เดวิด ไมต์ตัน ซีอีโอของ Arcjet – สัมภาษณ์ซีรีส์

เดวิด ไมต์ตัน ผู้ก่อตั้งและซีอีโอของ Arcjet นำทีมสตาร์ทอัพด้านความปลอดภัยที่เน้นผู้พัฒนา ซึ่งช่วยให้ทีมสามารถฝังฟังก์ชันการป้องกันที่แข็งแกร่ง เช่น การตรวจจับบอท การจำกัดอัตรา การตรวจสอบอีเมล การบรรเทาผลกระทบจากการโจมตี และการลบข้อมูลที่ละเอียดอ่อน โดยตรงลงในโค้ดของแอปพลิเคชัน หลังจากที่เข้าร่วมในเดือนมิถุนายน 2023 นอกจากนี้เขายังเป็นผู้ร่วมก่อตั้ง Console นิตยสารและพอดแคสต์สำหรับเครื่องมือพัฒนา ซึ่งมีผู้ติดตามจำนวนมาก และ曾ดำรงตำแหน่งที่ปรึกษา เช่น Expert in Residence ที่ Seedcamp และเคยดำรงตำแหน่งผู้บริหารด้านวิศวกรรมผลิตภัณฑ์ที่ StackPath หลังจากที่บริษัทของเขาถูกซื้อกิจการ ในขณะเดียวกันก็ยังคงสนใจในเรื่องของการคำนวณที่ยั่งยืน และเขียนเกี่ยวกับหัวข้อด้านเทคโนโลยี

Arcjet ถูกสร้างขึ้นโดยมีปรัชญา “ความปลอดภัยในโค้ด” ซึ่งช่วยให้นักพัฒนาสามารถป้องกันแอปพลิเคชันด้วยการผสานรวม SDK ที่ง่ายๆ โดยการวางลอจิกด้านความปลอดภัยข้างๆ ลอจิกทางธุรกิจ เพื่อการตัดสินใจที่มีผลลัพธ์เร็วและตระหนักถึงบริบท และกำจัดความจำเป็นในการใช้โครงสร้างพื้นฐานที่แยกออกมา แพลตฟอร์มนี้รองรับการป้องกัน เช่น การปิดบอท การจำกัดอัตรา และการกรองข้อมูลที่ละเอียดอ่อน และยังคงพัฒนาด้วยคุณสมบัติ เช่น โมเดลความปลอดภัยด้าน AI ในระดับท้องถิ่น และการสนับสนุนเฟรมเวิร์กที่ขยายออกไป สะท้อนถึงภารกิจในการทำให้ความปลอดภัยในโค้ดเป็นมาตรฐานสำหรับแอปพลิเคชันสมัยใหม่ (fly.io)

คุณก่อตั้ง Server Density ในช่วงเวลาที่การดำเนินโครงสร้างพื้นฐานในระดับใหญ่นั้นยังไม่มีมาตรฐานเหมือนในปัจจุบัน และสุดท้ายก็เติบโตและขายบริษัทไป เมื่อมองย้อนกลับไป คุณได้เรียนรู้บทเรียนที่สำคัญที่สุดอะไรเกี่ยวกับการสร้างสำหรับนักพัฒนาและการดำเนินระบบการผลิต และประสบการณ์นั้นได้กำหนดวิธีคิดเกี่ยวกับซอฟต์แวร์ของคุณอย่างไรในปัจจุบัน

เครื่องมือสำหรับนักพัฒนาส่วนใหญ่จะชนะในการนำเสนอ แต่แพ้ในการผลิต การทำให้นักพัฒนาติดตั้งอะไรใหม่ๆ นั้นยากมาก ดังนั้น “การเริ่มต้นที่รวดเร็ว” จึงต้องไม่มีการขัดขวาง – แต่นั่นเป็นเพียงข้อกำหนดขั้นต่ำ รูปแบบการล้มเหลวที่แท้จริงคือสิ่งที่เกิดขึ้นหลังจาก “มันทำงาน”: ผลิตภัณฑ์จะถูกจำกัดอย่างมาก ดังนั้นทีมที่จริงจังจึงรู้สึกผิดหวังและถอดออก

