วรุณ บัธวาร์ ผู้ก่อตั้งและซีอีโอของ Endor Labs – สัมภาษณ์เชิงลึก

วรุณ บัธวาร์ ผู้ก่อตั้งและซีอีโอของ Endor Labs เป็นผู้ประกอบการด้านความปลอดภัยไซเบอร์ที่ได้รับการยอมรับในการสร้างและนำบริษัทที่อยู่ในแนวหน้าของความปลอดภัยคลาวด์และความปลอดภัยของแอปพลิเคชัน ตั้งแต่ปี 2021 เขาได้ดำรงตำแหน่งผู้นำของ Endor Labs ซึ่งมุ่งเน้นในการรักษาความปลอดภัยของการพัฒนาซอฟต์แวร์ที่ขับเคลื่อนด้วย AI ก่อนหน้านี้เขา曾ดำรงตำแหน่ง SVP & GM ของ Prisma Cloud ที่ Palo Alto Networks (PANW ) และผู้ก่อตั้ง RedLock ซึ่งเป็นสตาร์ทอัพด้านความปลอดภัยคลาวด์ที่ถูกซื้อกิจการโดย Palo Alto Networks

Endor Labs เป็นแพลตฟอร์มความปลอดภัยของแอปพลิเคชันที่สร้างขึ้นสำหรับยุค AI โดยได้รับการออกแบบเพื่อช่วยให้ทีมวิศวกรและทีมความปลอดภัยสร้างสมดุลระหว่างความเร็วและความปลอดภัยในการพัฒนาซอฟต์แวร์ แพลตฟอร์มนี้รวมคุณสมบัติต่างๆ เช่น การวิเคราะห์องค์ประกอบซอฟต์แวร์แบบเรียกใช้, SAST, การสแกน컨เทนเนอร์, การตรวจจับข้อมูลลับ และการป้องกันการโจมตีในกระบวนการ CI/CD เข้าด้วยกันเพื่อให้ทีมสามารถระบุความเสี่ยงที่แท้จริงและจัดลำดับความสำคัญในการแก้ไขปัญหา นอกจากนี้ยังมีเอเย่นต์ AI ที่วิเคราะห์คำขอ pull request สำหรับการเปลี่ยนแปลงโครงสร้างและตรวจจับความเสี่ยงในโค้ดที่สร้างโดย AI ในช่วงต้นของวงจรการพัฒนาซอฟต์แวร์

คุณเคยสร้างและขยายธุรกิจด้านความปลอดภัยที่สำคัญมาก่อน — ประสบการณ์เหล่านั้นได้นำคุณไปสู่การก่อตั้ง Endor Labs อย่างไร และคุณตั้งเป้าหมายที่จะแก้ไขปัญหาใดในตอนแรก?

เมื่อเดือนธันวาคม 2021 ฉันอยู่ที่ Palo Alto Networks เมื่อเกิดการละเมิด SolarWinds (SWI ) ซึ่งเป็นเหตุการณ์ที่มีขนาดใหญ่ ลูกค้าทุกคนที่ใช้ซอฟต์แวร์ของพวกเขาได้รับผลกระทบ และเราก็ไม่ใช่例外 เมื่อฉันตรวจสอบวิธีการจัดการซอฟต์แวร์ของเราเอง ฉันพบว่าเรามีวิศวกร 450 คนและมีจุดอ่อนด้านความปลอดภัย 68,000 จุด แต่วิศวกรส่วนใหญ่เพิกเฉยต่อจุดอ่อนเหล่านั้น สาเหตุหลักคือการแจ้งเตือนเท็จที่มีถึง 80-90% และเครื่องมือแบบดั้งเดิมไม่เข้าใจว่าวิศวกรทำงานอย่างไร

นั่นคือเมื่อฉันตระหนักว่า: การพัฒนาซอฟต์แวร์สมัยใหม่คล้ายกับการประกอบมากกว่าการสร้าง เราส่งโค้ดที่ส่วนใหญ่เป็นไลบรารีภายนอกโดยไม่มีการรับประกันคุณภาพหรือความปลอดภัย ฉันเห็นความไม่เชื่อมต่อระหว่างทีมความปลอดภัยและวิศวกร การทำงานที่เป็นปฏิปักษ์และความตึงเครียดทางการเมือง ฉันรู้ว่าเราต้องคิดใหม่เกี่ยวกับความปลอดภัยของแอปพลิเคชันจากพื้นฐาน ซึ่งนำไปสู่การก่อตั้ง Endor Labs

Endor Labs ปัจจุบันปกป้องแอปพลิเคชันหลายล้านรายการสำหรับองค์กรต่างๆ ตั้งแต่ฟินเทคถึงแพลตฟอร์ม SaaS คุณเห็นกรณีการใช้งานใดบ่อยที่สุด และลูกค้าเลือกใช้บริการของคุณเพราะเหตุใด?

