Mitchell Amador, Założyciel i Dyrektor Generalny Immunefi – Seria Wywiadów

Mitchell Amador, Założyciel i Dyrektor Generalny Immunefi, jest wybitnym przedsiębiorcą w dziedzinie bezpieczeństwa blockchain, aniołem inwestora i liderem myśli w sieci. Założył Immunefi, wiodącą platformę bug bounty i bezpieczeństwa dla ekosystemu Web3, pomagając zapobiec potencjalnym atakom i kradzieżom o wartości ponad 25 miliardów dolarów, jednocześnie promując programy bug bounty jako standard branżowy. Odgrywał kluczową rolę w zabezpieczaniu głównych protokołów blockchain, wspierał inicjatywy bezpieczeństwa whitehat i założył Instituto New Economy, think tank blockchain, który pomógł ustanowić Portugalię jako wiodący europejski hub innowacji blockchain.

Immunefi to wiodąca platforma bezpieczeństwa Web3, która łączy projekty blockchain z etycznymi hakерами za pośrednictwem programów bug bounty, przeglądów bezpieczeństwa i usług ujawniania luk w zabezpieczeniach. Firma pomaga chronić miliardy dolarów w aktywach cyfrowych, umożliwiając organizacjom identyfikowanie i naprawianie krytycznych luk w zabezpieczeniach przed ich wykorzystaniem, obsługując wiele z największych protokołów blockchain i projektów finansowych decentralizowanych (DeFi).

Przed założeniem Immunefi, pomagałeś w przyjęciu przez firmy takie jak SingularityNET i Steemit, oraz brałeś udział w kształtowaniu wczesnej legislacji kryptograficznej w Portugalii. Co przekonało Cię, że bezpieczeństwo Web3 to problem, któremu warto poświęcić karierę, i jaka była luka na rynku, którą zobaczyłeś przy uruchamianiu Immunefi?

Tradycyjne firmy bezpieczeństwa nie mogły nadążyć za szybkością i złożonością Web3, a nie było zaufanej platformy, która mogłaby przyciągnąć elitarnych badaczy w dużym stopniu, jednocześnie dając protokołom pewność, że ujawnienia będą obsługiwane profesjonalnie. Zobaczyliśmy okazję do zbudowania warstwy infrastruktury dla bezpieczeństwa Web3, tworząc zachęty dla projektów i badaczy, jednocześnie czyniąc bezpieczeństwo proaktywne częścią funkcjonowania branży.

Pomogłeś zbudować Immunefi w dominującą siłę w bezpieczeństwie Web3, chroniąc setki miliardów dolarów w aktywach i obsługując większość krytycznych ujawnień luk w zabezpieczeniach w kryptografii. Spoglądając na tę podróż, jakie lekcje z doświadczenia Immunefi wpłynęły na Twoją decyzję o przyjęciu klientów i społeczności Code4rena do ekosystemu Immunefi?

Jedną z największych lekcji z doświadczenia Immunefi jest to, że bezpieczeństwo działa najlepiej, gdy talent jest skoncentrowany, a nie rozproszony. Przyjęcie klientów i badaczy Code4rena do ekosystemu Immunefi pozwala nam wzmocnić obie strony rynku: badacze zyskują dostęp do większych możliwości i zasobów, a projekty zyskują dostęp do szerszego zakresu usług bezpieczeństwa wspieranych przez największą sieć badaczy w Web3.

Code4rena odegrała znaczącą rolę w popularyzowaniu konkurencyjnych audytów bezpieczeństwa w kryptografii. Co Twoim zdaniem ostatecznie spowodowało, że jej model biznesowy stał się trudny do utrzymania, i jakie szersze wnioski można wyciągnąć z tego dla przyszłości bezpieczeństwa crowdsourcowego?

