Mitchell Amador, Oprichter en CEO van Immunefi – Interview Serie

Mitchell Amador, Oprichter en CEO van Immunefi, is een toonaangevende ondernemer op het gebied van blockchainbeveiliging, engelinvesteringsmaatschappij en onchain-denktank. Hij richtte Immunefi op, het toonaangevende platform voor bugbounties en beveiliging voor het Web3-ecosysteem, waarmee hij meer dan 25 miljard dollar aan potentiële hacks en diefstallen heeft voorkomen en bugbountyprogramma’s heeft geïntroduceerd als een industrienorm. Hij heeft een sleutelrol gespeeld bij het beveiligen van belangrijke blockchainprotocollen, heeft bijgedragen aan whitehatbeveiligingsinitiatieven en richtte ook Instituto New Economy op, een blockchain-denktank die heeft geholpen om Portugal te positioneren als een toonaangevend Europees centrum voor blockchain-innovatie.

Immunefi is een toonaangevend Web3-beveiligingsplatform dat blockchainprojecten verbindt met ethische hackers via bugbountyprogramma’s, beveiligingscontroles en kwetsbaarheidsmeldingsdiensten. Het bedrijf helpt bij het beschermen van miljarden dollars aan digitale activa door organisaties in staat te stellen kritieke beveiligingsfouten te identificeren en te verhelpen voordat ze kunnen worden uitgebuit, en dient veel van ‘s werelds grootste blockchainprotocollen en gedecentraliseerde financiële (DeFi) projecten.

Voordat u Immunefi oprichtte, hielp u bij het stimuleren van de adoptie bij bedrijven als SingularityNET en Steemit en was u betrokken bij het vormgeven van de vroege crypto-wetgeving in Portugal. Wat overtuigde u ervan dat Web3-beveiliging het probleem was waaraan u uw carrière wilde wijden, en welke lacune in de markt ziet u bij het lanceren van Immunefi?

Traditionele beveiligingsbedrijven konden niet tempo houden met de snelheid en complexiteit van Web3, en er was geen vertrouwd platform dat elite-onderzoekers op grote schaal kon aantrekken en protocollen kon geven dat meldingen op professionele wijze zouden worden afgehandeld. We zagen een kans om de infrastructuurlaag voor Web3-beveiliging te bouwen, om gealigneerde prikkels te creëren tussen projecten en onderzoekers en om proactieve beveiliging een kernonderdeel te maken van de werking van de industrie.

U heeft Immunefi geholpen om de dominante kracht in Web3-beveiliging te worden, met de bescherming van honderden miljarden dollars aan activa en het afhandelen van de overgrote meerderheid van kritieke kwetsbaarheidsmeldingen in crypto. Kijkend naar die reis, welke lessen uit het opschalen van Immunefi hebben uw beslissing beïnvloed om Code4rena’s klanten en gemeenschap in het Immunefi-ecosysteem te brengen?

Een van de belangrijkste lessen uit het opschalen van Immunefi is dat beveiliging het beste werkt wanneer talent geconcentreerd is in plaats van gefragmenteerd. Het brengen van Code4rena’s klanten en onderzoekers in het Immunefi-ecosysteem stelt ons in staat om beide kanten van de markt te versterken: onderzoekers krijgen toegang tot meer kansen en middelen, terwijl projecten toegang krijgen tot een bredere reeks beveiligingsdiensten die worden ondersteund door het grootste onderzoekersnetwerk in Web3.

Code4rena speelde een belangrijke rol bij het populariseren van concurrerende beveiligingsaudits in crypto. Wat denkt u uiteindelijk de oorzaak was van het feit dat het bedrijfsmodel moeilijk vol te houden was, en welke bredere lessen biedt dit voor de toekomst van crowdsourced beveiliging?

De kernuitdaging was niet de waarde van concurrerende audits. Die waarde blijft aanzienlijk.

Protocollen willen steeds vaker omvattende beveiligingsoplossingen in plaats van puntproducten. Ze willen bugbounties, audits, bedreigingsinformatie, beveiligingsoperaties en incidentresponsmogelijkheden onder één dak. Naarmate de markt volwassener werd, werd het moeilijker voor gespecialiseerde aanbieders om te concurreren met platforms die een bredere beveiligingsstack konden bieden.

Veel beveiligingsonderzoekers zagen Code4rena als een unieke cultuur en gemeenschap. Hoe bent u van plan om te behouden wat Code4rena waardevol maakte, terwijl u gebruikers integreert in Immunefi?

De gemeenschap is uiteindelijk wat Code4rena succesvol maakte. Het doel is niet om die cultuur te vervangen, maar om een omgeving te creëren waarin deze kan blijven floreren met grotere ondersteuning en schaal. De focus ligt op continuïteit in plaats van disruptie. We willen dat onderzoekers het gevoel hebben dat ze toegang krijgen tot een bredere platform zonder de aspecten van de gemeenschap te verliezen die hen deden willen deelnemen.

Traditionele beveiligingsaudits vertrouwen vaak op een relatief kleine groep reviewers, terwijl auditwedstrijden honderden onderzoekers kunnen aantrekken. Hoe ziet u auditwedstrijden evolueren in de komende vijf jaar, nu AI steeds meer wordt geïntegreerd in beveiligingsworkflows?

Wat we waarschijnlijk zullen zien, is een verschuiving waarbij AI een groeiend deel van de repetitieve analyse, patroonherkenning en initiële triage afhandelt, waardoor onderzoekers meer tijd kunnen besteden aan nieuwe aanvalsvector en complexe systeemkwetsbaarheden.

