นีตซัน ซิฟ, ผู้ร่วมก่อตั้งและซีอีโอของ OX Security – ซีรีส์สัมภาษณ์

นีตซัน ซิฟ, ผู้ร่วมก่อตั้งและซีอีโอของ OX Secuity, อยู่ที่แนวหน้าของการเปลี่ยนแปลงความปลอดภัยของซอฟต์แวร์สำหรับยุค DevSecOps ก่อนที่จะก่อตั้ง OX เขา曾ดำรงตำแหน่ง VP of Cyber Security ที่ Check Point โดยนำการดำเนินงานระดับโลกและจัดระเบียบการตอบสนองอย่างรวดเร็วต่อภัยคุกคามที่มีชื่อเสียง เช่น SolarWinds (SWI ) และ NotPetya การทำงานของเขาได้ทำให้เขาได้ร่วมงานกับ Interpol, หน่วยงาน CERT ของประเทศต่างๆ และหน่วยงานบังคับใช้กฎหมายอื่นๆ ในช่วงเวลาที่เกิดเหตุการณ์ทางไซเบอร์ที่สำคัญที่สุดในรอบทศวรรษที่ผ่านมา

OX Security เป็นแพลตฟอร์มความปลอดภัยของแอปพลิเคชันที่ออกแบบมาเพื่อช่วยให้องค์กรสามารถมุ่งเน้นไปที่ความเสี่ยงที่แท้จริง โดยใช้การวิเคราะห์ความสามารถในการใช้ประโยชน์, การเข้าถึง, และผลกระทบทางธุรกิจ แพลตฟอร์มนี้ให้การจัดลำดับความสำคัญที่มีหลักฐานเชิงประจักษ์ตลอดวงจรชีวิตของการพัฒนาซอฟต์แวร์ ด้วยการครอบคลุมโค้ดถึงคลาวด์แบบเต็มรูปแบบ, การรวมมากกว่า 100 รายการ, และการทำงานแบบไม่ต้องเขียนโค้ด OX ช่วยให้การแก้ไขปัญหาได้โดยตรงภายในกระบวนการทำงานของนักพัฒนา โดยรับประกันว่าการดำเนินการด้านความปลอดภัยจะมีประสิทธิภาพและไม่มีการขัดขวาง

ก่อนที่คุณจะร่วมก่อตั้ง OX Security คุณ曾เป็นผู้นำในการตอบสนองต่อเหตุการณ์สำคัญที่ Check Point สิ่งใดทำให้คุณตัดสินใจที่จะเริ่มต้นธุรกิจของตัวเอง และคุณเห็นช่องว่างใดในพื้นที่ความปลอดภัยของแอปพลิเคชัน?

การทำงานที่ Check Point ทำให้ฉันสัมผัสกับ “Corporate Velocity Gap” – องค์กรด้านความปลอดภัยแบบดั้งเดิมเคลื่อนที่ด้วยความเร็วที่ช้ากว่า ฉันยังเห็นว่าทีมด้านความปลอดภัยไม่มีประสิทธิภาพในหลายๆ ด้าน โดยเฉพาะอย่างยิ่งในการจัดลำดับความสำคัญของความเสี่ยงอย่างถูกต้อง

ในขณะเดียวกัน ฉันรับรู้ว่า AI ที่สร้างขึ้น (ในขณะนั้นยังไม่พัฒนาเต็มที่) แสดงถึงอนาคตของวิธีการที่เครื่องมือความปลอดภัยต้องพัฒนา และแท้จริงแล้วมันเคลื่อนที่ด้วยความเร็วมาก มีการเปลี่ยนแปลงที่สำคัญหลายอย่างเกิดขึ้นพร้อมๆ กัน:

การเร่งความเร็วของนักโจมตี: ผู้โจมตีได้รับเทคโนโลยีและเทคนิคใหม่ๆ อย่างรวดเร็ว และเคลื่อนที่เร็วกว่าที่โซลูชันด้านความปลอดภัยสามารถตามทัน

