Neatsun Ziv, Đồng sáng lập và Giám đốc điều hành của OX Security – Loạt phỏng vấn

Neatsun Ziv, Đồng sáng lập và Giám đốc điều hành của OX Security, là người đi đầu trong việc định nghĩa lại bảo mật chuỗi cung ứng phần mềm cho kỷ nguyên DevSecOps. Trước khi thành lập OX, ông từng là Phó Chủ tịch An ninh mạng tại Check Point, dẫn đầu các sáng kiến toàn cầu và điều phối các phản ứng nhanh chóng đối với các mối đe dọa có hồ sơ cao như SolarWinds (SWI ) và NotPetya. Công việc của ông thường đưa ông vào hợp tác trực tiếp với Interpol, các trung tâm ứng phó sự cố an ninh mạng quốc gia và các cơ quan thực thi pháp luật khác trong một số sự cố mạng quan trọng nhất trong thập kỷ qua.

OX Security là một nền tảng bảo mật ứng dụng được thiết kế để cắt giảm tiếng ồn, giúp các tổ chức tập trung vào tỷ lệ nhỏ các rủi ro thực sự quan trọng. Sử dụng phân tích về khả năng khai thác, khả năng tiếp cận và tác động kinh doanh, nền tảng này cung cấp ưu tiên dựa trên bằng chứng trên toàn vòng đời phát triển phần mềm. Với phạm vi bảo vệ từ mã đến đám mây, hơn 100 tích hợp và các quy trình không cần mã, OX nhúng các biện pháp khắc phục được hướng dẫn trực tiếp vào quy trình làm việc của nhà phát triển, đảm bảo các biện pháp bảo mật vừa hiệu quả vừa không gây cản trở.

Trước khi đồng sáng lập OX Security, bạn đã dẫn đầu các phản ứng sự cố lớn tại Check Point. Điều gì đã khiến bạn quyết định rằng đã đến lúc thành lập công ty của riêng mình, và bạn đã nhận thấy khoảng trống nào trong không gian bảo mật ứng dụng?

Làm việc tại Check Point, tôi đã trải nghiệm trực tiếp “Khoảng cách tốc độ doanh nghiệp” – các doanh nghiệp bảo mật truyền thống di chuyển với tốc độ chậm hơn. Tôi cũng thấy rằng các đội an ninh mạng không hiệu quả ở nhiều cách, đặc biệt là khi nói đến việc ưu tiên rủi ro một cách chính xác.

Đồng thời, tôi nhận ra rằng trí tuệ nhân tạo sinh (lúc đó chưa được phát triển) đại diện cho tương lai của cách công cụ bảo mật cần phải phát triển, và thực sự, nó di chuyển với tốc độ lớn. Một số thay đổi quan trọng đang xảy ra đồng thời:

Tăng tốc độ của tác nhân đe dọa: Các kẻ tấn công đang nhanh chóng áp dụng các công nghệ và kỹ thuật mới, di chuyển nhanh hơn so với các giải pháp bảo mật có thể theo kịp.

Hiện tượng “Lập trình rung cảm”: Thuật ngữ này không tồn tại vào thời điểm đó, nhưng tôi thấy các nhà phát triển ngày càng phụ thuộc vào các công cụ lập trình hỗ trợ AI như Copilot, cơ bản thay đổi cách phần mềm được xây dựng và giới thiệu các xem xét bảo mật hoàn toàn mới.

Sự tiến hóa của cuộc tấn công chuỗi cung ứng: Sự tăng tốc của các cuộc tấn công chuỗi cung ứng phần mềm tạo ra một nhu cầu cấp thiết về các phương pháp bảo mật ứng dụng mới mà các công cụ hiện có không giải quyết được.

Các cải tiến tăng dần trong các cấu trúc doanh nghiệp hiện có sẽ không đủ để giải quyết những thách thức đang phát triển nhanh chóng này.

