Ian Riopel, CEO i współzałożyciel Root.io – seria wywiadów

Ian Riopel, CEO i współzałożyciel Root.io, prowadzi misję firmy, aby zabezpieczyć łańcuch dostaw oprogramowania za pomocą rozwiązań chmurowych. Z ponad 15-letnim doświadczeniem w branży technologicznej i cyberbezpieczeństwa, pełnił funkcje kierownicze w Slim.AI i FXP, koncentrując się na sprzedaży przedsiębiorstw, strategii wejścia na rynek i wzroście sektora publicznego. Ukończył studia ACE na MIT Sloan i jest absolwentem U.S. Army Intelligence School.

Root.io to platforma bezpieczeństwa chmurowego zaprojektowana, aby pomóc przedsiębiorstwom zabezpieczyć łańcuch dostaw oprogramowania. Automatyzując zaufanie i zgodność w procesach rozwoju, Root.io umożliwia szybsze i bardziej niezawodne dostarczanie oprogramowania dla nowoczesnych zespołów DevOps.

Czym inspiruje założenie Root, i jak powstał pomysł na Automated Vulnerability Remediation (AVR)?

Root powstał z głębokiej frustracji, której doświadczyliśmy wielokrotnie: organizacje poświęcają ogromne ilości czasu i zasobów na ściganie luk w zabezpieczeniach, które nigdy nie znikają całkowicie. Triage stał się jedyną obroną przed szybko narastającym technicznym długiem CVE, ale z szybkością pojawiania się nowych luk, sama triage nie jest już wystarczająca.

Jako opiekunowie Slim Toolkit (dawniej DockerSlim), byliśmy już głęboko zaangażowani w optymalizację i bezpieczeństwo kontenerów. Było naturalne, abyśmy zapytali: Co, gdy kontenery mogłyby proaktywnie naprawiać same siebie w ramach standardowego cyklu rozwoju oprogramowania? Automatyczna naprawa, znana obecnie jako Automated Vulnerability Remediation („AVR”), była naszym rozwiązaniem – podejściem nie skupiającym się na triage i tworzeniu list, ale automatycznie eliminującym je, bezpośrednio w oprogramowaniu, bez wprowadzania zmian, które mogłyby powodować błędy.

Root wcześniej był znany jako Slim.AI—co skłoniło do zmiany nazwy, i jak firma ewoluowała podczas tego przejścia?

Slim.AI rozpoczął jako narzędzie, które pomagało deweloperom minimalizować i optymalizować kontenery. Ale szybko zrealizowaliśmy, że nasza technologia ewoluowała w coś znacznie bardziej wpływowego: potężną platformę, która proaktywnie zabezpiecza oprogramowanie do produkcji na dużą skalę. Zmiana nazwy na Root ujmuje tę transformacyjną zmianę – od narzędzia optymalizacji deweloperskiej do solidnego rozwiązania bezpieczeństwa, które umożliwia każdej organizacji spełnienie surowych wymagań bezpieczeństwa wokół oprogramowania open-source w ciągu kilku minut. Root uosabia naszą misję: dotarcie do korzenia ryzyka oprogramowania i usunięcie luk w zabezpieczeniach, zanim staną się one incydentami.

Masz zespół z głębokimi korzeniami w cyberbezpieczeństwie, od Cisco, Trustwave i Snyk. Jak wasze zbiorowe doświadczenie ukształtowało DNA Root?

Nasz zespół zbudował skanery bezpieczeństwa, bronił globalnych przedsiębiorstw i opracował rozwiązania dla niektórych z najbardziej wrażliwych i wysokostakowych infrastruktur. Zmagaliśmy się bezpośrednio z kompromisami między szybkością, bezpieczeństwem i doświadczeniem deweloperskim. To zbiorowe doświadczenie fundamentalnie ukształtowało DNA Root. Jesteśmy obsedowani automatyzacją i integracją – nie tylko identyfikowaniem problemów bezpieczeństwa, ale także szybkim ich rozwiązywaniem bez tworzenia nowych tarcia. Nasze doświadczenie informuje każdą decyzję, zapewniając, że bezpieczeństwo przyspiesza innowacje, a nie je spowalnia.

Root twierdzi, że łata luki w zabezpieczeniach kontenerów w ciągu kilku sekund – bez przebudowy, bez przestoju. Jak działa wasza technologia AVR pod powierzchnią?

AVR działa bezpośrednio na poziomie kontenera, szybko identyfikując podatne pakiety i łatając lub zastępując je wewnątrz samej obrazu – bez wymagania skomplikowanych przebudów. Wyobraź sobie to jako bezproblemową wymianę podatnego kodu z bezpiecznymi zamiennikami, zachowując przy tym zależności, warstwy i zachowania czasu wykonywania. Nie ma już potrzeby czekania na łaty od dostawców, nie ma potrzeby przebudowywać swoich potoków. To naprawa z prędkością innowacji.

Czy możesz wyjaśnić, co odróżnia Root od innych rozwiązań bezpieczeństwa, takich jak Chainguard lub Rapidfort? Jaki jest wasz atut w tym zakresie?

