Ян Ріопель, генеральний директор і співзасновник Root.io – Інтерв’ю серія

Ян Ріопель, генеральний директор і співзасновник Root.io, очолює місію компанії з забезпечення безпеки ланцюга постачання програмного забезпечення за допомогою хмарних рішень. З понад 15-річним досвідом у сфері технологій та кібербезпеки, він займав керівні посади в Slim.AI та FXP, зосереджуючись на продажах підприємств, стратегії виходу на ринок та зростанні державного сектора. Він має сертифікат ACE від MIT Sloan і є випускником школи розвідки армії США.

Root.io – хмарна платформа безпеки, розроблена для допомоги підприємствам у забезпеченні безпеки ланцюга постачання програмного забезпечення. Автоматизуючи довіру та відповідність вимогам протягом процесів розробки, Root.io дозволяє швидше та надійніше доставляти програмне забезпечення для сучасних команд DevOps.

Що спонукало заснування Root, і як виникла ідея Автоматичної ліквідації уразливостей (AVR)?

Root народився з глибокої фрустрації, яку ми повторно зустрічали особисто: організації, які присвячують величезну кількість часу та ресурсів полюванню за уразливостями, які ніколи повністю не зникають. Тріаж став єдиною обороною проти швидко зростаючого технічного боргу CVE, але з темпом появи нових уразливостей, тріаж сам по собі вже не достатньо.

Як утримувачі Slim Toolkit (колишнього DockerSlim), ми вже були глибоко залучені в оптимізацію контейнерів та безпеку. Для нас було природно запитати: Що, якщо контейнери могли б проактивно виправляти себе як частина стандартного життєвого циклу розробки програмного забезпечення? Автоматичне виправлення, яке зараз відоме як Автоматична ліквідація уразливостей (AVR), було нашим рішенням – підхід, який не зосереджується на тріажі та складанні списків, а автоматично ліквідує їх, безпосередньо у вашому програмному забезпеченні, без введення змін, що порушують роботу.

Root раніше був відомий як Slim.AI – що спонукало ребрендинг, і як компанія еволюціонувала під час цього переходу?

Slim.AI розпочався як інструмент для допомоги розробникам у мінімалізації та оптимізації контейнерів. Але ми скоро зрозуміли, що наша технологія еволюціонувала у щось набагато більш значуще: потужну платформу, здатну проактивно забезпечувати безпеку програмного забезпечення для виробництва у великому масштабі. Ребрендинг у Root відображає цю трансформаційну зміну – від інструменту оптимізації розробника до потужного рішення з безпеки, яке дозволяє будь-якій організації задовольняти суворі вимоги безпеки щодо відкритого програмного забезпечення за лічені хвилини. Root втілює нашу місію: добиратися до коріння ризиків програмного забезпечення та ліквідовувати уразливості, перш ніж вони коли-небудь стають інцидентами.

У вас є команда з глибокими коренями у сфері кібербезпеки, від Cisco, Trustwave та Snyk. Як ваш колективний досвід сформував ДНК Root?

Наша команда створила сканери безпеки, захищала глобальні підприємства та архітектурно проектувала рішення для деяких з найбільш чутливих та високоризикових інфраструктур. Ми безпосередньо зіткнулися з компромісами між швидкістю, безпекою та досвідом розробників. Цей колективний досвід фундаментально сформував ДНК Root. Ми одержимі автоматизацією та інтеграцією – не лише виявленням проблем безпеки, а й швидким їх вирішенням без створення нового тертя. Наш досвід інформує кожне рішення, забезпечуючи, щоб безпека прискорювала інновації, а не сповільнювала їх.

Root стверджує, що виправляє уразливості контейнерів за секунди – без перезбудови, без простою. Як працює ваша технологія AVR під капотом?

AVR працює безпосередньо на рівні контейнера, швидко визначаючи уразливі пакети та виправляючи або заміняючи їх у самому образі – без потреби у складних перезбудовах. Подумайте про це як про безшовну заміну уразливих фрагментів коду на безпечні заміни, зберігаючи ваші залежності, шари та поведінку виконання. Немає потреби чекати на патчі від вище, немає потреби у ребудуванні ваших конвеєрів. Це ліквідація уразливостей на швидкості інновацій.

Чим Root відрізняється від інших рішень безпеки, таких як Chainguard або Rapidfort? Яка ваша перевага в цьому просторі?

