Willem Delbare, Aikido’nun Kurucu Ortağı ve CEO’su – Röportaj Serisi

Willem Delbare, Aikido’nun kurucu ortağı ve CEO’su, geliştirici odaklı yazılım şirketleri kurma konusunda güçlü bir geçmişe sahip seri SaaS girişimcisi ve teknik kurucudur. Aikido’yu 2022’de kurmadan önce İK platformu Officient, sürdürülebilirlik girişimi FutureproofedCities ve CRM şirketi Teamleader’ın kurucu ortakları arasında yer aldı. Teamleader’da CTO olarak şirketin Belçika’nın önemli SaaS başarılarından birine dönüşmesine yardımcı oldu. Kariyeri boyunca bulut altyapısı, SaaS ölçeklenebilirliği ve siber güvenlikteki karmaşık teknik sorunları basitleştirmeye odaklandı. Onun liderliğinde Aikido, modern geliştirme ekipleri için pratik güvenlik çözümleriyle Avrupa’nın en hızlı büyüyen siber güvenlik girişimlerinden biri oldu.

Aikido Belçika merkezli bir siber güvenlik şirketidir; geliştiricilerin ve mühendislik ekiplerinin uygulamalarını ve bulut ortamlarını tek bir platformdan korumasına yardımcı olur. Kod taraması, bağımlılık analizi, bulut güvenlik duruşu yönetimi, çalışma zamanı koruması ve yapay zekâ destekli testleri sade bir sistemde birleştirir. Amaç karmaşıklığı ve yanlış pozitifleri azaltmak, farklı sağlayıcılara ait parçalı güvenlik araçlarını yönetme ihtiyacını ortadan kaldırmaktır. Geliştirici öncelikli yaklaşımıyla otomasyonu, sürekli izlemeyi ve basit düzeltme süreçlerini vurgulayarak güvenliğin yazılım geliştirme yaşam döngüsüne doğrudan yerleşmesini sağlar.

Teamleader ve Officient gibi şirketleri kurup büyütürken yaşadığınız hangi deneyimler sizi 2022’de Aikido Security’yi kurmaya yöneltti? Teknik kurucu geçmişiniz, geliştirici dostu bir siber güvenlik yaklaşımına ilişkin vizyonunuzu nasıl şekillendirdi?

Son on yılda B2B SaaS alanında kendime bir amaç buldum. Üç girişimde teknik kurucu ortak ve CTO olarak çalıştım; İK teknolojileri, faturalama teknolojileri ve karbon muhasebesinde üç çıkış yaşadım. Çok farklı dünyalardı ama aynı tutkuyu paylaşıyorlardı: insanlara dizüstü bilgisayarlarını pencereden fırlatma isteği vermeyen yazılımlar geliştirmek.

Ancak bu şirketlerin her birinde güvenlik geceleri uykumu kaçırıyordu. Veri ihlali korkusu gerçekti; yardım etmesi gereken araçlar ise F-16 kokpiti gibiydi: pahalı, bunaltıcı ve yazılımı hızla yayımlamaya çalışan bir geliştirme ekibi için değil, bilgisayar bilimlerinde doktorası olan biri için tasarlanmıştı.

Aikido Security’yi bu sorunu doğrudan çözmek için kurduk. Her büyüklükteki kuruluşa geliştirici öncelikli, birleşik bir yazılım güvenliği platformu sunuyoruz. Kod, bulut ve çalışma zamanına ilişkin temel güvenlik işlevlerini bir araya getirerek geliştiricilerin yazılımları güvenle yayımlamasını kolaylaştırıyoruz.

O zamandan beri yapay zekâ yazılım teslimatını daha da hızlandırdı ve saldırı yüzeyini genişletti. Bir sonraki aşamamız, kendi güvenliğini sağlayan yazılımlar aracılığıyla kuruluşların bu hıza ayak uydurmasına yardımcı olmak.

Şubat ayında Aikido Infinite’i kullanıma sunduk. Sürekli yapay zekâ destekli sızma testi çözümümüz, gerçek istismar edilebilirliği doğruluyor ve kod üretim ortamına ulaşmadan düzeltme döngüsünü tamamlıyor.

Geliştirici ortamları artık en büyük güvenlik kör noktalarından biri olarak tanımlanıyor. Son dönemde ne değişti de bu konu bu kadar kritik hâle geldi?

