Mitchell Amador, Fundador e CEO da Immunefi – Série de Entrevistas

Mitchell Amador, Fundador e CEO da Immunefi, é um empreendedor de segurança de blockchain proeminente, investidor anjo e líder de pensamento onchain. Ele fundou a Immunefi, a principal plataforma de recompensa de bugs e segurança para o ecossistema Web3, ajudando a prevenir mais de $25 bilhões em hacks e furtos potenciais, enquanto avança os programas de recompensa de bugs como um padrão da indústria. Ele desempenhou um papel fundamental na segurança de principais protocolos de blockchain, contribuiu para iniciativas de segurança whitehat e também fundou o Instituto New Economy, um think tank de blockchain que ajudou a posicionar Portugal como um hub líder de inovação de blockchain na Europa.

Immunefi é uma plataforma de segurança Web3 líder que conecta projetos de blockchain com hackers éticos por meio de programas de recompensa de bugs, revisões de segurança e serviços de divulgação de vulnerabilidades. A empresa ajuda a proteger bilhões de dólares em ativos digitais, permitindo que as organizações identifiquem e corrijam falhas de segurança críticas antes que possam ser exploradas, atendendo a muitos dos principais protocolos de blockchain e projetos de finanças descentralizadas (DeFi) do mundo.

Antes de fundar a Immunefi, você ajudou a impulsionar a adoção em empresas como SingularityNET e Steemit e esteve envolvido na elaboração da legislação de criptomoedas de Portugal. O que o convenceu de que a segurança da Web3 era o problema digno de dedicar sua carreira, e qual lacuna no mercado você viu ao lançar a Immunefi?

As empresas de segurança tradicionais não podiam acompanhar a velocidade e a complexidade da Web3, e não havia uma plataforma confiável que pudesse atrair pesquisadores de elite em larga escala, enquanto dava aos protocolos a confiança de que as divulgações seriam tratadas profissionalmente. Vimos uma oportunidade de construir a camada de infraestrutura para a segurança da Web3, criando incentivos alinhados entre projetos e pesquisadores, tornando a segurança proativa uma parte fundamental da forma como a indústria opera.

Você ajudou a construir a Immunefi na força dominante na segurança da Web3, protegendo centenas de bilhões de dólares em ativos e tratando a vasta maioria das divulgações de vulnerabilidades críticas em criptomoedas. Olhando para trás nessa jornada, quais lições da escala da Immunefi influenciaram sua decisão de trazer os clientes e a comunidade da Code4rena para o ecossistema da Immunefi?

Uma das principais lições da escala da Immunefi é que a segurança funciona melhor quando o talento é concentrado, e não fragmentado. Trazer os clientes e pesquisadores da Code4rena para o ecossistema da Immunefi nos permite fortalecer ambos os lados do mercado: os pesquisadores ganham acesso a mais oportunidades e recursos, enquanto os projetos ganham acesso a um conjunto mais amplo de serviços de segurança apoiados pela maior rede de pesquisadores da Web3.

A Code4rena desempenhou um papel fundamental na popularização de auditorias de segurança competitivas em criptomoedas. O que você acredita que finalmente causou sua modelo de negócios se tornar difícil de sustentar, e quais lições mais amplas isso oferece para o futuro da segurança de crowdsourcing?

O desafio fundamental não foi o valor das auditorias competitivas. Esse valor permanece significativo. O desafio foi construir um negócio sustentável em torno de uma oferta autônoma em um ambiente onde as expectativas dos clientes evoluíram.

Os protocolos cada vez mais querem soluções de segurança abrangentes, em vez de produtos pontuais. Eles querem recompensas de bugs, auditorias, inteligência de ameaças, operações de segurança e capacidades de resposta a incidentes sob um mesmo teto. À medida que o mercado amadureceu, tornou-se mais difícil para os fornecedores especializados competir com plataformas que podiam oferecer uma pilha de segurança mais ampla.

Muitos pesquisadores de segurança viam a Code4rena como tendo uma cultura e comunidade únicas. Como você planeja preservar o que tornou essa plataforma valiosa, enquanto integra os usuários na Immunefi?

A comunidade é, em última análise, o que tornou a Code4rena bem-sucedida. O objetivo não é substituir essa cultura, mas criar um ambiente onde ela possa continuar a prosperar com maior suporte e escala. O foco está na continuidade, e não na interrupção. Queremos que os pesquisadores sintam que estão ganhando acesso a uma plataforma mais ampla, sem perder os aspectos da comunidade que os fizeram querer participar em primeiro lugar.

As auditorias de segurança tradicionais frequentemente dependem de um grupo relativamente pequeno de revisores, enquanto as competições de auditoria podem atrair centenas de pesquisadores. Como você vê as competições de auditoria evoluindo nos próximos cinco anos, à medida que a IA se torna cada vez mais incorporada aos fluxos de trabalho de segurança?

O que provavelmente veremos é uma mudança na qual a IA lidará com uma porção crescente de análise repetitiva, reconhecimento de padrões e triagem inicial, permitindo que os pesquisadores passem mais tempo em vetores de ataque novos e complexas vulnerabilidades de sistema.

