วิลเล็ม เดลบาร์ ผู้ร่วมก่อตั้งและซีอีโอของ Aikido – ชุดบทสัมภาษณ์

วิลเล็ม เดลบาร์ ผู้ร่วมก่อตั้งและซีอีโอของ Aikido เป็นผู้ประกอบการที่สร้างธุรกิจ SaaS มาแล้วหลายแห่งและเป็นผู้ก่อตั้งสายเทคนิคที่มีประสบการณ์สูงในการสร้างบริษัทซอฟต์แวร์ที่เน้นนักพัฒนา ก่อนเริ่ม Aikido ในปี 2022 เขาร่วมก่อตั้งแพลตฟอร์มทรัพยากรบุคคล Officient โครงการด้านความยั่งยืน FutureproofedCities และบริษัท CRM ชื่อ Teamleader โดยทำหน้าที่ CTO ที่ Teamleader และช่วยขยายบริษัทจนเป็นหนึ่งในเรื่องราวความสำเร็จด้าน SaaS ที่โดดเด่นของเบลเยียม ตลอดอาชีพ เขามุ่งทำให้ความท้าทายทางเทคนิคที่ซับซ้อนด้านโครงสร้างพื้นฐานคลาวด์ การรองรับการขยายตัวของ SaaS และความมั่นคงปลอดภัยไซเบอร์เรียบง่ายขึ้น ภายใต้การนำของเขา Aikido เติบโตเป็นหนึ่งในสตาร์ทอัพด้านความมั่นคงปลอดภัยไซเบอร์ที่เติบโตเร็วที่สุดในยุโรป ด้วยโซลูชันที่ใช้งานได้จริงสำหรับทีมพัฒนายุคใหม่

Aikido เป็นบริษัทด้านความมั่นคงปลอดภัยไซเบอร์ในเบลเยียมที่ช่วยนักพัฒนาและทีมวิศวกรปกป้องแอปพลิเคชันและสภาพแวดล้อมคลาวด์ผ่านแพลตฟอร์มเดียว บริษัทผสานการสแกนโค้ด การวิเคราะห์องค์ประกอบที่ซอฟต์แวร์พึ่งพา การจัดการสถานะความปลอดภัยคลาวด์ การป้องกันขณะรัน และการทดสอบที่ใช้ AI ช่วยไว้ในระบบที่คล่องตัว เป้าหมายคือลดความซับซ้อนและผลบวกลวง ตลอดจนขจัดความจำเป็นในการจัดการเครื่องมือความปลอดภัยที่กระจัดกระจายจากหลายผู้ให้บริการ Aikido ให้ความสำคัญกับนักพัฒนา โดยเน้นระบบอัตโนมัติ การติดตามอย่างต่อเนื่อง และขั้นตอนแก้ไขที่เรียบง่าย เพื่อผสานความปลอดภัยเข้าในวงจรพัฒนาซอฟต์แวร์โดยตรง

ประสบการณ์ใดจากการสร้างและขยาย Teamleader, Officient และบริษัทลักษณะเดียวกันนำคุณมาสู่การก่อตั้ง Aikido Security ในปี 2022 และพื้นฐานของผู้ก่อตั้งสายเทคนิคหล่อหลอมวิสัยทัศน์เรื่องความมั่นคงปลอดภัยไซเบอร์ที่เป็นมิตรกับนักพัฒนาอย่างไร?

ในช่วงสิบปีที่ผ่านมา ผมพบเส้นทางของตัวเองใน B2B SaaS ผมเป็นผู้ร่วมก่อตั้งสายเทคนิคและ CTO ของสตาร์ทอัพสามแห่ง และผ่านการขายกิจการหรือออกจากการลงทุนสามครั้ง ในธุรกิจเทคโนโลยีทรัพยากรบุคคล เทคโนโลยีออกใบแจ้งหนี้ และบัญชีคาร์บอน เป็นโลกที่ต่างกันมาก แต่มีความมุ่งมั่นเดียวกัน คือสร้างซอฟต์แวร์ที่ไม่ทำให้ผู้ใช้อยากโยนแล็ปท็อปออกนอกหน้าต่าง

