Willem Delbare, Co-Fondator și CEO al Aikido – Seria de Interviuri

Willem Delbare, cofondator și CEO al Aikido, este antreprenor în serie în domeniul SaaS și fondator cu profil tehnic, cu experiență solidă în crearea companiilor software pentru dezvoltatori. Înainte de lansarea Aikido în 2022, a cofondat platforma HR Officient, inițiativa de sustenabilitate FutureproofedCities și compania CRM Teamleader. Acolo a fost CTO și a contribuit la transformarea firmei într-unul dintre succesele SaaS remarcabile ale Belgiei. De-a lungul carierei s-a concentrat pe simplificarea provocărilor tehnice complexe din infrastructura cloud, scalabilitatea SaaS și securitatea cibernetică. Sub conducerea sa, Aikido a devenit rapid unul dintre startupurile de securitate cibernetică cu cea mai accelerată creștere din Europa, prin soluții practice pentru echipele moderne de dezvoltare.

Aikido este o companie de securitate cibernetică din Belgia care ajută dezvoltatorii și echipele de inginerie să protejeze aplicațiile și mediile cloud printr-o platformă unificată. Reunește scanarea codului, analiza dependențelor, gestionarea posturii de securitate cloud, protecția în timpul execuției și testele asistate de IA într-un sistem simplificat. Scopul este reducerea complexității și a rezultatelor fals pozitive, fără ca organizațiile să administreze soluții fragmentate de la mai mulți furnizori. Punând dezvoltatorii pe primul loc, Aikido pune accent pe automatizare, monitorizare continuă și fluxuri de remediere simplificate, pentru integrarea securității direct în ciclul de dezvoltare software.

Ce experiențe din construirea și dezvoltarea unor companii precum Teamleader și Officient v-au determinat să fondați Aikido Security în 2022? Cum v-a influențat profilul tehnic de fondator viziunea unei securități cibernetice mai accesibile dezvoltatorilor?

În ultimul deceniu mi-am găsit vocația în SaaS B2B. Am fost cofondator tehnic și CTO în trei startupuri, cu trei operațiuni de exit în tehnologia HR, facturare și contabilitatea emisiilor de carbon. Lumi foarte diferite, dar cu aceeași obsesie: să construim software care să nu-i facă pe oameni să-și arunce laptopurile pe fereastră.

În fiecare companie, însă, securitatea mă ținea treaz noaptea. Teama unei breșe de date era reală, iar instrumentele care trebuiau să ajute semănau cu un cockpit de F-16: scumpe, copleșitoare și concepute pentru cineva cu doctorat în informatică, nu pentru o echipă care vrea să lanseze rapid.

Am fondat Aikido Security tocmai pentru această problemă. Oferim organizațiilor de orice dimensiune o platformă unificată de securitate software, concepută în primul rând pentru dezvoltatori. Reunește funcțiile esențiale pentru cod, cloud și execuție într-un singur loc, pentru a facilita lansarea în siguranță.

Între timp, IA a accelerat și mai mult livrarea software și a extins suprafața de atac. Următorul pas este să ajutăm organizațiile să țină pasul prin software care se securizează singur.

În februarie am lansat Aikido Infinite, soluția noastră pentru teste de penetrare continue cu IA. Verifică posibilitatea reală de exploatare și închide ciclul de remediere înainte de intrarea codului în producție.

Mediile dezvoltatorilor sunt descrise acum drept unul dintre cele mai mari puncte oarbe ale securității. Ce s-a schimbat recent, făcând problema atât de critică?

Calculatoarele dezvoltatorilor au fost întotdeauna ținte valoroase. Conțin date de autentificare cloud, chei SSH, tokenuri de publicare npm, configurații Kubernetes și acces direct la codul sursă. În ultimele 6–12 luni, atacatorii au descoperit însă cât de ușor pot fi compromise prin instrumentele în care dezvoltatorii au deja încredere. Am urmărit fenomenul tot anul: Trivy, TanStack, Bitwarden CLI, extensia Nx Console pentru VS Code și acum GitHub. Toate au fost compromise prin instrumente de dezvoltare, iar dispozitivul a fost ținta în fiecare caz.

Problema este că majoritatea echipelor de securitate nu văd ce rulează efectiv pe acele calculatoare. EDR monitorizează aplicațiile, dar nu pachetele, extensiile și instrumentele IA din interiorul lor. Între timp, dezvoltatorii adaugă zilnic pachete, extensii și instrumente IA cu foarte puține verificări. LLM-urile au facilitat și crearea programelor malware convingătoare, reducând pragul de intrare pentru atacatori în general. Toate aceste atacuri exploatează decalajul dintre conținutul calculatoarelor și ceea ce echipele de securitate pot vedea.

Atacurile asupra lanțului de aprovizionare cresc în același timp cu adoptarea pe scară largă a IA. Cum modifică IA echilibrul dintre atacatori și apărători?

