Andrew Johnson, CEO firmy Yardstik – seria wywiadów

Andrew Johnson, CEO firmy Yardstik, jest doświadczonym menedżerem technologicznym z doświadczeniem w skalowaniu szybko rosnących firm programistycznych, budowaniu organizacji go‑to‑market oraz generowaniu przychodów korporacyjnych. Dołączył do Yardstik jako dyrektor operacyjny (Chief Operating Officer) w 2022 roku, a w październiku 2024 został awansowany na stanowisko CEO. Wcześniej Johnson pełnił funkcję dyrektora ds. przychodów (Chief Revenue Officer) w firmie Branch, gdzie pomógł poprowadzić firmę zajmującą się płatnościami dla pracowników przez okres szybkiego wzrostu, oraz spędził ponad pięć lat w Dialpad, m.in. jako szef sprzedaży korporacyjnej (Head of Enterprise Sales), gdzie przyczynił się do budowy operacji sprzedażowych w USA i Kanadzie. Na początku kariery pełnił role w obszarze rozwoju biznesu i partnerstw w Compellent Technologies, które w 2011 roku zostały przejęte przez Dell za około 960 milionów dolarów.

Yardstik to firma technologiczna z siedzibą w Minneapolis, specjalizująca się w zaufaniu w miejscu pracy, założona w 2020 roku, oferująca zapobieganie oszustwom, weryfikację tożsamości, przegląd historii zatrudnienia, weryfikację kwalifikacji oraz ciągłe monitorowanie pracowników za pośrednictwem platformy Human Trust Platform. Firma opiera się na architekturze API‑first, co umożliwia bezpośrednią integrację technologii z systemami śledzenia kandydatów, platformami zarządzania kapitałem ludzkim, rynkami gig oraz innymi aplikacjami związanymi z siłą roboczą. Yardstik obsługuje także Model Context Protocol (MCP), umożliwiając agentom AI połączenie się z infrastrukturą zaufania i automatyzację przepływów pracy, takich jak kontrole przeszłości, weryfikacja tożsamości, przegląd kwalifikacji, ponowna weryfikacja oraz rozstrzyganie w systemach rekrutacji i wdrażania opartych na AI.

Przed dołączeniem do Yardstik spędziłeś ponad pięć lat w firmie Branch, gdzie z własnych doświadczeń widziałeś grupę przestępczą wykorzystującą skradzione numery Social Security do uzyskiwania pracy pod fałszywymi tożsamościami. Jak to doświadczenie zmieniło twoje podejście do przeglądu historii zatrudnienia i kiedy zdałeś sobie sprawę, że weryfikacja tożsamości musi wykraczać poza jednorazową kontrolę przy zatrudnianiu?

Kiedy pracowałem w Branch, jeden z naszych największych klientów padł ofiarą grupy przestępczej z Wenezueli, co jest powszechnym problemem platform gig. Kradli numery Social Security obywateli USA i sprzedawali je osobom nieposiadającym uprawnień do pracy w Stanach Zjednoczonych. Ktoś składał wniosek pod skradzioną tożsamością, rozpoczynał realizację zleceń i wszystko wydawało się w porządku, aż do sezonu podatkowego, kiedy faktyczny posiadacz numeru SSN otrzymał rachunek 1099 za pracę, której nigdy nie wykonał. To był pierwszy raz, kiedy widziałem oszustwo pojawiające się po podjęciu decyzji o zatrudnieniu, a nie w trakcie jej.

To był moment, który naprawdę zmienił moje podejście. Zdałem sobie sprawę, jak często osoby, które przechodzą kontrolę przeszłości, nie są tymi, które pojawiają się w pracy. Na przykład ktoś z czystą historią przechodzi weryfikację, a potem członek rodziny, który nie mógłby jej przejść, przejmuje rzeczywistą zmianę. Kontrola przeszłości nie ma możliwości wykrycia tego, ponieważ patrzy wyłącznie na kandydata na papierze, raz, na samym początku. Kiedy dołączyłem do Yardstik, wniosłem to, czego nauczyłem się w Branch, i współpracowałem z zespołem nad stworzeniem podejścia ciągłego monitorowania dla naszych klientów.

