Willem Delbare, Co-Fundador e CEO da Aikido – Série de Entrevistas

Willem Delbare, Co-Fundador e CEO da Aikido, é um empreendedor serial de SaaS e fundador técnico com uma forte formação em construir empresas de software voltadas para desenvolvedores. Antes de lançar a Aikido em 2022, ele co-fundou a plataforma de RH Officient, a iniciativa de sustentabilidade FutureproofedCities e a empresa de CRM Teamleader, onde atuou como CTO e ajudou a escalar a empresa para se tornar uma das histórias de sucesso de SaaS mais notáveis da Bélgica. Ao longo de sua carreira, Delbare se concentrou em simplificar desafios técnicos complexos em infraestrutura de nuvem, escalabilidade de SaaS e cibersegurança. Sob sua liderança, a Aikido cresceu rapidamente e se tornou uma das startups de cibersegurança de mais rápido crescimento da Europa, focando em soluções de segurança práticas projetadas para equipes de desenvolvimento modernas.

Aikido é uma empresa de cibersegurança com sede na Bélgica que ajuda desenvolvedores e equipes de engenharia a proteger aplicativos e ambientes de nuvem por meio de uma plataforma unificada. A empresa combina várias funções de segurança, como análise de código, análise de dependências, gerenciamento de postura de segurança de nuvem, proteção em tempo de execução e testes assistidos por IA, em um sistema simplificado. Sua abordagem é projetada para reduzir a complexidade, minimizar falsos positivos e eliminar a necessidade de organizações gerenciarem pilhas de segurança fragmentadas em vários fornecedores. Construída com uma filosofia de “desenvolvedor em primeiro lugar”, a Aikido enfatiza a automação, o monitoramento contínuo e os fluxos de trabalho de remediação simplificados para ajudar as empresas a integrar a segurança diretamente ao ciclo de vida de desenvolvimento de software.

Quais experiências de construir e escalar empresas como Teamleader e Officient o levaram a fundar a Aikido Security em 2022, e como seu background como fundador técnico moldou sua visão para criar uma abordagem mais amigável ao desenvolvedor para a cibersegurança?

Ao longo da última década, encontrei meu chamado no B2B SaaS. Com três startups como co-fundador técnico e CTO e três saídas em diferentes setores, como tecnologia de RH, tecnologia de faturamento e contabilidade de carbono. Todos muito diferentes, mas com a mesma obsessão de construir software que não faz as pessoas quererem jogar seus laptops fora da janela.

Mas em cada uma dessas empresas, a segurança me mantinha acordado à noite. O medo de uma violação de dados era real, e as ferramentas que deveriam ajudar pareciam o interior de uma cabine de um F-16. Caras, esmagadoras e projetadas para alguém com um PhD em ciência da computação, não para uma equipe de desenvolvimento tentando enviar rapidamente.

Fundamos a Aikido Security para resolver esse desafio diretamente. A Aikido fornece uma plataforma de segurança de software unificada e voltada para desenvolvedores para organizações de todos os tamanhos, que reúne os recursos essenciais de segurança em código, nuvem e tempo de execução em um só lugar, tornando mais fácil para os desenvolvedores enviarem de forma segura.

Desde então, a IA tornou a entrega de software ainda mais rápida e a superfície de ataque maior. Nosso próximo capítulo é permitir que as organizações acompanhem o software que se protege sozinho.

Em fevereiro, lançamos a Aikido Infinite, nossa solução de teste de penetração contínua com IA que valida a explorabilidade e fecha o loop de remediação antes que o código chegue à produção.

Ambientes de desenvolvedor agora estão sendo descritos como um dos principais pontos cegos de segurança. O que mudou recentemente para tornar essa questão tão crítica?

As máquinas dos desenvolvedores sempre foram alvos valiosos. Elas contêm credenciais de nuvem, chaves SSH, tokens de publicação npm, configurações de Kubernetes, acesso direto ao código-fonte. Mas o que mudou nos últimos 6 a 12 meses é que os atacantes descobriram como é fácil comprometê-las por meio das ferramentas que os desenvolvedores já confiam. Acompanhamos isso ao longo do ano inteiro. Trivy, TanStack, Bitwarden CLI, a extensão do console Nx para VS Code e agora o GitHub, todos violados por meio de ferramentas de desenvolvedor, todos mirando no dispositivo.

O problema é que a maioria das equipes de segurança não tem visibilidade do que está realmente executando nessas máquinas. O EDR monitora no nível da aplicação, mas não vê os pacotes, extensões ou ferramentas de IA em execução dentro dessas aplicações. Enquanto isso, os desenvolvedores estão incorporando novos pacotes, extensões e ferramentas de IA todos os dias com muito pouca supervisão humana. As LLMs também tornaram mais fácil criar malware convincente, o que reduziu a barreira para os atacantes em geral. A lacuna entre o que está nas máquinas dos desenvolvedores e o que as equipes de segurança podem realmente ver é onde todos esses ataques estão aterrissando.

Estamos vendo um aumento nos ataques de cadeia de suprimentos ao mesmo tempo em que a IA está se tornando amplamente adotada. Como a IA está mudando o equilíbrio entre atacantes e defensores?