Essa evolução, na verdade, torna as auditorias competitivas mais valiosas. Se centenas de pesquisadores puderem usar ferramentas de IA cada vez mais capazes, você cria um ambiente onde abordagens diversas podem ser aplicadas à mesma base de código em uma escala sem precedentes. O futuro não é a IA substituindo a segurança de crowdsourcing. É a IA ampliando a eficácia de grandes comunidades de pesquisadores.

Uma das preocupações emergentes que você destacou é a submissão de spam gerada por IA. Quão grave se tornou esse problema, e o que isso revela sobre as consequências não intencionais de tornar ferramentas de IA avançadas amplamente acessíveis?

A questão não é que a IA está encontrando muitas vulnerabilidades. A questão é que pode gerar grandes volumes de descobertas convincentes, mas, em última análise, incorretas. Cada submissão de baixa qualidade consome tempo do revisor e cria sobrecarga operacional.

Mais amplamente, demonstra um padrão recorrente na tecnologia. Quando ferramentas poderosas se tornam amplamente acessíveis, tanto a atividade produtiva quanto a improdutiva se escalonam simultaneamente. As organizações que terão sucesso serão aquelas que construírem sistemas capazes de identificar eficientemente a verdadeira expertise e as verdadeiras descobertas em meio a um volume muito maior de saída automatizada.

Você acredita que a IA, em última análise, melhorará a qualidade da descoberta de vulnerabilidades, ou as plataformas de segurança enfrentarão uma longa corrida armamentista entre sistemas de IA cada vez mais capazes e a onda de submissões automatizadas de baixa qualidade que eles podem gerar?

Ambas as coisas são verdadeiras.

A IA, sem dúvida, melhorará a descoberta de vulnerabilidades. Já estamos vendo os pesquisadores usarem a IA para acelerar os fluxos de trabalho, analisar bases de código maiores e identificar vetores de ataque potenciais de forma mais eficiente do que antes.

Ao mesmo tempo, haverá uma corrida armamentista contínua entre os sistemas que geram descobertas e os sistemas que as validam. O diferenciador-chave não será quem pode gerar os mais relatórios. Será quem pode gerar as descobertas com a maior confiança.

Estamos começando a ver pesquisadores assistidos por IA identificarem vulnerabilidades mais rápido do que nunca. Quão perto estamos de sistemas de IA independentemente descobrirem, validarem e até priorizarem vulnerabilidades críticas com mínimo envolvimento humano?

Estamos mais perto da fase de descoberta do que muitas pessoas percebem. A IA já está se tornando útil para identificar padrões, revisar código e superfície potencial de vulnerabilidades.

A validação permanece o desafio mais difícil. Encontrar algo que possa ser uma vulnerabilidade é muito diferente de provar a explorabilidade, entender o impacto comercial e avaliar com precisão a gravidade. Essas tarefas ainda exigem um julgamento humano substancial.

A ascensão de agentes de IA autônomos está criando superfícies de ataque completamente novas. Quais riscos de segurança associados à IA agente você acredita que estão sendo subestimados tanto pela indústria Web3 quanto pelo mercado empresarial mais amplo?

O que frequentemente é subestimado é a complexidade das fronteiras de confiança envolvidas. Os sistemas agêntes não operam em isolamento. Eles consomem entradas de múltiplas fontes, interagem com serviços de terceiros e tomam decisões com base em ambientes dinâmicos. Cada uma dessas interações cria uma superfície de ataque potencial.

Acredito que muitas organizações ainda estão aplicando suposições de segurança de software tradicionais a sistemas que se comportam fundamentalmente de forma diferente. Essa lacuna se tornará cada vez mais importante à medida que os agentes autônomos ganham autoridade operacional mais ampla.

Olhando para a frente, três a cinco anos, como você espera que a IA transforme a forma como as vulnerabilidades são descobertas, relatadas e mitigadas, e qual papel você vê os pesquisadores de segurança humanos desempenhando nesse futuro?

A IA acelerará dramaticamente todas as etapas do ciclo de vida de segurança. As vulnerabilidades serão descobertas mais rápido, triadas mais rápido e, em muitos casos, mitigadas mais rápido do que hoje. As equipes de segurança terão acesso a muito mais inteligência e automação do que nunca.

Mas não acredito que o futuro seja um em que os pesquisadores humanos se tornem irrelevantes. Se algo, o papel deles se torna mais importante. À medida que a IA lida com tarefas rotineiras, a expertise humana se desloca para entender sistemas novos, identificar caminhos de ataque não convencionais, validar descobertas críticas e tomar decisões estratégicas de segurança.

Os pesquisadores mais bem-sucedidos não serão aqueles que competem contra a IA. Eles serão aqueles que aprenderem a usar a IA como um multiplicador de força. A segurança sempre recompensou a adaptabilidade, e isso permanecerá verdadeiro em um futuro impulsionado pela IA.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Immunefi.