Мітчелл Амадор, засновник і генеральний директор Immunefi – Серія інтерв’ю

Мітчелл Амадор, засновник і генеральний директор Immunefi, є відомим підприємцем у сфері безпеки блокчейну, ангельським інвестором та лідером думок у сфері блокчейну. Він заснував Immunefi, провідну платформу bug bounty та безпеки для екосистеми Web3, яка допомогла запобігти потенційним хакерським атакам та крадіжкам на суму понад 25 мільярдів доларів, а також просунула програми bug bounty як галузевий стандарт. Він відіграв ключову роль у забезпеченні безпеки великих протоколів блокчейну, внесок у ініціативи з білої безпеки та заснував Instituto New Economy, мозковий центр блокчейну, який допоміг позиціонувати Португалію як провідний європейський центр інновацій у сфері блокчейну.

Immunefi є провідною платформою безпеки Web3, яка з’єднує проекти блокчейну з етичними хакерами через програми bug bounty, огляди безпеки та послуги з розголошення уразливостей. Компанія допомагає захистити мільярди доларів цифрових активів, дозволяючи організаціям виявляти та виправляти критичні уразливості безпеки до того, як вони можуть бути використані, обслуговуючи багато з найбільших протоколів блокчейну та децентралізованих фінансів (DeFi) проектів.

До заснування Immunefi ви допомагали просувати прийняття у компаніях, таких як SingularityNET і Steemit, і були залучені до формування ранньої криптовалютної законодавства Португалії. Що переконало вас, що безпека Web3 є проблемою, якій варто присвятити свою кар’єру, і яку прогалину на ринку ви побачили при запуску Immunefi?

Традиційні компанії з безпеки не могли збігатися з швидкістю та складністю Web3, і не було довіреної платформи, яка могла б привабити елітних дослідників у великому масштабі, а також дати протоколам впевненість, що розголошення будуть оброблені професійно. Ми побачили можливість побудувати інфраструктурний рівень для безпеки Web3, створюючи узгоджені стимули між проектами та дослідниками, а також роблячи проактивну безпеку основною частиною того, як галузь працює.

Ви допомогли побудувати Immunefi у домінантну силу у сфері безпеки Web3, захистивши сотні мільярдів доларів активів та обробивши більшу частину критичних розголошень уразливостей у криптовалюті. Оглянувши цей шлях, які уроки з росту Immunefi вплинули на ваше рішення про внесення клієнтів та спільноти Code4rena до екосистеми Immunefi?

Одним з найбільших уроків з росту Immunefi є те, що безпека працює найкраще, коли талант концентрується, а не фрагментується. Внесення клієнтів та дослідників Code4rena до екосистеми Immunefi дозволяє нам зміцнити обидві сторони ринку: дослідники отримують доступ до більшої кількості можливостей та ресурсів, а проекти отримують доступ до ширшого спектра послуг безпеки, підтримуваних найбільшою мережею дослідників у Web3.

Code4rena відіграла велику роль у популяризації конкурентних аудитів безпеки у криптовалюті. Що, на вашу думку, в кінцевому підсумку стало причиною того, що її бізнес-модель стала важкою для підтримки, і які ширші уроки це пропонує для майбутнього краудсорсингової безпеки?

Основна проблема не полягала у вартості конкурентних аудитів. Ця вартість залишається значною. Проблема полягала у побудові сталого бізнесу навколо окремої пропозиції в середовищі, де очікування клієнтів еволюціонували.

Протоколи все частіше хочуть комплексних рішень безпеки, а не окремих продуктів. Вони хочуть програм bug bounty, аудити, розвідку загроз, операції з безпеки та можливості реагування на інциденти під однією дахом. Коли ринок дозрів, стало складніше для спеціалізованих постачальників конкурувати з платформами, які могли пропонувати ширший стек безпеки.

Багато дослідників безпеки розглядали Code4rena як платформу з унікальною культурою та спільнотою. Як ви плануєте зберегти те, що зробило цю платформу цінною, інтегруючи користувачів до Immunefi?

Спільнота в кінцевому підсумку стала тим, що зробило Code4rena успішною. Метою є не замінити цю культуру, а створити середовище, в якому вона може продовжувати процвітати з більшим підтримкою та масштабом. Фокусується на безперервності, а не на перерванні. Ми хочемо, щоб дослідники відчували, що вони отримують доступ до ширшої платформи, не втрачаючи тих аспектів спільноти, які спонукали їх брати участь у першому місці.

Традиційні аудити безпеки часто покладаються на відносно невелику групу рецензентів, тоді як конкурентні аудити можуть привабити сотні дослідників. Як ви бачите еволюцію конкурентних аудитів протягом наступних п’яти років, коли штучний інтелект все більше інтегрується до потоків безпеки?

То, що ми, ймовірно, побачимо, це зміщення, при якому штучний інтелект обробляє все більшу частку повторювального аналізу, розпізнавання закономірностей та первинної тріажі, дозволяючи дослідникам витрачати більше часу на нові вектори атак та складні системні уразливості.