Sự nhận thức cuối cùng của tôi là các mối đe dọa đang di chuyển nhanh vào mã – và bảo mật cần phải theo sát. Chúng tôi cần phải phá vỡ các khuôn khổ đã biết và bắt đầu chạy trong một cuộc đua mới.

Nhiệm vụ cốt lõi của OX là giúp các nhà phát triển tập trung vào 5% lỗ hổng thực sự quan trọng. Khi nào bạn đã nhận ra được tầm nhìn này, và nó định hình quyết định sản phẩm như thế nào ngày nay?

Sau khi quản lý các hoạt động phát triển khá lớn, tôi đã chứng kiến cách khối lượng lớn các vấn đề liên quan đến bảo mật có thể gây choáng ngợp. Bạn cần hiểu điều gì quan trọng và điều gì không. Việc đi qua các danh sách không kết thúc không giúp công ty tiến gần hơn đến việc giảm thiểu rủi ro. Thay vào đó, nó tạo ra sự thất vọng và thậm chí khiến các công ty rời xa việc giảm thiểu rủi ro vì nó chỉ tiêu tốn quá nhiều thời gian và tài nguyên.

Điều này đã dạy cho chúng tôi rằng chúng tôi cần giúp các nhà phát triển tập trung vào những gì thực sự quan trọng – và sau đó giải thích cho họ tại sao nó lại quan trọng. Sau đó, chúng tôi cần chỉ cho họ cách giải quyết vấn đề một cách dễ dàng, hoặc tốt hơn – giải quyết nó cho họ – điều này hiện đã có thể thực hiện được thông qua các công cụ như Agent OX.

Tầm nhìn này đã trở thành nền tảng mà chúng tôi xây dựng công ty, và nó là điều hướng dẫn tất cả quyết định sản phẩm của chúng tôi ngày nay. Mỗi tính năng, mỗi khả năng chúng tôi phát triển đều bắt đầu với câu hỏi: “Điều này có giúp các nhà phát triển tập trung vào những gì thực sự quan trọng không? Điều này có giảm thiểu rủi ro không?”

Nền tảng này tập trung vào “Dự án mã” để ánh xạ rủi ro trên toàn vòng đời phát triển phần mềm. Bạn có thể giải thích công nghệ này hoạt động như thế nào và điều gì làm cho nó khác biệt so với các công cụ quản lý lỗ hổng khác?

Dự án mã cơ bản là một công nghệ nhìn thấy vấn đề trong mã và biết trước cách nó sẽ hành xử khi mã đó đạt đến đám mây. Điều này cho phép bạn giải quyết vấn đề từ rất sớm – khi rủi ro đã được暴露.

Nó hoạt động bằng cách hiểu rằng mỗi đoạn mã có một quá trình xây dựng và đưa nó lên đám mây – CI/CD. Chúng tôi có thể đọc mã và giải thích ý nghĩa của nó. Để đưa ra một ví dụ thẳng thắn – những gì được暴露 trên internet rõ ràng có những ý nghĩa khác so với những gì không.

Sự khác biệt chính so với các sản phẩm khác là hầu hết các công cụ kết thúc công việc của chúng với một danh sách dài các vấn đề. Không có khả năng tập trung vào 5% hoặc ít hơn các rủi ro thực sự quan trọng, việc lọc qua những vấn đề này – bạn sẽ kết thúc với các khung thời gian gần như không liên quan. Bạn cũng không biết nên giao nhiệm vụ cho nhà phát triển nào.

Cách tiếp cận của chúng tôi thay đổi điều đó hoàn toàn – chúng tôi không chỉ xác định vấn đề, mà còn cung cấp ngữ cảnh, ưu tiên và quyền sở hữu rõ ràng.

Bạn cung cấp tích hợp đầy đủ trên các công cụ quét, quản lý bí mật, SBOM, khám phá SaaS và nhiều hơn nữa. Những thách thức kỹ thuật khó khăn nhất là gì khi thống nhất tất cả những điều này vào một trải nghiệm nhà phát triển liền mạch?

