Rami Habal, Fondator și CEO al Magnitude – Seria de interviuri

Rami Habal, fondator și CEO al Magnitude este un executiv veteran în domeniul securității cibernetice și al produselor AI, cu o carieră ce acoperă securitatea enterprise, învățarea automată, tehnologia de consum și startup-uri susținute de capital de risc. Înainte de a fonda Magnitude, a fost antreprenor în rezidență la Ballistic Ventures și a petrecut peste patru ani la Abnormal Security, ocupând funcții de Director de Produs și Director de Clienți. Anterior, Habal a condus experiența multi-dispozitiv pentru Amazon Alexa, a gestionat produsul la Reverb și a fost unul dintre primii angajați ai Proofpoint, unde a contribuit la construirea și comercializarea produselor de securitate pe măsură ce compania a evoluat de la un startup la IPO-ul său final. Cariera sa include, de asemenea, experiență în capital de risc, tehnologie mobilă, API-uri și strategie de produs, oferindu-i un fundal larg la intersecția dintre securitatea cibernetică, AI și software enterprise.

Magnitude este o companie de securitate cibernetică nativă AI, concentrată pe transformarea gestionării riscului terților (TPRM) din revizii periodice de conformitate într-o funcție de securitate continuă. Platforma sa multi-agent folosește agenți AI specializați pentru a evalua furnizorii și produsele, monitorizând continuu vulnerabilitățile și alte schimbări de risc, cartografiind dependențele de al patrulea, al cincilea și alte niveluri de parteneri, automatizând comunicațiile cu furnizorii și ajutând la gestionarea remedierii. În loc să se bazeze în principal pe chestionare și evaluări punctuale, Magnitude este concepută să raționeze în conformitate cu politicile proprii ale organizației și să ofere decizii susținute de dovezi, cu surse și raționamente verificabile. Scopul mai larg este de a oferi echipelor de securitate vizibilitate continuă în ecosisteme software și de furnizori din ce în ce mai complexe, permițând analiștilor umani să se concentreze pe decizii de judecată cu valoare adăugată superioară.

După ce ai contribuit la dezvoltarea de produse la Proofpoint, Amazon Alexa și Abnormal Security, ce te-a convins că acum este momentul potrivit pentru a fonda Magnitude? A existat o realizare specifică sau un punct dur al clienților care te-a făcut să crezi că gestionarea autonomă a riscului terților trebuie să devină o companie independentă?

Știam că, după perioada petrecută la Abnormal, vreau să înființez o companie. Ceea ce nu știam era care problemă merită să fie baza unei companii. De-a lungul carierei mele, am fost atras de produse de învățare automată aplicată care răspund nevoilor largi și universale, cum ar fi securitatea email-urilor la Proofpoint, calculul vocal cu Alexa și securitatea comportamentală la Abnormal. Am dorit să găsesc o altă problemă cu același tip de impact pentru a ajuta întreprinderile.

Apoi au apărut agenții. După ce am parcurs valul anterior de învățare automată, am putut observa că nu era doar o altă caracteristică a produsului. Era o schimbare de platformă, iar astfel de schimbări apar rar.

În timp ce eram antreprenor în rezidență la Ballistic Ventures, am început să discut cu CISOs despre unde ar putea avea cea mai mare impact această schimbare. Riscul terților a fost menționat în mod repetat. Istoric, avea sens ca TPRM să fie plasat în cadrul funcției GRC, deoarece riscul furnizorilor evolua suficient de lent pentru ca reviziile periodice să țină pasul. Dar această presupunere se prăbușea. Toată lumea era de acord că este o problemă majoră, însă majoritatea organizațiilor o gestionau încă prin chestionare anuale, foi de calcul, revizuiri periodice și muncă manuală extinsă. Reacția era consecventă: gestionarea riscului terților este critică, dar încă nu avem o metodă bună de a o rezolva.

Asta a fost realizarea din spatele Magnitude. Știam că modelul tradițional nu mai funcționează și aveam nevoie de o tehnologie capabilă să schimbe complet modelul operațional, nu doar să facă procesul vechi bazat pe foi de calcul puțin mai rapid. De la început, am considerat că fiecare furnizor va avea în cele din urmă un roi de agenți care să evalueze continuu riscurile aferente. Magnitude a crescut din această credință.