Sztuczna inteligencja generatywna znacząco obniżyła próg tworzenia fałszywych tożsamości, podrobionych kwalifikacji, syntetycznych profili, a nawet przekonujących deepfake’ów. Które techniki oszustw wspomagane AI rozwijają się dziś najszybciej i które, Twoim zdaniem, pracodawcy są najmniej przygotowani?

Najszybciej rozwijające się oszustwo w tej chwili nie jest efektowny film deepfake. To syntetyczna tożsamość: prawdziwy numer Social Security połączony z fałszywym imieniem i nazwiskiem oraz wymyśloną historią zawodową, złożony w coś, co wygląda czysto przy pierwszej kontroli. Dodaj narzędzia AI generujące dopracowane CV i odpowiadający zestaw kwalifikacji, i otrzymujesz kandydata.

To, na co pracodawcy są najmniej przygotowani, to zatrudnienie zdalne, nigdy nie spotykane osobiście. Platformy gig, zdalne role IT, wirtualne centra obsługi telefonicznej. Jeśli nikt w firmie nigdy nie widzi tej osoby, wszystkie sygnały, które kiedyś wykrywały oszusta (nerwowa rozmowa kwalifikacyjna, nieco niepasujący dokument tożsamości) znikają. To właśnie tam działają grupy przestępcze zajmujące się oszustwami przy zdalnym zatrudnianiu, a większość firm wciąż traktuje to jako problem kogoś innego, dopóki nie spotka ich samych.

Yardstik przeszedł od tradycyjnego przeglądu przeszłości do szerszej platformy łączącej zapobieganie oszustwom AI, weryfikację tożsamości, weryfikację kwalifikacji i ciągłe monitorowanie. Jaką rolę odgrywa AI w łączeniu tych sygnałów i co system może wykryć, czego nie potrafi tradycyjna kontrola przeszłości?

Yardstik rozpoczął działalność jako firma zajmująca się przeglądem przeszłości, i dla większości klientów nadal jest to podstawowy element naszej oferty. Jednak kontrola przeszłości to pojedyncza transakcja: przeprowadzasz ją, otrzymujesz odpowiedź i wyrzucasz dane. To, co łączy zapobieganie oszustwom, weryfikację tożsamości, kontrole kwalifikacji i monitorowanie w jedną całość, to fakt, że nie wyrzucamy danych. Utrzymujemy profil kandydata w czasie, a każde nowe sprawdzenie dodaje się do niego zamiast zaczynać od zera.

To pozwala nam wykrywać rzeczy, których jednorazowa kontrola nigdy nie wykryje. Na przykład jeden z naszych klientów miał do czynienia z oszustami, którzy wielokrotnie próbowali uzyskać dostęp do kont agentów z dostępem do danych podatkowych klientów. Ponieważ mogliśmy zobaczyć, że to samo urządzenie lub nieco zmodyfikowana tożsamość pojawia się w wielu próbach, mogliśmy to zatrzymać, zanim stało się decyzją weryfikacyjną. Jednorazowa kontrola przyjrzałaby się każdej z tych aplikacji osobno i zatwierdziła każdą z nich.

Yardstik wykorzystuje sygnały takie jak dane osobiste, aktywność płatnicza oraz wskaźniki urządzenia lub lokalizacji, aby wykrywać potencjalne oszustwa tożsamości. Jak odróżniasz naprawdę podejrzane zachowanie od nietypowego, ale legalnego, szczególnie gdy modele AI stają się odpowiedzialne za ocenę coraz bardziej złożonych wzorców?

Nie staramy się wyznaczać sztywnej granicy między podejrzanym a nietypowym, ponieważ najczęściej takiej granicy po prostu nie ma w momencie, gdy to obserwujemy. To, co robimy, to wyświetlamy różnicę. Jeśli w jednej aplikacji podana jest jedna szkoła, a rok później nowa aplikacja pod tym samym identyfikatorem wskazuje inną szkołę, warto to ponownie sprawdzić. Jeśli ktoś zawsze aplikował z iPhone’a, a pojawia się na Androidzie z nowym adresem IP, sytuacja jest podobna. Żaden z tych sygnałów sam w sobie nie oznacza oszustwa, ale po połączeniu wielu z nich profil ryzyka zaczyna rosnąć. Jesteśmy warstwą, która sygnalizuje, co się zmieniło od ostatniego kontaktu, i dostarcza pracodawcom więcej danych, aby mogli podejmować świadome decyzje.