На відміну від Chainguard, який вимагає перезбудови за допомогою кураторських образів, або Rapidfort, який зменшує поверхню атаки без прямого вирішення уразливостей, Root безпосередньо виправляє ваші існуючі образи контейнерів. Ми безшовно інтегруємося у ваш конвеєр без порушення – жодного тертя, жодних передач. Ми не тут, щоб замінити ваш робочий процес, ми тут, щоб прискорити та покращити його. Кожен образ, який проходить через Root, фактично стає золотим образом – повністю захищеним, прозорим, контрольованим – забезпечуючи швидкий ROI шляхом скорочення уразливостей та збереження часу. Наша платформа скорочує час ліквідації з тижнів чи днів до всього лиш 120-180 секунд, дозволяючи компаніям у високорегульованих галузях ліквідовувати місяцями накопичені уразливості за одну сесію.

Розробникам слід зосереджуватися на створенні та доставці нових продуктів – а не витрачати години на виправлення уразливостей безпеки, що є часоємною та часто небажаною частиною розробки програмного забезпечення, яка гальмує інновації. Що гірше, багато з цих уразливостей навіть не належать їм – вони походять від слабкостей у вендорах третіх сторін або відкритих проєктах програмного забезпечення, що змушує команди витрачати цінні години на виправлення чужої проблеми.

Розробники та команди НДД належать до найбільших центрів витрат в будь-якій організації, як у плані людських ресурсів, так і програмного забезпечення та інфраструктури хмар, які їх підтримують. Root полегшує це навантаження, використовуючи агентську штучну інтелект, а не спираючись на команди розробників, які працюють навколо години, щоб вручну перевіряти та виправляти відомі уразливості.

Як саме Root використовує агентську штучну інтелект для автоматизації та оптимізації процесу ліквідації уразливостей?

Наш двигун AVR використовує агентську штучну інтелект для реплікування думкових процесів та дій досвідчених інженерів з безпеки – швидко оцінюючи вплив CVE, визначаючи найкращі доступні патчі, суворо тестуючи та безпечно застосовуючи виправлення. Він досягає за секунди того, що інакше потребувало б значних ручних зусиль, масштабуючись на тисячу образів одночасно. Кожна ліквідація вчить систему, безперервно покращуючи її ефективність та адаптивність, фактично вбудовуючи експертизу повного інженера з безпеки безпосередньо у ваші образи.

Як Root інтегрується у існуючі робочі процеси розробників без додавання тертя?

Root безшовно інтегрується у існуючі робочі процеси, підключаючись безпосередньо до вашого реєстру контейнерів або конвеєра – жодної ребудови, жодних нових агентів та жодних додаткових сайдкарів. Розробники надсилають образи, як зазвичай, а Root обробляє виправлення та публікацію оновлених образів безшовно на місці або за новими тегами. Наше рішення залишається невидимим, поки не буде потрібно, пропонуючи повну видимість через детальні аудитні журнали, повні SBOM та прості варіанти відкату, коли це потрібно.

Як ви балансуйте автоматизацію та контроль? Для команд, які бажають бачити та контролювати, наскільки налаштовується Root?

У Root автоматизація підвищує – а не знижує – контроль. Наша платформа високо налаштовується, дозволяючи командам масштабувати рівень автоматизації відповідно до їхніх конкретних потреб. Ви вирішуєте, що авто-застосовувати, коли залучати ручний огляд, а що виключати. Ми забезпечуємо розширену видимість через детальні перегляди змін, журнали змін та аналіз впливу, забезпечуючи, щоб команди з безпеки залишалися інформованими та повноважними, ніколи не залишаючись у темряві.

З тисячами уразливостей, виправлених автоматично, як ви забезпечуєте стабільність та уникнення порушення залежностей чи порушення виробництва?

Стабільність та надійність підтримують кожну дію, яку виконує AVR Root. За замовчуванням ми приймаємо консервативний підхід, ретельно відстежуючи графи залежностей, застосовуючи патчі, що усвідомлюють сумісність, та суворо тестуючи кожен виправлений образ проти всіх публічно доступних тестових фреймворків для відкритих проєктів програмного забезпечення перед розгортанням. Якщо проблема виникне, її виявляють на ранній стадії, а відкат є безшовним. На практиці ми підтримували рівень невдач менше 0,1% протягом тисяч автоматичних виправлень.

Як Root готується до нових загроз безпеки епохи штучної інтелекту?

Ми розглядаємо штучну інтелекту як потенційний вектор загроз та оборонну суперсилу. Root проактивно вкладає стійкість безпосередньо у ланцюг постачання програмного забезпечення, забезпечуючи, щоб контейнеризовані робочі навантаження, включаючи складні стеки штучної інтелекту/машинного навчання, були безперервно зміцнені. Наша агентська штучна інтелект еволюціонує з загрозами, автономно адаптуючи захист швидше, ніж атакувальники можуть діяти. Наша кінцева мета – автономна стійкість ланцюга постачання програмного забезпечення: інфраструктура, яка захищає себе на швидкості нових загроз.

Дякуємо за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Root.io.