แต่ในทุกบริษัท ความปลอดภัยทำให้ผมนอนไม่หลับ ความกลัวข้อมูลรั่วไหลเป็นเรื่องจริง ส่วนเครื่องมือที่ควรช่วยกลับเหมือนห้องนักบิน F-16 ทั้งแพง ชวนสับสน และออกแบบมาสำหรับคนจบปริญญาเอกวิทยาการคอมพิวเตอร์ ไม่ใช่ทีมพัฒนาที่อยากเผยแพร่ซอฟต์แวร์ได้รวดเร็ว

เราก่อตั้ง Aikido Security เพื่อแก้ปัญหานี้โดยตรง เรามอบแพลตฟอร์มความปลอดภัยซอฟต์แวร์แบบรวมศูนย์ที่ให้ความสำคัญกับนักพัฒนาแก่องค์กรทุกขนาด โดยรวมความสามารถสำคัญสำหรับโค้ด คลาวด์ และสภาพแวดล้อมขณะรันไว้ด้วยกัน ช่วยให้นักพัฒนาเผยแพร่ซอฟต์แวร์ได้อย่างปลอดภัยง่ายขึ้น

หลังจากนั้น AI ทำให้การส่งมอบซอฟต์แวร์เร็วขึ้นอีกและขยายพื้นที่เสี่ยงต่อการโจมตี ขั้นต่อไปของเราคือช่วยให้องค์กรตามทันด้วยซอฟต์แวร์ที่ดูแลความปลอดภัยของตัวเองได้

เดือนกุมภาพันธ์ เราเปิดตัว Aikido Infinite โซลูชันทดสอบเจาะระบบอย่างต่อเนื่องด้วย AI ซึ่งตรวจสอบว่าช่องโหว่ถูกใช้โจมตีได้จริงหรือไม่ และทำให้วงจรแก้ไขสมบูรณ์ก่อนโค้ดเข้าสู่ระบบใช้งานจริง

ขณะนี้สภาพแวดล้อมของนักพัฒนาถูกมองว่าเป็นหนึ่งในจุดบอดด้านความปลอดภัยที่ใหญ่ที่สุด ช่วงหลังมีอะไรเปลี่ยนไปจนเรื่องนี้สำคัญอย่างยิ่ง?

คอมพิวเตอร์นักพัฒนาเป็นเป้าหมายที่มีค่ามาเสมอ เพราะมีข้อมูลรับรองคลาวด์ คีย์ SSH โทเค็นเผยแพร่ npm การตั้งค่า Kubernetes และสิทธิ์เข้าถึงซอร์สโค้ดโดยตรง สิ่งที่เปลี่ยนในช่วง 6–12 เดือนคือผู้โจมตีพบว่าบุกรุกเครื่องเหล่านี้ผ่านเครื่องมือที่นักพัฒนาเชื่อถืออยู่แล้วได้ง่ายเพียงใด เราติดตามมาตลอดปี ทั้ง Trivy, TanStack, Bitwarden CLI, ส่วนขยาย Nx Console ของ VS Code และล่าสุด GitHub ล้วนถูกบุกรุกผ่านเครื่องมือพัฒนา และเป้าหมายคืออุปกรณ์ในทุกกรณี

ปัญหาคือทีมความปลอดภัยส่วนใหญ่มองไม่เห็นสิ่งที่ทำงานจริงบนเครื่อง EDR เฝ้าดูระดับแอปพลิเคชัน แต่ไม่เห็นแพ็กเกจ ส่วนขยาย หรือเครื่องมือ AI ภายในแอป ขณะที่นักพัฒนาดึงแพ็กเกจ ส่วนขยาย และเครื่องมือ AI ใหม่เข้ามาทุกวันโดยตรวจสอบน้อยมาก โมเดลภาษาขนาดใหญ่ยังทำให้สร้างมัลแวร์ที่ดูน่าเชื่อถือได้ง่ายขึ้น ลดอุปสรรคสำหรับผู้โจมตีโดยรวม ช่องว่างระหว่างสิ่งที่อยู่บนเครื่องกับสิ่งที่ทีมความปลอดภัยมองเห็นจริงคือพื้นที่ที่การโจมตีเหล่านี้เกิดขึ้น

การโจมตีห่วงโซ่อุปทานเพิ่มขึ้นพร้อมกับการใช้ AI อย่างแพร่หลาย AI เปลี่ยนสมดุลระหว่างผู้โจมตีกับฝ่ายป้องกันอย่างไร?

