자베드 하산, Lineaje의 CEO 및 공동 창립자 – 인터뷰 시리즈

자베드 하산, Lineaje의 CEO이자 공동 창립자는 오라클, 심맨틱, 맥아피, 트렐릭스 등에서 수십 년간의 리더십 경험을 가진 베테랑 사이버 보안 및 엔터프라이즈 소프트웨어 이사이다. 그의 경력 동안, 하산은 엔드포인트 보안, 클라우드 인프라, SaaS 전환, 엔터프라이즈 사이버 보안 혁신에 초점을 맞춘 대규모 제품, 엔지니어링, 전략 팀을 이끌었다. Lineaje에서 그는 산업계에서 가장 빠르게 성장하는 도전 중 하나를 해결하는 데 집중하고 있다. 즉, 최신 소프트웨어 공급망을 보안하여 조직이 오픈 소스 및 제3자 구성 요소를 소프트웨어 애플리케이션 내에서 식별할 수 있도록 하는 것이다.

Lineaje는 소프트웨어 공급망 보안에 전문적인 사이버 보안 회사로, 조직이 현대적인 소프트웨어 의존성 내에 숨겨진 위험을 식별, 보안, 관리하는 것을 도와준다. 그들의 플랫폼은 소프트웨어 빌드 물질 명세서(SBOM) 기술에 중점을 두고 있으며, 이는 소프트웨어의 구성 요소, 라이브러리, 의존성을 목록화하여 소프트웨어의 성분 목록과 같은 역할을 한다. 이 회사는 상황에 따른 위험 분석, 자동 취약점 수정, 규정 준수 관리, AI 기반 “자체 치유” 소프트웨어 공급망 워크플로우를 제공하며, 이는 보안 약점을 자동으로 식별하고 배포 전에 수정하는 것을 목표로 한다. Lineaje의 기술은 오픈 소스 취약점, 소프트웨어 공급망 공격, SBOM 투명성에 대한 규정 준수 요구와 관련된 증가하는 위협을 직면한 기업과 정부에 점점 더 관련성이 있다.

오라클, 맥아피, 심맨틱, 트렐릭스와 같은 회사에서 수십 년간의 리더십 역할을 맡아왔으며, 기업 사이버 보안 제품을 형성하는 데 기여했습니다. Lineaje를 2022년에 공동 창립하기 위해 당신이 그 역할에서 어떤 경험을 했으며, 무엇을 해결하기 위해 회사를 설립했습니다?

30년 이상의 사이버 보안 경험을 통해, 나는 50개 이상의 기업 보안 제품을 구축하고 확장했으며, 심맨틱의 클라우드 전환을 이끌었으며, 세계에서 가장 큰 SaaS 엔드포인트 보안 플랫폼을 출시했다. 오라클, 맥아피, 심맨틱, 트렐릭스와 같은 경험을 통해, 나는 일관된 패턴을 보았다. 즉, 조직이 완전히 이해하지 못하는 소프트웨어를 신뢰해야 했다.

산업계는 속도에 최적화되었지만, 가시성에는 최적화되지 않았다. 오픈 소스, 제3자 구성 요소, 자동화, 그리고 이제는 AI 생성 코드가 소프트웨어를 더 빠르게 구축할 수 있게 했지만, 이해하기 더 어렵게 만들었다. 신뢰는 검증되는 대신 가정되었다.

AI는 이 문제를 창조하지 않았지만, 이미 존재하는 문제를 가속화하고暴露했다. 이것이 2022년에 Lineaje를 공동 창립하게 된 이유이다. 즉, 조직이 자신의 소프트웨어와现在의 AI에 대해 지속적이고 전체 수명 주기 이해를 가지도록 하는 것이다.

소프트웨어 공급망 공격은 가장 빠르게 성장하는 사이버 보안 위협 중 하나가 되었습니다. 전통적인 보안 도구가 이러한 위험을 효과적으로 해결하는 데 어려움을 겪는 이유는 무엇입니까?

전통적인 보안 도구는 다른 운영 모델을 위해 구축되었다. 레거시 보안은 애플리케이션을 위해 구축되었다. 현대적인 위험은 생태계에 존재한다.它们는 정적 애플리케이션, 주변 이벤트 또는 알려진 취약점을 분리하여 검사하기 위해 설계되었다. 따라서 많은 조직은 여전히 반응적으로 작동하고 있다. 반면에 위험은 의존성, 빌드 시스템, 패키지 저장소, 컨테이너, 전이적 오픈 소스 라이브러리 및 제3자 구성 요소와 같은 환경에서 분산되어 있으며, 종종 프로덕션 전에 도입된다.

대부분의 레거시 도구는 위험 구성 요소를本当に취약한지, 어떻게 환경에 들어왔는지, 그리고 다운스트림에 무엇과 연결되는지 결정하기 위해 필요한 깊은 계보, 지속적인 가시성 및 상황에 따른 이해를缺乏한다. 이것은 조직이 계속적인 전체 수명 주기 제어를 요구하는 풍경에서 반응적으로 작동하도록 만든다.