Geliştirici bilgisayarları her zaman değerli hedeflerdi. Bulut kimlik bilgileri, SSH anahtarları, npm yayımlama belirteçleri, Kubernetes yapılandırmaları ve kaynak koda doğrudan erişim barındırırlar. Son 6–12 ayda değişen şey, saldırganların geliştiricilerin zaten güvendiği araçlarla bu bilgisayarları ne kadar kolay ele geçirebileceklerini fark etmesi. Bunu bütün yıl izledik: Trivy, TanStack, Bitwarden CLI, VS Code uzantısı Nx Console ve şimdi GitHub. Hepsi geliştirme araçları üzerinden ihlal edildi ve her olayda hedef cihazdı.

Sorun, çoğu güvenlik ekibinin bu bilgisayarlarda gerçekte ne çalıştığını görememesi. EDR uygulama düzeyini izliyor ama uygulamaların içindeki paketleri, uzantıları ve yapay zekâ araçlarını görmüyor. Geliştiriciler ise her gün çok az kontrolle yeni paketler, uzantılar ve yapay zekâ araçları ekliyor. Büyük dil modelleri de inandırıcı kötü amaçlı yazılımlar üretmeyi kolaylaştırarak saldırganlar için genel giriş eşiğini düşürdü. Bütün bu saldırılar, bilgisayarlarda bulunanlarla güvenlik ekiplerinin gerçekten görebildiği şeyler arasındaki görünürlük boşluğunda gerçekleşiyor.

Yapay zekâ yaygınlaşırken tedarik zinciri saldırılarında da artış görüyoruz. Yapay zekâ saldırganlarla savunmacılar arasındaki dengeyi nasıl değiştiriyor?

Yapay zekâ tedarik zinciri saldırıları için kötü amaçlı yazılım üretmeyi önemli ölçüde kolaylaştırdı. İnandırıcı saldırı yükleri oluşturmak, kodu karmaşıklaştırmak ve paket kayıt sistemlerini kötüye kullanacak kadar iyi anlamak eskiden gerçek teknik beceri gerektirirdi. Şimdi bir LLM aboneliği yetiyor. Bunu, yakın tarihli GitHub ihlali dâhil bu yılki büyük saldırıların çoğunun arkasındaki TeamPCP’de doğrudan gördük. Özellikle gelişmiş bir grup değiller ama çok sayıda saldırı gerçekleştiriyorlar ve yapay zekâ ölçeği büyütmelerinde önemli rol oynuyor. Bir yıl önce tek paket ihlalleriyle uğraşıyorduk. Şimdi Shai-Hulud gibi kendini çoğaltan solucanlar ve kayıt sistemleri arasında ilerleyen zincirleme kampanyalar görüyoruz: bir ihlalde çalınan kimlik bilgileri bir sonraki ihlali mümkün kılıyor.

Yapay zekâ savunmaya da yardımcı oluyor ama farklı biçimlerde. Güvenlik ekipleri, yüzlerce saldırı yolunu paralel deneyen yapay zekâ ajanlarıyla tüm kod tabanında sürekli sızma testi yapabiliyor. Böylece hâlâ insan muhakemesi gerektiren kararlara zaman kalıyor. Cihaz düzeyinde de kurulacak içeriği geliştirici bilgisayarına ulaşmadan analiz ederek kötü amaçlı paketleri daha erken yakalıyor. Ama dürüst olmak gerekirse şu anda saldırganlar yapay zekâdan daha çok yararlanıyor. Kötü amaçlı yazılım üretme eşiği, onu tespit etme eşiğinden daha hızlı düştü.

Aikido, güvenliği daha erken aşamalara taşımaktan söz ediyor. Bu, bugün yazılım geliştirip yayımlayan ekipler için pratikte ne anlama geliyor?

Sektörün büyük bölümü yıllarca güvenliği CI/CD hattında sola, daha erken aşamalara taşıdı. Ancak saldırı yüzeyi daha da erkene, geliştirici bilgisayarının kendisine kaydı. GitHub ihlali iyi bir örnek. Sorun üretim ortamındaki güvensiz kod değildi. Bir geliştiricinin dizüstü bilgisayarındaki ele geçirilmiş VS Code uzantısı, daha tek satır kod yazılmadan kimlik bilgilerini dışarı sızdırıyordu.

Pratikte güvenlik, kodun yazıldığı ve araçların kurulduğu yerde kesintisiz çalışmalı. Geliştirici cihazlarında çalışanları doğrulamalı, kötü amaçlı paket ve uzantıları cihaza ulaşmadan yakalamalı, kod değiştikçe istismar edilebilir riskleri otomatik test etmeli; planlı incelemeyi beklememeli. Amaç, tespit, doğrulama ve düzeltmenin sonradan çalışan ayrı bir süreç değil, geliştirme akışının parçası olduğu kapalı bir döngü.