Descrii apariția „epocii Mythos”, în care AI poate identifica și exploata vulnerabilitățile mai rapid decât oamenii pot reacționa. Ce schimbări ai observat în ultimul an care te-au convins că această tranziție este deja în desfășurare și nu doar o preocupare viitoare?

Cel mai mare schimbament pe care l-am observat este viteza cu care aceste atacuri au loc acum. Acum un an, majoritatea discuțiilor se concentrau încă pe ce ar putea permite în cele din urmă AI unui atacator. Acum vedem aceste capabilități luând formă în timp real. AI poate ajuta un atacator să examineze un ecosistem software mult mai mare, să descopere slăbiciuni care anterior erau necunoscute și să exploateze aceste slăbiciuni la o scară care ar fi dificil de egalat de o echipă umană.

În epoca Mythos, sistemele AI au demonstrat capacitatea de a evidenția peste 2.000 de defecte necunoscute anterior în ecosistemele software, iar timpul mediu de la descoperirea unei vulnerabilități până la exploatarea acesteia este estimat să scadă sub o oră până la sfârșitul anului 2026. Deși intervalul dintre descoperire și weaponizare continuă să se micșoreze, acest lucru creează un decalaj între rapiditatea cu care poate apărea expunerea și viteza cu care ciclurile tradiționale de revizuire pot răspunde.

Observăm, de asemenea, că modelul incidentelor evoluează în aceeași direcție. În analiza noastră, frecvența atacurilor asupra lanțului de aprovizionare a crescut de la aproximativ 13 incidente pe lună în 2024 la 41 pe lună în 2026. Am observat că activitatea crește odată cu îmbunătățirile majore ale modelelor de frontieră. Nu aș susține că fiecare lansare de model cauzează direct mai multe atacuri, dar tendința este greu de ignorat. Instrumentele devin mai capabile pe măsură ce ritmul atacurilor se accelerează.

Ceea ce confirmă cu adevărat această schimbare pentru mine sunt discuțiile pe care le am cu liderii de securitate. Aceștia nu mai vorbesc despre riscul terților ca ceva ce poate fi gestionat printr-o revizuire anuală și revizitat la reînnoire. Se simt expuși în lunile dintre acele revizuiri, deoarece furnizorii lor, dependențele software și furnizorii din lanțul de aprovizionare se schimbă constant.

Asta este ceea ce înseamnă pentru mine era Mythos. Fereastra pentru a înțelege și a răspunde la risc se restrânge, în timp ce impactul potențial al unui singur furnizor compromis se lărgește. Un proces periodic de conformitate pur și simplu nu a fost conceput pentru acel mediu.

Multe întreprinderi implementează rapid agenți AI în întreaga lor organizație. Cum ar trebui liderii de securitate să regândească guvernanța când acești agenți interacționează din ce în ce mai mult cu furnizori externi, API-uri și dependențe din lanțul de aprovizionare?

Primul lucru pe care liderii de securitate trebuie să-l recunoască este că chiar și un agent AI construit în interiorul companiei poate să nu fie complet intern. Acesta ar putea să se bazeze pe o platformă externă, o abilitate terță parte prin MCP, un serviciu precum Google Drive sau altă tehnologie pe care organizația nu o controlează direct. Și fiecare dintre acei furnizori poate avea proprii săi furnizori.

Nu mai este suficient să aprobi doar agentul în sine. Liderii trebuie să înțeleagă ce informații poate accesa, ce acțiuni poate întreprinde, de ce servicii externe depinde și când este necesară aprobarea umană. De asemenea, trebuie să înțeleagă cum aceste dependențe se pot schimba în timp, pe măsură ce agentul capătă noi capabilități, se conectează la noi sisteme sau începe să se bazeze pe furnizori suplimentari din lanțul de aprovizionare. Aceste controale nu pot fi setate o singură dată și apoi uitate. Pe măsură ce un agent dobândește noi capabilități sau conexiuni, guvernanța sa trebuie să se adapteze în consecință.

Scopul nu ar trebui să fie încetinirea adoptării AI. Ar trebui să fie să ofere companiilor suficientă vizibilitate pentru a folosi agenții cu încredere. Guvernanța trebuie să devină o practică de securitate continuă, nu o aprobare unică efectuată când este introdus un nou instrument.

