Kara Sprague, HackerOne의 CEO – 인터뷰 시리즈

Kara Sprague, HackerOne의 CEO는 2십년 이상의 경험을 가진 베테랑 기술 이사로 제품 리더십, 일반 관리, 전략 컨설팅을 소프트웨어 및 보안 부문에서 수행했습니다. 그녀는 2024년 11월에 F5의 최고 제품 책임자 및 집행 이사 등을 역임한 후 CEO 역할을 맡았습니다. 또한 그녀는 McKinsey & Company의 파트너로 10년 이상 재직하며 주요 기술 회사들에게 성장과 전략에 대한 조언을 제공했으며, Oracle에서 기술 직원으로 경력을 시작했습니다. HackerOne에서의 역할 외에도 Trimble Inc.의 이사회에서 활동하고 있습니다.

HackerOne은 해커 파워드 보안을 개척한 사이버 보안 회사로, 조직들이 글로벌 에티컬 해커 커뮤니티와 연결하여 취약점을 식별하고 악용되기 전에 수정하도록 지원합니다. 이 플랫폼은 버그 바운티 프로그램, 취약점 공개, 침투 테스트, 보안 테스트 서비스를 통해 기업과 정부를 지원하며, 인간 전문 지식과 자동화 및 AI驱动 워크플로를 결합합니다. 보안을 반응형에서 예방형 모델로 전환함으로써, HackerOne은 조직들이 위험을 줄이고 탄력성을 향상시키기 위해 현대적인 애플리케이션 보안 스택의 중요한 부분이 되었습니다.

2024년 11월에 HackerOne의 CEO로 임명되었습니다. HackerOne에 대한 도전을 맡기 위해 경력의 이 단계에서 무엇이 당신을 끌렸나요? 그리고 회사를 이끌기 시작했을 때 첫 번째 우선순위는 무엇이었나요?

제 경력은 기술, 전략, 위험의 교차점에서 진행되어 왔으며, 조직들이 높은 위험과 빠르게 변경되는 환경에서 어려움을 극복하도록 지원했습니다. HackerOne에 끌린 이유는 우리가 다시 한번 이러한 전환점에 있기 때문입니다. AI가 사이버 보안 환경을 재정의하고 있습니다.

보안은 더 이상 백오피스 기능이 아닙니다. 그것은 신뢰, 탄력성, 비즈니스 속도의 핵심 驅動力입니다. 기업들은 깊게 상호 연결된 시스템, 지속적인 데이터 흐름, 그리고 전례 없는 규모의 자동화된 의사 결정에 운영됩니다. AI는 혁신을 가속화하고 있지만, 전통적인 보안 모델이 다루지 못하는 새로운 구석, 의존성, 그리고 故障 모드를 도입하고 있습니다.

그것이 HackerOne의 임무가 지금 इतन 중요하게 느껴지는 이유입니다. 우리의 임무는 더 안전한 인터넷을 구축하는 것입니다. AI 주도 세계에서 이 임무는 지금보다 더 긴급한 때가 없습니다. HackerOne은 다릅니다. 우리는 글로벌 보안 연구자 커뮤니티와 플랫폼 지능을 결합하여 공격자가 악용하기 전에 취약점을 식별하고 수정합니다. 인간-인-루프 모델은 차별화된 것이 아니라 필수적입니다.

첫 날부터, 나는 세 가지 우선순위를 집중했습니다: 에이전트 플랫폼 기능 확장, 연구자 커뮤니티 투자, 고객 및 파트너와의 신뢰 심화. 이는 AI 레드 팀을 확장하고, 하이를 코파일럿에서 조정된 에이전트 팀으로 발전시켜 조직들이 위험을 더 빠르게 우선순위화, 검증, 수정하도록 하는 것을 의미합니다. 또한 HackerOne Code를 출시하여 소프트웨어 개발 초기에 보안을 강화합니다. 오늘날, 고객의 90% 이상이 하이를 사용하여 취약점을 검증하고 수정하는 작업을 가속화합니다.