Lineaje는 전체 수명 주기 소프트웨어 공급망 보안에 중점을 두고 있으며, 조직이 자신의 애플리케이션에 존재하는 구성 요소와 취약점을 정확하게 이해하도록 도와준다. AI 생성 소프트웨어의 시대에 이러한 투명성이 왜 इतन 중요한가?

AI는 생성과 노출 사이의 시간을 압축한다. 코드 생성을 가속화하지만, 자동으로 증명성, 추적 가능성 또는 신뢰성을 증가시키지 않는다. 개발자와 AI 어시스턴트가 코드와 워크플로우를 전례 없는 속도로 생성할 수 있을 때, 조직은 환경에 도입되는 모델, 라이브러리, 에이전트 및 외부 서비스를 정확하게 알 수 있어야 한다.

그런 투명성이 없으면, 조직은 구축되는 것을 관리할 수 없으며, 규정 준수를 검증하고, 고객에게 소프트웨어를 확신할 수 없다. 오늘날의 AI 주도적인 세계에서, 조직은 모든 의존성과 모델 상호 작용을 추적할 수 있어야 하며, 어디에서 왔는지, 그리고 안전한지 알 수 있어야 한다.

Lineaje는 UnifAI를 소개하고 있습니다. UnifAI는 빌드 타임에 에이전트 AI 애플리케이션을 관리하고 보안하는 자율적인 AI 정책 컨트롤러입니다. 이 제품은 현재 AI 개발 생태계에서 어떤 격차를 해결하도록 설계되었나요?

기업은 AI 실험에서 실제 워크플로우에 걸쳐 에이전트를 배포하는 것으로 이동하고 있습니다. 简単하게 말하면, 에이전트 AI에 대한 보안 및 규정 준수 제어 플레인을 필요로 합니다. 그러나 대부분의 기업은 아직도 이러한 시스템을 구축하기 위해 중앙 제어 플레인을 가지고 있지 않습니다. 즉, AI 자산을 발견하고, 일관된 정책을 정의하며, 보안 및 규정 준수 가드레일을 적용하는 중앙 제어 플레인이 없습니다.

UnifAI는 이러한 격차를 메우기 위해 설계되었습니다. 그것은 개발 워크플로우에 직접적으로 통합되는 자율적인 AI 정책 오케스트레이터입니다. 또한, 그것은 AI 자산을 지속적으로 발견하고, AI 빌드 물질 명세서(AI BOM)를 생성하며, 정책을 파생시키고, 애플리케이션이 프로덕션에 도달하기 전에 가드레일을 적용합니다.

많은 조직이 에이전트와 AI 생성 애플리케이션을 배포하기 위해 경쟁하고 있지만, 보안 팀은 프롬프트 주입, 취약한 오픈 소스 라이브러리, 규정 준수 문제와 같은 위험에 대해 우려하고 있습니다. 이러한 위험은 오늘날 얼마나 심각한가요? 그리고 회사들은 어디에서 가장 취약한가요?

이러한 위험은 매우 실제적이고 심각합니다. 에이전트 AI의 가장 큰 도전은 공격 표면이 정적 소프트웨어보다 더广泛하고 예측할 수 없다는 것입니다. 프롬프트 주입, 데이터 누출, 취약한 오픈 소스 의존성, 약한 정책 적용, 이유 조작, 권한 드리프트 및 낮은 코드 및 노코드 환경에서 보이지 않는 의사 결정과 같은 위험들이 있습니다.

私の見解では, 회사들은 가장 취약한 이유는 속도가 거버넌스를 앞섰기 때문입니다. 비즈니스 팀이統一된 보안 프레임워크 없이 강력한 AI 워크플로우를 조립할 수 있으며, 조직이 환경에서 작동하는 모든 모델, 에이전트, 스킬 및 데이터 연결을 볼 수 없기 때문입니다. 시스템은 기술적으로 실패하지 않을 수 있지만, 안전하지 않은 결과로 이유를 찾을 수 있습니다. 이러한 숨겨진 위험은 가장 빠르게 축적됩니다.

기업은 개발자 생산성과 보안 거버넌스를 균형잡는 도전을 직면하고 있습니다. UnifAI와 같은 도구는 개발 워크플로우에 보안 제어를 삽입하여 어떻게 혁신을 방해하지 않고 속도를 높일 수 있나요?

올바른 접근 방식은 개발자가 이미 작업하는 곳에서 거버넌스를 작동하는 것입니다. UnifAI는 코딩 어시스턴트 및 낮은 코드 또는 노코드 에이전트 AI 플랫폼과 직접 통합되도록 설계되었습니다. 따라서 정책은 애플리케이션이 생성되는 동안 적용될 수 있으며, 후속 검토를 통해 수동으로 검토하는 대신에, 정책은 기계적으로 적용될 수 있습니다.

그것은 자산을 자동으로 발견하고, 정책을 추천하거나 파생시키고, 내부 거버넌스 문서를 적용 가능한 제어로 번역하며, 워크플로우 자체에서 가드레일을 적용할 수 있습니다. 즉, 정책은 계층화되지 않고, 기계적으로 적용됩니다. 잘 작동할 때, 개발자는 중단하지 않고 더 빠르게 이동할 수 있으며, 보안 팀은 일관성을 얻지만, 병목 현상을 일으키지 않습니다.

