Varun Badhwar, Fondator și CEO al Endor Labs – Seria de interviuri

Varun Badhwar, Fondator și CEO al Endor Labs, este un antreprenor în domeniul securității cibernetice, recunoscut pentru construirea și conducerea companiilor din fruntea securității cloud și a aplicațiilor. Din 2021, el conduce Endor Labs, care se axează pe securizarea dezvoltării de software bazate pe inteligență artificială. Anterior, el a fost SVP și GM al Prisma Cloud la Palo Alto Networks (PANW ) și fondator al RedLock, o companie de securitate cloud achiziționată de Palo Alto Networks.

Endor Labs este o platformă de securitate a aplicațiilor construită pentru era inteligenței artificiale, proiectată pentru a ajuta echipele de ingineri și securitate să echilibreze viteza și siguranța în dezvoltarea de software. Platforma integrează funcții precum analiza compoziției software bazate pe accesibilitate, SAST, scanarea containerelor, detectarea secretelor și protecția pipeline-ului CI/CD într-o vedere unificată, ajutând echipele să identifice care vulnerabilități sunt cu adevărat importante și să prioritizeze remedierile. De asemenea, include agenți inteligenți artificiali care analizează solicitările de extragere pentru modificări arhitecturale și detectează riscuri în codul generat de inteligența artificială devreme în ciclul de viață al dezvoltării.

Ai construit și scalat anterior aventuri majore de securitate — cum au condus aceste experiențe la fondarea Endor Labs, și ce problemă ai fost cel mai hotărât să o rezolvi de la început?

În 2021, eram la Palo Alto Networks când a avut loc breșa SolarWinds (SWI ). A fost masivă. Fiecare client care utiliza software-ul lor a fost afectat, și noi nu am fost o excepție. Când am cercetat cum ne gestionam propriul software, am realizat că aveam 450 de ingineri și 68.000 de vulnerabilități de securitate, dar inginerii ignorau în mare parte aceste alerte. Motivul? O cifră zdrobitoare de 80–90% din alerte erau false pozitive, și uneltele tradiționale nu înțelegeau cum lucrează realmente dezvoltatorii.

Acesta a fost momentul în care am înțeles: dezvoltarea modernă de software este mai mult o asamblare decât o creare. Expediem cod care este în mare parte biblioteci terțe, fără garanții cu privire la calitate sau securitate. Am văzut decuplarea dintre echipele de securitate și ingineri, dinamica adversă și fricțiunea politică. Știam că trebuie să reevaluăm securitatea aplicațiilor de la zero, ceea ce a condus la fondarea Endor Labs.

Endor Labs protejează acum milioane de aplicații pentru organizații care variază de la fintech la platforme SaaS. Ce tipuri de cazuri de utilizare întâlniți cel mai frecvent, și de ce se îndreaptă clienții către dvs.?

Clienții noștri vin la noi pentru a-și securiza lanțurile de aprovizionare cu software și pipeline-urile dezvoltatorilor. Ei doresc să verifice dependențele de cod deschis înainte de a ajunge în producție, să semnaleze automat codul generat de inteligența artificială cu risc ridicat și, în final, să integreze securitatea direct în fluxurile de lucru ale dezvoltatorilor.

Majoritatea scannerelor aruncă pur și simplu vulnerabilități la dezvoltatori și apoi pleacă, creând zgomot pe care inginerii îl ignorează inevitabil. Și cu codarea vibe devenită mainstream, abordarea aceasta nu funcționează. La Endor, oferim analize conștiente de context și informații acționabile, astfel încât echipele de securitate și ingineri să poată avea din nou încredere unii în alții.

Dezvoltatorii se confruntă adesea cu tensiunea dintre a se deplasa rapid și a rămâne în siguranță. Cum ajută platforma dvs. să reconcilieze această provocare?

Viteza versus siguranța este cea mai veche dilemă în dezvoltarea de software. Codarea vibe a făcut ca acest compromis să fie și mai accentuat. Patruzeci și cinci la sută din dezvoltatori utilizează asistenți AI zilnic, ceea ce accelerează viteza, dar introduce și cod nesigur.