IA a simplificat mult crearea malware-ului pentru atacuri asupra lanțului de aprovizionare. Construirea unor încărcături malițioase convingătoare, mascarea codului și înțelegerea registrelor de pachete suficient pentru a le exploata abuziv necesitau competențe tehnice reale. Acum este suficient un abonament LLM. Am văzut direct acest lucru la TeamPCP, responsabil de majoritatea atacurilor mari din acest an, inclusiv de recenta breșă GitHub. Grupul nu este deosebit de avansat tehnic, dar a fost prolific, iar IA a contribuit mult la extinderea activității sale. Acum un an gestionam compromiterea unor pachete individuale. Astăzi vedem viermi autoreplicanți precum Shai-Hulud și campanii înlănțuite care trec între registre și folosesc datele de autentificare furate într-o compromitere pentru a alimenta următoarea.

IA ajută și apărarea, dar în alte moduri. Echipele pot efectua teste de penetrare continue asupra unor baze de cod întregi, cu agenți care verifică sute de căi de atac în paralel. Astfel rămâne timp pentru deciziile care necesită încă discernământ uman. La nivel de dispozitiv, IA ajută și la identificarea mai timpurie a pachetelor malițioase, analizând ce urmează să fie instalat înainte să ajungă pe calculator. Realitatea este însă că atacatorii beneficiază momentan de IA mai mult decât apărătorii. Bariera creării malware-ului a scăzut mai repede decât cea a detectării sale.

Aikido vorbește despre mutarea securității în etape mai timpurii ale dezvoltării. Ce înseamnă concret pentru echipele care construiesc și lansează software astăzi?

O mare parte a industriei a petrecut ani mutând securitatea spre stânga, în etape mai timpurii ale pipeline-ului CI/CD. Dar suprafața de atac a ajuns și mai devreme, pe calculatorul dezvoltatorului însuși. Breșa GitHub este un exemplu bun. Nu era cod nesigur intrat în producție, ci o extensie VS Code compromisă pe laptopul unui dezvoltator, care extrăgea date de autentificare înainte să fi scris cineva o linie de cod.

În practică, securitatea trebuie să funcționeze continuu acolo unde se scrie codul și se instalează instrumentele. Trebuie verificat ce rulează pe dispozitive, interceptate pachetele și extensiile malițioase înainte să ajungă și testate automat riscurile care pot fi exploatate la modificarea codului, fără a aștepta o revizuire programată. Scopul este un ciclu închis în care detectarea, validarea și remedierea fac parte din dezvoltare, nu dintr-un proces separat ulterior.

Cum ar trebui companiile să regândească încrederea în codul open source și al terților, când agenții IA descarcă automat dependențe și instrumente?

În mod implicit, agenții IA descarcă automat dependențe și instrumente cu foarte puțină supraveghere umană. Asta schimbă fundamental modelul de încredere: pe calculatoarele dezvoltatorilor rulează cod pe care nimeni nu a ales explicit să-l instaleze.

Breșa Vercel arată cum pot merge lucrurile prost. Vercel nu a fost compromisă direct. O extensie IA legitimă avea acces OAuth la contul Google al unui angajat și fusese compromisă anterior în lanț printr-un program de furt de informații la furnizor. Este același tipar recurent în open source: codul de încredere al terților devine punctul de intrare. Riscul se amplifică deoarece o stație de dezvoltare compromisă îi dă atacatorului același acces ca unui inginer de încredere. Poate modifica codul, introduce dependențe malițioase sau publica versiuni alterate ale programelor legitime. Pipeline-urile de compilare preiau modificările, care se propagă mai departe prin actualizări considerate de încredere.

Companiile trebuie să trateze tot ce rulează pe calculatorul unui dezvoltator drept parte a suprafeței de atac: agenții IA, instrumentele instalate de ei, extensiile de care depind, totul. Dacă văd doar pachete open source cunoscute, ratează straturile unde au loc efectiv atacurile.

Conceptul de software care se securizează singur este convingător. Care sunt capacitățile de bază necesare pentru a face ca această viziune să funcționeze la scară?

Este necesar un ciclu închis. La fiecare modificare a codului, sistemul trebuie să testeze căi reale de atac, să confirme posibilitatea de exploatare sau să respingă constatarea dacă nu poate fi exploatată, apoi să genereze și să aplice corecții în dezvoltare și să retesteze eficiența lor. Întregul ciclu trebuie să funcționeze continuu fără a aștepta să-l programeze cineva. Scopul nu este eliminarea oamenilor din securitate, ci gestionarea muncii permanente pentru ca echipele să se concentreze pe deciziile care cer cu adevărat discernământ.

Dezvoltatorii se confruntă adesea cu prea multe alerte și rezultate fals pozitive de la instrumentele de securitate. Cum ajută Aikido echipele să se concentreze pe ceea ce contează cu adevărat?