Die evolutie maakt concurrerende audits eigenlijk waardevoller. Als honderden onderzoekers steeds krachtigere AI-hulpmiddelen kunnen gebruiken, creëert u een omgeving waarin diverse benaderingen kunnen worden toegepast op dezelfde codebase op ongekende schaal. De toekomst is niet dat AI crowdsourced beveiliging vervangt. Het is AI die de effectiviteit van grote onderzoekersgemeenschappen versterkt.

Een van de opkomende zorgen die u hebt benadrukt, is AI-gegenereerde spam-meldingen. Hoe ernstig is dit probleem geworden, en wat onthult het over de onbedoelde gevolgen van het algemeen beschikbaar stellen van geavanceerde AI-hulpmiddelen?

Het probleem is niet dat AI te veel kwetsbaarheden vindt. Het probleem is dat het grote volumes van overtuigende maar uiteindelijk onjuiste bevindingen kan genereren. Elke lage kwaliteitsmelding verbruikt reviewer-tijd en creëert operationele overhead.

In bredere zin toont het een terugkerend patroon in technologie aan. Wanneer krachtige hulpmiddelen algemeen beschikbaar worden, schalen zowel productieve als onproductieve activiteit tegelijk. De organisaties die slagen, zijn die welke systemen kunnen bouwen die in staat zijn om echte expertise en echte bevindingen efficiënt te identificeren te midden van een veel groter volume aan geautomatiseerde output.

Gelooft u dat AI uiteindelijk de kwaliteit van kwetsbaarheidsdetectie zal verbeteren, of zullen beveiligingsplatforms een langdurige wapenwedloop tussen steeds krachtigere AI-systemen en de vloed van lage kwaliteit geautomatiseerde meldingen die ze kunnen genereren, tegemoet zien?

Beide dingen zijn waar.

AI zal ongetwijfeld de detectie van kwetsbaarheden verbeteren. We zien al dat onderzoekers AI gebruiken om workflows te versnellen, grotere codebases te analyseren en potentiële aanvalsvector efficiënter te identificeren dan voorheen.

Tegelijkertijd zal er een voortdurende wapenwedloop zijn tussen systemen die bevindingen genereren en systemen die ze valideren. De sleuteldifferentiator zal niet zijn wie de meeste rapporten kan genereren. Het zal zijn wie de hoogste-confidantiebevindingen kan genereren.

We beginnen AI-ondersteunde onderzoekers te zien die kwetsbaarheden sneller identificeren dan ooit tevoren. Hoe dichtbij zijn we bij AI-systemen die onafhankelijk kritieke kwetsbaarheden kunnen detecteren, valideren en zelfs prioriteren met minimale menselijke betrokkenheid?

We zijn dichter bij de detectiefase dan veel mensen beseffen. AI wordt al nuttig voor het identificeren van patronen, code herzien en potentiële kwetsbaarheden naar boven brengen.

Validatie blijft de moeilijkere uitdaging. Iets vinden dat mogelijk een kwetsbaarheid is, is heel iets anders dan aantoonbaarheid, begrip van bedrijfsimpact en nauwkeurige beoordeling van ernst. Die taken vereisen nog steeds aanzienlijke menselijke oordeel.

De opkomst van autonome AI-agents creëert geheel nieuwe aanvalsoppervlakken. Welke beveiligingsrisico’s in verband met agente AI denkt u momenteel worden onderschat door zowel de Web3-industrie als de bredere ondernemingsmarkt?

Wat vaak wordt onderschat, is de complexiteit van de vertrouwensgrenzen die zijn betrokken. Agente systemen werken niet in isolatie. Ze consumeren invoer van meerdere bronnen, interacteren met diensten van derden en nemen beslissingen op basis van dynamische omgevingen. Elke interactie creëert een potentieel aanvalsoppervlak.

Ik denk dat veel organisaties nog steeds traditionele softwarebeveiligingsveronderstellingen toepassen op systemen die fundamenteel anders werken. Die kloof zal steeds belangrijker worden naarmate autonome agenten bredere operationele autoriteit krijgen.

Kijkend naar de komende drie tot vijf jaar, hoe verwacht u dat AI de manier waarop kwetsbaarheden worden gedetecteerd, gemeld en verholpen, zal transformeren, en welke rol ziet u menselijke beveiligingsonderzoekers spelen in die toekomst?

AI zal elke fase van de beveiligingslevenscyclus dramatisch versnellen. Kwetsbaarheden zullen sneller worden gedetecteerd, getriaged en in veel gevallen verholpen dan vandaag. Beveiligingsteams zullen toegang hebben tot veel meer inzicht en automatisering dan ooit tevoren.

Maar ik geloof niet dat de toekomst er een is waarin menselijke onderzoekers irrelevant worden. Integendeel, hun rol wordt belangrijker. Terwijl AI routineuze taken afhandelt, verschuift menselijke expertise naar het begrijpen van nieuwe systemen, het identificeren van onconventionele aanvalsPaden, het valideren van kritieke bevindingen en het nemen van strategische beveiligingsbeslissingen.

De meest succesvolle onderzoekers zullen niet die zijn die concurreren tegen AI. Ze zullen die zijn die leren hoe ze AI kunnen gebruiken als een multiplicator van kracht. Beveiliging heeft altijd adaptiviteit beloond, en dat zal waar blijven in een toekomst die door AI wordt aangedreven.

Bedankt voor het geweldige interview, lezers die meer willen leren, moeten Immunefi bezoeken.