ลูกค้าของเรามาใช้บริการเพื่อปกป้องห่วงโซ่อุปทานซอฟต์แวร์และกระบวนการทำงานของนักพัฒนา พวกเขาต้องการตรวจสอบการอาศัยพื้นฐานโอเพ่นซอร์สก่อนการผลิต อัตลักษณ์โค้ดที่สร้างโดย AI ที่มีความเสี่ยงสูง และสุดท้ายรวมความปลอดภัยเข้ากับกระบวนการทำงานของนักพัฒนาที่ตรงไปตรงมา

เครื่องมือสแกนเนอร์ส่วนใหญ่เพียงแค่โยนจุดอ่อนให้กับนักพัฒนาแล้วจากไป ทำให้เกิดเสียงรบกวนที่นักพัฒนาจะเพิกเฉยได้ และด้วยการเขียนโค้ดที่มีจิตสำนึกที่เป็นที่นิยมในขณะนี้ วิธีการนี้ไม่ได้ผลแล้ว ที่ Endor เราให้การวิเคราะห์ที่มีบริบทและข้อมูลเชิงลึกที่สามารถดำเนินการได้ เพื่อให้ทีมความปลอดภัยและวิศวกรสามารถเชื่อใจซึ่งกันและกันอีกครั้ง

นักพัฒนาบ่อยครั้งเผชิญกับความตึงเครียดระหว่างการเคลื่อนไหวอย่างรวดเร็วและการรักษาความปลอดภัย Endor Labs ช่วยให้พวกเขาสามารถปรองดองความท้าทายนี้ได้อย่างไร?

ความเร็วเทียบกับความปลอดภัยเป็นปัญหาที่เก่าแก่ที่สุดในการพัฒนาซอฟต์แวร์ การเขียนโค้ดที่มีจิตสำนึกได้เพิ่มการซื้อขายนี้ให้มากขึ้น 45% ของนักพัฒนากำลังใช้ AI ที่ช่วยเหลือทุกวัน ซึ่งเร่งความเร็ว แต่ก็แนะนำโค้ดที่ไม่ปลอดภัยด้วย

ที่ Endor Labs เราแทรกความปลอดภัยเข้าไปในกระบวนการทำงานที่นักพัฒนากำลังใช้อยู่ เช่น IDE, การขอ pull request, การส่ง Git เราเชื่อว่าความปลอดภัยเป็นเพียงอีกประเภทหนึ่งของบั๊ก Treat มันเหมือนบั๊กซอฟต์แวร์อื่นๆ และมันจะกลายเป็นส่วนหนึ่งของกระบวนการพัฒนาซอฟต์แวร์ตามธรรมชาติแทนการคิดถึงในภายหลัง ด้วยการลดเสียงรบกวนและให้คำแนะนำที่ชัดเจน เราอนุญาตให้นักพัฒนาย้ายอย่างรวดเร็วในขณะเดียวกันก็รับรองว่าซอฟต์แวร์ที่พวกเขาส่งมอบนั้นปลอดภัย

การแจ้งเตือนเท็จเป็นหนึ่งในจุดอ่อนที่ใหญ่ที่สุดในด้านความปลอดภัย คุณเข้าใกล้ปัญหานี้แตกต่างออกไปอย่างไร?

การแจ้งเตือนเท็จมีขนาดใหญ่ ฉันเคยเห็นวิศวกรเพิกเฉยต่อการแจ้งเตือนที่สำคัญเพราะพวกมันไร้ความหมาย ซึ่งเป็นอันตรายในโลกที่การโจมตีแบบ third-party กำลังเติบโตในอัตราสองหลักและผู้โจมตีกำลังใช้ประตูหลังในกระบวนการทำงานของนักพัฒนา

วิธีการของเราคือจัดลำดับความสำคัญของบริบท แทนที่จะจับคู่ CVE ทุกตัวกับการอาศัยพื้นฐาน เราวิเคราะห์เส้นทางโค้ด, โลจิกทางธุรกิจ และแม้แต่การเปลี่ยนแปลงการออกแบบที่สร้างโดย AI เรายังพัฒนา Endor Labs Model Context Protocol (MCP) Server ซึ่งช่วยให้เอเย่นต์ AI โทรหาทools บэкเอนด์สำหรับการแก้ไขที่แม่นยำ แทนที่จะคิดค้นขึ้นมาใหม่ เครื่องมืออื่นๆ ไม่สามารถให้ความแม่นยำในระดับนี้ได้เพราะพวกมันขาดบริบทของแอปพลิเคชัน พวกมันไม่เข้าใจว่าโค้ดของคุณทำอะไร, วิธีการทำงานของบริการของคุณ หรือว่าการแก้ไขที่ปลอดภัยดูเหมือนอย่างไร ผลลัพธ์คือการแจ้งเตือนน้อยลงและคำแนะนำที่มีประโยชน์ที่นักพัฒนาสามารถดำเนินการได้จริง

ห่วงโซ่อุปทานซอฟต์แวร์ถูกมองว่าเป็นหนึ่งในความเสี่ยงที่เร่งด่วนที่สุดสำหรับองค์กรในขณะนี้ ทำไมปัญหานี้จึงมีความสำคัญมากในขณะนี้?

