Willem Delbare, Aikido’nun Kurucu Ortağı ve CEO’su – Röportaj Serisi

Willem Delbare, Aikido’nun Kurucu Ortağı ve CEO’su, bir dizi SaaS girişimcisidir ve geliştirici odaklı yazılım şirketleri kurma konusunda güçlü bir geçmişe sahiptir. Aikido’yu 2022’de kurmadan önce, HR platformu Officient, sürdürülebilirlik girişimi FutureproofedCities ve CRM şirketi Teamleader’i kurdu ve burada CTO olarak görev yaptı ve şirketi Belçika’nın önemli SaaS başarı hikayelerinden birine dönüştürmeye yardımcı oldu. Kariyeri boyunca Delbare, bulut altyapısı, SaaS ölçeklenebilirliği ve siber güvenlik gibi karmaşık teknik zorlukları basitleştirmeye odaklandı. Liderliği altında Aikido, modern geliştirme ekipleri için pratik güvenlik çözümlerine odaklanarak Avrupa’nın en hızlı büyüyen siber güvenlik şirketlerinden biri haline geldi.

Aikido bir Belçika merkezli siber güvenlik şirketidir ve geliştiricilere ve mühendislik ekiplerine tek birleşik bir platform aracılığıyla uygulamaları ve bulut ortamlarını güvence altına almalarına yardımcı olur. Şirket, kod taraması, bağımlılık analizi, bulut güvenlik duruşu yönetimi, çalışma zamanı koruması ve AI destekli test gibi çoklu güvenlik işlevlerini birleştirir. Bu yaklaşım, karmaşıklığı azaltmak, yanlış pozitifleri en aza indirmek ve organizasyonların birden fazla satıcı arasında parçalı güvenlik yığınlarını yönetme ihtiyacını ortadan kaldırmak üzere tasarlanmıştır. Geliştirici öncelikli bir felsefe ile inşa edilen Aikido, güvenlik direkt olarak yazılım geliştirme yaşam döngüsüne entegre edilmesine yardımcı olmak için otomasyon, sürekli izleme ve basitleştirilmiş düzeltme iş akışlarına vurgu yapar.

Geliştirici dostu bir yaklaşıma sahip bir siber güvenlik şirketi kurma vizyonunuzu şekillendiren, Teamleader ve Officient gibi şirketleri kurup büyütme deneyimleriniz nelerdir?

Son on yılda B2B SaaS alanında kendimi buldum. Üç startup olarak teknik kurucu ve CTO olarak ve HR teknoloji, fatura teknoloji ve karbon muhasebesi gibi farklı alanlarda üç çıkış yaptık. Tüm bunlar farklı dünyalar ama insanların laptoplarını fırlatmak isteyecekleri yazılımlar inşa etme konusundaki aynı takıntı ile yapıldı.

Ancak bu şirketlerin her birinde güvenlik beni gece uyutmaz etti. Veri ihlali korkusu gerçekti ve yardım etmesi gereken araçlar F-16 kokpitinin içi gibi görünüyordu. Pahalı, ezici ve bilgisayar bilimi doktorasına sahip biri için değil, hızlı bir şekilde sevkiyat yapan bir geliştirme ekibi için inşa edilmişlerdi.

Aikido Güvenlik’i doğrudan bu zorluğu çözmek için kurduk. Aikido, tüm boyutlardaki organizasyonlar için birleşik, geliştirici öncelikli bir yazılım güvenlik platformu sağlar ve kod, bulut ve çalışma zamanı boyunca temel güvenlik özelliklerini bir araya getirir, böylece geliştiricilerin güvenli bir şekilde sevkiyat yapmasını kolaylaştırır.

O zamandan beri, AI yazılım teslimatını daha da hızlandırdı ve saldırı yüzeyini büyüttü. Bir sonraki bölümümüz, organizasyonların kendi kendine güvence altına alınan yazılımları etkinleştirmelerini sağlamaktır.

Şubat ayında, sürekli AI penetrasyon testi çözümümüz Aikido Infinite’i lançedik, bu, üretimde kodun önce doğrulama ve düzeltme döngüsünü kapatır.

Geliştirici ortamları şimdi en büyük güvenlik kör noktalarından biri olarak tanımlanıyor. Son zamanlarda bu konuda ne değişti?

Geliştirici makineleri her zaman değerli hedeflerdi. Bulut kimlik bilgileri, SSH anahtarları, npm yayınlama tokenları, Kubernetes yapılandırmaları ve kaynak kodu doğrudan erişimine sahipler. Ancak son 6-12 ayda değişen şey, saldırganların geliştiricilerin güvenerek kullandığı araçlar yoluyla bunları nasıl kolayca tehlikeye atabileceklerini keşfetmeleridir. Bunu tüm yıl boyunca izledik. Trivy, TanStack, Bitwarden CLI, Nx Console VS Code uzantısı ve şimdi GitHub, hepsi geliştirici araçları yoluyla tehlikeye atıldı, hepsi cihaza hedef oldu.