Gestionarea riscului terților s-a bazat tradițional pe chestionare și revizuiri periodice. De ce credeți că acest model se prăbușește fundamental într-un mediu condus de AI? 

Problema modelului tradițional TPRM este că oferă o imagine de ansamblu a ceea ce a declarat un furnizor ca fiind adevărat la un moment specific. O companie poate completa un chestionar când este aprobată pentru prima dată și apoi să nu fie revizuită din nou până la reînnoire, care poate avea loc la câțiva ani distanță. Între timp, tehnologia, practicile de securitate, modelele AI, utilizarea datelor și furnizorii săi se pot schimba. Abia reușim să prezicem ce se va schimba în următoarele săptămâni, așa că bazarea pe o evaluare veche de ani nu mai are sens.

Există, de asemenea, întrebarea cât de de încredere este informația. Un răspuns raportat introdus de cineva care încearcă să avanseze o tranzacție nu este același lucru cu un fapt susținut de un audit independent, un document semnat al companiei sau o altă sursă verificabilă. Liderii de securitate trebuie să știe nu doar care este răspunsul, ci și de unde provine și dacă este încă actual.

În final, chestionarele se opresc de obicei la furnizorul direct. Rareori arată părțile N, deși acele relații ascunse cu a patra și a cincea parte pot crea expunere reală. Atacatorii știu acum că cel mai slab punct al unei întreprinderi nu este întreprinderea însăși, ci unul dintre acești furnizori din lanțul de aprovizionare. Atacarea acestor furnizori poate în final să le ofere acces la întreprindere. Este pur și simplu mai ieftin și mai ușor.

De aceea nu cred că răspunsul este pur și simplu să folosim AI pentru a completa chestionarele mai rapid. În acel model, vor exista întotdeauna lacune. Modelul în sine trebuie să se schimbe, de la instantanee periodice și auto-raportate la o înțelegere continuă, în timp real, bazată pe dovezi a riscului, pe cât de adânc se întinde lanțul de aprovizionare al unei companii.

Magnitude introduce conceptul unei forțe de muncă AI autonome pentru echipele de securitate. Unde vedeți echilibrul între luarea deciziilor bazate pe AI și supravegherea umană, în special pentru deciziile de securitate cu impact ridicat? 

Autonomul nu trebuie să însemne iresponsabil. Modul în care mă gândesc este că AI ar trebui să se ocupe de munca critică, dar repetitivă, care consumă atât de mult timp al unei echipe de securitate, în timp ce oamenii rămân implicați atunci când o decizie necesită judecată, context sau are consecințe semnificative pentru afacere. Faptul este că nicio echipă de securitate nu are suficiente resurse astăzi pentru a gestiona mandatul actual. AI poate ajuta la umplerea acestui gol.

Calitatea AI-ului contează enorm. Când este realizată bine, AI este un multiplicator de forță. Oferă echipei mai multă capacitate și ajută oamenii să se concentreze pe munca cu valoare adăugată mai mare. Când este realizată prost, are efectul opus, deoarece cineva trebuie să verifice dublu fiecare rezultat. Pentru deciziile de securitate cu impact ridicat, sistemul ar trebui să fie de înaltă calitate și să poată arăta ce dovezi a folosit și cum a ajuns la recomandarea sa, creând o înregistrare auditabilă.

Nivelul potrivit de supraveghere va varia și în funcție de organizație. O companie mare cu o echipă de securitate consolidată poate folosi AI mai degrabă ca un pilot automat, cu oameni care supraveghează munca și intervin în caz de excepții. O organizație mai mică poate alege să automatizeze o parte mai mare a programului deoarece nu dispune de personal sau buget pentru a construi o echipă mare. În ambele cazuri, ar trebui să existe puncte clare în care o problemă este escalată către o persoană.

În cele din urmă, organizația ar trebui să poată decide câtă implicare umană dorește în funcție de importanța deciziei. Scopul nu este să elimine oamenii din securitate, ci să îi ajute să își folosească timpul mai eficient, să ia decizii de afaceri mai rapide și să rezerve atenția umană pentru deciziile în care adaugă cea mai mare valoare.

Echipa dvs. reunește expertiză din AI, securitate cibernetică și platforme la scară de consumator. Cum a influențat această combinație modul în care ați conceput Magnitude comparativ cu produsele tradiționale de securitate cibernetică? 