Podstawowym wyzwaniem nie była wartość konkurencyjnych audytów. Ta wartość pozostaje znacząca. Wyzwaniem było zbudowanie zrównoważonego biznesu wokół samodzielnego produktu w środowisku, w którym oczekiwania klientów ewoluowały.

Protokoły coraz częściej chcą kompleksowych rozwiązań bezpieczeństwa, a nie produktów punktowych. Chcą bug bounty, audytów, wywiadów bezpieczeństwa, operacji bezpieczeństwa i możliwości reagowania w przypadku incydentów pod jednym dachem. W miarę dojrzewania rynku, stawało się coraz trudniejsze dla specjalistycznych dostawców, aby konkurować z platformami, które mogą zaoferować szerszy stos bezpieczeństwa.

Wielu badaczy bezpieczeństwa postrzegało Code4rena jako mającą unikalną kulturę i społeczność. Jak planujesz zachować to, co sprawiło, że ta platforma była cenna, podczas integracji użytkowników z Immunefi?

Społeczność była ostatecznie tym, co sprawiło, że Code4rena była sukcesem. Celem nie jest zastąpienie tej kultury, ale stworzenie środowiska, w którym może ona nadal prosperować z większym wsparciem i skalą. Focus jest na ciągłości, a nie przerwaniu. Chcemy, aby badacze czuli, że zyskują dostęp do szerszej platformy bez utraty tych aspektów społeczności, które sprawiły, że chcieli w niej uczestniczyć.

Tradycyjne audyty bezpieczeństwa często opierają się na stosunkowo małej grupie recenzentów, podczas gdy konkursy audytowe mogą przyciągnąć setki badaczy. Jak widzisz ewolucję konkursów audytowych w ciągu najbliższych pięciu lat, gdy AI staje się coraz bardziej wbudowana w przepływy pracy bezpieczeństwa?

To, co prawdopodobnie zobaczymy, to jest przesunięcie, w którym AI zajmie coraz większą część analizy powtarzalnej, rozpoznawania wzorców i wstępnej triady, pozwalając badaczom spędzać więcej czasu na nowych wektorach ataku i złożonych lukach w zabezpieczeniach systemu.

Ta ewolucja sprawia, że konkursy audytowe stają się jeszcze bardziej wartościowe. Jeśli setki badaczy mogą wykorzystywać coraz bardziej zaawansowane narzędzia AI, tworzy się środowisko, w którym różne podejścia mogą być stosowane do tego samego kodu w niezwykłej skali. Przyszłość nie jest taka, że AI zastępuje bezpieczeństwo crowdsourcowe. To AI zwiększa skuteczność dużych społeczności badaczy.

Jednym z pojawiających się problemów, na które zwróciłeś uwagę, jest spam generowany przez AI. Jak poważny jest ten problem i co ujawnia o niezamierzonych konsekwencjach udostępniania zaawansowanych narzędzi AI?

Problemem nie jest to, że AI znajduje zbyt wiele luk w zabezpieczeniach. Problemem jest to, że może generować duże ilości przekonywujących, ale ostatecznie nieprawidłowych wyników. Każde niskiej jakości zgłoszenie zużywa czas recenzentów i tworzy operacyjne obciążenie.

Szerzej, demonstruje to powtarzający się wzorzec w technologie. Gdy potężne narzędzia stają się powszechnie dostępne, zarówno produktywna, jak i nieproduktywna aktywność skaluje się jednocześnie. Organizacje, które będą sukcesywnie budować systemy zdolne do efektywnego identyfikowania prawdziwej ekspertyzy i prawdziwych wyników wśród znacznie większej ilości automatycznego wyjścia.

Czy uważasz, że AI ostatecznie poprawi jakość odkrywania luk w zabezpieczeniach, czy platformy bezpieczeństwa będą musiały stawić czoła długoterminowej walce między coraz bardziej zaawansowanymi systemami AI i powodzią niskiej jakości automatycznych zgłoszeń, które mogą one generować?

Obie rzeczy są prawdziwe.