Sorun, çoğu güvenlik ekibinin bu makinelerde gerçekten neler çalıştığını görme yeteneğine sahip olmamasıdır. EDR, uygulama düzeyinde izler, ancak paketleri, uzantıları veya bu uygulamalar içinde çalışan AI araçlarını görmez. Bu arada, geliştiriciler, çok az denetimle her gün yeni paketler, uzantılar ve AI araçları çekiyorlar. LLM’ler de inandırıcı malware oluşturmayı kolaylaştırdı, bu da saldırganlar için genel olarak barajı düşürdü. Güvenlik ekiplerinin gerçekten görebildiği ile geliştirici makinelerindeki fark, bu saldırıların tümünün nerede yer aldığı yerdir.

AI’nin yaygın olarak benimsenmesi ile birlikte tedarik zinciri saldırılarında bir patlama yaşıyoruz. AI, saldırganlar ve savunucular arasındaki dengeyi nasıl değiştiriyor?

AI, tedarik zinciri malware oluşturmayı önemli ölçüde kolaylaştırdı. İnanılır payload’ler oluşturmak, kodu bulanıklaştırmak ve paket kayıt defterlerini yeterli derecede iyi anlamak ve suistimal etmek için gerçek teknik beceri gerektirirdi. Şimdi yalnızca bir LLM aboneliği gerektirir. Bunu doğrudan TeamPCP ile gördük, onlar bu yılın büyük çoğunluğundaki tedarik zinciri saldırılarının arkasındaydı, GitHub ihlali de dahil. Çok sofistike bir grup değiller ancak AI sayesinde ölçeklenebildiler. Bir yıl önce tek paket ihlalleri ile uğraşıyorduk. Şimdi ise Shai-Hulud gibi self-replicating worms ve zincir kampanyalar görüyoruz, bunlar kayıt defterleri arasında hareket ediyor ve bir ihlalden diğerine kimlik bilgilerini çalıp bir sonraki saldırı için kullanıyor.

Savunma tarafında AI de yardımcı oluyor ancak farklı şekillerde. Güvenlik ekipleri şimdi AI ajanları kullanarak tüm kod tabanları boyunca sürekli penetrasyon testi gerçekleştirebiliyor, bu da yüzlerce saldırı yolunu paralel olarak test ediyor ve insan kararları için zaman kazandırıyor. Cihaz düzeyinde AI, geliştirici makinelerine ulaşmadan önce kötü niyetli paketlerin erken analizini yaparak da yardımcı oluyor. Ancak dürüst olmak gerekirse, saldırganlar şu anda savunuculardan daha fazla AI’den yararlanıyor. Malware oluşturma barajı, tespit barajından daha hızlı düşüyor.

Aikido, güvenliği “upstream”e kaydırmaktan bahsetiyor. Bu, günümüzde yazılım geliştiren ve sevkiyat yapan ekipler için pratik olarak ne anlama geliyor?

Endüstri büyük çoğunluğu, güvenliği CI/CD pipeline’ına sola kaydırmaya yıllarca harcadı. Ancak sorun, saldırı yüzeyinin aslında daha da sola, geliştiricinin makinelerine kaymış olmasıdır. GitHub ihlali buna iyi bir örnek. Bu, güvensiz kodun üretimde olması değildi. Bir geliştiricinin laptop’undaki tehlikeye açık bir VS Code uzantısıydı ve kimlik bilgilerini kod yazılmadan önce çalıyor ve dışarı çıkarıyordu.

Pratik olarak, upstream’e kaydırmak, güvenliğin geliştirme sürecinin bir parçası olarak çalışması anlamına gelir. Kod yazıldığı anda, araçlar kurulduğu anda güvenlik testleri ve doğrulamaları yapılmalıdır. Kod değişikliklerine göre gerçek saldırı yolları için testler yapılmalı, bulguların gerçekten sömürülebilmesi doğrulanmalı ve otomatik olarak düzeltmeler üretilip yeniden test edilmelidir. Tüm bunlar bir insan tarafından planlanmasını beklemeden sürekli olarak gerçekleşmelidir. Hedef, algılama, doğrulama ve düzeltme arasında kapalı bir döngü oluşturmaktır, bu da geliştirme iş akışının bir parçası olarak gerçekleşir, sonradan ayrı bir işlem olarak değil.