Două treimi dintre responsabilii de securitate din sondajul nostru State of AI in Security & Development au spus că echipele lor au ocolit proceduri, ignorat constatări sau amânat corecții din cauza rezultatelor fals pozitive. Acesta este costul real al instrumentelor cu prea mult zgomot. Nu doar irosesc timp, ci slăbesc activ securitatea, deoarece oamenii nu mai au încredere în alerte.

La Aikido folosim analiza accesibilității în cod și trierea automată. În loc să semnalăm fiecare vulnerabilitate și să lăsăm echipa de securitate să stabilească ce contează, verificăm dacă este efectiv accesibilă în codul dumneavoastră și exploatabilă în mediul dumneavoastră. Dacă nu, echipa nu o vede niciodată. Asta reduce drastic alertele, iar cele care ajung merită o intervenție.

Platforma dvs. combină securitatea codului, a cloud-ului, a runtime-ului și testarea automată de penetrare. De ce este o abordare unificată mai eficientă decât utilizarea mai multor unelte independente?

Cercetarea noastră State of AI in Security & Development a găsit ceva contraintuitiv: echipele care suferiseră incidente foloseau mai multe instrumente de la furnizori decât cele fără incidente. Mai multe instrumente nu însemnau securitate mai bună, ci mai mult zgomot, constatări duplicate și timp petrecut corelând alerte între panouri în loc să remedieze problemele.

De aceea am construit Aikido ca o platformă unică pentru cod, cloud, execuție, dependențe și pipeline-uri. Reunirea semnalelor permite eliminarea duplicatelor, înțelegerea accesibilității reale a unei vulnerabilități în cloud și prioritizarea după riscul real, fără a considera fiecare rezultat al fiecărui scanner la fel de urgent. Echipele petrec mai puțin timp triind între instrumente și mai mult remediind ce contează. Dar fiecare capacitate trebuie să fie solidă și separat. O platformă mediocră la toate doar adună problema într-un loc. Fiecare componentă trebuie să egaleze sau să depășească alternativa independentă; altfel, argumentul consolidării nu rezistă.

Aikido a crescut rapid și a câștigat teren într-un timp scurt. Care au fost cele mai mari provocări în crearea și dezvoltarea unei companii de securitate cibernetică în acest ritm?

Cea evidentă este că suntem o companie de securitate cibernetică din Belgia. Industria s-a dezvoltat tradițional la Tel Aviv și în Silicon Valley, iar inițial exista scepticism că o platformă de nivel mondial poate veni din altă parte. Dar distanța a devenit un avantaj. Nu repetam aceleași rețete. Am pornit de la nevoile dezvoltatorilor și de la un produs integrat pe care echipele îl puteau adopta singure. Așa am devenit discret platforma dominantă de securitate pentru dezvoltatori în IMM-uri.

Provocarea mai mare este ritmul. Am atins statutul de unicorn în ianuarie 2026 cu seria B, veniturile s-au înmulțit de cinci ori anul trecut, iar acum peste 100.000 de echipe au încredere în noi, inclusiv Premier League, Revolut și SoundCloud. Numai anul acesta am lansat Device Protection pentru securitatea lanțului de aprovizionare, Infinite pentru teste de penetrare cu IA și un parteneriat cu Lovable pentru securitate integrată în fluxurile de vibe coding. Menținerea calității în fiecare parte a platformei, avansând atât de rapid, este provocarea constantă. Dar este o problemă bună.

Pe măsură ce dezvoltarea nativă AI devine standard, cum arată viitorul securității software în următorii ani?

Sincer, fluxurile de securitate tradiționale au deja dificultăți în a ține pasul. Revizuirile periodice, testele de penetrare programate și scanările ulterioare presupun un ritm de dezvoltare care nu mai există cu adevărat. Codul generat de IA și agenții autonomi introduc modificări mai rapid decât le pot valida procesele respective.

Credem că securitatea trebuie să devină un ciclu continuu de feedback integrat direct în dezvoltarea software. Numim asta software care se securizează singur. Fiecare modificare a codului este testată față de căi de atac reale, constatările sunt validate pentru posibilitatea efectivă de exploatare, iar corecțiile sunt generate și retestate fără a aștepta ca o persoană să planifice acest lucru. Există deja versiuni inițiale și construim această abordare pentru cod, cloud, execuție și lanțul de aprovizionare.

Pasul următor este software-ul care se întreține singur: securitatea nu doar detectează și corectează probleme, ci menține activ sănătatea bazei de cod în timp. Este un obiectiv mai îndepărtat, dar bazele se pun acum. Cert este că IA a prăbușit deja bariera executării atacurilor sofisticate, deci apărarea trebuie să avanseze la fel de rapid.

Mulțumim pentru interviul valoros. Cititorii care vor să afle mai multe pot vizita Aikido.