Yapay zekâ ajanları bağımlılıkları ve araçları otomatik indirirken şirketler açık kaynak ve üçüncü taraf koduna duydukları güveni nasıl yeniden düşünmeli?

Yapay zekâ ajanları varsayılan olarak bağımlılıkları ve araçları çok az insan denetimiyle otomatik çekiyor. Bu, güven modelini temelden değiştiriyor: geliştirici bilgisayarlarında kimsenin açıkça kurmayı seçmediği kod çalışıyor.

Vercel ihlali bunun nasıl ters gidebileceğini gösteriyor. Vercel doğrudan hacklenmedi. Meşru bir yapay zekâ uzantısının bir çalışanın Google hesabına OAuth erişimi vardı; uzantı, sağlayıcı tarafındaki bilgi çalan kötü amaçlı yazılım üzerinden daha erken bir aşamada ele geçirildi. Açık kaynakta tekrar gördüğümüz örüntü bu: güvenilen üçüncü taraf kodu giriş noktasına dönüşüyor. Ele geçirilmiş bir geliştirici iş istasyonu saldırgana güvenilen bir mühendisle aynı erişimi verdiği için risk katlanıyor. Kodu değiştirebilir, kötü amaçlı bağımlılıklar ekleyebilir veya meşru yazılımın tahrif edilmiş sürümlerini yayımlayabilirler. Derleme hatları bu değişiklikleri alır; değişiklikler güvenilen güncellemelerle sonraki aşamalara yayılır.

Şirketler geliştirici bilgisayarındaki her şeyi saldırı yüzeyinin parçası saymalı: yapay zekâ ajanlarını, kurdukları araçları, bağımlı oldukları uzantıları, hepsini. Yalnızca bilinen açık kaynak paketlerini görebiliyorlarsa saldırıların gerçekte gerçekleştiği katmanları kaçırıyorlar.

Kendi güvenliğini sağlayan yazılım fikri ilgi çekici. Bunu büyük ölçekte gerçekleştirmek için hangi temel yetenekler gerekiyor?

Kapalı bir döngü gerekiyor. Sistem, kod her değiştiğinde gerçek saldırı yollarını test etmeli, bir sorunun gerçekten istismar edilip edilemeyeceğini doğrulamalı veya edilemiyorsa bulguyu elemelidir. Geliştirme akışı içinde düzeltmeler üretip uygulamalı, ardından yeniden test ederek işe yaradıklarını doğrulamalıdır. Bütün döngü birinin takvime almasını beklemeden sürekli çalışmalı. Amaç insanları güvenlikten çıkarmak değil, sürekli yapılması gereken işleri üstlenerek ekiplerin gerçekten muhakeme isteyen kararlara odaklanmasını sağlamak.

Geliştiriciler güvenlik araçlarının çok sayıdaki uyarısı ve yanlış pozitifleriyle sıkça zorlanıyor. Aikido ekiplerin gerçekten önemli olana odaklanmasına nasıl yardımcı oluyor?

State of AI in Security & Development araştırmamızda güvenlik liderlerinin üçte ikisi, yanlış pozitifler nedeniyle ekiplerinin güvenlik süreçlerini atladığını, bulguları göz ardı ettiğini veya düzeltmeleri ertelediğini söyledi. Gürültülü araçların gerçek bedeli bu. Yalnızca zaman kaybettirmiyorlar; insanlar uyarılara güvenmeyi bıraktığı için güvenliği fiilen zayıflatıyorlar.

Aikido’da bunu erişilebilirlik analizi ve otomatik önceliklendirme ile çözüyoruz. Her açığı işaretleyip neyin önemli olduğuna ekip karar versin demek yerine, açığın sizin kodunuzda gerçekten erişilebilir ve sizin ortamınızda istismar edilebilir olup olmadığını kontrol ediyoruz. Değilse ekibiniz onu hiç görmüyor. Bu, uyarı sayısını ciddi biçimde azaltıyor ve ulaşan uyarıların eyleme değer olmasını sağlıyor.

Platformunuz kod, bulut ve çalışma zamanı güvenliğini otomatik sızma testleriyle birleştiriyor. Birleşik yaklaşım neden birden fazla bağımsız araçtan daha etkili?