ปรากฏการณ์ “Vibe Coding”: ในขณะนั้นยังไม่มีคำนี้ แต่ฉันเห็นว่านักพัฒนามีความพึ่งพาเครื่องมือช่วยเขียนโค้ดแบบ AI เช่น Copilot มากขึ้น ซึ่งเปลี่ยนแปลงวิธีการสร้างซอฟต์แวร์อย่างมาก และนำไปสู่ข้อพิจารณาด้านความปลอดภัยที่ใหม่และแตกต่าง

การโจมตีห่วงโซ่อุปทานซอฟต์แวร์: การเร่งความเร็วของการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ทำให้เกิดความจำเป็นอย่างเร่งด่วนสำหรับแนวทางใหม่ๆ ในด้านความปลอดภัยของแอปพลิเคชันที่เครื่องมือที่มีอยู่ไม่สามารถตอบสนองได้

การปรับปรุงแบบทีละขั้นตอนภายในโครงสร้างองค์กรที่มีอยู่จะไม่เพียงพอในการตอบสนองต่อความท้าทายที่กำลังพัฒนาอย่างรวดเร็วเหล่านี้

การรับรู้สุดท้ายของฉันคือว่าภัยคุกคามกำลังเคลื่อนที่อย่างรวดเร็วเข้าสู่โค้ด – และความปลอดภัยต้องตามไปด้วย เราต้องหักหลบจากกรอบการทำงานที่ทราบและเริ่มวิ่งในการแข่งขันใหม่

ภารกิจหลักของ OX คือช่วยให้นักพัฒนามุ่งเน้นไปที่ 5% ของช่องโหว่ที่แท้จริง เมื่อไหร่ที่ความเข้าใจนี้เกิดขึ้น และมันกำหนดรูปแบบการตัดสินใจด้านผลิตภัณฑ์อย่างไร?

จากการบริหารจัดการทีมพัฒนาที่ค่อนข้างใหญ่ ฉันเห็นว่าปริมาณปัญหาด้านความปลอดภัยที่นักพัฒนาต้องเผชิญนั้นมากเกินไป คุณต้องเข้าใจสิ่งที่สำคัญและไม่สำคัญ การดูรายการสิ่งที่ไม่สำคัญไม่ช่วยให้บริษัทลดความเสี่ยง แต่ทำให้เกิดความ沮หนายและเสียเวลาและทรัพยากร

สิ่งนี้สอนเราให้ช่วยให้นักพัฒนามุ่งเน้นไปที่สิ่งที่แท้จริงสำคัญ – และจากนั้นให้คำอธิบายว่าทำไมมันจึงสำคัญ หลังจากนั้น เราต้องแสดงให้พวกเขาเห็นวิธีแก้ไขปัญหาได้อย่างง่ายดาย หรือแม้แต่แก้ไขให้พวกเขา – ซึ่งตอนนี้เป็นไปได้ด้วยเครื่องมือเช่น Agent OX

ความเข้าใจนี้กลายเป็นรากฐานที่เราก่อตั้งบริษัท และเป็นสิ่งที่ชี้นำการตัดสินใจด้านผลิตภัณฑ์ทั้งหมดของเรา ทุกคุณลักษณะ ทุกความสามารถที่เราพัฒนาขึ้น เริ่มต้นด้วยคำถาม: “สิ่งนี้ช่วยให้นักพัฒนามุ่งเน้นไปที่สิ่งที่แท้จริงสำคัญหรือไม่? สิ่งนี้ลดความเสี่ยงหรือไม่?”

แพลตฟอร์มของคุณมีศูนย์กลางอยู่ที่ “Code Projection” เพื่อทำแผนที่ความเสี่ยงตลอด SDLC คุณสามารถอธิบายได้อย่างไรว่าเทคโนโลยีนี้ทำงาน และอะไรที่ทำให้มันแตกต่างจากเครื่องมือจัดการช่องโหว่อื่นๆ

Code Projection เป็นเทคโนโลยีที่พื้นฐานซึ่งเห็นปัญหาในโค้ดและรู้ล่วงหน้าว่ามันจะพฤติกรรมอย่างไรเมื่อโค้ดนั้นไปถึงคลาวด์ ซึ่งช่วยให้คุณสามารถแก้ปัญหาได้ก่อนที่มันจะถูกใช้งานในผลิต – เมื่อความเสี่ยงยังไม่ถูกเปิดเผย