โอเพ่นซอร์สครอบงำซอฟต์แวร์องค์กร และการพัฒนาซอฟต์แวร์ได้เปลี่ยนไปสู่การประกอบซอฟต์แวร์ ประมาณ 90% ของส่วนประกอบในแอปพลิเคชันสมัยใหม่เป็นภายนอก และเครื่องมือเขียนโค้ด AI กำลังแนะนำการอาศัยพื้นฐานเพิ่มเติมอัตโนมัติ ซึ่งหมายความว่าจุดอ่อนเพียงจุดเดียวสามารถกระจายไปทั่วแอปพลิเคชันหลายล้านรายการ

ความเสี่ยงมีขนาดใหญ่: ผู้กำกับดูแลกำลังจัดโครงสร้างโอเพ่นซอร์สให้เป็นปัญหาด้านความปลอดภัยแห่งชาติ และการโจมตีเช่น การโจมตี Shai-Hulud npm แสดงให้เห็นว่าผู้โจมตีกำลังเล็งเห็นจุดอ่อนเหล่านี้อย่างแข็งขัน โดยไม่มีการป้องกันที่เหมาะสม องค์กรจะถูกเปิดเผยในระดับใหญ่

AI กำลังเปลี่ยนแปลงวิธีการสร้างซอฟต์แวร์ ความเสี่ยงใหม่ใดที่เกิดขึ้นสำหรับความปลอดภัยของแอปพลิเคชัน?

เครื่องมือช่วยเหลือ AI เหมือนกับการจ้างผู้ฝึกงานหลายพันคนพร้อมๆ กัน — พวกมันสามารถเพิ่มผลผลิต แต่ก็แนะนำความวุ่นวายเมื่อปล่อยให้ไม่มีการจัดการ การศึกษาบางอย่างแสดงให้เห็นว่า 62% ของโค้ดที่สร้างโดย AI มีปัญหาเรื่องความปลอดภัย, คุณภาพ หรือโครงสร้าง

ความท้าทายใหม่คือการปรับขนาดการตรวจสอบโค้ดที่ปลอดภัย การพึ่งพาวิศวกรอาวุโสที่มีภาระงานหนักในการตรวจสอบการขอ pull request ทุกๆ ครั้งไม่ได้ผล คุณต้องการระบบอัตโนมัติที่สามารถตรวจสอบ, จัดลำดับความสำคัญ และชี้แนะนักพัฒนาที่ความเร็วเดียวกับที่ AI กำลังสร้างโค้ด

บางคนแย้งว่า AI นำความเสี่ยงมาให้มากกว่าที่จะป้องกัน คุณเห็น AI เป็นความเสี่ยงสุทธิหรือผลประโยชน์สุทธิในขณะนี้?

มันอาจเป็นทั้งสองอย่าง AI นั้นยอดเยี่ยมสำหรับการสร้างต้นแบบและการทดลอง แต่นักพัฒนาที่ไม่มีประสบการณ์ที่พึ่งพา AI อาจทำให้เกิดสถานการณ์ “ตาบอดนำตาบอด” วิธีการพลิกสมการนี้คือการคู่ AI กับเครื่องมือรักษาความปลอดภัย ด้วยระบบการตรวจสอบและการแก้ไข MCP ที่เหมาะสม AI สามารถเปลี่ยนจากความเสี่ยงสุทธิเป็นผลประโยชน์สุทธิได้

เมื่อโค้ดที่สร้างโดย AI กำลังเป็นที่นิยมมากขึ้น องค์กรควรใช้มาตรการป้องกันใดเพื่อให้แน่ใจว่ามีการวางใจในโค้ดที่พวกเขานำไปใช้?