A IA tornou significativamente mais fácil criar malware de cadeia de suprimentos. Construir payloads convincentes, ofuscar código e entender como os registros de pacotes funcionam bem o suficiente para abusá-los todos exigiam habilidades técnicas reais. Agora, apenas uma assinatura de LLM é necessária. Vimos isso diretamente com o TeamPCP, que está por trás da maioria dos principais ataques de cadeia de suprimentos este ano, incluindo a recente violação do GitHub. Eles não são um grupo particularmente sofisticado, mas escalaram muito, e a IA é uma grande parte de como eles conseguiram isso. Um ano atrás, estávamos lidando com comprometimentos de pacotes únicos. Agora, estamos vendo vermes auto-replicantes como o Shai-Hulud e campanhas encadeadas que se movem por registros, roubando credenciais de um comprometimento para alimentar o próximo.

No lado defensivo, a IA também está ajudando, mas de maneiras diferentes. As equipes de segurança agora podem executar testes de penetração contínuos em todo o código-fonte usando agentes de IA que testam centenas de caminhos de ataque em paralelo. Isso libera tempo para as decisões que ainda precisam de julgamento humano. No nível do dispositivo, a IA também está ajudando a capturar pacotes maliciosos mais cedo, analisando o que está sendo instalado antes que chegue à máquina do desenvolvedor. Mas a realidade honesta é que os atacantes estão se beneficiando mais da IA do que os defensores estão. A barreira para criar malware caiu mais rápido do que a barreira para detectá-lo.

A Aikido fala em mudar a segurança para upstream. O que isso significa em termos práticos para as equipes que estão construindo e enviando software hoje?

A maioria da indústria passou anos mudando a segurança para a esquerda no pipeline de CI/CD. O problema é que a superfície de ataque mudou ainda mais para a esquerda, para a própria máquina do desenvolvedor. A violação do GitHub é um bom exemplo. Isso não foi código inseguro que chegou à produção. Foi uma extensão do VS Code comprometida no laptop de um desenvolvedor que exfiltrou credenciais antes que alguém escrevesse uma linha de código.

Em termos práticos, mudar para upstream significa que a segurança tem que operar continuamente onde o código está sendo realmente escrito e onde as ferramentas estão sendo instaladas. Isso significa validar o que está executando nos dispositivos dos desenvolvedores, capturar pacotes e extensões maliciosas antes que aterrissam e testar automaticamente para riscos exploráveis à medida que o código muda, em vez de esperar por uma revisão agendada. O objetivo é um loop fechado onde detecção, validação e remediação acontecem como parte do fluxo de trabalho de desenvolvimento, em vez de um processo separado que roda após o fato.

Com agentes de IA baixando dependências e ferramentas automaticamente, como as empresas devem repensar a confiança em código de fonte aberta e de terceiros?

O padrão com agentes de IA é que eles baixam dependências e ferramentas automaticamente com muito pouca supervisão humana. Isso muda fundamentalmente o modelo de confiança, porque você tem código executando em máquinas de desenvolvedores que ninguém escolheu explicitamente instalar.

A violação da Vercel é um bom exemplo de onde isso dá errado. A Vercel não foi hackeada diretamente. Uma extensão de IA legítima tinha acesso OAuth à conta do Google (GOOGL ) de um funcionário, e essa extensão foi comprometida upstream por meio de um infostealer no lado do fornecedor. É o mesmo padrão que vemos em código de fonte aberta, onde o código de terceiros se torna o ponto de entrada. O risco se complica porque uma estação de trabalho de desenvolvedor comprometida dá a um atacante o mesmo nível de acesso que um engenheiro de confiança. Eles podem modificar o código, inserir dependências maliciosas ou publicar versões adulteradas de software legítimo, e essas alterações são capturadas por pipelines de construção e espalhadas por meio de atualizações de confiança downstream.

As empresas precisam começar a tratar tudo o que executa em uma máquina de desenvolvedor como parte de sua superfície de ataque. Isso inclui agentes de IA, as ferramentas que eles instalam, as extensões que dependem, tudo. Se você só tem visibilidade nos pacotes de código de fonte aberta conhecidos, está perdendo as camadas onde esses ataques estão realmente acontecendo.

O conceito de software que se protege sozinho é convincente. Quais são as capacidades principais necessárias para que essa visão funcione em escala?

Para que o software que se protege sozinho funcione em escala, você precisa de um loop fechado. O sistema tem que ser capaz de testar caminhos de ataque reais sempre que o código muda, confirmar se algo é realmente explorável ou descartá-lo se não for, e gerar e aplicar correções dentro do fluxo de trabalho de desenvolvimento, então retestar para confirmar que a correção funcionou. Todo esse ciclo precisa rodar continuamente sem esperar que alguém o agende. A coisa importante é que isso não é sobre remover os humanos da segurança. É sobre lidar com o trabalho constante para que as equipes de segurança possam se concentrar nas decisões que realmente precisam de julgamento.

Os desenvolvedores frequentemente lutam com muitos alertas e falsos positivos de ferramentas de segurança. Como a Aikido ajuda as equipes a se concentrar no que realmente importa?

