Javed Hasan, CEO en mede-oprichter, Lineaje – Interviewreeks

Javed Hasan, CEO en mede-oprichter van Lineaje, is een veteraan in cybersecurity en enterprise software met decennia aan leiderschapservaring bij bedrijven zoals Oracle (ORCL ), Symantec, McAfee en Trellix. Gedurende zijn carrière heeft Hasan grote product-, engineering- en strategieteams geleid met een focus op endpoint security, cloud-infrastructuur, SaaS-transformatie en enterprise cybersecurity-innovatie. Bij Lineaje richt hij zich op het aanpakken van een van de snelst groeiende uitdagingen in de branche: het beveiligen van de moderne software-supply chain door organisaties inzicht te geven in de open-source- en derdepartijcomponenten die in softwaretoepassingen zijn ingebed.

Lineaje is een cybersecurity-bedrijf dat zich specialiseert in software-supply chain-beveiliging, waarmee organisaties de risico’s die verborgen zijn in moderne software-afhankelijkheden, kunnen identificeren, beveiligen en beheren. Het platform richt zich sterk op Software Bill of Materials (SBOM)-technologie, die als een ingrediëntenlijst voor software fungeert door elke component, bibliotheek en afhankelijkheid te catalogiseren die in een toepassing wordt gebruikt. Het bedrijf biedt tools voor contextuele risicoanalyse, geautomatiseerde kwetsbaarheidsremediatie, compliancemanagement en AI-gedreven “self-healing”-software-supply chain-workflows die zijn ontworpen om automatisch beveiligingszwakheden te identificeren en te verhelpen voordat ze in productie worden genomen. De technologie van Lineaje wordt steeds relevanter omdat bedrijven en overheden te maken krijgen met groeiende bedreigingen die verband houden met open-source-kwetsbaarheden, software-supply chain-aanvallen en compliancemaatregelen met betrekking tot SBOM-transparantie.

U hebt senior leiderschapsrollen gehad bij bedrijven zoals Oracle, McAfee, Symantec en Trellix, waarmee u enterprise cybersecurity-producten hebt helpen vormgeven gedurende decennia. Wat waren de ervaringen in die rollen die u uiteindelijk hebben geleid tot de mede-oprichting van Lineaje in 2022, en welk kernprobleem was u vastbesloten om met het bedrijf op te lossen?

Met meer dan drie decennia ervaring in cybersecurity heb ik meer dan 50 enterprise-beveiligingsproducten gebouwd en geschaald, waaronder het leiden van de overgang van Symantec naar de cloud met Integrated Cyber Defense Manager (ICDM) en het lanceren van een van de grootste SaaS-endpoint-beveiligingsplatforms wereldwijd. Gedurende die ervaringen bij Oracle, McAfee, Symantec en Trellix zag ik een consistent patroon: organisaties werden gevraagd om software te vertrouwen die ze niet volledig begrepen.

De industrie had geoptimaliseerd voor snelheid, maar niet voor zichtbaarheid. Open source, derdepartijcomponenten, automatisering en nu AI-gegenereerde code hebben software sneller gemaakt om te bouwen, maar moeilijker om te begrijpen. Vertrouwen werd verondersteld in plaats van geverifieerd.

AI heeft dit probleem niet gecreëerd; het heeft het probleem versneld en blootgelegd dat al bestond. Dat is wat ons ertoe heeft geleid om Lineaje in 2022 mede op te richten: om organisaties een continue, full-lifecycle-inzicht te geven in wat er in hun software en nu AI zit, waar het vandaan komt en hoe het te beheren is voordat het een beveiligings- of compliancerisico wordt.

Software-supply chain-aanvallen zijn een van de snelst groeiende cybersecurity-bedreigingen geworden, die vaak via open-source-afhankelijkheden en derdepartijcode worden verspreid. Waarom hebben traditionele beveiligingstools moeite om deze risico’s effectief aan te pakken?

Traditionele beveiligingstools waren grotendeels gebouwd voor een ander operationeel model. Legacy-beveiliging was gebouwd voor toepassingen. Modern risico leeft in ecosystemen. Ze waren ontworpen om statische toepassingen, perimeter-gebeurtenissen of bekende kwetsbaarheden in isolatie te inspecteren. Als gevolg daarvan opereren veel organisaties nog steeds reactief, terwijl risico nu gedistribueerd is over afhankelijkheden, build-systemen, pakketrepositories, containers, transitive open-source-bibliotheken en derdepartijcomponenten, die vaak lang voordat ze in productie worden genomen, worden geïntroduceerd.

De meeste legacy-tools ontbreken de diepe afstamming, continue zichtbaarheid en contextuele begrip die nodig is om te bepalen of een riskante component echt exploiteerbaar is, hoe het in de omgeving is binnengekomen en wat het verderop verbindt. Dit laat organisaties reageren in een landschap dat steeds meer een continue, full-lifecycle-controle vereist.

