Kara Sprague, CEO da HackerOne – Série de Entrevistas

Kara Sprague, CEO da HackerOne, é uma executiva de tecnologia veterana com mais de duas décadas de experiência em liderança de produtos, gestão geral e consultoria estratégica nos setores de software e segurança. Ela assumiu o cargo de CEO em novembro de 2024, após ocupar cargos executivos seniores na F5, incluindo Vice-Presidente Executivo e Diretor de Produto, onde liderou iniciativas de produtos e plataformas importantes, bem como funções de gerenciamento geral anteriores que supervisionavam negócios de grande escala. Antes de ingressar na F5, ela passou mais de uma década como sócia da McKinsey & Company, aconselhando empresas de tecnologia líderes sobre crescimento e estratégia, e começou sua carreira como membro da equipe técnica da Oracle (ORCL ). Além de seu papel na HackerOne, ela também atua no conselho de administração da Trimble Inc. (TRMB )

HackerOne é uma empresa de segurança cibernética mais conhecida por pioneirar a segurança impulsionada por hackers, conectando organizações a uma comunidade global de hackers éticos para identificar e remediar vulnerabilidades antes que possam ser exploradas. A plataforma apoia empresas e governos por meio de programas de caça a bugs, divulgação de vulnerabilidades, testes de penetração e serviços de teste de segurança que combinam expertise humana com fluxos de trabalho automatizados e impulsionados por AI. Ao mudar a segurança de um modelo reativo para um modelo proativo, a HackerOne se tornou uma parte crítica da pilha de segurança de aplicativos moderna para organizações que buscam reduzir riscos e melhorar a resiliência em escala.

Você assumiu o cargo de CEO da HackerOne em novembro de 2024, após décadas de liderança em F5, McKinsey, Oracle e outras grandes organizações de tecnologia. O que o atraiu a assumir esse desafio nessa etapa de sua carreira, e quais foram as primeiras prioridades que você estabeleceu quando começou a liderar a empresa?

Passei minha carreira na interseção de tecnologia, estratégia e risco, ajudando organizações a navegar momentos em que as apostas são altas e o ambiente está mudando rapidamente. O que me atraiu à HackerOne é que estamos exatamente nesse tipo de ponto de inflexão novamente, à medida que a IA redefine o cenário de segurança cibernética.

A segurança não é mais uma função de back-office – é um driver fundamental de confiança, resiliência e velocidade de negócios. As empresas agora operam em sistemas profundamente interconectados, fluxos de dados constantes e tomada de decisões automatizada em escala sem precedentes. A IA está acelerando a inovação, mas também está introduzindo novas costuras, dependências e modos de falha que os modelos de segurança tradicionais não foram projetados para lidar.

É por isso que a missão da HackerOne é tão importante agora. Nossa missão é empoderar o mundo para construir uma internet mais segura, e em um mundo impulsionado por IA, essa missão nunca foi tão urgente. A HackerOne é diferente porque combinamos uma comunidade global de pesquisadores de segurança humanos com inteligência de plataforma para encontrar e corrigir vulnerabilidades antes que os atacantes possam explorá-las. Esse modelo de humano no loop não é apenas diferenciado – é essencial.

Desde o primeiro dia, me concentrei em três prioridades: expandir nossas capacidades de plataforma agente, investir em nossa comunidade de pesquisadores e aprofundar a confiança com clientes e parceiros. Isso significa dimensionar a equipe de IA vermelha, evoluir o Hai de um copiloto para uma equipe coordenada de agentes de IA que ajudam as organizações a priorizar, validar e remediar riscos mais rapidamente, e lançar o HackerOne Code para garantir a segurança do software mais cedo no ciclo de desenvolvimento. Hoje, mais de 90% de nossos clientes usam o Hai para acelerar seu trabalho para validar e corrigir vulnerabilidades.

O cenário está evoluindo rapidamente, mas nosso foco é constante: conter riscos antes que eles os definam. Na HackerOne, isso significa tornar a segurança contínua, prática e construída para o ritmo da inovação moderna.

A HackerOne viu um aumento de 200% nos testes de penetração e na equipe de IA vermelha, bem como uma mudança estratégica em direção à gestão contínua de exposição de ameaças. Como essas tendências estão redesenhando sua visão de longo prazo para a empresa, e o que esse impulso sinaliza sobre o futuro da segurança empresarial?

O que estamos vendo não é um pico – é um reset. Um aumento de 200% nos testes de penetração e na equipe de IA vermelha confirma que a segurança pontual simplesmente não pode acompanhar a velocidade com que as empresas modernas mudam.

Essa realidade está moldando nossa visão de longo prazo em torno da gestão contínua de exposição de ameaças em todo o ciclo de vida – desde o código e a nuvem até os sistemas de IA. À medida que a IA acelera tanto a inovação quanto a velocidade do ataque, o desafio não é encontrar vulnerabilidades; é provar o que é explorável, priorizar o que mais importa e corrigi-lo rapidamente. Estamos construindo uma plataforma que combina testes contínuos, validação autônoma, priorização inteligente e expertise humana para fazer exatamente isso.