Fiecare dintre fundalurile noastre ne-a învățat ceva diferit despre ce trebuie să facă bine un produs de securitate AI. În securitatea cibernetică, un răspuns este util numai dacă poți avea încredere în el, să îl urmărești până la dovezi și să acționezi în consecință. Din munca noastră în AI și învățarea automată, am învățat că adevărata oportunitate nu constă doar în a rezuma informații, ci în a transforma munca experților într-un sistem care poate executa acea muncă în mod constant. Construirea de platforme precum Alexa și Pandora ne-a învățat să ne gândim la fiabilitate și utilizabilitate la scară foarte mare.

Aceste lecții ne-au îndepărtat de modelul tradițional de securitate cibernetică, care producea un alt tablou de bord sau un alt flux de alerte pentru o echipă deja suprasolicitată să investigheze. Am conceput Magnitude pentru a efectua munca: colectarea și verificarea informațiilor, evaluarea furnizorilor, monitorizarea schimbărilor, conectarea noilor informații la riscul de afaceri și ajutorul în avansarea problemelor spre rezolvare.

În spatele scenei, asta implică mai mulți agenți AI specializați care lucrează împreună. Dar experiența clientului trebuie să rămână simplă. Echipele de securitate nu ar trebui să fie nevoite să devină experți AI pentru a înțelege ce a găsit sistemul, de ce este important sau ce acțiune trebuie luată.

Rezultatul este un produs conceput să funcționeze continuu pe mii de furnizori, respectând în același timp standardele necesare pentru decizii de securitate cu impact ridicat. Nu este AI adăugat la un flux de lucru vechi. A fost construit de la bun început în jurul ideii că AI poate executa mare parte din fluxul de lucru, oferind în același timp oamenilor dovezile, vizibilitatea și controlul de care au nevoie.

Una dintre cele mai mari îngrijorări legate de AI în securitatea cibernetică este că oferă putere atât apărătorilor, cât și atacatorilor. Credeți că avantajul se află în prezent la nivelul apărătorilor sau al adversarilor și ce va determina cine va rămâne în frunte în următorii câțiva ani?

Cred că avantajul astăzi se înclină spre adversari, în special în atacurile lanțului de aprovizionare. Nu aș spune că apărătorii sunt complet în urmă. Apelul la acțiune pentru apărători este să nu mai trateze aceasta ca pe o problemă viitoare și să acționeze mai rapid acum. Ambele părți au acces la multe dintre aceleași instrumente AI, dar economia și timpul de lansare favorizează în prezent atacatorul.

AI face mai ieftin și mai ușor să testezi mai multe căi de atac, să lansezi mai multe încercări la niveluri N și să repeți acel proces la scară. Când un atacator compromite un furnizor sau o componentă software utilizată pe scară largă, un atac reușit se poate răspândi la sute sau chiar mii de companii.

Apărătorii au o sarcină mai dificilă deoarece trebuie să înțeleagă și să protejeze o rețea mare de furnizori, componente software și furnizori în aval, și durează timp pentru ca întreprinderile să reacționeze, să achiziționeze software care să ajute și să operationalizeze acele instrumente, creând astfel o fereastră pe care atacatorii o pot exploata.

Ceea ce va determina cine rămâne în frunte va fi dacă apărătorii pot schimba această ecuație. Ei trebuie să treacă de la revizuiri ocazionale și urmăriri manuale la monitorizare continuă și acțiune mai rapidă. Sistemele de guvernanță și apărare automatizate care monitorizează continuu schimbările, le leagă de riscul de afaceri și pot răspunde rapid vor face atacurile mai greu de scalat și mai costisitoare de repetat.

Securitatea cibernetică a fost întotdeauna un joc de șoareci și pisici. AI nu schimbă asta, dar crește viteza și miza. Apărătorii au nevoie de sisteme care pot învăța, se pot adapta și acționa în același ritm în care atacatorii încep să opereze.

Lanțurile de aprovizionare AI devin din ce în ce mai complexe, organizațiile bazându-se pe numeroase modele de bază, furnizori SaaS și agenți autonomi. Ce riscuri emergente credeți că întreprinderile subestimează în continuare?

Cel mai subestimat risc este tehnologia care stă în spatele produsului pe care o companie crede că l-a aprobat. Chiar și un agent construit intern poate depinde de platforme externe, plug‑inuri, contractori sau componente software. Aceste relații ascunse creează riscul de tip N‑th party, furnizorii din spatele unui furnizor direct.