AI ทำให้สร้างมัลแวร์สำหรับโจมตีห่วงโซ่อุปทานได้ง่ายขึ้นมาก เดิมการสร้างเพย์โหลดที่แนบเนียน การทำให้โค้ดอ่านยาก และการเข้าใจระบบทะเบียนแพ็กเกจดีพอจะใช้ในทางมิชอบต้องใช้ทักษะเทคนิคจริง ตอนนี้แค่สมัคร LLM ก็พอ เราเห็นโดยตรงจาก TeamPCP ซึ่งอยู่เบื้องหลังการโจมตีใหญ่ส่วนมากในปีนี้ รวมถึงการบุกรุก GitHub ล่าสุด กลุ่มนี้ไม่ได้มีเทคนิคล้ำเป็นพิเศษ แต่โจมตีจำนวนมาก และ AI มีส่วนสำคัญต่อการเพิ่มขนาดปฏิบัติการ ปีก่อนเรายังรับมือแพ็กเกจถูกบุกรุกเป็นรายตัว ตอนนี้เห็นเวิร์มที่คัดลอกตัวเอง เช่น Shai-Hulud และแคมเปญต่อเนื่องข้ามทะเบียนแพ็กเกจ โดยข้อมูลรับรองที่ขโมยจากการบุกรุกครั้งหนึ่งนำไปใช้บุกรุกครั้งถัดไป

AI ช่วยฝ่ายป้องกันเช่นกันแต่คนละรูปแบบ ทีมความปลอดภัยใช้เอเจนต์ AI ทดสอบเจาะระบบทั้งฐานโค้ดอย่างต่อเนื่อง โดยลองเส้นทางโจมตีหลายร้อยทางพร้อมกัน ทำให้มีเวลาสำหรับการตัดสินใจที่ยังต้องใช้วิจารณญาณมนุษย์ ระดับอุปกรณ์ AI ยังวิเคราะห์สิ่งที่จะติดตั้งก่อนถึงเครื่องนักพัฒนาเพื่อจับแพ็กเกจอันตรายได้เร็วขึ้น แต่ความจริงคือปัจจุบันผู้โจมตีได้ประโยชน์มากกว่าฝ่ายป้องกัน อุปสรรคในการสร้างมัลแวร์ลดลงเร็วกว่าการตรวจจับมัน

Aikido พูดถึงการย้ายความปลอดภัยไปยังขั้นตอนก่อนหน้า ในทางปฏิบัติหมายถึงอะไรสำหรับทีมที่พัฒนาและเผยแพร่ซอฟต์แวร์วันนี้?

วงการส่วนใหญ่ใช้เวลาหลายปีย้ายความปลอดภัยไปทางซ้าย หรือขั้นตอนก่อนหน้าในสายงาน CI/CD แต่พื้นที่โจมตีเลื่อนมาก่อนหน้านั้นอีกถึงตัวคอมพิวเตอร์นักพัฒนา การบุกรุก GitHub เป็นตัวอย่างที่ดี ปัญหาไม่ใช่โค้ดไม่ปลอดภัยในระบบใช้งานจริง แต่เป็นส่วนขยาย VS Code บนแล็ปท็อปของนักพัฒนาหนึ่งคนที่ถูกบุกรุกและลักลอบส่งข้อมูลรับรองออกไป ก่อนใครจะเขียนโค้ดสักบรรทัด