ดังนั้น ความปลอดภัยของแอปพลิเคชันในโค้ดของ Arcjet จึงถูกออกแบบมาเพื่อความเป็นจริงสองประการ: คุณต้องการการแก้ไขทันทีสำหรับการสแปมในการลงทะเบียน การฉ้อโกงบัญชี การโจมตีของบอท การละเมิด API ฯลฯ และคุณยังต้องการทางออกสำหรับการควบคุมขั้นสูง – ควอตาสำหรับผู้ใช้แต่ละคน กฎที่อิงตามความเสี่ยง และการตัดสินใจที่ตระหนักถึงบริบท – โดยไม่ต้องเขียนทุกอย่างใหม่

ผลิตภัณฑ์ไม่ใช่ UI ผลิตภัณฑ์คือพฤติกรรมในการทำงาน คดีเชิงขอบ การให้ตัวอย่าง และเอกสารอ้างอิงที่นักพัฒนาสามารถไว้วางใจได้

หลังจากประสบการณ์นั้น สิ่งใดที่นำคุณไปสู่การก่อตั้ง Arcjet และทำไมคุณจึงรู้สึกว่าการเปลี่ยนแปลงครั้งสำคัญถัดไปในด้านความปลอดภัยของแอปพลิเคชันต้องเกิดขึ้นภายในโค้ดเอง แทนที่จะเป็นในระดับเครือข่ายหรือโครงสร้างพื้นฐาน

ความปลอดภัยแบบพื้นที่เป็นการเพิ่มประสิทธิภาพสิ่งที่ไม่ถูกต้อง นักพัฒนาสร้างและส่งมอบในโค้ด ไม่ใช่ในแดชบอร์ด – และเอเจนต์ AI ที่เขียนโค้ดจะไม่ “คลิกไปรอบๆ” คอนโซลความปลอดภัยเพื่อปกป้องแอปพลิเคชัน

หากการป้องกันของคุณไม่สามารถแสดงเป็นโค้ด ตรวจสอบใน pull request ทดสอบใน CI และติดตั้งพร้อมกับแอปพลิเคชัน มันไม่ใช่ “ความปลอดภัยที่เน้นผู้พัฒนา”

Arcjet มีอยู่เพราะความปลอดภัยเป็นส่วนหนึ่งของชั้นแอปพลิเคชัน: ควบคุมโดยเวอร์ชัน ตรวจสอบได้ สังเกตได้ และอยู่ใกล้กับลอจิกทางธุรกิจที่ความตั้งใจแท้จริงอาศัยอยู่

Arcjet ฝังฟังก์ชันการตรวจจับภัยคุกคามที่มีพลังงานจาก AI ตรงลงในตัวจัดการคำขอของแอปพลิเคชัน จากมุมมองทางเทคนิค คุณประโยชน์ใดที่แนวทางในโค้ดและในพื้นที่นี้ให้มาเมื่อเทียบกับเครื่องมือความปลอดภัยแบบพื้นที่แบบดั้งเดิม

ภายในตัวจัดการคำขอ คุณมีเอกลักษณ์ สถานะเซสชัน ประวัติการซื้อ อายุบัญชี ฟีเจอร์แฟลก และความจริงของฐานข้อมูล คุณสามารถตัดสินใจได้ เช่น: “สิ่งนี้ดูแปลกๆ แต่เป็นลูกค้าที่จงรักภักดี – ขั้นตอนการยืนยันตัวตนแทนการปิดกั้น” โพรกซีเครือข่ายไม่สามารถทำสิ่งนี้ได้เพราะไม่มีความคิดว่า “ลูกค้า” คืออะไร

เป้าหมายไม่ใช่การปิดกั้นสูงสุด เป้าหมายคือการลดผลบวกลวงด้วยความปลอดภัยที่ตระหนักถึงบริบท เนื่องจากข้อผิดพลาดด้านความปลอดภัยที่มีค่าใช้จ่ายสูงสุดคือการปิดกั้นการชำระเงินที่ถูกต้องหรือการล็อกผู้ใช้จริงออก

AI ได้เปลี่ยนแปลงเศรษฐกิจของการละเมิดอย่างมาก ตั้งแต่การขุดบอทและการลงทะเบียนสแปมไปจนถึงการละเมิด API แบบอัตโนมัติ คุณเห็นการโจมตีแบบไหนบ่อยที่สุดในการผลิตในปัจจุบัน และมันกำลังพัฒนาไปอย่างไรเมื่อผู้โจมตีใช้ระบบ AI ที่ซับซ้อนมากขึ้น