AI ajanları otomatik olarak bağımlılıkları ve araçları indiriyor. Açık kaynak ve üçüncü taraf koduna güveni yeniden düşünmek için şirketlerin neler yapması gerekiyor?

AI ajanlarının varsayılan davranışı, insan denetimi olmadan otomatik olarak bağımlılıkları ve araçları çekmektir. Bu, temel olarak güvenlik modelini değiştirir, çünkü geliştirici makinelerinde çalışmakta olan ve kimse tarafından açıkça kurulmamış kodlar vardır.

Vercel ihlali bunun yanlış gittiği bir örnektir. Vercel doğrudan hacklenmedi. Bir AI uzantısı, bir çalışanın Google (GOOGL ) hesabına OAuth erişimi vardı ve bu uzantı, satıcı tarafında bir bilgi hırsızlığı aracılığıyla yukarı akışta tehlikeye atıldı. Bu, açık kaynakta gördüğümüz aynı modeldir, burada güvenilir üçüncü taraf kodu girişin başlangıç noktası haline gelir. Risk birleştirilir, çünkü bir geliştirici iş istasyonunun tehlikeye atılması, bir saldırganın aynı düzeyde erişimi sağlar. Kodu değiştirebilir, kötü niyetli bağımlılıklar ekleyebilir veya meşru yazılımların değiştirilmiş sürümlerini yayınlayabilir ve bu değişiklikler, güvenilen güncellemeler yoluyla aşağı akışta yayılır.

Şirketlerin, geliştirici makinelerinde çalışan her şeyi kendi saldırı yüzeylerinin bir parçası olarak değerlendirmeye başlamaları gerekiyor. Bu, AI ajanlarını, kurdukları araçları, bağımlı oldukları uzantıları ve her şeyi içerir. Sadece bilinen açık kaynak paketlerine görünürlük sahip olmanız, bu saldırıların gerçekten meydana geldiği katmanları kaçırmanız anlamına gelir.

Kendini güvence altına alan yazılım kavramı çekici. Bu vizyonun çalışması için gereken temel yetenekler nelerdir?

Kendini güvence altına alan yazılımı çalıştırmak için kapalı bir döngüye ihtiyacınız vardır. Sistem, kod değişikliklerinde gerçek saldırı yollarını test edebilmeli, gerçekten sömürülebilip sömürülemediğini doğrulamalı, geliştirme iş akışı içinde düzeltmeler üretebilmeli ve sonra yeniden test ederek düzeltmenin işe yaradığını doğrulamalıdır. Tüm bu döngü, bir insan tarafından planlanmasını beklemeden sürekli olarak çalışmalıdır. Önemli olan, bunun güvenlikten insanları çıkarmak değil, sürekli işlemleri ele almak ve güvenlik ekiplerinin gerçekten yargıya ihtiyacı olan kararlara odaklanmasını sağlamaktır.

Geliştiriciler genellikle güvenlik araçlarından çok fazla uyarı ve yanlış pozitif ile mücadele ediyor. Aikido, ekiplerin gerçekten önemli olan şeylere odaklanmasına nasıl yardımcı oluyor?

Güvenlik liderlerinin üçte ikisi, Güvenlik ve Geliştirme’de AI durumumuz anketinde, ekiplerinin güvenlik süreçlerini atladığından, bulguları reddettiğinden veya düzeltmeleri ertelediğinden bahsetti. Bu, gürültülü araçların gerçek maliyetidir. Sadece zamanı boşa harcamaz, aynı zamanda güvenliği aktif olarak zayıflatır, çünkü insanlar uyarılara karşı duyarsızlaşır.

Aikido’da bunu, ulaşılabilirlik analizi ve otomatik triyaj ile ele alıyoruz. Her bir güvenlik açığını bayraklamadan ve güvenlik ekibinin neyin önemli olduğunu belirlemesine bırakmadan, bir güvenlik açığının gerçekten kodunuzda ulaşılabilir ve ortamınızda sömürülebilip sömürülemediğini analiz ediyoruz. Ulaşılamıyorsa, ekibiniz asla görmez. Bu, uyarıların hacmini önemli ölçüde azaltır ve bir şey geldiğinde, gerçekten üzerine действ edilmesi gereken bir şeydir.

Platformunuz, kod, bulut, çalışma zamanı güvenliği ve otomatik penetrasyon testini birleştiriyor. Birleşik bir yaklaşım, birden fazla bağımsız aracı kullanmaktan neden daha etkili?