La Endor Labs, încorporăm securitatea direct în fluxurile de lucru pe care le utilizează deja dezvoltatorii. Gândiți-vă la IDE-uri, solicitări de extragere, pipeline-uri Git. Filozofia noastră este simplă: securitatea este doar o clasă de bug. Tratați-o ca orice altă eroare de software, și devine parte a procesului natural de dezvoltare, în loc de a fi o gândire ulterioară. Reducând zgomotul și oferind îndrumări clare, permitem dezvoltatorilor să se deplaseze rapid, în timp ce asigură că software-ul pe care îl livrează este sigur.

Falsele pozitive sunt una dintre cele mai mari durere de cap în securitate. Cum abordați această problemă în mod diferit?

Falsele pozitive sunt uriașe. Am văzut ingineri care ignoră alerte semnificative pentru că sunt lipsite de sens. Acesta este un pericol într-o lume în care atacurile terțe cresc în ritm dublu și adversarii exploatează uși laterale în pipeline-urile dezvoltatorilor.

Abordarea noastră este de a prioritiza contextul. În loc de a corela fiecare vulnerabilitate cunoscută cu o dependență, analizăm calea codului, logica de afaceri și chiar modificările de design generate de inteligența artificială. De asemenea, am dezvoltat Protocolul de Context al Serverului Endor Labs (MCP), care permite agenților inteligenți artificiali să apeleze la unelte backend pentru remedii precise, în loc de cele halucinate. Alte unelte nu pot oferi acest nivel de precizie, deoarece lipsesc contextul aplicației. Ei nu știu ce face codul dvs., cum comunică serviciile unii cu alții sau ce arată o remediere sigură. Rezultatul este un număr mai mic de alerte lipsite de sens și îndrumări mai practice pe care dezvoltatorii le pot urma cu adevărat.

Lanțul de aprovizionare cu software este acum văzut ca unul dintre cele mai urgente riscuri pentru întreprinderi. De ce este această problemă atât de critică astăzi?

Codul deschis domină acum software-ul de întreprindere, iar dezvoltarea de software s-a transformat în asamblare de software. Aproximativ 90% din componentele aplicațiilor moderne sunt externe, iar asistenții de codare AI introduc și mai multe dependențe în mod automat. Acest lucru înseamnă că o singură vulnerabilitate poate avea un efect de undă peste milioane de aplicații.

Stake-urile sunt mari: regulatorii abordează acum codul deschis ca o problemă de securitate națională. Și atacurile precum recenta exploatarea Shai-Hulud npm arată cum adversarii țintesc activ aceste puncte slabe. Fără gardurile de protecție potrivite, întreprinderile sunt expuse la scară masivă.

Inteligența artificială transformă modul în care se construiește software-ul. Ce tipuri de riscuri noi creează aceasta pentru securitatea aplicațiilor?

Asistenții AI sunt ca și cum ai angaja mii de stagiari deodată — pot crește productivitatea, dar pot introduce și haos atunci când sunt lăsați necontrolați. Studiile arată că 62% din codul generat de inteligența artificială are probleme de securitate, calitate sau arhitectură. Dincolo de vulnerabilitățile cunoscute, acestea includ defecte de logică, noi puncte de acces API, sau greșeli criptografice pe care uneltele tradiționale nu au fost proiectate să le detecteze.

Noua provocare este reprezentată de scalarea revizuirii codului securizat. A te baza pe ingineri seniori supraîncărcați pentru a verifica manual fiecare solicitare de extragere nu funcționează. Ai nevoie de sisteme automate care pot revizui, prioritiza și îndruma dezvoltatorii la aceeași viteză cu care inteligența artificială generează cod.

Unii susțin că inteligența artificială introduce mai multe vulnerabilități decât prevenirea lor. Îl vedeți ca pe un risc net sau un beneficiu net la acest stadiu?