State of AI in Security & Development araştırmamız şaşırtıcı bir sonuç gösterdi: güvenlik olayı yaşayan ekipler, yaşamayanlardan daha fazla sağlayıcı aracı kullanıyordu. Daha çok araç daha iyi güvenlik değil; daha çok gürültü, yinelenen bulgular ve sorunları düzeltmek yerine farklı panellerdeki uyarıları ilişkilendirmeye harcanan daha çok zaman demekti.

Bu yüzden Aikido’yu kod, bulut, çalışma zamanı, bağımlılıklar ve işlem hatlarını kapsayan tek platform olarak kurduk. Sinyaller bir arada olduğunda yinelenen bulguları kaldırabilir, kod açığının bulut ortamında gerçekten erişilebilir olup olmadığını anlayabilir ve her tarayıcının her çıktısını aynı derecede acil saymak yerine gerçek riske göre öncelik verebilirsiniz. Ekipler araçlar arasında ayıklamaya daha az, önemli düzeltmelere daha çok zaman ayırır. Ancak her yetenek tek başına da güçlü olmalı. Her alanda vasat bir platform yalnızca sorunu bir yerde toplar. Platformun her parçası bağımsız alternatif kadar iyi veya daha iyi olmalı; aksi hâlde birleştirme gerekçesi çöker.

Aikido hızla büyüdü ve kısa sürede önemli ivme kazandı. Bu tempoda bir siber güvenlik şirketi kurup büyütmenin en büyük zorlukları nelerdi?

En belirgini Belçikalı bir siber güvenlik şirketi olmamız. Sektör geleneksel olarak Tel Aviv ve Silikon Vadisi’nde gelişti; başlangıçta başka bir yerden dünya çapında bir platform çıkabileceğine kuşkuyla bakılıyordu. Ama bu mesafe avantaja dönüştü. Aynı yöntemleri tekrarlamadık. Geliştirici öncelikli bir yaklaşımla ve ekiplerin kendi başına kullanıma alabileceği bütünleşik bir ürünle başladık. Böylece küçük ve orta ölçekli işletmeler için sessizce baskın geliştirici güvenliği platformu olduk.

Daha büyük zorluk tempo. Ocak 2026’da Series B turuyla unicorn statüsüne ulaştık; gelirimiz geçen yıl beş katına çıktı ve şimdi Premier League, Revolut ve SoundCloud dâhil 100.000’den fazla ekip bize güveniyor. Yalnızca bu yıl tedarik zinciri güvenliği için Device Protection’ı, yapay zekâ sızma testleri için Infinite’i ve vibe coding iş akışlarına güvenlik yerleştirmek üzere Lovable ortaklığını duyurduk. Bu hızda ilerlerken platformun her parçasında kaliteyi korumak sürekli bir zorluk. Ama güzel bir sorun.

Yapay zekânın merkezde olduğu geliştirme standartlaştıkça önümüzdeki birkaç yılda yazılım güvenliği nasıl şekillenecek?

Dürüst cevap şu: geleneksel güvenlik akışları şimdiden hıza yetişmekte zorlanıyor. Periyodik incelemeler, planlı sızma testleri ve sonradan taramalar, aslında artık var olmayan bir geliştirme temposunu varsayıyor. Yapay zekânın ürettiği kod ve otonom ajanlar, bu süreçlerin doğrulayabileceğinden daha hızlı değişiklik getiriyor.

Güvenliğin, yazılım geliştirmeye doğrudan yerleştirilmiş sürekli bir geri bildirim döngüsüne dönüşmesi gerektiğini düşünüyoruz. Buna kendi güvenliğini sağlayan yazılım diyoruz. Her kod değişikliği gerçek saldırı yollarına karşı test edilir, bulgular gerçek istismar edilebilirlik açısından doğrulanır, düzeltmeler üretilip yeniden test edilir; bir insanın takvime alması beklenmez. İlk sürümler bugün zaten var ve bu yaklaşımı kod, bulut, çalışma zamanı ve tedarik zinciri boyunca geliştiriyoruz.

Sonraki adım kendi bakımını yapan yazılım: güvenlik yalnızca sorunları yakalayıp düzeltmez, kod tabanının sağlığını zaman içinde aktif olarak korur. Bu daha uzak bir hedef ama temelleri şimdi atılıyor. Kesin olan, yapay zekâ sayesinde gelişmiş saldırıları yürütme eşiğinin zaten çökmüş olması; savunma da aynı hızda ilerlemeli.

Harika röportaj için teşekkür ederiz. Daha fazla bilgi edinmek isteyen okuyucular Aikido’yu ziyaret edebilir.