Dois terços dos líderes de segurança em nossa pesquisa sobre o Estado da IA em Segurança e Desenvolvimento disseram que suas equipes ignoraram processos de segurança, descartaram achados ou adiaram correções devido a falsos positivos. Essa é a verdadeira custo de ferramentas barulhentas. Não apenas desperdiça tempo, mas degrada ativamente a segurança, porque as pessoas param de confiar nos alertas.

A forma como abordamos isso na Aikido é por meio da análise de alcance e autotriagem. Em vez de sinalizar todas as vulnerabilidades e deixar que a equipe de segurança figure out o que importa, analisamos se uma vulnerabilidade é realmente alcançável no seu código e pode ser explorada em seu ambiente. Se não puder, a equipe nunca a vê. Isso reduz drasticamente o volume de alertas e significa que, quando algo aparece, vale a pena agir.

Sua plataforma combina segurança de código, nuvem, tempo de execução e teste de penetração automatizado. Por que uma abordagem unificada é mais eficaz do que usar várias ferramentas autônomas?

Nossa pesquisa sobre o Estado da IA em Segurança e Desenvolvimento encontrou algo contraintuitivo: as equipes de segurança que sofreram incidentes na verdade executaram mais ferramentas de fornecedores do que aquelas que não sofreram. Mais ferramentas não significam melhor segurança. Significa mais barulho, mais achados duplicados e mais tempo gasto correlacionando alertas em painéis em vez de realmente consertar as coisas.

É por isso que construímos a Aikido como uma plataforma única que abrange código, nuvem, tempo de execução, dependências e pipelines. Quando todos esses sinais estão em um só lugar, você pode deduplicar achados, entender se uma vulnerabilidade no seu código é realmente alcançável em seu ambiente de nuvem e priorizar com base em risco real, em vez de tratar a saída de cada scanner como igualmente urgente. As equipes gastam menos tempo triando entre ferramentas e mais tempo remediando o que realmente importa. E cada uma dessas capacidades tem que se sustentar por si só. Uma plataforma unificada que é mediana em tudo é apenas consolidando o problema. Cada parte da plataforma tem que ser tão boa ou melhor do que a alternativa autônoma, caso contrário, o argumento de consolidação não se sustenta.

A Aikido cresceu rapidamente e alcançou uma tração significativa em um curto período de tempo. Quais foram os principais desafios de construir e crescer uma empresa de cibersegurança a esse ritmo?

O óbvio é ser uma empresa de cibersegurança da Bélgica. A indústria tradicionalmente foi construída em Tel Aviv e no Vale do Silício, e havia ceticismo inicial sobre se uma plataforma de segurança de classe mundial poderia vir de qualquer outro lugar. Mas essa distância acabou sendo uma vantagem. Não estávamos reciclando os mesmos playbooks. Começamos com uma abordagem de “desenvolvedor em primeiro lugar” e um produto empacotado que facilitou a auto-integração das equipes, e é assim que nos tornamos silenciosamente a plataforma de segurança de desenvolvedores dominante para PMEs.

O desafio maior é apenas o ritmo. Alcançamos o status de unicórnio em janeiro de 2026 com nossa Série B, o crescimento de receita quintuplicou no ano passado, e agora somos confiáveis por mais de 100.000 equipes, incluindo a Premier League, Revolut e SoundCloud. Este ano alone, lançamos a Proteção de Dispositivo para segurança da cadeia de suprimentos, o Infinite para testes de penetração com IA e uma parceria com a Lovable para segurança embutida em fluxos de trabalho de codificação. Manter a qualidade alta em todas as partes da plataforma enquanto se move tão rápido é o desafio constante. Mas é um bom problema para ter.

À medida que o desenvolvimento nativo de IA se torna padrão, como será o futuro da segurança de software nos próximos anos?

A resposta honesta é que os fluxos de trabalho de segurança tradicionais já estão lutando para acompanhar. Revisões periódicas, testes de penetração agendados, varreduras após o fato, tudo isso assume um ritmo de desenvolvimento que não existe mais. O código gerado por IA e agentes autônomos estão introduzindo mudanças mais rápido do que esses processos podem validá-las.

Acreditamos que a segurança precisa se tornar um loop de feedback contínuo construído diretamente na forma como o software é desenvolvido. Chamamos isso de software que se protege sozinho. Cada mudança de código é testada para caminhos de ataque reais, achados são validados para explorabilidade real, correções são geradas e retestadas, tudo sem esperar que um humano agende. Versões iniciais disso já existem hoje, e estamos construindo em direção a isso, abrangendo código, nuvem, tempo de execução e cadeia de suprimentos.

O próximo passo além disso é o software que se mantém sozinho, onde a segurança não é apenas capturar e consertar problemas, mas ativamente manter a saúde da base de código ao longo do tempo. Isso está um pouco mais à frente, mas as fundações estão sendo lançadas agora. A única coisa certa é que a barreira para executar ataques sofisticados já desmoronou graças à IA, então o lado defensivo tem que se mover na mesma velocidade.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Aikido.