Иэн Риопель, генеральный директор и сооснователь Root.io – Интервью

Иэн Риопель, генеральный директор и сооснователь Root.io, возглавляет миссию компании по обеспечению безопасности цепочки поставок программного обеспечения с помощью облачных решений. Обладая более чем 15-летним опытом в технологиях и кибербезопасности, он занимал руководящие должности в Slim.AI и FXP, фокусируясь на продажах для предприятий, стратегии выхода на рынок и росте государственного сектора. Он имеет степень ACE от MIT Sloan и является выпускником школы разведки армии США.

Root.io – это облачная платформа безопасности, предназначенная для того, чтобы помочь предприятиям обеспечить безопасность своей цепочки поставок программного обеспечения. Автоматизируя доверие и соблюдение требований на этапе разработки, Root.io позволяет осуществлять более быструю и надежную доставку программного обеспечения для современных команд DevOps.

Что вдохновило основание Root, и как возникла идея Автоматизированного устранения уязвимостей (AVR)?

Root была создана из глубокой фрустрации, с которой мы сталкивались снова и снова: организации тратили огромное количество времени и ресурсов на устранение уязвимостей, которые никогда полностью не исчезали. Триаж стал единственной защитой от быстро накапливающегося технического долга CVE, но с темпом появления новых уязвимостей триаж один уже не достаточно.

Как разработчики Slim Toolkit (ранее DockerSlim), мы уже были глубоко вовлечены в оптимизацию и безопасность контейнеров. Естественно было задаться вопросом: что если контейнеры могли бы сами устранять уязвимости в рамках стандартного жизненного цикла разработки программного обеспечения? Автоматическое устранение, теперь известное как AVR, было нашим решением – подход, не сосредоточенный на триаже и построении списков, а автоматически устраняющий их, прямо в вашем программном обеспечении, без введения критических изменений.

Root ранее была известна как Slim.AI – что спровоцировало ребрендинг, и как компания эволюционировала в течение этого перехода?

Slim.AI начала как инструмент для помощи разработчикам в минимизации и оптимизации контейнеров. Но мы вскоре поняли, что наша технология эволюционировала в нечто гораздо более значимое: мощную платформу, способную проактивно обеспечивать безопасность программного обеспечения для производства в масштабе. Ребрендинг в Root отражает этот трансформационный сдвиг – от инструмента оптимизации для разработчиков до прочного решения безопасности, которое позволяет любой организации удовлетворять строгим требованиям безопасности вокруг программного обеспечения с открытым исходным кодом за считанные минуты. Root воплощает нашу миссию: добраться до корня рисков программного обеспечения и устранить уязвимости, прежде чем они станут инцидентами.

У вас есть команда с глубокими корнями в кибербезопасности, из Cisco, Trustwave и Snyk. Как ваш коллективный опыт сформировал ДНК Root?

Наша команда построила сканеры безопасности, защищала глобальные предприятия и проектировала решения для некоторых из наиболее чувствительных и высокорисковых инфраструктур. Мы напрямую столкнулись с компромиссами между скоростью, безопасностью и опытом разработчиков. Этот коллективный опыт фундаментально сформировал ДНК Root. Мы одержимы автоматизацией и интеграцией – не просто выявлением проблем безопасности, а решением их быстро, не создавая новой фрикции. Наш опыт информирует каждое решение, гарантируя, что безопасность ускоряет инновации, а не замедляет их.

Root утверждает, что может исправить уязвимости контейнеров за считанные секунды – без перестроения, без простоя. Как ваша технология AVR работает под капотом?

AVR работает напрямую на уровне контейнера, быстро выявляя уязвимые пакеты и исправляя или заменяя их внутри образа самого контейнера – без необходимости сложного перестроения. Представьте себе это как бесшовную горячую замену уязвимых фрагментов кода на безопасные замены, сохраняя при этом ваши зависимости, слои и поведение во время выполнения. Никаких ожиданий обновлений от поставщиков, нет необходимости в перестройке ваших конвейеров. Это устранение уязвимостей на скорости инноваций.

Можете ли вы объяснить, что отличает Root от других решений безопасности, таких как Chainguard или Rapidfort? Какое у вас преимущество на этом рынке?

В отличие от Chainguard, который требует перестроения с использованием проверенных образов, или Rapidfort, который уменьшает поверхность атаки, не устраняя напрямую уязвимости, Root напрямую исправляет ваши существующие образы контейнеров. Мы безшовно интегрируемся в ваш конвейер без нарушений – без фрикции, без передач. Мы не здесь, чтобы заменить ваш рабочий процесс, мы здесь, чтобы ускорить и улучшить его. Каждый образ, который проходит через Root, по сути становится золотым образом – полностью защищенным, прозрачным, контролируемым, обеспечивая быструю окупаемость инвестиций за счет сокращения уязвимостей и экономии времени. Наша платформа сокращает время исправления с недель или дней до 120-180 секунд, позволяя компаниям в высокорегулируемых отраслях устранить месячные очереди уязвимостей за одну сессию.