Lineaje는 소프트웨어 공급망을 분석하고 취약점을 자동으로 수정하는 AI 기반 도구를 구축했습니다. AI는 전통적인 정적 분석 또는 수동 보안 검토와 비교하여 조직이 위험을 관리하는 방식을 어떻게 변경합니까?

AI는 위험 관리를 지속적이고 상황에 따른 것으로 만듭니다. 전통적인 정적 분석과 수동 검토는 여전히 가치가 있지만, 현대적인 소프트웨어와 AI 개발의 규모와 속도에 너무 느리며, 너무 단편적입니다. 목표는 더 많은 경보를 받는 것이 아닙니다. 목표는 배포 전에 노출을 제거하는 것입니다. AI는 환경을 지속적으로 매핑하고, 의존성을 상관시키고, 상황에 따른 위험을 평가하고, 정책을 추천하고, 많은 경우에 자동으로 수정할 수 있습니다.

인간이 문제를 발견하고, 분류하고, 다음에 무엇을 할지 결정하기를 기다리지 않고, 조직은 문제를 더 일찍 식별하고, 그 영향을 이해하고, 보정 조치를 더 빠르게 취할 수 있습니다. 이것이 결과 기반 AI 보안의 기초입니다. 즉, 탐지를 방지로, 최종적으로는 제거로 이동하는 것입니다.

AI가 애플리케이션 코드의 더 큰 부분을 생성하기 시작할 때, 조직은 소프트웨어 계보, 추적 가능성 및 고객에게 제공하는 것에 대한 신뢰를 어떻게 다시 생각해야 합니까?

조직은 계보를 1차적인 요구 사항으로 다루어야 합니다. AI 지원 개발 모델에서, 추적 가능성은 코드, 오픈 소스 의존성, 모델, 에이전트 및 개발 및 배포 중에 적용된 정책을 포함하여 입력의 전체 체인을 포함해야 합니다. 이것은 동적 빌드 물질 명세서, 더 강한 증명, 그리고 신뢰가 지속적으로 검증되는 운영 모델을 필요로 합니다.

표준은 이렇게되어야 합니다. 추적할 수 없으면, 관리할 수 없으면, 설명할 수 없으면, 출하해서는 안 됩니다.

규정 및 규정 준수 요구 사항은 점점 더 기업이 소프트웨어와 AI 시스템을 보안하는 방식에 영향을 미치고 있습니다. 향후 몇 년 동안 규정 준수 기술의 채택에 대한 글로벌 규제 프레임워크의 영향을 어떻게 볼 수 있습니까?

규제는 주요 가속기입니다. 소프트웨어 보증 및 AI 거버넌스 요구 사항이 더 명확해짐에 따라, 거버넌스는 운영 인프라가 되고 있으며, 백오피스 규정 준수 연습이 아닙니다. 기업은 정책을 작동하는 시스템이 필요하며, 규정 준수를 스프레드시트 및 시점 감사로 관리하는 시스템이 아닙니다.

기업은 이미 EU AI 법 및 정립된 지침과 같은 나올거 같은 프레임워크에 맞추려 하고 있지만, 이러한 요구 사항을 개발 및 런타임 환경 내에서 시행 가능한 제어로 번역할 수 있는 기술이 필요합니다.

다음 몇 년 동안, 거버넌스 플랫폼은 좋을 수 있는 것에서 핵심 기업 제어 스택의 일부가 될 것입니다. 왜냐하면 규제 기관, 고객, 이사회는 모두 검증 가능한 감독 증거를 기대하기 때문입니다. 감독 증거는 필수적이 됩니다.

앞으로, AI 주도적인 애플리케이션 거버넌스의 미래는 어떠할까요? 자율적인 시스템이 궁극적으로 소프트웨어 보안 라이프사이클의 큰 부분을 관리할 것으로 예상합니까?

예, 나는 자율적인 시스템이 소프트웨어 보안 라이프사이클의 더 큰 부분을 관리할 것으로 믿습니다. 그러나, 정책, 위험 허용, 예외 처리에 대한 인간의 감독이 필요합니다. 보안 팀은 더 이상 모든 문제를 추적할 수 없습니다. 거버넌스는 AI 속도에서 작동해야 합니다.

미래는 인간이 의도와 정책을 정의하고, 자율적인 시스템이 지속적으로 실행하는 모델입니다. 지능형 플랫폼은 자산을 지속적으로 발견하고, 라이브 빌드 물질 명세서를 유지하며, 위협을 감지하고, 정책을 시행하며, 실시간으로 문제를 수정합니다. 인간 팀은 여전히 방향을 정의하고, 높은 결과를 결정할 것입니다. 그러나, 지속적인 거버넌스, 자율적인 시행, 라이브 운영 신뢰가 기초가 됩니다. 이것이 조직이 지금 예상하는 속도로 소프트웨어와 에이전트 AI를 거버넌스하는唯一 지속 가능한 방법입니다.

멋진 인터뷰 감사합니다. 더 많은 정보를 원하는 독자는 Lineaje를 방문하십시오.