Ricardo Amper, CEO và Người sáng lập Incode – Loạt phỏng vấn

Ricardo Amper, CEO và Người sáng lập Incode, là một doanh nhân nối tiếp và giám đốc công nghệ với hơn hai thập kỷ kinh nghiệm trong việc xây dựng và mở rộng các công ty trong lĩnh vực công nghệ, sản phẩm tiêu dùng và công nghiệp. Ông đã thành lập Incode vào năm 2015 với tầm nhìn thay đổi cách mọi người xác minh và xác thực danh tính của mình trong thế giới kỹ thuật số. Trước đó, Amper từng là CEO của Grupo Amco, doanh nghiệp hàng đầu tại Mỹ Latinh về hoá chất hương liệu và tinh dầu, nơi ông phát triển OneView, một nền tảng dữ liệu dự đoán dựa trên máy học, trước khi công ty được Brenntag Group mua lại. Ông cũng đồng sáng lập và dẫn dắt Amco Foods, công ty sau này được Grupo Bimbo mua lại, và trước đó thành lập La Burbuja Networks. Sự nghiệp của ông kết hợp giữa tinh thần khởi nghiệp, trí tuệ nhân tạo, hệ thống dựa trên dữ liệu, và kinh nghiệm thành công trong việc xây dựng các công ty qua quá trình mua bán.

Incode là một nền tảng nhận dạng dựa trên AI, được thiết kế để giúp các tổ chức xây dựng niềm tin trong các tương tác với con người, doanh nghiệp và ngày càng nhiều các đại lý AI. Công nghệ của nó kết hợp xác minh tài liệu, xác thực sinh trắc học, nhận dạng khuôn mặt, phát hiện sống động, phát hiện deepfake và kiểm tra trực tiếp với các hệ thống hồ sơ của chính phủ, đồng thời hỗ trợ các lĩnh vực như Know Your Customer (KYC), tuân thủ Chống Rửa tiền (AML), Know Your Business (KYB), xác minh độ tuổi, xác thực lực lượng lao động và ngăn chặn chiếm đoạt tài khoản. Incode tự phát triển công nghệ AI nội bộ và đã mở rộng nền tảng để đối phó với các mối đe dọa mới nổi như danh tính tổng hợp và gian lận do AI sinh ra, cũng như các công cụ Nhận dạng Đại lý để xác minh chủ sở hữu của các đại lý AI và truy vết hành động của chúng.

Bạn đã thành lập Incode vào năm 2015 sau khi xây dựng các công ty trong những ngành rất khác nhau, và bạn cho rằng việc tiếp cận vấn đề với tư duy nguyên tắc cơ bản, tươi mới có thể có giá trị hơn so với dựa vào các giả định đã được kế thừa trong ngành. Bạn đã thấy điều gì trong việc xác minh danh tính mà các nhà cung cấp hiện có đang bỏ lỡ, và quan điểm ban đầu đó đã định hình sự phát triển của Incode như thế nào?

Trước năm 2015, ngành công nghiệp xem danh tính như một vấn đề tuân thủ và là thứ nghĩ đến sau: quét tài liệu, để người ở phòng hậu cần kiểm tra, đánh dấu vào ô. Tôi đã bước vào mà không có suy luận đó và nhận thấy một vấn đề AI trong cách tiếp cận danh tính của ngành.

Vì vậy, tôi đã đưa ra ba quyết định ngay ngày đầu tiên mà không ai khác thực hiện:

AI thực hiện việc xác minh thay vì con người xem dữ liệu của bạn, chúng tôi tự phát triển mọi lớp công nghệ thay vì lắp ráp các bộ phận của người khác, và quyền riêng tư là kiến trúc, không phải chính sách. Mười năm sau, AI sinh tạo đã biến những quyết định đó thành những quyết định duy nhất còn bền vững.

Sự lựa chọn đó đã định hình công ty mà chúng tôi trở thành.

1. Chúng tôi là những người xây dựng trước tiên: ngay cả hôm nay, tỷ lệ nhân viên của chúng tôi làm việc trong lĩnh vực kỹ thuật và sản phẩm vẫn cao hơn so với một công ty phần mềm B2B thông thường, và đó là điều giúp chúng tôi linh hoạt đủ để thích nghi nhanh chóng như các mối đe dọa.
2. Chúng tôi cũng có chủ ý bắt đầu ở một trong những môi trường gian lận khó khăn nhất trên thế giới, Nam Mỹ, và phần lớn đã giải quyết được cho một số ngân hàng và doanh nghiệp lớn nhất của khu vực. Khi công nghệ của bạn tồn tại được ở đó, các thị trường mà gian lận vẫn tồn tại nhưng ít khắc nghiệt hơn sẽ trở thành thử nghiệm dễ dàng hơn rất nhiều.