รักษาโค้ดที่สร้างโดย AI เหมือนกับการอาศัยพื้นฐานภายนอก ซึ่งหมายความว่าการตรวจสอบอย่างต่อเนื่อง, การยืนยันแบบอัตโนมัติ และการป้องกันในแต่ละขั้นตอนของกระบวนการ คุณยังต้องแน่ใจว่าเครื่องมือการตรวจสอบ AI ของคุณได้รับการฝึกอบรมจากโค้ดที่มีคุณภาพสูงและปลอดภัย — ไม่ใช่แค่เพียง repository ของ GitHub

และไปไกลกว่านั้น เมื่อการอาศัยพื้นฐานที่มีความเสี่ยงถูกจัดให้เครื่องมือของคุณควรแนะนำเส้นทางการอัปเกรดที่หลีกเลี่ยงการหยุดชะงักแอปพลิเคชันของคุณ นั่นคือความแตกต่างระหว่างความสับสนวุ่นวายและการควบคุม ฉันชอบที่จะคิดว่ามันเป็นเหมือนเลนพิเศษในเล่นโบว์ลิ่ง: ลูกบอลยังคงเคลื่อนที่อย่างรวดเร็ว แต่ยังคงอยู่ในเส้นทาง

ความโปร่งใส่เป็นศูนย์กลางของสไตล์การเป็นผู้นำของคุณ การแบ่งปันทั้งความสำเร็จและความล้มเหลวส่งผลต่อวัฒนธรรมและประสิทธิภาพอย่างไร?

เรามุ่งมั่นที่จะโปร่งใสอย่างรุนแรงที่ Endor Labs ซึ่งหมายความว่าการแบ่งปันทั้งดีและไม่ดี — และไม่ใช่แค่ประสิทธิภาพของบริษัทเท่านั้น แต่ยังรวมถึงสิ่งต่างๆ เช่น แผนการหุ้น และความเสี่ยงเชิงกลยุทธ์ ด้วย พนักงานเป็นผู้ใหญ่ ทีมของเราสามารถจัดการกับความเป็นจริงได้ การเปิดกว้างสร้างความไว้วางใจ, การมีส่วนร่วม และความเป็นเจ้าของ และช่วยให้ผู้คนตัดสินใจได้ดีขึ้น

คุณมักจะเสริมพลังให้กับผู้นำที่เพิ่มขึ้นในอาชีพการงานของพวกเขา คุณให้คำแนะนำอะไรแก่ผู้จัดการระดับแรกที่รับหน้าที่สำคัญ?

ฉันชอบที่จะให้สมาชิกในทีมที่มีแนวโน้มได้รับบทบาทที่สำคัญในตอนต้นและเชื่อใจให้พวกเขาเติบโตในตำแหน่งด้วยการเป็นพี่เลี้ยงและสนับสนุน พวกเขาจะเรียนรู้อย่างรวดเร็ว คำแนะนำของฉัน: ยอมรับความรับผิดชอบ, เรียนรู้จากความล้มเหลว และสร้างความน่าเชื่อถือผ่านการดำเนินการ คนมักจะทำให้คุณประหลาดใจกับสิ่งที่พวกเขาสามารถบรรลุได้เมื่อคุณให้พื้นที่

เมื่อมองไปข้างหน้า 5 ปี คุณเห็นโอกาสและความท้าทายที่ใหญ่ที่สุดในการรักษาความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์?

ด้วยเครื่องมือช่วยเหลือ AI และผู้พัฒนาที่ไม่ใช่ผู้เชี่ยวชาญที่กำลังเปลี่ยนแปลงกระบวนการทำงาน เราจะต้องการระบบที่ทำงานเหมือน “ผู้เขียนโค้ดคู่” ที่ตรวจสอบการขอ pull request ทุกๆ ครั้งในเวลาจริง, การปรับขนาดการตรวจสอบโค้ดที่ปลอดภัย และให้ข้อมูลเชิงลึกที่นักพัฒนาสามารถเชื่อใจได้ นั่นคือเหตุผลที่ที่ Endor Labs เราได้สร้าง MCP Server และสถาปัตยกรรมหลายตัวแทน ซึ่งกำลังช่วยให้ลูกค้าของเรารักษาความปลอดภัยในการพัฒนาที่เป็นมิตรกับ AI

ความท้าทายคือว่าห่วงโซ่อุปทานเองกำลังซับซ้อนมากขึ้น ในปัจจุบัน โค้ดส่วนใหญ่เป็นส่วนประกอบภายนอก และเครื่องมือ AI ใหม่ๆ แต่ละตัวแนะนำชั้นการอาศัยพื้นฐานเพิ่มเติม บริษัทที่ไม่คิดใหม่เกี่ยวกับโมเดลของตนจะพบว่าตัวเองถูกเปิดเผย

เรากำลังเห็นความเร่งด่วนนี้เกิดขึ้นในเวลาจริง — Endor Labs ปกป้องแอปพลิเคชันมากกว่า 7 ล้านรายการ, สแกนการขอ pull request 1.6 ล้านรายการต่อเดือน และลดเสียงรบกวนมากกว่า 90% สำหรับทีมวิศวกร 5 ปีต่อจากนี้ องค์กรที่จะออกมาเป็นผู้ชนะคือผู้ที่รักษาความปลอดภัยในการเขียนโค้ดให้เป็นส่วนสำคัญของความสามารถในการผลิตของนักพัฒนา

ขอขอบคุณสำหรับสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม Endor Labs เพื่อเรียนรู้เพิ่มเติม