Lineaje richt zich op full-lifecycle software-supply chain-beveiliging, waarmee organisaties exact kunnen zien welke componenten in hun toepassingen bestaan en hoe kwetsbaar ze mogelijk zijn. Waarom is deze mate van transparantie zo kritiek geworden in de tijd van AI-gegenereerde software?

AI comprimeert de tijd tussen creatie en blootstelling. Het versnelt code-creatie zonder automatisch de herkomst, traceerbaarheid of vertrouwen te vergroten. Wanneer ontwikkelaars en AI-assistenten code en workflows op ongekende snelheid kunnen produceren, moet de organisatie nog steeds exact weten welke modellen, bibliotheken, agenten en externe diensten in de omgeving worden geïntroduceerd.

Zonder die zichtbaarheid kunt u niet beheren wat wordt gebouwd, compliancemanagement valideren en software met vertrouwen aan klanten leveren. In de huidige AI-gedreven wereld moeten organisaties in staat zijn om elke afhankelijkheid en modelinteractie te traceren, waar het vandaan komt en of het veilig is.

Lineaje introduceert UnifAI, een autonome AI-beleidscontroller die is ontworpen om agentic AI-toepassingen te beheren en te beveiligen bij de build-tijd. Welke lacune in het huidige AI-ontwikkelings-ecosysteem heeft dit product als doel om aan te pakken?

Bedrijven gaan van AI-experimenten naar het implementeren van autonome agenten in echte workflows. Kortom, ze hebben een beveiligings- en compliancemanagement-controle nodig voor agentic AI. Echter, de meeste hebben nog geen centraal controlevlak om AI-middelen te ontdekken, consistente beleidsregels te definiëren en beveiligings- en compliancemaatregelen te handhaven terwijl deze systemen worden gebouwd.

UnifAI is ontworpen om die lacune te vullen. Het fungeert als een autonome AI-beleidsorkestrator die governance rechtstreeks in de ontwikkelingsworkflow embedt. Bovendien ontdekt het continu AI-middelen, creëert een AI-Bill of Materials (AI-BOM), leidt beleidsregels af en past beveiligingsmaatregelen toe voordat toepassingen in productie worden genomen.

Veel organisaties racen om AI-agenten en AI-gegenereerde toepassingen te implementeren, maar beveiligingsteams maken zich zorgen over risico’s zoals prompt-injectie, kwetsbare open-source-bibliotheken en complianciproblemen. Hoe ernstig zijn deze risico’s vandaag en waar zijn bedrijven het meest kwetsbaar?

Deze risico’s zijn zeer reëel en ernstig vandaag. Misschien is de grootste uitdaging met agentic AI dat het aanvalsoppervlak breder en minder voorspelbaar is dan met statische software. U heeft prompt-injectie, data-lekkage, kwetsbare open-source-afhankelijkheden en zwakke beleidsuitvoering, redeneringsmanipulatie, autorisatiedrift en onzichtbare besluitvorming over low-code- en no-code-omgevingen.

Naar mijn mening zijn bedrijven het meest kwetsbaar omdat snelheid governance heeft ingehaald, vooral wanneer business-teams krachtige AI-workflows kunnen samenstellen zonder een geünificeerd beveiligingskader, of wanneer organisaties niet alle modellen, agenten, vaardigheden en data-verbindingen kunnen zien die in hun omgeving opereren. Het systeem kan technisch niet falen; het kan correct functioneren, maar redeneren naar een onveilig resultaat. Daar accumuleert het verborgen risico het snelst.

Een van de uitdagingen waar bedrijven mee te maken krijgen, is het balanceren van ontwikkelaarsproductiviteit met beveiligingsgovernance. Hoe kunnen tools zoals UnifAI beveiligingscontroles in ontwikkelingsworkflows embedden zonder innovatie te vertragen?

De juiste aanpak is om governance operationeel te maken waar ontwikkelaars al werken. UnifAI is gebouwd om rechtstreeks te integreren met coding-assistenten en low-code- of no-code-agentic AI-platforms, zodat beleid kan worden toegepast terwijl toepassingen worden gecreëerd, in plaats van via handmatige revisie achteraf.

Het kan automatisch middelen ontdekken, beleidsregels aanbevelen of afleiden, interne governance-documenten vertalen naar afdwingbare controles en beveiligingsmaatregelen toepassen in de workflow zelf. Dat betekent dat beleid machine-afdwingbaar wordt, in plaats van laag voor laag. Wanneer dit goed wordt gedaan, verplaatsen ontwikkelaars zich sneller omdat ze niet stoppen om compliancemanagement van scratch te interpreteren, en beveiligingsteams krijgen consistentie zonder een bottleneck te vormen.

