましたが、脆弱性の発生率が高まるにつれて、トリアージだけではもう十分ではありません。

Slim Toolkit（旧DockerSlim）のメンテナーとして、私たちはすでにコンテナの最適化とセキュリティに深く関与していました。コンテナが標準的なソフトウェア開発ライフサイクルの一環として自己修復できるのではないかと考えるのは自然なことです。自動修復、現在では自動脆弱性修復（AVR）と呼ばれるアプローチは、私たちの解決策でした。これは、トリアージとリストの作成に焦点を当てるのではなく、脆弱性を直接自動的に排除するものでした。

Rootは以前Slim.AIとして知られていました。リブランドの理由は何ですか？また、会社はその移行期間中にどのように進化しましたか？

Slim.AIは、開発者がコンテナを最小限に抑え、最適化するのを助けるツールとして始まりました。しかし、私たちの技術は、開発者最適化ツールから、プロダクションのスケールでソフトウェアをプロアクティブにセキュアにすることができる強力なプラットフォームへと進化したことを私たちが認識しました。Rootへのリブランドは、この変革的な変化を捉えました。開発者最適化ツールから、オープンソース・ソフトウェアに関する厳格なセキュリティ要求を満たすことができる強力なセキュリティ・ソリューションへと。Rootは、私たちのミッションを体現しています。ソフトウェア・リスクの根幹に立ち、インシデントになる前に脆弱性を修復することです。

あなたのチームには、シスコ、トラストウェーブ、スニクからのサイバーセキュリティの深いルーツを持つメンバーがいます。集団的な経験がRootのDNAをどのように形作ったのですか？

私たちのチームは、セキュリティ・スキャナーを構築し、グローバル・エンタープライズを防御し、高リスクなインフラストラクチャのためのソリューションを設計してきました。私たちは、スピード、セキュリティ、開発者エクスペリエンスのトレードオフに直面してきました。この集団的な経験がRootのDNAを形作りました。私たちは、自動化と統合に情熱を持ちます。セキュリティ問題を単に特定するのではなく、迅速に解決します。私たちの経験が私たちの決定を導き、セキュリティがイノベーションを妨げるのではなく、促進することを保証します。

Rootは、リビルドやダウンタイムなしにコンテナの脆弱性を数秒で修復できるという主張をしています。AVRテクノロジーは実際にどのように機能しますか？

AVRは、コンテナ・レイヤーで直接機能し、迅速に脆弱なパッケージを特定し、イメージ自体内でそれらを修復または置き換えます。コンテナ内の脆弱なコード・スニペットをシームレスにセキュアな代替品と交換し、依存関係、レイヤー、ランタイムの動作を維持することを考えてみてください。アップストリーム・パッチを待つ必要はありません。パイプラインを再構成する必要はありません。これはイノベーションのスピードで修復です。

ChainguardやRapidfortなどの他のセキュリティ・ソリューションと比較して、Rootは何が違うのでしょうか？あなたのエッジはどこにありますか？

Chainguardは、キュレーションされたイメージを使用してリビルドを要求するのに対し、Rapidfortは脆弱性を直接対処するのではなく、アタック・サーフェスを縮小するのに対し、Rootは既存のコンテナ・イメージを直接パッチ適用します。私たちは、断絶なしにパイプラインにシームレスに統合します。私たちはあなたのワークフローを置き換えるのではなく、加速し、強化することを目的としています。Rootを通過するすべてのイメージは、基本的にゴールデン・イメージになります。完全にセキュアで、透明で、制御可能で、迅速なROIを提供し、脆弱性を削減し、時間を節約します。私たちのプラットフォームは、修復を数週間または数日から120〜180秒に削減し、高度に規制された業界の企業が、1回のセッションで数か月にわたる脆弱性のバックログを排除できるようにします。

