Mitchell Amador, grunnlegger og administrerende direktør i Immunefi – Intervju-serie

Mitchell Amador, grunnlegger og administrerende direktør i Immunefi, er en fremtredende blockchain-sikkerhetsentrepreneur, engel-investor og onchain-tankeleder. Han grunnla Immunefi, den ledende bug-bounty- og sikkerhetsplattformen for Web3-økosystemet, som har hjulpet til å forebygge over 25 milliarder dollar i potensielle hackerangrep og tyverier, samtidig som det fremmer bug-bounty-programmer som en bransjestandard. Han har spilt en nøkkelrolle i å sikre større blockchain-protokoller, bidratt til whitehat-sikkerhetsinitiativer og også grunnlagt Instituto New Economy, en blockchain-tenketank som har hjulpet til å posisjonere Portugal som en ledende europeisk hub for blockchain-innovasjon.

Immunefi er en ledende Web3-sikkerhetsplattform som kobler blockchain-prosjekter med etiske hackere gjennom bug-bounty-programmer, sikkerhetsgjennomgang og sårbarhetsrapporteringstjenester. Selskapet hjelper til å beskytte milliarder av dollar i digitale aktiva ved å enable organisasjoner å identifisere og fikse kritiske sikkerhetsfeil før de kan utnyttes, og betjener mange av verdens største blockchain-protokoller og desentraliserte finanse (DeFi)-prosjekter.

Før du grunnla Immunefi, hjalp du til å drive adopsjon i selskaper som SingularityNET og Steemit, og var involvert i å forme Portugals tidlige krypto-lovgivning. Hva overbeviste deg om at Web3-sikkerhet var problemet verdt å dedikere din karriere til, og hva var det gapet i markedet du så da du lanserte Immunefi?

Tradisjonelle sikkerhetsfirmaer kunne ikke holde pace med hastigheten og kompleksiteten til Web3, og det var ingen pålitelig plattform som kunne tiltrekke seg elite-forskere i stor skala samtidig som det ga protokollene tillit til at rapporteringene ville håndteres profesjonelt. Vi så en mulighet til å bygge infrastruktur-laget for Web3-sikkerhet, å skape sammenfallende incitamenter mellom prosjekter og forskere, og å gjøre proaktiv sikkerhet til en del av hvordan industrien opererer.

Du hjalp til å bygge Immunefi til den dominerende kraften i Web3-sikkerhet, beskytte hundredvis av milliarder dollar i aktiva og håndtere det overveldende flertallet av kritiske sårbarhetsrapporteringer i krypto. Ser du tilbake på den reisen, hva lærte du av å skale Immunefi som påvirkte din beslutning om å bringe Code4renas kunder og samfunn inn i Immunefi-økosystemet?

En av de største lærdommene fra å skale Immunefi er at sikkerhet fungerer best når talent er konsentrert snarere enn fragmentert. Å bringe Code4renas kunder og forskere inn i Immunefi-økosystemet lar oss styrke begge sider av markedet: forskerne får tilgang til flere muligheter og ressurser, mens prosjektene får tilgang til en bredere rekke sikkerhetstjenester bakket av det største forsker-nettverket i Web3.

Code4rena spilte en stor rolle i å popularisere konkurranse-sikkerhetsauditorer i krypto. Hva tror du ultimate årsaken til at deres forretningsmodell ble vanskelig å opprettholde, og hva lærdommer tilbyr det for fremtiden til crowdsourced-sikkerhet?

Den største utfordringen var ikke verdien av konkurranse-auditorer. Den verdien forblir betydelig. Utfordringen var å bygge en bærekraftig forretning rundt en enkelt tilbud i en omgivelse hvor kundeforventninger har utviklet seg.

Protokollene ønsker mer og mer komplette sikkerhetsløsninger snarere enn punkt-produkter. De ønsker bug-bounty, auditorer, trussel-intelligens, sikkerhetsoperasjoner og incident-svar-kapasiteter under ett tak. Etterhvert som markedet modnes, ble det vanskeligere for spesialiserte leverandører å konkurrere mot plattformer som kunne tilby en bredere sikkerhetsstak.

Mange sikkerhetsforskere så på Code4rena som en unik kultur og samfunn. Hvordan planlegger du å bevare hva som gjorde den plattformen verdifull mens du integrerer brukere inn i Immunefi?

Samfunnet er ultimate hva som gjorde Code4rena suksessfullt. Målet er ikke å erstatte den kulturen, men å skape en omgivelse hvor den kan fortsette å trives med større støtte og skala. Fokuset er på kontinuitet snarere enn disruptering. Vi ønsker at forskerne skal føle at de får tilgang til en bredere plattform uten å miste aspektene av samfunnet som gjorde dem ønske å delta fra første sted.

Tradisjonelle sikkerhetsauditorer avhenger ofte av en relativt liten gruppe revisorer, mens auditor-konkurranser kan tiltrekke seg hundredvis av forskere. Hvordan ser du på at auditor-konkurranser utvikler seg over de neste fem årene mens AI blir mer og mer integrert i sikkerhetsarbeidsflyten?

