Mitchell Amador, grundare och VD för Immunefi – Intervju-serie

Mitchell Amador, grundare och VD för Immunefi, är en framstående blockchain-säkerhetsentreprenör, ängelinvesterare och onchain-tänkare. Han grundade Immunefi, den ledande bug bounty- och säkerhetsplattformen för Web3-ekosystemet, som har hjälpt till att förhindra mer än 25 miljarder dollar i potentiella hack och stölder samtidigt som man främjar bug bounty-program som en branschstandard. Han har spelat en nyckelroll i att säkra stora blockchain-protokoll, bidragit till whitehat-säkerhetsinitiativ och även grundat Instituto New Economy, en blockchain-tänk tank som har hjälpt till att positionera Portugal som en ledande europeisk hub för blockchain-innovation.

Immunefi är en ledande Web3-säkerhetsplattform som kopplar samman blockchain-projekt med etiska hackare genom bug bounty-program, säkerhetsgranskningar och sårbarhetsrapporterings tjänster. Företaget hjälper till att skydda miljarder dollar i digitala tillgångar genom att möjliggöra för organisationer att identifiera och åtgärda kritiska säkerhetsbrister innan de kan utnyttjas, och betjänar många av världens största blockchain-protokoll och decentraliserade finans (DeFi)-projekt.

Innan du grundade Immunefi, hjälpte du till att driva adoptionen hos företag som SingularityNET och Steemit och var involverad i att forma Portugals tidiga kryptolagstiftning. Vad övertygade dig om att Web3-säkerhet var det problem som var värt att dedikera din karriär till, och vilket gap i marknaden såg du när du lanserade Immunefi?

Traditionella säkerhetsföretag kunde inte hålla jämna steg med Web3:s hastighet och komplexitet, och det fanns ingen pålitlig plattform som kunde attrahera elitforskare i stor skala samtidigt som man gav protokollen förtroende för att rapporterna skulle hanteras professionellt. Vi såg en möjlighet att bygga infrastruktur-lagret för Web3-säkerhet, skapa sammanfallande incitament mellan projekt och forskare samtidigt som man gjorde proaktiv säkerhet till en kärndel av hur branschen fungerar.

Du hjälpte till att bygga upp Immunefi till den dominerande kraften inom Web3-säkerhet, skyddande hundratals miljarder dollar i tillgångar och hanterande den överväldigande majoriteten av kritiska sårbarhetsrapporter i krypto. När du ser tillbaka på den resan, vilka lärdomar från att skala upp Immunefi påverkade ditt beslut att ta in Code4renas kunder och samhälle i Immunefi-ekosystemet?

En av de största lärdomarna från att skala upp Immunefi är att säkerhet fungerar bäst när talang koncentreras snarare än fragmenteras. Att ta in Code4renas kunder och forskare i Immunefi-ekosystemet tillåter oss att stärka båda sidor av marknaden: forskare får tillgång till fler möjligheter och resurser, medan projekt får tillgång till en bredare uppsättning säkerhetstjänster som backas upp av det största forskarnätverket i Web3.

Code4rena spelade en stor roll i att popularisera konkurrenskraftiga säkerhetsrevisioner i krypto. Vad tror du i slutändan orsakade att deras affärsmodell blev svår att upprätthålla, och vilka bredare lärdomar erbjuder det för framtiden för crowdsourcade säkerhet?

Den grundläggande utmaningen var inte värdet av konkurrenskraftiga revisioner. Det värdet förblir betydande. Utmaningen var att bygga ett hållbart företag runt en fristående erbjudande i en miljö där kundernas förväntningar har utvecklats.

Protokoll vill alltmer omfattande säkerhetslösningar snarare än punktprodukter. De vill ha bug bounty, revisioner, hot-intelligence, säkerhetsoperationer och incident-svarskapacitet under ett tak. När marknaden mognade, blev det svårare för specialiserade leverantörer att konkurrera mot plattformar som kunde erbjuda en bredare säkerhetsstack.

Många säkerhetsforskare såg Code4rena som en unik kultur och samhälle. Hur planerar du att bevara det som gjorde den plattformen värdefull medan du integrerar användare i Immunefi?

Samhället var i slutändan vad som gjorde Code4rena framgångsrikt. Målet är inte att ersätta den kulturen, utan att skapa en miljö där den kan fortsätta att blomstra med större stöd och skala. Fokus ligger på kontinuitet snarare än störning. Vi vill att forskare ska känna att de får tillgång till en bredare plattform utan att förlora de aspekter av samhället som gjorde dem villiga att delta från första början.

Traditionella säkerhetsrevisioner förlitar sig ofta på en relativt liten grupp granskare, medan revisions-tävlingar kan attrahera hundratals forskare. Hur ser du på revisions-tävlingarnas utveckling under de närmaste fem åren när AI blir alltmer integrerat i säkerhetsarbetsflöden?

Vad vi sannolikt kommer att se är en förändring där AI hanterar en växande del av repetitiv analys, mönsterigenkänning och initial triage, vilket tillåter forskare att spendera mer tid på nya angreppsvägar och komplexa system-sårbarheter.