Vấn đề khó khăn nhất là biến đổi dữ liệu thành thông tin. Dữ liệu là tất cả những gì bạn vừa đề cập. Nhưng các nhà phát triển cần sự rõ ràng, điểm nổi bật và lập luận. Truyền thông tập trung. Làm thế nào để biến đổi núi dữ liệu thành những thông tin có thể hành động – đó là thách thức lớn nhất trong ngành.

Tổng hợp thông tin đó theo cách kể một câu chuyện nhất quán và cung cấp hành động rõ ràng, ưu tiên mà các nhà phát triển có thể thực sự thực hiện – đó là thách thức lớn nhất.

PBOM (Danh sách vật liệu đường ống) là một đổi mới của OX. Nó khác với SBOM như thế nào, và tại sao nó lại quan trọng để bảo mật chuỗi cung ứng phần mềm hiện đại?

PBOM là khả năng nhìn vào mọi thứ xảy ra với phần mềm từ lúc nó được viết cho đến khi nó được đưa vào sản xuất. SBOM là một thành phần trong đó – nó nhìn vào tất cả các gói phần mềm bên trong một ứng dụng.

Để trả lời câu hỏi trước – PBOM thực sự là nền tảng cho phép chúng tôi biến đổi dữ liệu thành thông tin, vì nó nhìn vào một bức tranh rộng lớn hơn – tất cả dữ liệu. Nó bắt giữ toàn bộ hành trình và biến đổi của mã, không chỉ các thành phần cuối cùng.

Tầm nhìn toàn diện này là quan trọng vì các công cụ bảo mật truyền thống chỉ nhìn thấy kết quả cuối cùng, bỏ qua các vector tấn công quan trọng như công cụ xây dựng bị xâm phạm, các cam kết độc hại hoặc thao túng đường ống mà xảy ra trong quá trình phát triển và triển khai.

OX vừa ra mắt Agent OX – một kiến trúc đa tác nhân mới nơi mỗi mô hình AI tập trung vào các loại lỗ hổng và ngôn ngữ lập trình cụ thể. Điều gì đã thúc đẩy quyết định thiết kế này, và làm thế nào bạn đảm bảo rằng các giải pháp nó đề xuất là giải thích được và đáng tin cậy trong thực tế?

Chúng tôi đã tạo ra cách tiếp cận đa tác nhân này bằng cách nhìn vào cách con người phát triển chuyên môn và áp dụng nguyên tắc đó cho AI. Để trở thành một chuyên gia trong một lĩnh vực, một nhà phát triển cần phải là một chuyên gia trong ngôn ngữ, kiến trúc cụ thể và tổ chức cụ thể. Một nhà phát triển không thể giải quyết tất cả các vấn đề, và theo cùng logic, một tác nhân AI cũng không thể đạt đến mức độ chuyên môn đó. Ngoài ra, bạn muốn một tác nhân có thể xử lý đảm bảo chất lượng.

Vì vậy, mỗi tác nhân phát triển chuyên môn sâu trong lĩnh vực cụ thể của nó, giống như các chuyên gia con người làm.

Về độ tin cậy và giải thích, mỗi tác nhân không chỉ đề xuất giải pháp mà còn giải thích lý do, hiển thị công việc của nó và cho phép các nhà phát triển hiểu rõ tại sao một giải pháp cụ thể được chọn.

Điều gì đã dẫn bạn đến việc tập trung vào việc khắc phục một lần nhấp trực tiếp trong quy trình làm việc của nhà phát triển? Và làm thế nào bạn đảm bảo rằng các nhà phát triển vẫn giữ quyền kiểm soát và không gặp phải các tác dụng phụ không mong muốn?

Ý tưởng chính là giảm thiểu sự ma sát và tăng cường các bản vá bảo mật. Chúng tôi cung cấp cho các nhà phát triển quyền kiểm soát đầy đủ để xem xét và xác nhận giải pháp đề xuất trước khi chấp nhận nó.