Det vi sannsynligvis vil se, er en skiftning hvor AI håndterer en økende andel av repetitiv analyse, mønster-gjenkjenning og initial triage, og lar forskerne bruke mer tid på nye angrepsvektorer og komplekse system-nivå-sårbarheter.

Den utviklingen gjør faktisk at konkurranse-auditorer blir mer verdifulle. Hvis hundredvis av forskere kan utnytte stadig mer kapable AI-verktøy, skaper du en omgivelse hvor diverse tilnærminger kan bli anvendt på samme kodebase i en større skala enn noensinne før. Fremtiden er ikke at AI erstatter crowdsourced-sikkerhet, men at AI forsterker effektiviteten til store forsker-samfunn.

En av de nye bekymringene du har fremhevet er AI-genererte spam-innsendelser. Hvor alvorlig er dette problemet blitt, og hva avslører det om de uventede konsekvensene av å gjøre avanserte AI-verktøy tilgjengelige for alle?

Problemet er ikke at AI finner for mange sårbarheter. Problemet er at det kan generere store volumer av overbevisende, men ultimate feilaktige funn. Hver lavkvalitets-innsending forbruker revisor-tid og skaper operasjonell overhead.

Mer generelt, demonstrerer det en gjentakende mønster i teknologi. Når kraftfulle verktøy blir tilgjengelige for alle, skalerer både produktiv og uproduktiv aktivitet samtidig. Organisasjonene som lykkes, vil være de som bygger systemer som kan effektivt identifisere ekte ekspertise og ekte funn blant et langt større volum av automatisert utgang.

Tror du at AI ultimate vil forbedre kvaliteten på sårbarhetsoppdagelse, eller er sikkerhetsplattformene nødt til å delta i en langvarig kappløp mellom stadig mer kapable AI-systemer og den flom av lavkvalitets-automatiserte innsendelser de kan generere?

Begge ting er sanne.

AI vil uten tvil forbedre sårbarhetsoppdagelse. Vi ser allerede forskere bruke AI til å akselerere arbeidsflyten, analysere større kodebaser og identifisere potensielle angrepsvektorer mer effektivt enn før.

Samtidig vil det være en pågående kappløp mellom systemer som genererer funn og systemer som validerer dem. Den avgjørende forskjellen vil ikke være hvem som kan generere mest rapporter, men hvem som kan generere funn med høyest konfidens.

Vi begynner å se AI-assisterte forskere identifisere sårbarheter raskere enn noen gang før. Hvor nære er vi til at AI-systemer uavhengig kan oppdage, validerer og sogar prioritere kritiske sårbarheter med minimalt menneskelig innbland?

Vi er nærmere oppdagelsesfasen enn mange mennesker innser. AI blir allerede nyttig for å identifisere mønster, gjennomgå kode og overflate potensielle sårbarheter.

Validering forblir den vanskeligere utfordringen. Å finne noe som kan være en sårbarhet er veldig forskjellig fra å bevise utnyttbarhet, forstå forretningspåvirkning og nøyaktig vurdere alvorlighetsgrad. Disse oppgavene krever fortsatt betydelig menneskelig dømmekraft.

Oppblomstringen av autonome AI-agenter skaper helt nye angrepsflater. Hva sikkerhetsrisiko forbundet med agens AI tror du er underestimert av både Web3-industrien og den bredere bedriftsmarkedet?

Hva som ofte blir underestimert, er kompleksiteten til tillitsgrensene involvert. Agens-systemer opererer ikke i isolasjon. De forbruker inndata fra flere kilder, interagerer med tredjeparts-tjenester og tar beslutninger basert på dynamiske miljøer. Hver av disse interaksjonene skaper en potensiell angrepsflate.

Jeg tror mange organisasjoner fortsatt anvender tradisjonelle programvare-sikkerhetsantagelser til systemer som oppfører seg fundamentalt forskjellig. Den gapen vil bli stadig viktigere etterhvert som autonome agenter får bredere operativ myndighet.

Ser du fremover tre til fem år, hvordan forventer du at AI vil transformere måten sårbarheter oppdages, rapporteres og mildnes, og hva rolle ser du for menneskelige sikkerhetsforskere i den fremtidige?

AI vil dramatisk akselerere hver fase av sikkerhetslivssyklusen. Sårbarheter vil bli oppdaget raskere, triaget raskere og i mange tilfeller mildnet raskere enn i dag. Sikkerhetsteam vil ha tilgang til langt mer intelligens og automatisering enn noen gang før.

Men jeg tror ikke fremtiden er en hvor menneskelige forskere blir irrelevante. Om noe, blir deres rolle enda viktigere. Etterhvert som AI håndterer rutine-oppgaver, skifter menneskelig ekspertise mot å forstå nye systemer, identifisere uvanlige angrepsveier, validerer kritiske funn og tar strategiske sikkerhetsbeslutninger.

De mest suksessfulle forskerne vil ikke være de som konkurrerer mot AI, men de som lærer å utnytte AI som en multiplikator-kraft. Sikkerhet har alltid belønnet tilpasning, og det vil forbli sant i en AI-drevet fremtid.

Takk for det flotte intervjuet, lesere som ønsker å lære mer kan besøke Immunefi.