Para os líderes empresariais, o sinal é claro: a segurança está se tornando uma disciplina de negócios contínua, não uma auditoria periódica. As empresas que se destacam serão aquelas que identificam riscos mais cedo, agem mais rapidamente e contêm a exposição antes que ela se torne um problema de negócios. Essa mudança define o futuro da segurança empresarial.

Como o sistema de IA Hai se integra ao fluxo de trabalho de descoberta de vulnerabilidades, e onde ele fornece a maior alavancagem para os pesquisadores e clientes?

O Hai é uma equipe coordenada de agentes de IA incorporados diretamente ao fluxo de trabalho de gerenciamento de vulnerabilidades para analisar e contextualizar continuamente as descobertas, ajudando as organizações a priorizar, validar e remediar riscos mais rapidamente. Ele opera em todo o ciclo de vida de um relatório, atuando como um multiplicador de forças para os defensores à medida que os volumes aumentam e as ameaças se tornam mais complexas.

O Hai fornece a maior alavancagem ao cortar o ruído. Ele melhora a triagem e a compreensão ao resumir relatórios, identificar padrões, validar descobertas e destacar as questões mais prováveis de importar. Nossa pesquisa mostra que 20% dos usuários economizam 6 a 10 horas por semana, encurtando significativamente o caminho da detecção à remediação confiante.

Os pesquisadores também se beneficiam. Com mais da metade deles agora usando IA ou automação em seu trabalho, o Hai ajuda a produzir conceitos de prova mais fortes, explicações mais claras e validação mais consistente.

Quais novas categorias de vulnerabilidades surgiram nos últimos anos à medida que as empresas adotam a IA de forma mais agressiva em suas pilhas de software?

À medida que a IA se torna incorporada em produtos e fluxos de trabalho, estamos vendo novas categorias de vulnerabilidades surgirem em escala significativa. Em nosso último Relatório de Segurança Impulsionada por Hackers, os relatórios de vulnerabilidades de IA válidas aumentaram 210% ano a ano e quase 80% dos CISOs agora incluem ativos de IA no escopo dos testes de segurança. A injeção de prompt foi a mais visível, aumentando mais de metade ano a ano, e permanece uma das principais maneiras pelas quais os atacantes influenciam o comportamento do modelo. Também estamos vendo crescimento na manipulação de modelos, tratamento de saída inseguro, envenenamento de dados e fraquezas relacionadas a dados de treinamento e gerenciamento de resposta.

O que torna esses riscos especialmente consequenciais é que eles não afetam apenas sistemas – influenciam decisões, fluxos de trabalho e confiança do cliente. A IA introduz caminhos de falha que os testes tradicionais não cobrem totalmente. À medida que esses sistemas são implantados em produção e se tornam mais críticos operacionalmente, testes de segurança de IA contínuos e dedicados se tornarão cada vez mais centrais para os programas de segurança empresariais.

Nossa abordagem combina automação impulsionada por IA para escalonar a descoberta e detecção de padrões com expertise humana para descobrir falhas sutis, fraquezas novas e impacto real – permitindo que os defensores operem à mesma velocidade e escala que os atacantes.

À medida que a comunidade global de pesquisadores se expande, como você mantém a confiança, a qualidade e a justiça, além de avançar nos compromissos com diversidade e inclusão em todo o ecossistema movido pela multidão?

A confiança é a base de um modelo de segurança movido pela multidão, e ela precisa ser construída deliberadamente à medida que a comunidade se expande. Para nós, isso começa com padrões claros, incentivos consistentes e governança sólida.

Nossa comunidade é composta por pesquisadores de segurança verificados que se unem a clientes para identificar, validar e ajudar a remediar vulnerabilidades reais em uma ampla gama de tecnologias.

Mantemos a qualidade e a justiça combinando inteligência de plataforma com supervisão humana – validando descobertas, aplicando regras de engajamento uniformes e recompensando pesquisadores com base no impacto, não no histórico, geografia ou senioridade. Sistemas de reputação, triagem transparente e modelos de pagamento consistentes criam responsabilidade em ambos os lados do mercado.

Estamos profundamente investidos no sucesso dos pesquisadores. Através do processo de integração, treinamento e caminhos de crescimento claros, ajudamos novos pesquisadores a construir habilidades e credibilidade. Nos últimos seis anos, 50 pesquisadores ganharam mais de US$ 1 milhão cada em nossa plataforma – um sinal poderoso da qualidade do trabalho e da justiça do modelo.

Diversidade e inclusão não são iniciativas separadas; elas são fundamentais para a força do ecossistema. Os desafios de segurança são globais, e perspectivas diversas revelam diferentes caminhos de ataque e pontos cegos. O resultado é uma comunidade confiável e de alto desempenho que se torna mais forte – e não mais fragmentada – à medida que cresce.