มันทำงานโดยการทำความเข้าใจว่าทุกชิ้นส่วนของโค้ดมีกระบวนการที่สร้างและนำไปสู่คลาวด์ – CI/CD เราสามารถอ่านโค้ดและตีความสิ่งที่มันหมายถึง ตัวอย่างเช่น สิ่งที่ถูกเปิดเผยต่ออินเทอร์เน็ตมีผลกระทบต่างจากสิ่งที่ไม่ได้ถูกเปิดเผย

ความแตกต่างหลักจากผลิตภัณฑ์อื่นๆ คือเครื่องมือส่วนใหญ่ทำงานเสร็จสิ้นเมื่อแสดงรายการสิ่งที่ต้องแก้ไข โดยไม่สามารถช่วยให้มุ่งเน้นไปที่ 5% ของความเสี่ยงที่แท้จริงหรือแม้แต่น้อยกว่านั้น การกรองผ่านรายการสิ่งที่ต้องแก้ไข – คุณจะสิ้นเปลืองเวลาและไม่ทราบว่าควรให้นักพัฒนาคนไหนแก้ไขปัญหา

แนวทางของเราทำให้สิ่งนี้เปลี่ยนแปลงไปทั้งหมด – เราไม่เพียงแต่ระบุปัญหาเท่านั้น แต่ยังให้ข้อมูลบริบท, การจัดลำดับความสำคัญ, และการกำหนดความเป็นเจ้าของที่ชัดเจน

คุณให้บริการการรวมที่ครอบคลุมสำหรับเครื่องมือสแกน, การจัดการความลับ, SBOM, การค้นพบ SaaS และอื่นๆ อะไรคือความท้าทายทางเทคนิคที่ยากที่สุดที่คุณต้องเผชิญในการรวมสิ่งเหล่านี้เข้าด้วยกันเพื่อให้เกิดประสบการณ์ของนักพัฒนาที่ไม่มีข้อขัดข้อง?

ปัญหาที่ยากที่สุดคือการเปลี่ยนข้อมูลให้เป็นข้อมูลเชิงลึก ข้อมูลคือทุกสิ่งที่คุณกล่าวถึง แต่นักพัฒนาต้องการความชัดเจน, จุดสำคัญ, และเหตุผล การสื่อสารที่มุ่งเน้น การเปลี่ยนข้อมูลจำนวนมากให้เป็นข้อมูลเชิงลึกที่สามารถดำเนินการได้ – นี่คือความท้าทายที่ยิ่งใหญ่ที่สุดในอุตสาหกรรม

การสรุปข้อมูลนี้ให้เป็นเรื่องราวที่สอดคล้องกันและให้การดำเนินการที่ชัดเจนและจัดลำดับความสำคัญที่นักพัฒนาสามารถดำเนินการได้ – นี่คือความท้าทายที่ยิ่งใหญ่ที่สุด

PBOM (Pipeline Bill of Materials) คือนวัตกรรมของ OX มันแตกต่างจาก SBOM อย่างไร และทำไมมันจึงจำเป็นต่อการรักษาความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์สมัยใหม่?

PBOM คือความสามารถในการมองเห็นทุกสิ่งที่เกิดขึ้นกับซอฟต์แวร์ตั้งแต่การเขียนโค้ดจนถึงการผลิต SBOM คือส่วนหนึ่งของสิ่งนั้น – มันเห็นซอฟต์แวร์แพ็คเกจที่อยู่ภายในแอปพลิเคชัน

เพื่อตอบคำถามก่อนหน้า – PBOM จริงๆ แล้วเป็นพื้นฐานที่ช่วยให้เราสามารถเปลี่ยนข้อมูลให้เป็นข้อมูลเชิงลึกได้ เนื่องจากมันเห็นภาพที่กว้างขึ้น – ทุกข้อมูล มันจับภาพการเดินทางและเปลี่ยนแปลงของโค้ดทั้งหมด ไม่ใช่แค่ส่วนประกอบสุดท้าย