Chúng tôi chưa bao giờ quan tâm đến việc chỉ vá lỗi hay làm cho các công ty chỉ đáp ứng yêu cầu hiện tại. Chúng tôi thích thách thức khó khăn của vấn đề này: xác minh một người thực với mức độ ma sát tối thiểu và bảo mật tối đa, và thực hiện điều đó cho một tương lai đang thay đổi.

Incode hiện đã được xếp hạng là Nhà lãnh đạo trong Gartner® Magic Quadrant™ cho Xác minh Danh tính trong ba năm liên tiếp. Bạn cho rằng sự nhất quán này nói lên điều gì về quá trình phát triển của công ty, và những năng lực nào quan trọng nhất trong việc duy trì vị trí đó khi môi trường đe dọa thay đổi?

Bất kỳ ai cũng có thể có một năm tốt. Ba năm liên tiếp phản ánh sự nhất quán, và sự nhất quán là điều mà các doanh nghiệp tìm kiếm. Ba năm đó bao trùm toàn bộ làn sóng gian lận AI sinh tạo, và yếu tố giúp chúng tôi duy trì vị thế là nhà lãnh đạo ngành trong suốt thời gian đó là việc chúng tôi sở hữu toàn bộ ngăn xếp công nghệ của mình. Khi một lớp tấn công hoặc vector mới xuất hiện, chúng tôi có thể đào tạo lại các mô hình của mình trong vòng vài ngày thay vì chờ đợi lộ trình sản phẩm hoặc cập nhật của người khác. Các yếu tố không đổi khác là các kết nối trực tiếp của chúng tôi với các nguồn danh tính uy tín và kỷ luật trong việc xem xét chuyển đổi nghiêm túc như gian lận, vì các doanh nghiệp cần cả hai.

Incode mô tả một thế hệ mới của các cuộc tấn công gian lận tự động, trong đó các đại lý AI có thể tạo ra tài liệu tổng hợp, sản xuất deepfake có mục tiêu, kiểm tra chúng đối với các hệ thống xác minh, và điều chỉnh sau mỗi lần bị từ chối. Chúng ta đang ở mức độ nào so với việc chứng kiến các quy trình tấn công hoàn toàn tự động này hoạt động quy mô lớn?

Gian lận quy mô lớn luôn đòi hỏi con người ở quy mô lớn. Điểm nghẽn cổ chai là con người, và AI vừa mới loại bỏ nó. Chúng tôi đã tìm kiếm bằng chứng và công bố những gì chúng tôi phát hiện: các vụ gian lận do AI gây ra ở Hoa Kỳ được báo cáo công khai, nguồn độc lập, phần lớn đã được xác nhận trong hồ sơ tòa án hoặc hành động của cơ quan quản lý. Khi chúng tôi đánh giá mức độ mà mỗi kịch bản có thể được một đại lý tự động thực hiện độc lập, hầu hết đều có thể chạy từ đầu đến cuối, và không có trường hợp nào miễn nhiễm. Mô hình cũ bị giới hạn bởi số lượng nhân lực có kỹ năng mà bạn có thể tuyển dụng. Mô hình mới chỉ bị giới hạn bởi khả năng tính toán.

Incode cho biết họ liên tục chạy một kẻ tấn công có tính năng đại lý đối kháng với các biện pháp phòng thủ của chính mình. Quy trình kiểm tra đối kháng này hoạt động như thế nào, và một kẻ tấn công AI có thể phát hiện gì mà các bài kiểm tra thâm nhập truyền thống hoặc các tiêu chuẩn gian lận tĩnh có thể bỏ qua? 

Ý tưởng rất đơn giản: cách duy nhất để xây dựng các biện pháp phòng thủ chống lại những cuộc tấn công này là trước tiên tự mình thực hiện các cuộc tấn công. Vì vậy, chúng tôi vận hành một kẻ tấn công hoạt động chính xác như những kẻ tội phạm. Nó tạo ra deepfake, tài liệu tổng hợp và các nỗ lực tiêm mã, gửi chúng tới các hệ thống phòng thủ trực tiếp của chúng tôi, học hỏi từ mọi lần bị từ chối, và quay lại với một biến thể tốt hơn. Một bài kiểm tra thâm nhập truyền thống chỉ kiểm tra một danh sách các cuộc tấn công đã biết một lần rồi dừng lại. Một kẻ tấn công thích nghi không bao giờ ngừng sáng tạo các cuộc tấn công mới, vì vậy nó phát hiện điểm yếu và cuộc tấn công chưa tồn tại trước khi kẻ tội phạm thực hiện.