풍경은 빠르게 진화하고 있지만, 우리의 집중은 일정합니다: 위험을 정의하기 전에 위험을 포함합니다. HackerOne에서는 보안을 연속적, 실용적, 현대적인 혁신 속도에 맞게 구축하는 것을 의미합니다.

HackerOne은 펜테스팅과 AI 레드 팀의 200% 상승과 지속적인 위협 노출 관리로의 전략적 전환을 보았습니다. 이러한 추세는 회사의 장기적인 비전을 어떻게 재정의하고 있으며, 이는 기업 보안의 미래에 대해 무엇을 시사하는가?

우리가 보는 것은 스파이크가 아니라 리셋입니다. 펜테스팅과 AI 레드 팀의 200% 상승은 점진적인 보안이 현대 기업의 빠른 속도에 따라갈 수 없다는 것을 의미합니다.

이 현실은 전체 수명주기 전반에 걸쳐 지속적인 위협 노출 관리를 중심으로 우리의 장기적인 비전을 형성하고 있습니다. AI가 혁신과 공격 속도를 가속화함에 따라, 도전은 취약점을 찾는 것이 아니라, 무엇이 악용 가능하고 무엇이 가장 중요하며, 빠르게 수정하는 것입니다. 우리는 지속적인 테스트, 자율적인 검증, 지능형 우선순위, 인간 전문 지식을 결합하여 이를 수행할 수 있는 플랫폼을 구축하고 있습니다.

기업 리더들에게는 신호가 명확합니다: 보안은 주기적인 감사가 아니라 지속적인 비즈니스 규율이 됩니다. 우수한 성과를 내는 회사들은 위험을 더 일찍 식별하고, 더 빠르게 행동하며, 비즈니스 문제가 되기 전에 노출을 포함하는 회사들이 될 것입니다. 이러한 전환은 기업 보안의 미래를 정의합니다.

하이는 취약점 발견 워크플로에 어떻게 통합되며, 어디에서 연구자와 고객에게 가장 큰 가치를 제공합니까?

하이는 취약점 관리 워크플로에 직접 통합된 조정된 AI 에이전트 팀으로, 조직들이 위험을 더 빠르게 우선순위화, 검증, 수정하도록 지원합니다. 그것은 보고서의 수명주기 전반에 걸쳐 작동하며, 방어자들에게 볼륨이 증가하고 위협이 더 복잡해짐에 따라乘数로 작용합니다.

하이는 노이즈를 절단함으로써 가장 큰 가치를 제공합니다. 그것은 보고서를 요약하고, 패턴을 식별하고, 검증하고, 가장 중요할 가능성이 있는 문제를 강조함으로써 트라이어지와 이해를 개선합니다. 我们的 연구에 따르면, 20%의 사용자는 매주 6~10시간을 절약하며, 검출에서 확신 있는 수정까지의 경로를 크게 단축합니다.

연구자들도 혜택을 받습니다. 그들 중 절반이상이 이미 자신의 작업에서 AI 또는 자동화를 사용하고 있습니다. 하이는 더 강력한 증명 개념, 더 명확한 설명, 그리고 더 일관된 검증을 생성하도록 지원합니다.

기업들이 소프트웨어 스택 전반에 걸쳐 AI를 더 적극적으로 채택함에 따라, 지난 1년 동안 어떤 새로운 유형의 취약점이 나타났나요?

AI가 제품과 워크플로에 통합됨에 따라, 우리는 새로운 유형의 취약점이 의미 있는 규모로 나타나고 있습니다. 최신 Hacker-Powered Security Report에 따르면, 유효한 AI 취약점 보고서는 전년 대비 210% 증가했으며, 80%의 CISO가 보안 테스트 범위에 AI 자산을 포함합니다. 프롬프트 주입은 가장 보이는 것으로 나타났으며, 전년 대비 50% 이상 증가했으며, 여전히 공격자가 모델 동작을 영향하는 가장 일반적인 방법 중 하나입니다. 우리는 또한 모델 조작, 안전하지 않은 출력 처리, 데이터 중독, 훈련 데이터 및 응답 관리와 관련된 약점의 증가를 보고 있습니다.