ในทางปฏิบัติ ความปลอดภัยต้องทำงานต่อเนื่องตรงที่เขียนโค้ดและติดตั้งเครื่องมือ ต้องตรวจสอบสิ่งที่รันบนอุปกรณ์ จับแพ็กเกจและส่วนขยายอันตรายก่อนเข้าถึงเครื่อง และทดสอบความเสี่ยงที่ใช้โจมตีได้โดยอัตโนมัติเมื่อโค้ดเปลี่ยน แทนการรอรอบตรวจสอบตามกำหนด เป้าหมายคือวงจรปิดของการตรวจจับ ตรวจยืนยัน และแก้ไขที่เป็นส่วนหนึ่งของกระบวนการพัฒนา ไม่ใช่กระบวนการแยกต่างหากหลังจากนั้น

เมื่อเอเจนต์ AI ดาวน์โหลดองค์ประกอบที่พึ่งพาและเครื่องมืออัตโนมัติ บริษัทควรทบทวนความเชื่อถือโค้ดโอเพ่นซอร์สและโค้ดจากบุคคลที่สามอย่างไร?

เอเจนต์ AI ดึงองค์ประกอบที่พึ่งพาและเครื่องมืออัตโนมัติเป็นค่าเริ่มต้น โดยมีมนุษย์กำกับน้อยมาก สิ่งนี้เปลี่ยนรูปแบบความไว้วางใจอย่างพื้นฐาน เพราะโค้ดที่ไม่มีใครเลือกติดตั้งอย่างชัดเจนกำลังรันบนเครื่องนักพัฒนา

การบุกรุก Vercel แสดงให้เห็นว่าปัญหาเกิดอย่างไร Vercel ไม่ได้ถูกแฮกโดยตรง ส่วนขยาย AI ที่ถูกต้องตามปกติมีสิทธิ์ OAuth เข้าบัญชี Google ของพนักงาน แต่ถูกบุกรุกในขั้นก่อนหน้าผ่านมัลแวร์ขโมยข้อมูลฝั่งผู้ให้บริการ เป็นรูปแบบเดิมในโอเพ่นซอร์สที่โค้ดบุคคลที่สามซึ่งเชื่อถือกลายเป็นทางเข้า ความเสี่ยงทวีคูณเพราะเวิร์กสเตชันที่ถูกบุกรุกให้สิทธิ์ผู้โจมตีเทียบเท่าวิศวกรที่เชื่อถือ เขาแก้โค้ด แทรกองค์ประกอบอันตราย หรือเผยแพร่ซอฟต์แวร์ปกติฉบับดัดแปลงได้ สายงานบิลด์รับการเปลี่ยนแปลงเหล่านี้ ก่อนส่งต่อไปยังขั้นถัดไปผ่านอัปเดตที่เชื่อถือ

บริษัทต้องนับทุกอย่างบนเครื่องนักพัฒนาเป็นส่วนหนึ่งของพื้นที่โจมตี ทั้งเอเจนต์ AI เครื่องมือที่มันติดตั้ง ส่วนขยายที่มันพึ่งพา และอื่น ๆ ทั้งหมด หากเห็นเฉพาะแพ็กเกจโอเพ่นซอร์สที่รู้จัก ก็จะพลาดชั้นที่การโจมตีเกิดขึ้นจริง

แนวคิดซอฟต์แวร์ที่ดูแลความปลอดภัยตัวเองน่าสนใจ ต้องมีความสามารถหลักใดจึงจะทำงานในวงกว้างได้?

ต้องมีวงจรปิด เมื่อโค้ดเปลี่ยน ระบบต้องทดสอบเส้นทางโจมตีจริง ยืนยันว่าปัญหาถูกใช้โจมตีได้จริงหรือคัดผลออกหากทำไม่ได้ สร้างและใช้การแก้ไขในกระบวนการพัฒนา แล้วทดสอบซ้ำเพื่อยืนยันผล วงจรทั้งหมดต้องทำต่อเนื่องโดยไม่รอคนจัดตาราง จุดประสงค์ไม่ใช่นำมนุษย์ออกจากงานความปลอดภัย แต่จัดการงานที่ต้องทำตลอด เพื่อให้ทีมมุ่งตัดสินใจในเรื่องที่ต้องใช้วิจารณญาณจริง

นักพัฒนามักรับมือการแจ้งเตือนและผลบวกลวงจากเครื่องมือความปลอดภัยมากเกินไป Aikido ช่วยให้ทีมเน้นเรื่องสำคัญจริงอย่างไร?