Poate fi ambele. Inteligența artificială este fantastică pentru prototipare și experimentare, dar dezvoltatorii neexperimentați care se bazează pe inteligența artificială pot crea o situație în care orbii conduc orbii. Modalitatea de a inversa această ecuație este prin asocierea inteligenței artificiale cu gardurile de protecție a securității. Cu sistemele de revizuire și remedii MCP în loc, puteți transforma inteligența artificială dintr-un risc net într-un beneficiu net. Fără ele, riscurile depășesc câștigurile.

Cum ar trebui organizațiile să pună în aplicare măsuri de siguranță pentru a asigura încrederea în ceea ce deployează, având în vedere codul generat de inteligența artificială care devine mai frecvent?

Tratați codul generat de inteligența artificială ca pe orice altă dependență terță. Acest lucru înseamnă monitorizare continuă, verificare automată și garduri de protecție la fiecare etapă a pipeline-ului. De asemenea, trebuie să vă asigurați că uneltele dvs. de revizuire AI sunt antrenate pe cod securizat de înaltă calitate, și nu doar pe repository-uri aleatorii de pe GitHub.

Și apoi mergeți dincolo de detectare. Când o dependență riscantă este semnalată, uneltele dvs. ar trebui să recomande calea de actualizare care evită a strica aplicația dvs. Acesta este diferența dintre haos și control. Îmi place să o consider ca pe benzi de ghidare la bowling: mingea se mișcă rapid, dar rămâne pe pistă.

Transparența este centrală în stilul dvs. de conducere. Cum afectează împărtășirea atât a victoriilor, cât și a eșecurilor cultura și performanța?

Ne străduim pentru transparență radicală la Endor Labs. Acest lucru înseamnă împărtășirea atât a celor bune, cât și a celor rele — și nu doar performanța companiei, ci și lucruri precum planurile de acțiuni și riscurile strategice. Angajații sunt adulți. Echipa noastră poate face față realității. A fi deschis construiește încredere, implicare și proprietate, și ajută oamenii să ia decizii mai bune.

Adesea împuterniciți lideri emergenți de la începutul carierei lor. Ce îndrumări oferiți managerilor pentru prima dată care preiau responsabilități majore?

Îmi place să ofer membrilor echipei noastre roluri importante de la început și să-i las să crească în poziție. Cu mentorat și sprijin, ei învață rapid. Sfatul meu: îmbrățișați responsabilitatea, învățați din eșecuri și construiți credibilitate prin acțiune. Oamenii adesea vă surprind cu ceea ce pot realiza atunci când li se oferă spațiul.

Privind înainte cinci ani, ce sunt cele mai mari oportunități și provocări în securizarea lanțului de aprovizionare cu software?

Cu asistenții de codare AI și dezvoltatorii cetățeni care redefinesc fluxurile de lucru, vom avea nevoie de sisteme care să acționeze ca un “programator de pereche de securitate” care să revizuiască fiecare solicitare de extragere în timp real, să scaleze revizuiri de cod securizate și să ofere dezvoltatorilor contextul în care pot avea încredere. De aceea, la Endor Labs, am construit serverul nostru MCP și arhitectura multi-agent, care ajută deja clienții noștri să țină pasul cu dezvoltarea nativă AI.

Provocarea este că lanțul de aprovizionare însuși devine tot mai complex. Astăzi, codul este în mare parte asamblat din componente externe, iar fiecare nouă unealtă AI introduce o nouă straturi de dependență. Companiile care nu-și reevaluează modelele se vor găsi expuse.

Ne confruntăm cu această urgență în timp real — Endor Labs protejează acum peste 7 milioane de aplicații, scanează 1,6 milioane de solicitări de extragere pe lună și reduce zgomotul cu peste 90% pentru echipele de ingineri. Peste cinci ani, organizațiile care vor ieși pe primul loc sunt cele care tratează codarea securizată ca o parte centrală a productivității dezvoltatorilor.

Mulțumim pentru acest interviu minunat; cititorii care doresc să afle mai multe pot vizita Endor Labs.