AI bez wątpienia poprawi odkrywanie luk w zabezpieczeniach. Już widzimy, jak badacze wykorzystują AI do przyspieszania przepływów pracy, analizy większych kodów i identyfikacji potencjalnych wektorów ataku w sposób bardziej wydajny niż wcześniej.

Jednocześnie będzie trwać wojna między systemami generującymi wyniki a systemami je walidującymi. Kluczową różnicą nie będzie to, kto może wygenerować najwięcej raportów. To będzie ten, kto może wygenerować najbardziej pewne wyniki.

Zaczynamy widzieć, jak badacze wspomagani przez AI identyfikują luki w zabezpieczeniach szybciej niż kiedykolwiek wcześniej. Jak blisko jesteśmy do systemów AI, które niezależnie odkrywają, walidują i nawet priorytetowo traktują krytyczne luki w zabezpieczeniach z minimalnym zaangażowaniem ludzi?

Jesteśmy bliżej fazy odkrywania, niż wielu ludzi uważa. AI już staje się przydatna do identyfikacji wzorców, przeglądania kodu i ujawniania potencjalnych luk w zabezpieczeniach.

Walidacja pozostaje trudniejszym wyzwaniem. Znalezienie czegoś, co może być luką w zabezpieczeniach, jest bardzo różne od udowodnienia wykorzystywalności, zrozumienia wpływu biznesowego i dokładnej oceny ciężkości. Te zadania nadal wymagają znacznego osądu ludzkiego.

Wzrost autonomicznych agentów AI tworzy całkowicie nowe powierzchnie ataku. Jakie ryzyka związane z agentywnym AI, Twoim zdaniem, są obecnie niedoceniane zarówno przez branżę Web3, jak i szerszy rynek przedsiębiorstw?

To, co często jest niedoceniane, to złożoność granic zaufania. Systemy agentywne nie działają w izolacji. Konsumują dane wejściowe z wielu źródeł, interakcji z usługami zewnętrznymi i podejmują decyzje na podstawie dynamicznych środowisk. Każda z tych interakcji tworzy potencjalną powierzchnię ataku.

Uważam, że wiele organizacji nadal stosuje tradycyjne założenia bezpieczeństwa oprogramowania do systemów, które funkcjonują fundamentalnie inaczej. Ta luka będzie coraz bardziej istotna, gdy agenci autonomiczni zyskają szerszą władzę operacyjną.

Spoglądając w przyszłość, przez trzy do pięciu lat, jak oczekujesz, że AI zmieni sposób, w jaki luki w zabezpieczeniach są odkrywane, zgłaszane i łagodzone, i jaką rolę widzisz dla ludzkich badaczy bezpieczeństwa w tym przyszłym świecie?

AI dramatycznie przyspieszy każdy etap cyklu życia bezpieczeństwa. Luki w zabezpieczeniach będą odkrywane szybciej, triażowane szybciej, a w wielu przypadkach łagodzone szybciej niż dzisiaj. Zespoły bezpieczeństwa będą miały dostęp do znacznie większej ilości informacji i automatyzacji niż kiedykolwiek wcześniej.

Ale nie wierzę, że przyszłość jest taka, w której ludzcy badacze stają się nieistotni. Jeśli cokolwiek, ich rola staje się jeszcze bardziej istotna. Gdy AI zajmie się zadaniami rutynowymi, ludzka ekspertyza przesunie się w kierunku zrozumienia nowych systemów, identyfikacji niekonwencjonalnych ścieżek ataku, walidacji krytycznych wyników i podejmowania strategicznych decyzji bezpieczeństwa.

Najbardziej udani badacze nie będą tymi, którzy konkurują z AI. Będą tymi, którzy nauczą się wykorzystywać AI jako mnożnik siły. Bezpieczeństwo zawsze nagradzało adaptacyjność, i tak będzie w przyszłości napędzanej przez AI.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Immunefi.