Yardstik podaje, że około co 30. wnioskodawca nie przechodzi weryfikacji dokumentu rządowego, a codziennie blokowane są oznaczone lub zduplikowane numery Social Security. Czego uczysz się z tych danych o tym, jak rozwija się oszustwo w zatrudnieniu, i jaki odsetek napotykanych przypadków wydaje się być zorganizowany, a nie oportunistyczny?

Te dane pokazują, że oszustwa tożsamości przy rekrutacji nie są już problemem pobocznym. Stały się podstawowym kosztem prowadzenia działalności na jakiejkolwiek realnej skali, podobnie jak obciążenia zwrotne są podstawą w płatnościach. Znaczna część z nich wygląda na zorganizowaną, a nie oportunistyczną. Oportunistyczne oszustwa zazwyczaj są jednorazowe: ktoś podbija CV lub fałszuje datę ukończenia studiów. Zorganizowane oszustwa wykazują wzorzec, ten sam sprzęt lub prawie identyczna tożsamość, które starają się o ten sam rodzaj pracy u różnych pracodawców, czasami zmieniając jedną szczegółowość, aby zobaczyć, co przejdzie. To wersja, którą widziałem kilka lat temu, gdy sprzedawano skradzione numery SSN, i jest to wersja, którą nadal widzę dziś. Teraz jest to po prostu zautomatyzowane i odbywa się na znacznie większą skalę, ponieważ narzędzia generatywne uczyniły fałszywe tożsamości tańszymi w produkcji.

Weryfikacja tożsamości coraz częściej obejmuje dokumenty rządowe, biometrię, kontrole żywotności, sygnały urządzeń i inne wskaźniki ryzyka. W miarę jak modele generatywne stają się coraz lepsze w tworzeniu realistycznych dokumentów, twarzy i głosów, które sygnały uważasz za najtrudniejsze do podrobienia przez atakujących?

Każdy element, który możesz wygenerować jako pojedynczy artefakt – zdjęcie, dokument, a nawet krótki film – staje się coraz łatwiejszy do wiarygodnego podrobienia. To, co pozostaje trudne do podrobienia, to spójność w czasie, w różnych miejscach, których nikt nie kontroluje jednocześnie. Syntetyczna tożsamość może przejść jedną kontrolę żywotności przy wystarczająco dobrym deepfake’u. Znacznie trudniej jest, aby ta sama tożsamość miała również zgodną historię urządzeń, pasujący wzorzec lokalizacji oraz historię zatrudnienia, która układa się tak, jak u rzeczywistej osoby w różnych firmach i latach. To właśnie jest istota ciągłego monitorowania zamiast jednorazowego momentu weryfikacji. Tradycyjna kontrola daje ci fotografię, jedną klatkę, wykonaną raz. Nasza zachowuje się bardziej jak transmisja na żywo, ponieważ została zaprojektowana tak, aby zauważać, kiedy klatki przestają do siebie pasować.

Ciągłe monitorowanie oznacza istotną zmianę od jednorazowej weryfikacji osoby do oceny zaufania przez cały cykl życia pracownika. Jak projektujesz taki system, nie tworząc niepotrzebnej inwigilacji, fałszywych alarmów ani decyzji, które pracownicy mają niewielką możliwość zrozumienia lub zakwestionowania?

Inwigilacja to obserwowanie kogoś, kto nie wie, że jest obserwowany. Tak to nie działa. Każdy pracownik, którego monitorujemy, wyraził pisemną zgodę, dokładnie wie, co jest sprawdzane, a zgodnie z prawem musimy przekazać mu kopię wszystkiego, co znajdziemy, oraz umożliwić odwołanie się, jeśli jest to nieprawidłowe. Nic z tego nie jest opcjonalne. To FCRA.

Druga kwestia polega na tym, że nie podejmujemy decyzji sami. Jeśli w trakcie monitorowania pojawi się informacja o aresztowaniu, jest to sygnał dla pracodawcy, aby to zbadał, a nie wyrok. Zasada due process nadal obowiązuje. Pracodawcy muszą powiadomić kandydata, dać mu szansę na odpowiedź, a następnie podjąć ostateczną decyzję. Nasza praca kończy się na wskazaniu, że coś się zmieniło; to pracodawca decyduje, co to oznacza i co z tym zrobić, tak jak przy weryfikacji przy zatrudnieniu. Zbudowaliśmy to w ten sposób celowo.