이러한 위험들이 특히 중요한 이유는 시스템뿐만 아니라 의사 결정, 워크플로, 고객 신뢰를 영향하기 때문입니다. AI는 전통적인 테스트가 완전히 다루지 못하는 실패 경로를 도입합니다. 이러한 시스템이 프로덕션에 배포되고 운영적으로 더 중요해짐에 따라, 전용 및 지속적인 AI 보안 테스트는 기업 보안 프로그램의 중심이 될 것입니다.

우리의 접근 방식은 자동화된 발견과 패턴 감지를 위한 AI驱动 자동화와 실제 영향을 발견하고 실세한 약점을 발견하기 위한 인간 전문 지식을 결합합니다. 방어자들이 공격자와 동일한 속도와 규모로 작동하도록 허용합니다.

글로벌 연구자 커뮤니티가 확장됨에 따라, 어떻게 信頼, 품질, 공정성을 유지하면서 다양성과 포용성을 위한 의약을 강화합니까?

신뢰는 크라우드 파워드 보안 모델의 기초입니다. 그것은 커뮤니티가 확장됨에 따라 의도적으로 구축되어야 합니다. 우리에게 그것은 명확한 표준, 일관된 인센티브, 강력한 거버넌스에서 시작됩니다.

우리의 커뮤니티는 고객과 협력하여 다양한 기술에 걸친 실제 취약점을 식별, 검증, 수정하도록 지원하는 검증된 보안 연구자로 구성됩니다.

우리는 플랫폼 지능과 인간 감시를 결합하여 품질과 공정성을 유지합니다. 우리는 보고서를 검증하고, 규칙을 적용하고, 연구자를 영향에 따라 보상합니다. 평판 시스템, 투명한 트라이어지, 일관된 지불 모델은 시장의 양쪽에 책임을 생성합니다.

우리는 연구자 성공에 깊이 투자합니다. 온보딩, 훈련, 명확한 성장 경로를 통해, 우리는 새로운 연구자가 기술과 신뢰를 구축하도록 지원합니다. 지난 6년 동안, 50명의 연구자가 우리 플랫폼에서 100만 달러 이상을 벌었습니다. 이는 작업의 질과 모델의 공정성에 대한 강력한 신호입니다.

다양성과 포용성은 별도의 이니셔티브가 아닙니다. 그것은 생태계의 강점의 핵심입니다. 보안 도전은 글로벌이며, 다양한 관점은 다른 공격 경로와 맹점을 표면화합니다. 결과는 신뢰할 수 있고, 높은 성과를 내는 커뮤니티가 됩니다. 그것은 성장함에 따라 더 강해지며, 분산되지 않습니다.

HackerOne은 AI 보조 취약점 발견이 책임감 있게 유지되고 편향이나 오남용을 피하는 데 어떤 안전 장치를 마련했나요?

전체 플랫폼에서, AI 에이전트는 명확성을 개선하고, 보고서를 검증하고, 수정을 가속화하도록 설계되었습니다. 인간은 수락, 심각성, 응답에 대한 결정에 책임을 집니다.

우리는 고객이 기대하는 것과 동일한 표준을 자신에게 적용합니다. 우리는 내부적으로 AI 기능을 사용하고, 실제 워크플로에서 지속적으로 압력 테스트를 수행하며, 연구자 커뮤니티에게 우리의 솔루션에서 높은 영향의 취약점을 식별하도록 보상합니다. 이는 편향, 일관성, 또는 오남용을 조기 발견하기 위한緊密한 피드백 루프를 생성합니다.