มุมมองแบบครอบคลุมนี้จำเป็นเพราะเครื่องมือความปลอดภัยแบบดั้งเดิมเห็นเพียงผลลัพธ์สุดท้าย และพลาดเวกเตอร์การโจมตีที่สำคัญ เช่น เครื่องมือสร้างที่ถูกบุกรุก, การคอมมิตที่มีเจตนาร้าย, หรือการบุกรุกท่อการผลิตที่เกิดขึ้นระหว่างการพัฒนาและปรับใช้

OX เพิ่งเปิดตัว Agent OX – สถาปัตยกรรมหลายตัวแทนใหม่ที่แต่ละโมเดล AI มุ่งเน้นไปที่ประเภทช่องโหว่และภาษาโปรแกรมมิ่งเฉพาะ สิ่งใดเป็นตัวขับเคลื่อนการตัดสินใจด้านการออกแบบ และคุณรับประกันว่าการแก้ไขที่เสนอโดย Agent OX นั้นสามารถอธิบายและเชื่อถือได้หรือไม่?

เราได้สร้างแนวทางหลายตัวแทนโดยการดูว่ามนุษย์สร้างความเชี่ยวชาญและนำหลักการเดียวกันนี้ไปใช้กับ AI เพื่อเป็นผู้เชี่ยวชาญในบางสิ่ง นักพัฒนาต้องเป็นผู้เชี่ยวชาญในภาษา, สถาปัตยกรรมเฉพาะ, และองค์กรเฉพาะ นักพัฒนาคนเดียวไม่สามารถแก้ไขปัญหาได้ทั้งหมด และด้วยหลักการเดียวกัน ตัวแทน AI เดียวก็ไม่สามารถถึงระดับเชี่ยวชาญได้ นอกจากนี้คุณต้องการตัวแทน AI ที่สามารถจัดการการรับรองคุณภาพ

ดังนั้น ตัวแทนแต่ละตัวจึงพัฒนาความเชี่ยวชาญลึกในโดเมนเฉพาะของตน เช่นเดียวกับผู้เชี่ยวชาญมนุษย์

สำหรับการรับประกันความน่าเชื่อถือและสามารถอธิบายได้ ตัวแทนแต่ละตัวไม่เพียงแต่เสนอการแก้ไขปัญหาเท่านั้น แต่ยังอธิบายเหตุผล, แสดงงาน, และช่วยให้นักพัฒนาสามารถเข้าใจได้ว่าทำไมวิธีแก้ปัญหาหนึ่งๆ ถึงถูกเลือก

อะไรทำให้คุณมุ่งเน้นไปที่การแก้ไขปัญหาแบบคลิกเดียวโดยตรงภายในกระบวนการทำงานของนักพัฒนา และคุณรับประกันว่านักพัฒนาจะยังคงควบคุมและไม่พบผลกระทบทางอ้อมหรือไม่?

ความคิดหลักคือการลดความขัดข้องและเพิ่มความปลอดภัยในการแก้ไขปัญหา เราให้นักพัฒนามีอำนาจเต็มในการทบทวนและตรวจสอบการแก้ไขปัญหาที่เสนอไว้ก่อนที่จะยอมรับ

กุญแจสำคัญคือ “คลิกเดียว” ไม่ได้หมายถึง “อัตโนมัติ” – แต่หมายถึงการทำให้กระบวนการง่ายขึ้น นักพัฒนาสามารถเห็นได้อย่างชัดเจนว่าจะมีการเปลี่ยนแปลงอะไร, ทำไม, ทบทวนคำตอบที่เสนอ, และจากนั้นเลือกที่จะใช้การแก้ไขด้วยการดำเนินการเดียว การควบคุมและกระบวนการตัดสินใจยังคงอยู่ในมือของพวกเขา แต่เราลบการทำงานด้วยมือที่น่าเบื่อในการวิจัยและนำการแก้ไขไปใช้

คุณมีลูกค้าอย่าง Microsoft (MSFT ), IBM, และ SoFi ความสัมพันธ์กับองค์กรเหล่านี้กำหนดรูปแบบแผนการและกระบวนการรับฟังความคิดเห็นสำหรับเครื่องมือเช่น Agent OX อย่างไร?