Quais salvaguardas a HackerOne implementou para garantir que a descoberta de vulnerabilidades assistida por IA permaneça responsável e evite viés ou mau uso?

Em toda a nossa plataforma, os agentes de IA são projetados para melhorar a clareza, validar descobertas e acelerar a remediação – enquanto os humanos permanecem responsáveis pelas decisões sobre aceitação, gravidade e resposta.

Nosso objetivo é manter os mesmos padrões que esperamos dos clientes. Usamos nossas capacidades de IA internamente, testamos continuamente em fluxos de trabalho reais e recompensamos nossa comunidade de pesquisadores por identificar vulnerabilidades de alto impacto em nossas próprias soluções. Isso cria um loop de feedback apertado para detectar viés, inconsistência ou mau uso precocemente.

À medida que a IA se torna mais incorporada às operações de segurança, nosso objetivo é estabelecer um padrão que as equipes possam confiar – fundamentado em transparência, testes contínuos e responsabilidade humana.

Um aumento de 120% nas descobertas de vulnerabilidades e recompensas sugere mudanças significativas no cenário de ameaças. Você interpreta isso como progresso na detecção ou como um sinal de que o software empresarial está se tornando mais arriscado?

É ambos – e é esse o ponto.

O aumento reflete o progresso real na detecção. Os pesquisadores estão descobrindo mais fraquezas ação e de alta qualidade, e as recompensas aumentadas mostram que as empresas valorizam a descoberta e a correção de riscos reais. Mais descobertas não significam automaticamente que o software é mais arriscado – significam que a exposição está finalmente visível.

Ao mesmo tempo, o software empresarial está se tornando mais complexo e interconectado. A IA, dependências de terceiros e ciclos de lançamento mais rápidos estão expandindo a superfície de ataque mais rapidamente do que os controles tradicionais foram projetados para lidar.

A lição é simples: o risco é dinâmico, e a segurança precisa ser também. As organizações mais resilientes assumem que a exposição é inevitável e se concentram relentemente em corrigir o que realmente importa.

O que você vê como o maior desafio para as plataformas de segurança movidas pela multidão nos próximos anos, à medida que a IA se torna mais capaz?

O maior desafio em qualquer plataforma de segurança é manter o sinal e a confiança à medida que a velocidade e a escala aumentam.

À medida que a IA reduz a barreira para a descoberta, as plataformas verão um aumento no volume proveniente de fluxos de trabalho automatizados e híbridos. O risco não é ter poucas descobertas – é o barulho esmagando os clientes e os incentivos desalinhados erodindo a confiança.

As plataformas que terão sucesso serão aquelas que validam a explorabilidade, priorizam o impacto e alinham as recompensas com os resultados – enquanto mantêm uma governança sólida e responsabilidade humana. O futuro não é sobre encontrar mais problemas; é sobre encontrar os problemas certos mais rapidamente e transformar a visão em ação antes que os problemas de negócios possam surgir.

Você prevê a HackerOne expandindo-se além da descoberta de vulnerabilidades para áreas como monitoramento contínuo, remediação impulsionada por IA ou modelagem de ameaças preditiva?

Nossa foco é resolver o problema central que as empresas enfrentam: entender e conter riscos reais em ambientes em constante mudança.

Isso significa naturalmente ir além da descoberta pontual. Já operamos em todo o ciclo de vida de exposição, desde o código e a equipe de IA vermelha até a validação e priorização, e continuaremos investindo em capacidades que ajudem os clientes a ver a exposição mais cedo, entender o impacto mais rapidamente e impulsionar a remediação para a conclusão.

A IA desempenha um papel central nessa evolução – particularmente na priorização e aceleração do fluxo de trabalho – mas sempre com responsabilidade humana no centro. Nosso objetivo é a segurança contínua, prática e construída para o ritmo da inovação moderna.

À medida que os adversários adotam cada vez mais a IA, como a HackerOne planeja manter a liderança e garantir que as ferramentas defensivas evoluam tão rapidamente?

Nós nos mantemos à frente dos nossos adversários operando onde os ataques reais emergem. Nossa comunidade global de pesquisadores já está testando técnicas habilitadas por IA contra ambientes ao vivo, nos dando visibilidade antecipada sobre como os adversários realmente operam.

Combinamos essa visão humana com automação impulsionada por IA para escalonar a descoberta, validação, priorização e remediação. Além disso, testamos continuamente nossa própria plataforma usando as mesmas abordagens de equipe de IA vermelha que oferecemos aos clientes.

O objetivo não é prever cada novo ataque – é construir um sistema que aprende mais rápido do que os atacantes. É assim que as ferramentas defensivas mantêm o ritmo em um cenário de ameaças impulsionado por IA.

Obrigado pela grande entrevista – os leitores que desejam aprender mais sobre como a empresa está usando a expertise humana e a segurança impulsionada por IA para ajudar as organizações a identificar e conter riscos reais antes que se tornem problemas de negócios podem visitar HackerOne.