Lineaje heeft AI-gedreven tools gebouwd om software-supply chains te analyseren en kwetsbaarheden automatisch te verhelpen. Hoe verandert AI de manier waarop organisaties risico’s beheren in vergelijking met traditionele statische analyse of handmatige beveiligingsbeoordelingen?

AI verandert risicomanagement door het continu, contextueel en steeds autonomer te maken. Traditionele statische analyse en handmatige revisie hebben nog steeds waarde, maar zijn te langzaam en te gefragmenteerd voor de schaal en snelheid van moderne software- en AI-ontwikkeling. Het doel is niet meer waarschuwingen. Het doel is om blootstelling te elimineren voordat het in productie wordt genomen. AI kan continu omgevingen in kaart brengen, afhankelijkheden correleren, risico’s in context beoordelen, beleid aanbevelen en in veel gevallen automatisch remediatie aandrijven.

In plaats van te wachten tot een mens een probleem ontdekt, triageert en besluit wat te doen, kunnen organisaties naar systemen verhuizen die problemen eerder identificeren, hun waarschijnlijke impact begrijpen en corrigerende actie sneller ondernemen. Dat is de basis van outcome-gebaseerde AI-beveiliging: van detectie naar preventie en uiteindelijk naar eliminatie.

Naarmate AI grotere delen van de toepassingscode begint te genereren, hoe moeten organisaties hun aanpak van software-herkomst, traceerbaarheid en vertrouwen in wat ze aan klanten leveren, heroverwegen?

Organisaties moeten herkomst behandelen als een eerste klas vereiste. In een AI-geassisteerd ontwikkelingsmodel moet traceerbaarheid de volledige keten van inputs omvatten, waaronder code, open-source-afhankelijkheden, modellen, agenten en de beleidsregels die tijdens ontwikkeling en implementatie worden toegepast. Dat vereist dynamische bills of materials, sterkere attestatie en een operationeel model waarin vertrouwen continu wordt geverifieerd in plaats van verondersteld.

De standaard moet worden: als u het niet kunt traceren, beheren en uitleggen, zou u het niet moeten leveren.

Regelgeving en compliancemaatregelen beïnvloeden steeds meer hoe bedrijven software en AI-systemen beveiligen. Hoe ziet u globale regelgevingskaders de adoptie van AI-governance-technologieën in de komende jaren beïnvloeden?

Regelgeving zal een belangrijke versneller zijn. Naarmate de eisen rond software-garantie en AI-governance explicieter worden, wordt governance operationele infrastructuur, niet een back-office compliancemaatregel. Bedrijven zullen systemen nodig hebben die beleid kunnen operationaliseren in plaats van compliancemanagement via spreadsheets en point-in-time audits.

Bedrijven proberen al om zich te conformeren aan opkomende kaders zoals de EU AI Act en gevestigde richtlijnen zoals de OWASP Top Ten voor AI, maar ze hebben technologie nodig die deze vereisten kan vertalen naar afdwingbare controles binnen ontwikkelings- en runtime-omgevingen.

In de komende jaren zullen governance-platforms van een nice-to-have naar een onderdeel van de core enterprise-controlestack evolueren, omdat regulators, klanten en raden allemaal aantonbare bewijzen van toezicht verwachten. Bewijs van toezicht wordt verplicht.

Kijkend naar de toekomst, hoe ziet de toekomst van AI-gedreven toepassingsgovernance eruit? Verwacht u dat autonome systemen uiteindelijk grote delen van de software-beveiligingslevenscyclus zelf zullen beheren?

Ja, ik geloof dat autonome systemen een veel groter deel van de software-beveiligingslevenscyclus zullen beheren, maar met menselijke toezicht gefocust op beleid, risicotolerantie en uitzonderingsbehandeling. Beveiligingsteams kunnen niet langer elk probleem achtervolgen over een uitgebreid software- en AI-ecosysteem. Governance moet opereren op AI-snelheid.

De toekomst is een model waarin mensen intentie en beleid definiëren, terwijl autonome systemen continu uitvoeren. Intelligentieplatforms zullen continu middelen ontdekken, live bills of materials onderhouden, bedreigingen detecteren, beleid afdwingen en problemen in real-time verhelpen. Menselijke teams zullen nog steeds richting geven en hoog-consequente beslissingen nemen, maar continue governance, autonome afdwinging en live operationeel vertrouwen zullen de basis vormen. Dat is de enige duurzame manier om software en agentic AI te beheren op de snelheid die organisaties nu verwachten te bouwen.

Bedankt voor het geweldige interview, lezers die meer willen leren, moeten Lineaje bezoeken.