เราทำงานกับลูกค้าหลายร้อยราย และหลายสิบรายแบ่งปันความท้าทายที่พวกเขาเผชิญกับเรา การสนทนาที่ลึกซึ้งเกี่ยวกับแผนการและรูปแบบการออกแบบเป็นรากฐานของความสามารถของเราในการปรับให้เหมาะสมกับคำตอบที่เสนอ เราให้ความสำคัญกับความสัมพันธ์กับลูกค้าของเราเป็นอันดับแรก และเป็นแนวทางในการทำความเข้าใจความต้องการในโลกแห่งความเป็นจริงและสร้างคำตอบเพื่อแก้ปัญหาเหล่านั้น

เมื่อเครื่องมือความปลอดภัย AI กลายเป็นที่นิยมมากขึ้น คุณสร้างสมดุลระหว่างการทำให้自动และควบคุมของนักพัฒนาอย่างไร และคุณวาดเส้นแบ่งระหว่างการช่วยเหลือและการทำงานอัตโนมัติได้อย่างไร?

เมื่อเราเห็นในอดีต การปฏิวัติครั้งก่อนๆ ผู้ที่ไม่ขึ้นรถไฟไม่สามารถอยู่รอดได้ เราเริ่มเห็นองค์กรที่เราทำงานด้วยที่ย้ายทรัพยากรทั้งหมดไปสู่การนำ AI มาใช้เพราะพวกเขาเข้าใจว่าเรากำลังอยู่ในยุคปฏิวัติ

นี่คือลูกค้าที่มีการทำงานร่วมกันมากที่สุดเพราะพวกเขาเผชิญกับความตึงเครียดที่ไม่เคยเกิดขึ้นมาก่อน: นักพัฒนาของพวกเขา cầnความเร็วในการทำงานด้วยเครื่องมือ AI แต่พวกเขากังวลเกี่ยวกับการสูญเสียการควบคุม พวกเขายินดีที่จะยอมรับความเสี่ยงและความสูญเสียการควบคุมชั่วคราวเพื่อให้ได้ความได้เปรียบในการแข่งขัน แต่พวกเขาต้องการให้เราช่วยให้พวกเขาได้รับการควบคุมกลับมา งานของเราคือช่วยให้พวกเขาได้รับความเร็วที่ต้องการในขณะเดียวกันก็สร้างความเชื่อมั่นในกระบวนการนี้

คุณเพิ่งปิดการระดมทุน Series B มูลค่า 60 ล้านดอลลาร์ การระดมทุนนี้จะเร่งการเติบโตในระยะต่อไปของ OX อย่างไร ไม่ว่าจะเป็นด้านเทคนิค, การตลาด, หรือการขยายตัวระหว่างประเทศ?

การระดมทุนใหม่นี้เป็นหลักเกี่ยวกับการขยายตัว และจะช่วยให้เราเพิ่มความสามารถในการระบุความเสี่ยงที่เกิดจากโค้ดที่สร้างโดย AI ซึ่งเรากำลังเริ่มเห็นด้วยการเปิดตัว Agent OX

เรากำลังวิเคราะห์โค้ดมากกว่า 100 ล้านบรรทัดต่อวันสำหรับลูกค้ามากกว่า 200 รายที่จ่ายเงิน การระดมทุนนี้ทำให้เราสามารถขยายผลกระทบนี้ไปทั่วโลกในขณะเดียวกันก็ยังคงมุ่งเน้นไปที่คำถามหลักที่ชี้นำเราเสมอมา: “สิ่งนี้ช่วยให้นักพัฒนามุ่งเน้นไปที่สิ่งที่สำคัญหรือไม่? สิ่งนี้ลดความเสี่ยงหรือไม่?”

ขอขอบคุณสำหรับการสัมภาษณ์ที่ดี ผู้อ่านสามารถเยี่ยมชม OX Security เพื่อเรียนรู้เพิ่มเติม