Güvenlik ve Geliştirme’de AI durumumuz araştırması, güvenlik ihlalleri yaşayan güvenlik ekiplerinin, ihlal yaşamayanlardan daha fazla satıcı aracı çalıştırdığını gösterdi. Daha fazla araç, daha iyi güvenlik anlamına gelmiyordu. Gürültü, yinelenen bulgular ve gerçekten şeyleri düzeltmek yerine, uyarıları paneller arasında ilişkilendirmek için harcanan zaman anlamına geliyordu.

Bu nedenle Aikido’yu, kod, bulut, çalışma zamanı, bağımlılıklar ve boru hatları boyunca tek bir platform olarak inşa ettik. Tüm bu sinyaller bir yerde olduğunda, bulguları kopyalayabilir, kodunuzdaki bir güvenlik açığının gerçekten bulut ortamınızda ulaşılabilir olup olmadığını anlayabilir ve gerçek risk temelinde önceliklendirebilirsiniz. Ekipler, araçlar arasında uyarıları ilişkilendirmek için daha az zaman harcar ve gerçekten önemli olan şeyleri düzeltmek için daha fazla zaman harcar. Ve her bir yetenek, kendi başına diğerlerinden daha iyi veya eşit olmalıdır. Ortalama bir platform, tüm sorunları birleştirir.

Aikido hızlı bir şekilde büyüdü ve kısa sürede önemli bir ivme kazandı. Bir siber güvenlik şirketini bu hızda inşa etmek ve büyütmek için karşılaştığınız en büyük zorluklar nelerdi?

Açık olan şey, bir siber güvenlik şirketi olarak Belçika’dan olmak. Endüstri geleneksel olarak Tel Aviv ve Silikon Vadisi’nden inşa edildi ve başlangıçta, dünya standartlarında bir güvenlik platformunun başka bir yerden gelebileceğine dair şüphe vardı. Ancak bu uzaklık, sonunda bir avantaj oldu. Aynı oyun kitaplarını tekrarlamıyorduk. Geliştirici öncelikli bir yaklaşım ve self-ondan kayıt olan bir ürün ile başladık ve bu, SMB’ler için baskın geliştirici güvenlik platformu olmamızı sağladı.

Daha büyük zorluk, sadece hız. Ocak 2026’da Seri B ile unicorn statüsüne ulaştık, gelirimiz geçen yıl beş katına çıktı ve şimdi 100.000’den fazla ekibe güveniyoruz, bunlar arasında Premier League, Revolut ve SoundCloud gibi şirketler var. Bu yıl alone, tedarik zinciri güvenliği için Cihaz Koruması, AI penetrasyon testi için Infinite ve vibe kodlama iş akışlarında gömülü güvenlik için Lovable ile ortaklık gibi ürünleri lançedik. Bu hızda hareket ederken, platformun her部分inde kaliteyi yüksek tutmak sürekli bir zorluk. Ancak bu, iyi bir sorun.

AI yerli geliştirme standart hale geldikçe, önümüzdeki birkaç yıl içinde yazılım güvenliğinin geleceği nedir?

Dürüst cevap, geleneksel güvenlik iş akışlarının zaten takip etmekte zorlandığıdır. Periyodik incelemeler, planlanmış penetrasyon testleri, sonradan tarama, tüm bunlar geliştirme hızının artık gerçekten var olmadığı bir hız varsayar. AI tarafından üretilen kod ve otonom ajanlar, bu süreçlerden daha hızlı değişiklikler getiriyor.

Güvenliğin, yazılım geliştirme sürecinin bir parçası olarak sürekli bir geri bildirim döngüsü haline gelmesi gerektiğini düşünüyoruz. Buna self-güvence altına alan yazılım diyoruz. Her kod değişikliği için gerçek saldırı yolları test edilir, bulguların gerçekten sömürülebilmesi doğrulanır, düzeltmeler üretilir ve yeniden test edilir, tüm bunlar bir insan tarafından planlanmasını beklemeden. Bugün zaten bu yönde adımlar var ve kod, bulut, çalışma zamanı ve tedarik zinciri boyunca buna doğru ilerliyoruz.

Bu döngünün bir sonraki adımı, self-sürdürülebilir yazılımdır, burada güvenlik sadece sorunları yakalamak ve düzeltmekle kalmaz, aynı zamanda kod tabanının sağlığını zaman içinde aktif olarak korur. Bu biraz daha ileride, ancak temeller şimdi atılıyor. Kesin olan tek şey, AI sayesinde sofistike saldırıları gerçekleştirmek için gereken barajın zaten çöktüğü ve savunma tarafının aynı hızda hareket etmesi gerektiğidir.

Harika röportaj için teşekkür ederiz, daha fazla bilgi öğrenmek isteyen okuyucular Aikido‘yu ziyaret edebilir.