W miarę jak rekrutacja i zarządzanie personelem stają się coraz bardziej agentowe, gdzie powinna leżeć granica między agentem AI zbierającym i oceniającym sygnały zaufania a podejmowaniem faktycznej, decydującej decyzji o zatrudnieniu?

Ustawiłbym tę granicę tam, gdzie prawo już ją wyznacza dla nas dzisiaj. Staramy się nie nazywać się firmą AI, ponieważ nasza branża ma ścisły wymóg, aby człowiek był w pętli przy wszelkich kwestiach dotyczących sporu lub niekorzystnej decyzji. Agent może zbierać sygnały, oceniać je, sygnalizować zmiany. Nie powinien samodzielnie decydować, czy ktoś nie dostanie pracy lub nie zachowa jej, ponieważ taka decyzja musi być powiązana z osobą odpowiedzialną, która może ją wyjaśnić w razie zakwestionowania.

W miarę jak rekrutacja staje się w pełni zautomatyzowana, uważam, że ta granica staje się ważniejsza, a nie mniej. Im łatwiej jest pozwolić agentowi prowadzić cały lejek, tym bardziej kuszące jest, aby również pozwolił mu podjąć ostateczną decyzję. Zbieranie i ocena sygnałów zaufania to dokładnie to, co oprogramowanie powinno robić szybciej. Decydowanie o utrzymaniu życiowym osoby nie jest czymś, co bym przekazywał dalej.

Z nową serią B o wartości 30 mln USD, podnoszącą łączne finansowanie Yardstik do 65 mln USD, które obszary AI i zapobiegania oszustwom według Ciebie zasługują teraz na największe inwestycje i jakie problemy techniczne wciąż trzeba rozwiązać, aby ciągła weryfikacja tożsamości działała na znacznie większą skalę?

Inwestujemy nowy kapitał w te części zapobiegania oszustwom, które są najmniej efektowne i najdroższe w solidnym zbudowaniu. Raporty pojazdów oraz monitorowanie wykluczeń OIG. Automatyczne powiadomienia w momencie, gdy licencja, polisa ubezpieczeniowa lub certyfikat wygasają, zamiast czekać na kolejny cykl odnowień, aby to zauważyć.

Problem techniczny, którego nikt w tej branży nie rozwiązał, to koszt. Wiele krajów i stanów pobiera własną opłatę za pobranie rekordu, czasem ponad 100 USD za jednorazowe pobranie w miejscu takim jak Nowy Jork, i koszt ten nie spada tylko dlatego, że chcesz sprawdzać kogoś częściej. Uczynienie ciągłej weryfikacji na tyle przystępnej, aby firma z tysiącami pracowników gig mogła ją realizować co miesiąc zamiast raz w roku, jest równie problemem pozyskiwania danych i wyceny, jak problemem uczenia maszynowego. To właśnie o tym najczęściej myślę w tej chwili.

Pojawia się ciekawa wyścig zbrojeń: AI jednocześnie ułatwia oszustwa tożsamościowe i dostarcza platformom lepsze narzędzia do ich wykrywania. W miarę jak obie strony się doskonalą, czy spodziewasz się, że udowodnienie, że ktoś naprawdę jest tym, za kogo się podaje, stanie się znacznie trudniejsze, czy AI ostatecznie uczyni cyfrową tożsamość bardziej godną zaufania niż kiedykolwiek wcześniej?

Oba są prawdziwe i nie sądzę, że jedno znosi drugie. Nasi klienci często mówią nam, że oczekują od nas możliwości „walczenia ogniem ogniem”. Wiedzą, że potrzebujemy nowoczesnych rozwiązań dla nowoczesnych problemów. Moja szczera ocena jest taka, że cyfrowa tożsamość staje się bardziej godna zaufania dla systemów budowanych do śledzenia kogoś przez lata i na różnych platformach, a mniej godna zaufania dla wszystkiego, co nadal opiera się na jednorazowej weryfikacji w danym momencie. Oznacza to, że firmy, które weryfikowały kogoś tylko raz, będą najbardziej narażone, a te, które budowały z myślą o długoterminowej perspektywie, będą wydawały się znacznie mądrzejsze w retrospektywie niż prawdopodobnie czują się dziś.

Dziękujemy za świetny wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Yardstik.