Den utvecklingen gör faktiskt revisions-tävlingar mer värdefulla. Om hundratals forskare kan utnyttja alltmer kapabla AI-verktyg, skapar du en miljö där olika tillvägagångssätt kan appliceras på samma kodbas i en aldrig tidigare skådad skala. Framtiden är inte att AI ersätter crowdsourcad säkerhet, utan att AI förstärker effektiviteten hos stora forskarsamhällen.

En av de framväxande problemen du har betonat är AI-genererade spam-inlämnanden. Hur allvarligt har detta problem blivit, och vad avslöjar det om de oavsiktliga konsekvenserna av att göra avancerade AI-verktyg allmänt tillgängliga?

Problemet är inte att AI hittar för många sårbarheter. Problemet är att det kan generera stora volymer övertygande men i slutändan felaktiga fynd. Varje lågkvalitetsinlämning konsumerar granskartid och skapar operativt överhuvud.

Mer allmänt demonstrerar det en återkommande mönster i teknologi. När kraftfulla verktyg blir allmänt tillgängliga, skalar både produktiv och improduktiv aktivitet samtidigt. De organisationer som lyckas kommer att vara de som bygger system som kan identifiera äkta expertis och äkta fynd på ett effektivt sätt mitt i en mycket större volym av automatiserad utdata.

Tror du att AI slutligen kommer att förbättra kvaliteten på sårbarhetsupptäckt, eller står säkerhetsplattformar inför en långvarig kapprustning mellan alltmer kapabla AI-system och den flod av lågkvalitativa automatiserade inlämnanden de kan generera?

Båda sakerna är sanna.

AI kommer utan tvekan att förbättra sårbarhetsupptäckt. Vi ser redan forskare använda AI för att accelerera arbetsflöden, analysera större kodbas och identifiera potentiella angreppsvägar mer effektivt än tidigare.

Samtidigt kommer det att finnas en pågående kapprustning mellan system som genererar fynd och system som validerar dem. Den viktigaste differentiatorn kommer inte att vara vem som kan generera mest rapporter. Det kommer att vara vem som kan generera högkonfidensfynd.

Vi börjar se AI-assisterade forskare identifiera sårbarheter snabbare än någonsin tidigare. Hur nära är vi att AI-system oberoende upptäcker, validerar och sogar prioriterar kritiska sårbarheter med minimal mänsklig inblandning?

Vi är närmare upptäcktsfasen än många människor förstår. AI blir redan användbart för att identifiera mönster, granska kod och yta potentiella sårbarheter.

Validering förblir den svårare utmaningen. Att hitta något som kan vara en sårbarhet är mycket annorlunda än att bevisa exploaterbarhet, förstå affärspåverkan och korrekt bedöma allvarlighetsgrad. Dessa uppgifter kräver fortfarande betydande mänsklig bedömning.

Uppkomsten av autonoma AI-agenter skapar helt nya angreppsytor. Vilka säkerhetsrisker associerade med agenterad AI tror du att för närvarande underskattas av både Web3-industrin och den bredare företagsmarknaden?

Vad som ofta underskattas är komplexiteten i de förtroendegränser som är involverade. Agenter fungerar inte i isolering. De konsumerar indata från flera källor, interagerar med tredjeparts-tjänster och fattar beslut baserat på dynamiska miljöer. Var och en av dessa interaktioner skapar en potentiell angreppsyta.

Jag tror att många organisationer fortfarande tillämpar traditionella mjukvarusäkerhetsantaganden till system som beter sig fundamentalt annorlunda. Den luckan kommer att bli alltmer viktig när autonoma agenter får bredare operativ auktoritet.

När du ser framåt tre till fem år, hur tror du att AI kommer att omvandla sättet sårbarheter upptäcks, rapporteras och mildras, och vilken roll tror du att mänskliga säkerhetsforskare kommer att spela i den framtiden?

AI kommer att dramatiskt accelerera varje skede av säkerhetslivscykeln. Sårbarheter kommer att upptäckas snabbare, triageras snabbare och i många fall mildras snabbare än de görs idag. Säkerhetsteam kommer att ha tillgång till långt mer intelligens och automatisering än någonsin tidigare.

Men jag tror inte att framtiden är en där mänskliga forskare blir irrelevanta. Om något, så blir deras roll ännu viktigare. När AI hanterar rutinuppgifter, skiftar mänsklig expertis mot att förstå nya system, identifiera ovanliga angreppsvägar, validera kritiska fynd och fatta strategiska säkerhetsbeslut.

De mest framgångsrika forskarna kommer inte att vara de som tävlar mot AI. De kommer att vara de som lär sig att utnyttja AI som en kraftmultiplikator. Säkerhet har alltid belönat anpassningsförmåga, och det kommer att förbli sant i en AI-driven framtid.

Tack för den underbara intervjun, läsare som vill lära sig mer kan besöka Immunefi.