開発者は、新しい製品を構築し、出荷することに焦点を当てるべきです。セキュリティの脆弱性を修復するのではなく、ソフトウェア開発の面白くない側面であるセキュリティの脆弱性を修復するのではなく、時間を費やすべきではありません。悪いことに、これらの脆弱性の多くは彼ら自身のものではなく、サードパーティ・ベンダーまたはオープンソース・ソフトウェア・プロジェクトの弱点から生じ、チームが他人の問題を修復するために貴重な時間を費やすことを強いられます。

開発者と研究開発チームは、どの組織においても、人間のリソースとそれらをサポートするソフトウェアとクラウド・インフラストラクチャの両方で、最大のコスト・センターです。Rootは、開発者が手動で既知の脆弱性をチェックし、パッチ適用するために24時間体制で作業するのではなく、エージェント・AIを利用してこの負担を軽減します。

Rootは具体的にどのようにしてエージェント・AIを利用して脆弱性修復プロセスを自動化し、ストリームライン化していますか？

私たちのAVRエンジンは、経験豊富なセキュリティ・エンジニアの思考プロセスとアクションを複製するエージェント・AIを使用します。CVEの影響を迅速に評価し、利用可能なパッチを特定し、厳格にテストし、安全に適用します。これは、数秒で人間の手が加わることなく行うことができます。数千のイメージを同時にスケーリングします。修復ごとにシステムを教え、継続的にその有効性と適応性を高め、基本的にフルタイムのセキュリティ・エンジニアの専門知識をイメージに直接埋め込みます。

Rootは、フリクションを加えずに既存の開発者ワークフローにどのように統合していますか？

Rootは、コンテナ・レジストリまたはパイプラインに直接プラグインすることで、シームレスに既存のワークフローに統合されます。リベース、エージェント、サイドカーは不要です。開発者は通常のイメージをプッシュし、Rootは修復されたイメージをシームレスに公開します。必要に応じて、詳細な監査トレイル、包括的なSBOM、簡単なロールバック・オプションを提供します。

Rootは自動化とコントロールをどのようにバランスさせていますか？可視性とオーバーサイトが必要なチームにとって、Rootはどの程度カスタマイズ可能ですか？

Rootでは、自動化がコントロールを低下させるのではなく、高めるものです。私たちのプラットフォームは、高度にカスタマイズ可能で、チームは自動化のレベルを特定のニーズに合わせてスケーリングできます。自動適用するもの、手動レビューをいつ実施するか、除外するものを決定します。詳細な差分ビュー、変更履歴、影響分析を提供し、セキュリティチームが情報に基づいた決定を下し、常に権限を持つことができるようにします。

自動で修復された数千の脆弱性があり、依存関係を破壊したり、プロダクションを混乱させたりしないように、Rootはどのようにして安定性と信頼性を確保していますか？

安定性と信頼性は、RootのAVRが行うすべてのアクションの基盤です。デフォルトでは、慎重なアプローチを採用し、依存関係グラフを追跡し、互換性のあるパッチを使用し、デプロイ前にすべての修復済みイメージを公開されているすべてのオープンソース・プロジェクトのテスト・フレームワークに対して厳格にテストします。問題が発生した場合、それは早期に検出され、ロールバックは容易です。実践では、自動修復の失敗率は0.1%未満を維持しています。

AIが進化するにつれて、潜在的な攻撃面も進化します。Rootは、AI時代の新たなセキュリティ脅威に対してどのように準備していますか？

私たちは、AIを潜在的な脅威ベクトルとしてだけでなく、防御の超能力として見ています。Rootは、コンテナ化されたワークロード、包括して複雑なAI/MLスタックを含む、ソフトウェア・サプライ・チェーンに直接耐性を組み込んでいます。私たちのエージェント・AIは、脅威が進化するにつれて防御を自律的に適応させ、攻撃者が行動するよりも迅速に防御します。私たちの最終的な目標は、自律的なソフトウェア・サプライ・チェーンの耐性です。新たな脅威のスピードで自己防御するインフラストラクチャです。

素晴らしいインタビュー、ご覧になりたい読者はRoot.ioを訪問してください。