ผลผลิตของ AI ช่วยให้ผู้โจมตีได้เช่นกัน! การเปลี่ยนแปลงครั้งใหญ่คือปริมาณและความเร็วในการวนซ้ำ: มีการขุดบอทมากขึ้น มีการลงทะเบียนสแปมมากขึ้น มีการขุดบอทมากขึ้น มีการทดสอบ API มากขึ้น และการ “อาวุธ化” ของช่องโหว่ใหม่ๆ มีความเร็วมากขึ้น

เรายังเห็นผู้โจมติทำงานในวงจรปิดที่เข้มงวดมากขึ้น: พวกเขาทดสอบการป้องกัน ปรับเปลี่ยนคำแนะนำและพยุหะ โยกย้ายโครงสร้างพื้นฐาน และยังคงดำเนินต่อไปจนกว่าจะเข้าไปได้ มันคือเรื่องของความเร็วมากกว่าความซับซ้อน

หนึ่งในความตึงเครียดที่ใหญ่ที่สุดในด้านความปลอดภัยคือการปกป้องแอปพลิเคชันโดยไม่ชะลอการพัฒนา ทีมที่ใช้ Arcjet สามารถรวมความปลอดภัยเข้ากับกระบวนการทำงานได้อย่างไร ในขณะเดียวกันก็ยังคงรักษากระบวนการปล่อยที่รวดเร็ว

Arcjet สามารถทำงานใน bất kỳสภาพแวดล้อม nào รวมถึงใน môi trườngการเขียนโค้ดบนแล็ปท็อป ซึ่งหมายความว่านักพัฒนาสามารถทดสอบมันโดยไม่ต้องติดตั้งไปจนถึงการผลิต นี่คือข้อได้เปรียบที่สำคัญเพราะคุณสามารถตรวจสอบและแสดงการผสานรวมได้โดยไม่ต้องมีสิทธิ์พิเศษและไม่มีความเสี่ยงต่อการผลิต

Arcjet ได้รับการยอมรับในเชิงบวกจากผลิตภัณฑ์ที่เป็นเจ้าของ AI และแพลตฟอร์มอีคอมเมิร์ซ สภาพแวดล้อมเหล่านี้มีความอ่อนไหวต่อการโจมตีแบบอัตโนมัติสมัยใหม่มากกว่าเดิม และทำไมการป้องกันแบบดั้งเดิมจึงไม่เพียงพอ

หมวดหมู่เหล่านี้มีลักษณะที่เหมือนกัน โดยที่ทุกคำขอที่ละเมิดมีค่าใช้จ่ายโดยตรง

ผลิตภัณฑ์ AI จ่ายค่าตokens และการอนุมาน – ผู้โจมตีเปลี่ยนมาร์จินของคุณให้เป็นสนามเด็กเล่นของพวกเขาผ่านการขุดบอท การทำให้ทำงานอัตโนมัติ และการทำฟาร์มในระดับฟรี อีคอมเมิร์ซจ่ายค่าฉ้อโกง การเรียกเก็บเงินคืน การละเมิดสินค้า และการยึดบัญชี และทั้งสองอย่างนี้มีความไวต่อผลบวกลวงมากเพราะการปิดกั้นผู้ใช้จริงคือการสูญเสียรายได้จริงๆ

การป้องกันแบบดั้งเดิมส่วนใหญ่ปกป้องแบนด์วิธและโครงสร้างพื้นฐาน ผู้โจมตีสมัยใหม่โจมตีลอจิกทางธุรกิจ: ฟลาวในการลงทะเบียน ฟลาวในการชำระเงิน ลอจิกส่งเสริมการขาย ฟลาวในการกู้คืนบัญชี และจุดสิ้นสุด API นั่นเป็นเหตุผลที่การควบคุมพื้นที่ทั่วไปและ “แก้ไขด้วย CAPTCHA” มีความล้มเหลวมากขึ้น

การสร้างซอฟต์แวร์ด้านความปลอดภัยมีการแลกเปลี่ยนที่แตกต่างจากซอฟต์แวร์สำหรับการสังเกตหรือการตรวจสอบอย่างมาก สิ่งใดที่ทำให้คุณประหลาดใจที่สุดเกี่ยวกับการพัฒนาซอฟต์แวร์ด้านความปลอดภัยเมื่อเทียบกับประสบการณ์ก่อนหน้านี้ของคุณกับเครื่องมือโครงสร้างพื้นฐาน