Разработчикам следует сосредоточиться на создании и доставке новых продуктов – а не тратить часы на исправление уязвимостей безопасности, трудоемкого и часто страшного аспекта разработки программного обеспечения, который тормозит инновации. Хуже того, многие из этих уязвимостей даже не принадлежат им – они возникают из-за слабостей в продуктах третьих сторон или проектах с открытым исходным кодом, заставляя команды тратить ценные часы на исправление чужих проблем.

Разработчики и команды исследований и разработок являются одними из крупнейших центров затрат в любой организации, как в плане человеческих ресурсов, так и программного обеспечения и облачной инфраструктуры, которые их поддерживают. Root облегчает эту нагрузку, используя агентный ИИ, а не полагаясь на команды разработчиков, работающих круглосуточно, чтобы вручную проверять и исправлять известные уязвимости.

Как Root конкретно использует агентный ИИ для автоматизации и оптимизации процесса исправления уязвимостей?

Наш двигатель AVR использует агентный ИИ для воспроизведения мыслительных процессов и действий опытного инженера безопасности – быстро оценивая влияние CVE, выявляя лучшие доступные исправления, тщательно тестируя и безопасно применяя исправления. Он выполняет за считанные секунды то, что в противном случае потребовало бы значительных ручных усилий, масштабируясь на тысячи образов одновременно. Каждое исправление учит систему, непрерывно улучшая ее эффективность и адаптивность, по сути, встраивая опыт полноценного инженера безопасности прямо в ваши образы.

Как Root интегрируется в существующие рабочие процессы разработчиков без добавления фрикции?

Root без усилий интегрируется в существующие рабочие процессы, подключаясь напрямую к вашему реестру контейнеров или конвейеру – без ребейзинга, без новых агентов и без дополнительных сайдкаров. Разработчики выталкивают образы, как обычно, и Root обрабатывает исправление и публикацию обновленных образов без проблем, либо на месте, либо с новыми тегами. Наше решение остается невидимым, пока не понадобится, предлагая полную видимость через подробные аудиторские следы, полные SBOM и простые варианты отмены, когда это желательно.

Как вы балансируете автоматизацию и контроль? Для команд, которые хотят видимость и надзор, насколько настраиваем Root?

В Root автоматизация усиливает – а не уменьшает – контроль. Наша платформа высоко настраиваема, позволяя командам масштабировать уровень автоматизации в соответствии с их конкретными потребностями. Вы решаете, что автоматически применять, когда вовлекать ручной обзор и что исключать. Мы предоставляем обширную видимость через подробные представления diff, журналы изменений и анализ воздействия, гарантируя, что команды безопасности остаются информированными и наделены полномочиями, никогда не оставаясь в темноте.

С тысячами уязвимостей, исправленных автоматически, как вы обеспечиваете стабильность и избегаете нарушения зависимостей или сбоев в производстве?

Стабильность и надежность лежат в основе каждого действия, которое выполняет AVR Root. По умолчанию мы принимаем консервативный подход, тщательно отслеживая графы зависимостей, используя патчи, осведомленные о совместимости, и тщательно тестируя каждое исправленное изображение против всех публично доступных тестовых фреймворков для проектов с открытым исходным кодом перед развертыванием. Если проблема когда-либо возникает, она выявляется на ранней стадии, и откат является безболезненным. На практике мы поддерживали менее 0,1% уровня неудач при автоматическом исправлении.

Поскольку ИИ развивается, развиваются и потенциальные поверхности атаки. Как Root готовится к новым угрозам безопасности в эпоху ИИ?

Мы рассматриваем ИИ как потенциальный вектор угроз и оборонительную сверхсилу. Root активно встраивает устойчивость прямо в цепочку поставок программного обеспечения, гарантируя, что контейнеризированные рабочие нагрузки – включая сложные стеки ИИ/МЛ – постоянно укрепляются. Наш агентный ИИ развивается вместе с угрозами, автономно адаптируя защиты быстрее, чем злоумышленники могут действовать. Наша конечная цель – автономная устойчивость цепочки поставок программного обеспечения: инфраструктура, которая защищает себя на скорости новых угроз.

Спасибо за отличное интервью, читателям, которые хотят узнать больше, следует посетить Root.io.