Majoritatea întreprinderilor au încă foarte puțină vizibilitate asupra acelui strat mai profund. Pot ști cu cine au semnat un contract, dar nu fiecare serviciu extern, componentă software sau subcontractor care în final susține produsul.

Cealaltă problemă este cât de interconectate au devenit aceste sisteme. O slăbiciune într-un plug‑in sau serviciu de suport nu rămâne izolată la acel furnizor. Poate crea o cale către o platformă mai mare și apoi să afecteze multe organizații care se bazează pe ea. Asta înseamnă că un furnizor relativ mic poate deveni o sursă mult mai mare de expunere.

Prin urmare, liderii de risc ar trebui să se întrebe nu doar „Ce model de IA utilizăm?”, ci „De ce depinde acest sistem, de ce depind furnizorii respectivi și cum ar putea o problemă de oriunde în acel lanț să ne ajungă?” Până când companiile vor putea răspunde la aceste întrebări, vor continua să preia riscuri pe care nu le pot vedea.

Privind dincolo de modelele de limbaj mari de astăzi, ce dezvoltări tehnologice în următorii cinci ani așteptați să remodelze cel mai semnificativ securitatea cibernetică și managementul riscurilor în întreprinderi? 

Nu cred că schimbarea definitorie va fi un singur model nou. Va fi trecerea de la IA care răspunde la întrebări la sisteme de IA care pot observa continuu ce se întâmplă, să conecteze informații din diferite surse și să acționeze.

Următoarea generație de modele nu va fi doar puțin mai bună; va fi mult mai capabilă. Însă schimbarea majoră va veni din agenți specializați care lucrează împreună în operațiunile de securitate. Astăzi, revizuirile furnizorilor, informațiile despre amenințări, riscurile de afaceri și remedierea sunt adesea gestionate în instrumente separate și de echipe diferite. În timp, aceste funcții vor începe să se integreze.

Anticipez că sistemele de securitate vor deveni mult mai interconectate, reunind informațiile despre amenințări, contextul de afaceri, politicile companiei și acțiunile de răspuns, în loc să le gestioneze în instrumente separate. Ar putea recunoaște că un furnizor a fost expus la o nouă amenințare, să înțeleagă care părți ale afacerii ar putea fi afectate și să ajute la inițierea răspunsului fără a aștepta multiple transferuri manuale.

Acest lucru va transforma managementul riscului dintr-o serie de exerciții periodice într-o capacitate operațională continuă. Cele mai puternice programe de risc vor fi construite în jurul contextului enterprise, dovezilor fiabile și capacității de a transforma informațiile în acțiuni de încredere.

În cazul în care ați putea oferi un singur sfat CISO‑urilor și liderilor de întreprindere care se pregătesc pentru următoarea generație de amenințări alimentate de IA, care ar fi acesta și ce acțiuni ar trebui să prioritizeze astăzi?

Recomandarea mea ar fi să încetați să gestionați riscul lanțului de aprovizionare ca pe un exercițiu anual. Riscul se schimbă continuu, iar abordarea dumneavoastră trebuie să țină pasul. Mediul este viu și respiră. Este prea interconectat și se schimbă prea rapid pentru ca o serie de revizuiri și instrumente separate să țină pasul.

Modul în care protejați această suprafață de atac emergentă este printr-un singur plan de control nativ AI pentru guvernanță și apărare continuă, autonomă, pentru toate riscurile externe.

Punctul de plecare este să vă concentrați pe părțile afacerii care contează cel mai mult. Identificați furnizorii și serviciile externe care susțin acele operațiuni critice, înțelegeți unde se află dependențele ascunse și stabiliți o responsabilitate clară pentru ce se întâmplă când se identifică un risc. Apoi automatizați cât mai mult posibil monitorizarea continuă și răspunsul de rutină, menținând totuși oamenii implicați în deciziile cu consecințe majore pentru afacere.

Scopul nu este doar să colectați mai multe informații. Este vorba despre a conecta continuu ceea ce știți, a decide ce este important și a acționa înainte ca o problemă a unui furnizor să devină o problemă la nivelul întregii companii.

Vă mulțumim pentru interviul excelent, cititorii care doresc să afle mai multe ar trebui să viziteze Magnitude.