Khi các mô hình sinh tạo làm cho tài liệu tổng hợp và phương tiện sinh trắc học ngày càng thuyết phục, tín hiệu nào vẫn là khó nhất để kẻ tấn công tạo ra một cách đáng tin cậy?

Pixel chỉ là một trò chơi thua nếu đó là tất cả những gì bạn xem xét, vì các mô hình sinh tạo cải thiện mỗi tháng. Những gì kẻ tấn công vẫn không thể tạo ra một cách đáng tin cậy là mọi thứ bên ngoài hình ảnh: tính toàn vẹn của thiết bị và đường truyền mà phương tiện đã đi qua, hành vi giữ nhất quán qua các phiên, và hồ sơ do nguồn phát hành danh tính lưu giữ. Đó là nguyên tắc đằng sau Deepsight, công nghệ phát hiện deepfake của chúng tôi. Nó không bao giờ chỉ đánh giá hình ảnh một mình: nó phân tích phương tiện, phần cứng, đường truyền phần mềm và hành vi người dùng trong một quyết định thời gian thực duy nhất, và có thể xác định mô hình sinh tạo nào đã tạo ra bản giả. Đại học Purdue đã tự độc lập kiểm tra nó so với 24 hệ thống khác của chính phủ, học thuật và thương mại và xác nhận nó là chính xác nhất.

Incode nhấn mạnh việc xác minh danh tính dựa trên các hồ sơ chính phủ có thẩm quyền thay vì chỉ dựa vào tài liệu do người dùng trình bày. Điều này thay đổi độ chính xác của việc xác minh danh tính như thế nào, và những thách thức kỹ thuật hoặc quy định nào phát sinh khi triển khai cách tiếp cận này trên các quốc gia khác nhau?

Một tài liệu cho bạn biết những gì đã được trình bày. Hồ sơ có thẩm quyền cho bạn biết những gì là đúng. Mọi kiểm tra đánh giá liệu một hiện vật có trông xác thực hay không ngày càng mất đi hiệu lực khi AI sinh tạo cải tiến, nhưng hồ sơ chính phủ không thay đổi, vì nó là sự thật nền tảng mà kẻ gian không thể kiểm soát. Những thách thức là thực tế: mỗi quốc gia có các nguồn có thẩm quyền khác nhau, quy tắc truy cập khác nhau và luật riêng về quyền riêng tư, vì vậy chúng tôi xây dựng các kết nối trực tiếp theo từng thị trường và xử lý mọi thứ theo nguyên tắc quyền riêng tư từ thiết kế.

Các hệ thống xác minh danh tính phải ngăn chặn gian lận tinh vi mà không tạo ra ma sát không cần thiết cho người dùng hợp pháp. Bạn đánh giá sự cân bằng giữa bảo mật, từ chối sai, tốc độ onboarding và tỷ lệ chuyển đổi như thế nào?

Mỗi nhà cung cấp danh tính đều kéo các cần điều chỉnh giữa bốn yếu tố đó. Câu hỏi thực sự là bạn sở hữu những cần nào. Phần lớn ngành công nghiệp triển khai công nghệ mà họ đã cấp phép từ người khác, vì vậy khi gian lận bùng phát họ không thể xem bên trong mô hình hay đào tạo lại, và cần duy nhất còn lại là ma sát: thêm bước, thêm kiểm tra thủ công, từ chối nhiều người dùng tốt hơn. Chúng tôi đã chọn ngược lại và tự phát triển mọi mô hình AI, bao gồm liveness, phát hiện deepfake, xác minh tài liệu, tất cả, vì vậy cần của chúng tôi là độ chính xác. Chúng tôi đào tạo lại trong vòng vài ngày, đẩy gian lận xuống bên trong mô hình, và để trải nghiệm người dùng không bị ảnh hưởng. Đó là lý do tại sao việc cho phép mọi người dùng hợp pháp đi qua và ngăn chặn mọi cuộc tấn công là một công việc duy nhất cho chúng tôi, không phải là một sự đánh đổi.