Ця еволюція насправді робить конкурентні аудити більш цінними. Якщо сотні дослідників можуть використовувати все більш здатні інструменти штучного інтелекту, ви створюєте середовище, в якому різноманітні підходи можуть бути застосовані до одного й того ж коду у безпрецедентному масштабі. Майбутнє не полягає у тому, що штучний інтелект замінює краудсорсингову безпеку. Воно полягає у тому, що штучний інтелект посилює ефективність великих спільнот дослідників.

Однією з нових проблем, які ви підкреслили, є спам-підання, згенеровані штучним інтелектом. Наскільки серйозною стала ця проблема, і що вона показує про непередбачені наслідки надання доступу до передових інструментів штучного інтелекту?

Проблема не полягає у тому, що штучний інтелект знаходить занадто багато уразливостей. Проблема полягає у тому, що він може генерувати великі об’єми переконливих, але в кінцевому підсумку неправильних висновків. Кожне низькоякісне підання споживає час рецензентів та створює операційний оверхед.

Ширше, це демонструє повторюваний шаблон у технологіях. Коли потужні інструменти стають широко доступними, як продуктивна, так і непродуктивна діяльність масштабується одночасно. Організації, які успішно працюють, будуть тими, які побудують системи, здатні ефективно ідентифікувати справжню експертизу та справжні висновки серед набагато більшого об’єму автоматизованого виводу.

Ви вважаєте, що штучний інтелект в кінцевому підсумку покращить якість виявлення уразливостей, чи платформи безпеки зіткнуться з тривалою боротьбою між все більш здатними системами штучного інтелекту та потоком низькоякісних автоматизованих підань, які вони можуть генерувати?

Обидва твердження є правдою.

Штучний інтелект безумовно покращить виявлення уразливостей. Ми вже бачимо, як дослідники використовують штучний інтелект для прискорення робочих процесів, аналізу більших кодових баз та ідентифікації потенційних векторів атак більш ефективно, ніж раніше.

Одночасно буде тривати боротьба між системами, які генерують висновки, та системами, які їх валідують. Ключовий диференціатор не буде тим, хто може генерувати найбільше звітів. Воно буде тим, хто може генерувати висновки з найбільшою впевненістю.

Ми починаємо бачити, як дослідники, підтримувані штучним інтелектом, ідентифікують уразливості швидше, ніж будь-коли раніше. Наскільки ми близькі до системи штучного інтелекту, яка самостійно виявляє, валідує та навіть пріоритезує критичні уразливості з мінімальним людським втручанням?

Ми ближче до фази відкриття, ніж багато людей думають. Штучний інтелект вже стає корисним для ідентифікації закономірностей, огляду коду та поверхневих потенційних уразливостей.

Валідация залишається більш складною задачею. Знаходження чогось, що може бути уразливістю, дуже відрізняється від доведення експлуатації, розуміння бізнес-впливу та точної оцінки тяжкості. Ці завдання все ще потребують суттєвого людського судження.

Поява автономних агентів штучного інтелекту створює цілком нові поверхні атак. Які ризики безпеки, пов’язані з агентними штучними інтелектами, ви вважаєте, що зараз недооцінюються як галуззю Web3, так і ширшим корпоративним ринком?

То, що часто недооцінюється, це складність довірчих меж, задіяних у цьому процесі. Автономні системи не працюють у ізоляції. Вони споживають дані з кількох джерел, взаємодіють з сервісами третіх сторін та приймають рішення на основі динамічних середовищ. Кожна з цих взаємодій створює потенційну поверхню атаки.

Я думаю, що багато організацій все ще застосовують традиційні припущення щодо безпеки програмного забезпечення до систем, які працюють фундаментально інакше. Ця прогалина стане все більш важливою, оскільки автономні агенти отримують більшу оперативну владу.

Оглянувши три-п’ять років вперед, як ви очікуєте, що штучний інтелект перетворить спосіб виявлення, повідомлення та пом’якшення уразливостей, і яку роль ви бачите для людських дослідників безпеки в цьому майбутньому?

Штучний інтелект драматично прискорить кожну стадію життєвого циклу безпеки. Уразливості будуть виявлені швидше, тріажовані швидше, а в багатьох випадках пом’якшені швидше, ніж сьогодні. Команди безпеки матимуть доступ до набагато більшої кількості розвідки та автоматизації, ніж будь-коли раніше.

Але я не вважаю, що майбутнє полягає у тому, що людські дослідники стають неважливими. Навпаки, їх роль стає ще важливішою. Коли штучний інтелект обробляє рутинні завдання, людська експертиза зміщується до розуміння нових систем, ідентифікації нетрадиційних шляхів атак, валідування критичних висновків та прийняття стратегічних рішень щодо безпеки.

Найуспішніші дослідники не будуть тими, хто конкурує зі штучним інтелектом. Вони будуть тими, хто навчився використовувати штучний інтелект як примножувач сили. Безпека завжди винагороджувала адаптивність, і це залишиться правдою у майбутньому, яке буде керуватися штучним інтелектом.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Immunefi.