ด้วยการตรวจสอบ ลูกค้าเชื่อถือคุณว่าจะพร้อมใช้งาน ด้วยความปลอดภัย ลูกค้าเชื่อถือคุณว่าจะปลอดภัยและไม่กลายเป็นช่องโหว่ในห่วงโซ่อุปทานใหม่ของพวกเขา

เมื่อแอปพลิเคชันพึ่งพาเอเจนต์ AI ที่ดำเนินการแทนผู้ใช้มากขึ้น นักพัฒนาควรคิดเรื่องเอกลักษณ์ ความตั้งใจ และความไว้วางใจในระดับแอปพลิเคชันใหม่ๆ อย่างไร

เมื่อเอเจนต์ AI ดำเนินการแทนผู้ใช้ เอกลักษณ์จะหยุดเป็นสถานะการเข้าสู่ระบบแบบไบนารีและกลายเป็นปัญหาในการมอบอำนาจ: ใครกำลังดำเนินการ ในนามของใคร ด้วยสิทธิ์ใด สำหรับระยะเวลานานเท่าใด และด้วยข้อจำกัดใดบ้าง

นักพัฒนาควรเปลี่ยนไปใช้การยืนยันต่อเนื่อง: รับการขอแต่ละครั้งเป็นการตัดสินใจใหม่เกี่ยวกับความไว้วางใจตามบริบท – ประวัติผู้ใช้ สัญญาณอุปกรณ์ พฤติกรรมเซสชัน และความเสี่ยงของการกระทำ “ความตั้งใจ” ถูกอนุมานจากพฤติกรรมตลอดเวลา ไม่ใช่การอ้างสิทธิ์ในหัวข้อ

เมื่อมองไปข้างหน้า คุณเห็นว่าบทบาทของความปลอดภัยในโค้ดที่ตระหนักถึงบริบทจะพัฒนาไปอย่างไรในอีกไม่กี่ปีข้างหน้า เมื่อการจราจรที่สร้างโดย AI ยังคงเติบโตต่อไป

เครื่องมือพื้นที่จะไม่หายไป – แต่จะกลายเป็นตัวกรองแบบหยาบสำหรับสิ่งที่ดีที่สุดในการจัดการในระดับเครือข่าย เช่น การโจมตีด้วยการกระจายการรับ (DDoS) การตัดสินใจที่แม่นยำจะเกิดขึ้นภายในแอปพลิเคชัน โดยใช้บริบทที่แท้จริง

หากความปลอดภัยที่ฝังตัวกลายเป็นแบบจำลองมาตรฐานสำหรับแอปพลิเคชันสมัยใหม่ การเปลี่ยนแปลงนี้จะหมายถึงอะไรสำหรับนักพัฒนาที่จะทดสอบ ติดตั้ง และให้เหตุผลเกี่ยวกับความปลอดภัยในระบบการผลิต

หากความปลอดภัยที่ฝังตัวกลายเป็นมาตรฐาน ทีมจะทดสอบการละเมิดเหมือนกับที่พวกเขาทดสอบความถูกต้อง: การทดสอบความปลอดภัยของยูนิต การจำลองการโจมตีที่สามารถเล่นซ้ำได้ และการตรวจสอบ CI สำหรับจุดสิ้นสุดที่มีความเสี่ยง

การเปลี่ยนแปลงที่ใหญ่กว่าคือเอเจนต์ AI ที่เขียนโค้ดจะนำการป้องกันความปลอดภัยมาใช้เป็นโค้ด ไม่ใช่การกำหนดค่าแดชบอร์ด เอเจนต์สามารถเสนอ การทบทวน และการตรวจสอบการป้องกันได้อย่างน่าเชื่อถือเมื่อการควบคุมอยู่ในрепо: นโยบาย กฎ ทดสอบ และเครื่องมือวัด หาก “ชั้นความปลอดภัย” เป็น UI เว็บ เอเจนต์ไม่สามารถทดสอบการเปลี่ยนแปลงเพื่อส่งออกได้อย่างปลอดภัย

นั่นคือเหตุผลที่แท้จริงที่ “ความปลอดภัยในโค้ด” ชนะ – มันเข้ากับวิธีการสร้างซอฟต์แวร์สมัยใหม่ (และพัฒนาที่ช่วยเหลือโดย AI) จริงๆ

ขอขอบคุณสำหรับสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ Arcjet