ในแบบสำรวจ State of AI in Security & Development ของเรา ผู้นำความปลอดภัยสองในสามระบุว่าทีมเคยข้ามกระบวนการ มองข้ามผลตรวจ หรือเลื่อนการแก้ไขเพราะผลบวกลวง นั่นคือต้นทุนจริงของเครื่องมือที่สร้างเสียงรบกวน มันไม่เพียงเสียเวลา แต่ยังบั่นทอนความปลอดภัยโดยตรงเพราะผู้คนเลิกเชื่อการแจ้งเตือน

Aikido แก้ด้วยการวิเคราะห์การเข้าถึงและคัดแยกผลอัตโนมัติ แทนที่จะระบุทุกช่องโหว่แล้วให้ทีมตัดสินว่าอะไรสำคัญ เราตรวจว่าช่องโหว่เข้าถึงได้จริงในโค้ดของคุณและใช้โจมตีในสภาพแวดล้อมของคุณได้หรือไม่ หากไม่ได้ ทีมคุณจะไม่เห็นการแจ้งเตือนนั้นเลย ทำให้จำนวนลดลงมาก และสิ่งที่ส่งถึงทีมคุ้มแก่การลงมือแก้

แพลตฟอร์มรวมความปลอดภัยโค้ด คลาวด์ และขณะรัน กับการทดสอบเจาะระบบอัตโนมัติ เหตุใดแนวทางรวมจึงมีประสิทธิภาพกว่าหลายเครื่องมือแยกกัน?

งานวิจัย State of AI in Security & Development พบเรื่องสวนทางกับความคาดหมาย: ทีมที่ประสบเหตุความปลอดภัยใช้เครื่องมือผู้ให้บริการมากกว่าทีมที่ไม่เกิดเหตุ เครื่องมือมากขึ้นไม่ได้หมายถึงความปลอดภัยดีขึ้น แต่หมายถึงเสียงรบกวน ผลซ้ำ และเวลาที่ใช้เชื่อมโยงการแจ้งเตือนระหว่างแดชบอร์ดมากขึ้นแทนการแก้ปัญหา

เราจึงสร้าง Aikido เป็นแพลตฟอร์มเดียวสำหรับโค้ด คลาวด์ สภาพแวดล้อมขณะรัน องค์ประกอบที่พึ่งพา และสายงานพัฒนา เมื่อรวมสัญญาณไว้ด้วยกันจะตัดผลซ้ำ เข้าใจว่าช่องโหว่โค้ดเข้าถึงได้จริงในคลาวด์หรือไม่ และจัดลำดับตามความเสี่ยงจริง แทนการมองผลทุกอย่างจากทุกเครื่องสแกนว่าเร่งด่วนเท่ากัน ทีมใช้เวลาคัดแยกระหว่างเครื่องมือน้อยลงและแก้เรื่องสำคัญมากขึ้น แต่แต่ละความสามารถต้องดีได้ด้วยตัวเอง แพลตฟอร์มที่ปานกลางทุกด้านเพียงรวมปัญหาไว้ที่เดียว ทุกส่วนต้องดีเท่าหรือดีกว่าทางเลือกแบบแยก มิฉะนั้นเหตุผลของการรวมก็ใช้ไม่ได้

Aikido เติบโตเร็วและได้รับแรงตอบรับมากในเวลาไม่นาน ความท้าทายใหญ่ที่สุดในการสร้างและขยายบริษัทความมั่นคงปลอดภัยไซเบอร์ด้วยจังหวะนี้คืออะไร?