Chìa khóa là “một lần nhấp” không có nghĩa là “tự động” – nó có nghĩa là được tối ưu hóa. Các nhà phát triển có thể xem chính xác những gì sẽ được thay đổi, hiểu tại sao, xem xét giải pháp đề xuất và sau đó chọn áp dụng nó với một hành động đơn giản. Quyền kiểm soát và quyết định vẫn hoàn toàn nằm trong tay họ, nhưng chúng tôi loại bỏ công việc thủ công tốn thời gian của việc nghiên cứu và thực hiện bản vá.

Bạn có Microsoft (MSFT ), IBM và SoFi trong số khách hàng của mình. Những mối quan hệ doanh nghiệp này định hình con đường và quá trình phản hồi cho các công cụ như Agent OX như thế nào?

Chúng tôi làm việc với hàng trăm khách hàng, và hàng chục trong số họ chia sẻ với chúng tôi những thách thức họ gặp phải. Những cuộc thảo luận sâu về thiết kế và mẫu đường là nền tảng của khả năng tinh chỉnh giải pháp đề xuất của chúng tôi. Chúng tôi đánh giá cao mối quan hệ chúng tôi có với khách hàng của mình và coi đó là ưu tiên hàng đầu cho chúng tôi như một công ty, và điều đó hướng dẫn chúng tôi khi chúng tôi hiểu nhu cầu thực tế và tạo ra giải pháp để giải quyết chúng.

Khi các công cụ bảo mật AI trở nên phổ biến hơn, bạn làm thế nào để cân bằng tự động hóa với sự tin cậy và kiểm soát của nhà phát triển? Bạn vẽ ranh giới giữa hỗ trợ và tự chủ ở đâu?

Như chúng ta đã thấy trong các cuộc cách mạng trước, những người không tham gia sẽ không tồn tại. Chúng tôi đang bắt đầu thấy các tổ chức chúng tôi làm việc với đã chuyển tất cả tài nguyên của họ sang việc áp dụng AI vì họ hiểu rằng chúng tôi đang chứng kiến một cuộc cách mạng.

Đây thực sự là những khách hàng hợp tác nhất của chúng tôi vì họ đang đối mặt với một sự căng thẳng chưa từng có: các nhà phát triển của họ cần di chuyển nhanh với các công cụ AI, nhưng họ lo lắng về việc mất kiểm soát. Họ thậm chí sẵn sàng chấp nhận rủi ro và mất kiểm soát tạm thời để có được lợi thế cạnh tranh, nhưng họ cần chúng tôi giúp họ lấy lại niềm tin. Nhiệm vụ của chúng tôi là cho phép họ có tốc độ họ cần, trong khi xây dựng lại sự tự tin trong quá trình.

Bạn vừa kết thúc một vòng tài trợ Series B trị giá 60 triệu đô la. Vòng tài trợ này sẽ thúc đẩy giai đoạn tăng trưởng tiếp theo của OX – về mặt công nghệ, tiếp thị hoặc mở rộng quốc tế – như thế nào?

Vòng tài trợ mới này cơ bản là về mở rộng, và cũng sẽ giúp chúng tôi tăng cường khả năng của mình trong việc xác định rủi ro có nguồn gốc từ mã được tạo ra bởi AI, điều mà chúng tôi đang bắt đầu thấy với việc ra mắt Agent OX.

Chúng tôi hiện đang phân tích hơn 100 triệu dòng mã mỗi ngày cho hơn 200 khách hàng trả phí. Vòng tài trợ này sẽ cho phép chúng tôi mở rộng tác động đó trên toàn cầu trong khi vẫn duy trì sự tập trung vào các câu hỏi cốt lõi đã luôn hướng dẫn chúng tôi: “Điều này có giúp các nhà phát triển tập trung vào những gì thực sự quan trọng không? Điều này có giảm thiểu rủi ro không?”

Cảm ơn bạn vì cuộc phỏng vấn tuyệt vời, độc giả muốn tìm hiểu thêm nên truy cập OX Security.