W przeciwieństwie do Chainguard, który nakazuje przebudowywanie przy użyciu wyselekcjonowanych obrazów, lub Rapidfort, który zmniejsza powierzchnię ataku bez bezpośredniego zajmowania się lukami, Root bezpośrednio łata istniejące obrazy kontenerów. Bezproblemowo integrujemy się z waszym potokiem bez zakłóceń – bez tarcia, bez przekazywania. Nie jesteśmy tu, aby zastąpić wasz workflow, jesteśmy tu, aby go przyspieszyć i udoskonalić. Każdy obraz, który przechodzi przez Root, staje się podstawowym obrazem – w pełni zabezpieczonym, przejrzystym, kontrolowanym – dostarczając szybką stopę zwrotu z inwestycji, zmniejszając luki i oszczędzając czas. Nasza platforma skraca czas naprawy z tygodni lub dni do zaledwie 120-180 sekund, umożliwiając firmom w wysoko regulowanych branżach wyeliminowanie miesięcznych zaległości luk w zabezpieczeniach w jednej sesji.

Deweloperzy powinni koncentrować się na tworzeniu i wysyłaniu nowych produktów – a nie spędzać godzin na naprawianiu luk w zabezpieczeniach, czasochłonnej i często niechcianej części rozwoju oprogramowania, która hamuje innowacje. Co gorsza, wiele z tych luk nie należy nawet do nich – pochodzą one z słabości dostawców zewnętrznych lub projektów oprogramowania open-source, zmuszając zespoły do spędzania cennych godzin na naprawie czyjąś sprawę.

Deweloperzy i zespoły R&D są wśród największych centrów kosztów w każdej organizacji, zarówno pod względem zasobów ludzkich, jak i oprogramowania oraz infrastruktury chmurowej, które je wspierają. Root odciąża ten ciężar, wykorzystując agentic AI, zamiast polegać na zespołach deweloperów pracujących przez całą dobę, aby ręcznie sprawdzać i łatać znane luki.

Jak Root konkretnie wykorzystuje agentic AI do automatyzacji i przyspieszania procesu naprawy luk w zabezpieczeniach?

Nasze silnik AVR wykorzystuje agentic AI do replikowania procesów myślowych i działań doświadczonego inżyniera bezpieczeństwa – szybko oceniając wpływ CVE, identyfikując najlepsze dostępne łaty, rygorystycznie testując i bezpiecznie stosując poprawki. Dokonuje w sekundach tego, co wymagałoby znacznego wysiłku ręcznego, skalując się jednocześnie na tysiące obrazów. Każda naprawa uczy system, ciągle poprawiając jego skuteczność i adaptacyjność, w zasadzie wbudowując ekspertyzę pełnoetatowego inżyniera bezpieczeństwa bezpośrednio w wasze obrazy.

Jak Root integruje się z istniejącymi workflow deweloperskimi bez dodawania tarcia?

Root bezproblemowo integruje się z istniejącymi workflow, podłączając się bezpośrednio do twojego rejestru kontenerów lub potoku – bez rebasingu, nowych agentów i dodatkowych sidecarów. Deweloperzy wysyłają obrazy, jak zwykle, a Root zajmuje się łataniem i publikowaniem zaktualizowanych obrazów w sposób niezauważalny na miejscu lub jako nowe tagi. Nasze rozwiązanie pozostaje niewidoczne, aż do momentu, gdy jest potrzebne, oferując pełną widoczność za pomocą szczegółowych śladów audytowych, kompleksowych SBOM i prostych opcji wycofania, gdy są pożądane.

Jak balansujecie automatyzację i kontrolę? Dla zespołów, które chcą widoczność i nadzór, jak bardzo można dostosować Root?

W Root, automatyzacja zwiększa – a nie zmniejsza – kontrolę. Nasza platforma jest wysoko dostosowywana, pozwalając zespołom skalować poziom automatyzacji do ich specyficznych potrzeb. Decydujecie, co ma być automatycznie stosowane, kiedy zaangażować przegląd ręczny i co wykluczyć. Zapewniamy obszerną widoczność za pomocą szczegółowych widoków różnic, changelogów i analizy wpływu, zapewniając, że zespoły bezpieczeństwa pozostają poinformowane i uprawnione, nigdy nie pozostawione w ciemności.

Z tysiącami luk w zabezpieczeniach naprawianymi automatycznie, jak zapewniasz stabilność i unikasz łamania zależności lub zakłócania produkcji?

Stabilność i niezawodność są podstawą każdej akcji, którą podejmuje AVR Root. Domyślnie przyjmujemy podejście konserwatywne, starannie śledząc grafy zależności, stosując łaty świadome kompatybilności i rygorystycznie testując każdy naprawiony obraz wobec wszystkich dostępnych ram testowych dla projektów open-source przed wdrożeniem. Gdyby pojawił się jakiś problem, jest on wykrywany wcześnie, a wycofanie jest bezproblemowe. W praktyce utrzymaliśmy wskaźnik niepowodzeń poniżej 0,1% w przypadku tysiąca automatycznych napraw.

Jak Root przygotowuje się do nowych zagrożeń bezpieczeństwa ery sztucznej inteligencji?

Widzimy AI jako potencjalne wektor zagrożenia i defensywną supermoc. Root proaktywnie wbudowuje odporność bezpośrednio w łańcuch dostaw oprogramowania, zapewniając, że konteneryzowane obciążenia – w tym złożone sterty AI/ML – są ciągle wzmacniane. Nasze agentic AI ewoluuje wraz z zagrożeniami, autonomicznie dostosowując obronę szybciej, niż atakujący mogą działać. Naszym ostatecznym celem jest autonomiczna odporność łańcucha dostaw oprogramowania: infrastruktura, która broni się z prędkością pojawiania się nowych zagrożeń.

Dziękujemy za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Root.io.