Mạng lưới tin cậy của Incode được thiết kế để xác định các vụ gian lận lặp lại và nhận diện lịch sử tin cậy giữa các tổ chức mà không cần tập hợp dữ liệu cá nhân thô. Công nghệ nào cho phép chia sẻ trí tuệ bảo vệ quyền riêng tư theo cách này?

Mật mã là yếu tố cho phép, nhưng khái niệm là trọng tâm: hợp tác mà không bị lộ. Các tổ chức trong mạng lưới có thể biết liệu một tín hiệu danh tính đã được liên kết với gian lận ở nơi khác hay không mà không có bên nào nhìn thấy dữ liệu của bên khác, vì vậy không có cơ sở dữ liệu tập hợp, không có gì để bị xâm phạm và không có môi giới dữ liệu. Đó là lý do chúng tôi đã mua lại Identiq, đội ngũ của họ đã dành nhiều năm để xây dựng chính công nghệ mật mã tăng cường quyền riêng tư này, và cũng là lý do chúng tôi cam kết hơn 100 triệu đô la trong năm nay cho cơ sở hạ tầng danh tính bảo vệ quyền riêng tư. Mạng lưới trở nên thông minh hơn với mỗi lần xác minh trong khi dữ liệu của mỗi cá nhân vẫn được giữ kín, ở quy mô hơn 7 tỷ kiểm tra tin cậy và 400 triệu hồ sơ. Chúng tôi luôn tin rằng quyền riêng tư và phòng ngừa gian lận không phải là sự đánh đổi. Chúng là cùng một vấn đề, được giải quyết cùng nhau hoặc không giải quyết gì cả.

Khi các đại lý AI bắt đầu thực hiện mua sắm, truy cập tài khoản, ký hợp đồng và giao tiếp thay mặt cho con người, các tổ chức nên xác minh không chỉ đại lý đó mà còn cả chủ sở hữu, quyền hạn và thẩm quyền thực hiện một hành động cụ thể như thế nào?

Bắt đầu với chủ sở hữu, vì quyền hạn của một đại lý không có giá trị gì nếu không truy nguồn trở lại một con người đã được xác thực. Đó chính là mục tiêu của chúng tôi khi xây dựng Agentic Identity: chúng tôi xác thực chủ sở hữu bằng quy trình chứng minh danh tính độ tin cậy cao và khả năng phát hiện giả mạo sâu, cấp cho đại lý một mã thông báo bảo mật liên kết mọi hành động trở lại người chịu trách nhiệm, và xác minh phạm vi quyền hạn để một đại lý được ủy quyền cho một nhiệm vụ không thể lặng lẽ chuyển sang các nhiệm vụ khác. Sau đó, chúng tôi giám sát liên tục, vì các đại lý thay đổi hành vi nhanh hơn bất kỳ đợt rà soát truy cập hàng quý nào. Đó là cùng một công nghệ sinh trắc học, cùng một trí tuệ gian lận, cùng một mạng lưới chúng tôi dùng cho con người, được mở rộng cho các hệ thống hoạt động thay mặt họ.

Nhìn về phía trước, việc xác thực danh tính sẽ vẫn là một bước kiểm tra riêng biệt trong quá trình onboarding, hay sẽ trở thành một lớp niềm tin liên tục hoạt động trong mọi tương tác kỹ thuật số giữa con người, doanh nghiệp và các đại lý AI tự động?

Cả hai sẽ tồn tại một thời gian, sau đó lớp liên tục sẽ thắng thế. Quá trình onboarding vẫn là điểm neo nơi danh tính được thiết lập với độ tin cậy cao nhất, nhưng niềm tin không thể chỉ là một khoảnh khắc khi các cuộc tấn công thích nghi qua các phiên và các đại lý giao dịch suốt ngày đêm. Đích đến là một lớp niềm tin bền vững: xác minh lại vào những thời điểm có rủi ro thực sự, các tín hiệu hành vi và mạng được liên tục liên kết, và cùng mức độ chịu trách nhiệm được mở rộng cho các đại lý AI hoạt động thay mặt con người. Danh tính sẽ không còn là một bước kiểm tra mà trở thành hạ tầng, và chúng tôi đang xây dựng cho thế giới đó.

Cảm ơn các bạn đã tham gia buổi phỏng vấn tuyệt vời, những độc giả muốn tìm hiểu thêm nên truy cập Incode.