เรื่องที่ชัดเจนคือเราเป็นบริษัทจากเบลเยียม อุตสาหกรรมนี้เติบโตตามประเพณีในเทลอาวีฟและซิลิคอนแวลลีย์ จึงมีความสงสัยตอนแรกว่าที่อื่นจะสร้างแพลตฟอร์มระดับโลกได้หรือไม่ แต่ระยะห่างกลายเป็นข้อได้เปรียบ เราไม่ได้ทำตามแนวทางเดิม เริ่มจากนักพัฒนาและผลิตภัณฑ์รวมที่ทีมเริ่มใช้งานเองได้ จึงค่อย ๆ กลายเป็นแพลตฟอร์มความปลอดภัยนักพัฒนาที่ครองตลาดธุรกิจขนาดเล็กและกลางอย่างเงียบ ๆ

ความท้าทายใหญ่กว่าคือความเร็ว เราเป็นยูนิคอร์นจากรอบ Series B ในเดือนมกราคม 2026 รายได้ปีที่แล้วเพิ่มเป็นห้าเท่า และขณะนี้มีทีมกว่า 100,000 ทีมเชื่อถือเรา รวมถึง Premier League, Revolut และ SoundCloud เฉพาะปีนี้เราเปิดตัว Device Protection เพื่อความปลอดภัยห่วงโซ่อุปทาน, Infinite สำหรับทดสอบเจาะระบบด้วย AI และความร่วมมือกับ Lovable เพื่อฝังความปลอดภัยในกระบวนการ vibe coding การรักษาคุณภาพทุกส่วนของแพลตฟอร์มเมื่อเดินหน้าเร็วขนาดนี้เป็นความท้าทายต่อเนื่อง แต่เป็นปัญหาที่ดี

เมื่อการพัฒนาที่มี AI เป็นแกนหลักกลายเป็นมาตรฐาน อนาคตความปลอดภัยซอฟต์แวร์ในอีกไม่กี่ปีจะเป็นอย่างไร?

คำตอบตรง ๆ คือกระบวนการความปลอดภัยแบบเดิมกำลังตามไม่ทันอยู่แล้ว การทบทวนเป็นระยะ การทดสอบเจาะระบบตามตาราง และการสแกนภายหลังล้วนตั้งอยู่บนจังหวะพัฒนาที่แทบไม่มีแล้ว โค้ดที่ AI สร้างกับเอเจนต์อัตโนมัติที่ทำงานได้ด้วยตัวเองนำความเปลี่ยนแปลงมาเร็วกว่าที่กระบวนการเหล่านี้ตรวจยืนยันได้

เราคิดว่าความปลอดภัยต้องเป็นวงจรป้อนกลับต่อเนื่องที่ฝังในกระบวนการพัฒนาซอฟต์แวร์โดยตรง เรียกว่าซอฟต์แวร์ที่ดูแลความปลอดภัยตัวเอง ทุกการเปลี่ยนโค้ดถูกทดสอบกับเส้นทางโจมตีจริง ผลตรวจได้รับการยืนยันเรื่องความเป็นไปได้ที่จะใช้โจมตี และการแก้ไขถูกสร้างและทดสอบซ้ำโดยไม่รอคนจัดตาราง รูปแบบแรก ๆ มีอยู่แล้วในวันนี้ และเรากำลังพัฒนาแนวทางนี้ในโค้ด คลาวด์ สภาพแวดล้อมขณะรัน และห่วงโซ่อุปทาน

ขั้นถัดไปคือซอฟต์แวร์ที่บำรุงรักษาตัวเอง ความปลอดภัยไม่เพียงตรวจพบและแก้ปัญหา แต่ยังดูแลสุขภาพฐานโค้ดอย่างต่อเนื่องตามเวลา เรื่องนี้อยู่ไกลกว่าแต่กำลังวางรากฐานตอนนี้ สิ่งแน่นอนคือ AI ทำให้อุปสรรคในการดำเนินการโจมตีที่ซับซ้อนพังลงแล้ว ฝ่ายป้องกันจึงต้องเดินด้วยความเร็วเท่ากัน

ขอบคุณสำหรับบทสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านที่สนใจข้อมูลเพิ่มเติมสามารถเยี่ยมชม Aikido