AI가 보안 작동에 더 깊이 통합됨에 따라, 우리의 목표는 팀이 신뢰할 수 있는 기준을 설정하는 것입니다. 그것은 투명성, 지속적인 테스트, 인간 책임에 기반합니다.

취약점 발견과 보상이 120% 증가하는 것은 보안 환경의 주요 변화를 나타냅니다. 이것을 탐지의 진행 또는 기업 소프트웨어가 더 위험해지는 신호로 해석합니까?

그것은 양쪽 모두입니다. 그리고 그것이 핵심입니다.

상승은 실제로 탐지의 진행을 반영합니다. 연구자들은 더 많은 행동 가능한, 높은 품질의 약점을 발견하고 있으며, 증가한 보상은 기업들이 실제 위험을 표면화하고 수정하는 것을 가치 있게 합니다. 더 많은 발견은 자동으로 소프트웨어가 더 위험하다는 것을 의미하지 않습니다. 그것은 노출이终于可視화되었다는 것을 의미합니다.

동시에, 기업 소프트웨어는 더 복잡하고 상호 연결되어 있습니다. AI, 제3자 의존성, 더 빠른 릴리스 주기는 전통적인 제어가 다루기에 너무 빠르게 공격 표면을 확장하고 있습니다.

결론은 간단합니다: 위험은 동적이며, 보안도 동적이어야 합니다. 가장 탄력적인 조직은 위험을 더 일찍 식별하고, 더 빠르게 행동하며, 비즈니스 문제가 되기 전에 노출을 포함합니다.

AI가 더 강력해짐에 따라, 크라우드소스 보안 플랫폼이 앞으로 몇 년 동안 직면할 가장 큰 도전은 무엇이라고 생각합니까?

크라우드소스 보안 플랫폼에서 가장 큰 도전은 속도와 규모가 증가함에 따라 신호와 신뢰를 유지하는 것입니다.

AI가 발견의 장벽을 낮추면, 플랫폼은 자동화된 및 하이브리드 워크플로에서 볼륨의 급증을 경험할 것입니다. 위험은 너무 적은 발견이 아니라, 노이즈가 고객을 압도하고, 불일치된 인센티브가 신뢰를 침식하는 것입니다.

성공하는 플랫폼은 악용 가능성을 검증하고, 영향에 따라 우선순위를 지정하고, 결과에 따라 보상을 조정하면서, 강력한 거버넌스와 인간 책임을 유지하는 것입니다. 미래는 더 많은 문제를 찾는 것이 아니라, 올바른 문제를 더 빠르게 찾고, 비즈니스 문제가 발생하기 전에 통찰력을 행동으로 전환하는 것입니다.

HackerOne은 취약점 발견을 넘어서 지속적인 모니터링, AI 주도 수정, 예측 위협 모델링과 같은 분야로 확장할 계획입니까?

우리의 초점은 기업들이 지속적으로 변경되는 환경에서 실제 위험을 이해하고 포함하는 핵심 문제를 해결하는 것입니다.

그것은 자연스럽게 점진적인 발견을 넘어서는 것을 의미합니다. 우리는 이미 노출 수명주기 전반에 걸쳐 작동하며, 코드 및 AI 레드 팀에서 검증 및 우선순위 지정까지 고객을 지원합니다. 우리는 고객이 노출을 더 일찍 식별하고, 영향에 대해 더 빠르게 이해하고, 수정을 마무리하는 데 도움이 되는 기능에 계속 투자할 것입니다.

AI는 특히 우선순위 지정과 워크플로 가속에서 핵심 역할을 합니다. 그러나 항상 인간 책임이 중심에 있습니다. 우리의 북극성은 현대적인 혁신 속도에 맞춰 지속적이고, 실용적인 보안입니다.

적들이 AI를 채택함에 따라, HackerOne은 어떻게 앞서 나며, 방어 도구가 적과 같은 속도로 발전하도록 어떻게 보장합니까?

우리는 실제 공격이 발생하는 곳에서 작동함으로써 적보다 앞서 나