Backslash Security联合创始人兼CEO Shahar Man – 采访系列

Shahar Man，Backslash Security联合创始人兼CEO，是一位具有深厚技术背景的领导者，拥有丰富的云开发、网络安全和企业软件经验。他目前领导着Backslash Security，一家专注于保护AI原生软件开发环境的公司，保护范围包括IDE、AI代理、生成代码和提示工作流等。之前，他曾在Aqua Security担任高级领导职务，包括产品管理副总裁和研发副总裁，帮助打造了领先的容器安全平台。在早期职业生涯中，Shahar Man在SAP工作了十多年，领导了包括SAP Web IDE在内的开发和产品计划，并与全球企业客户密切合作，同时也为开发者生态系统的成长做出了贡献。他的职业生涯始于技术和领导职务，既有创业环境也有以色列国防技术单位的背景，这使他拥有了坚实的工程和大型系统基础。

Backslash Security是一家新兴的网络安全平台，专门为AI驱动的软件开发时代而设计。该公司专注于保护整个AI原生开发栈，包括AI代理、代码生成管道和现代开发工作流，这些领域传统安全工具通常会忽略。通过提供可见性、治理和实时保护，而不会破坏开发速度，Backslash旨在解决自动编码和“vibe coding”环境带来的日益增长的风险。随着软件创作越来越多地转向AI辅助系统，该平台旨在确保安全性与开发进度并行发展，而不是成为瓶颈，将Backslash置于DevSecOps和下一代AI开发的交叉点。

您曾在Aqua Security和SAP等公司担任产品和研发的领导职务，然后创立了Backslash。是什么早期信号让您相信AI原生开发和vibe coding将从根本上改变软件创作，并且安全性需要被重建以支持它？

我已经经历了一次重大转变，当时软件进入云原生架构。在SAP和后来的Aqua，我们亲眼见证了开发变化时，安全性通常会落后。AI将这一真理提升到了一个新的水平，不仅因为它可以帮助更快地编写代码，还因为它开始重塑整个软件创作环境。

保护代码不再仅仅关注代码本身，而是代码周围的环境。在不到一年的时间里，曾经相对封闭和低风险的开发设置已经扩展到一个广泛的、紧密相连的攻击面，几乎没有任何监督或治理。一旦发生这种情况，围绕代码漏洞的安全问题完全改变了。真正的问题不是某个特定代码是否存在漏洞，而是通过启用AI驱动的开发，我们引入了系统、代理、集成和访问路径，这些都远远超出了代码本身。安全性不再仅仅关注代码的输出，而是需要考虑使代码成为可能的整个环境。

您将vibe coding描述为扩展攻击面，超出了代码本身，包括提示、代理、MCP服务器和工具层。当前开发人员和安全团队忽略的最容易被误解的风险是什么？

最大的误解是，许多团队仍然认为风险主要存在于生成的代码中。这只是一个层面。在AI原生开发中，风险被更早地引入，并且出现在更多的地方。这可能存在于提示中，模型提供的上下文中，授予代理的权限中，MCP服务器中，或者外部工具和插件中。单个用户的笔记本电脑可以被接管并用作更广泛攻击的桥头。它是一个端点痛点，伪装成AI编码问题。与代码漏洞不同，这不仅仅会将您的应用程序置于风险之中，还可能将您的整个组织置于风险之中。如果您只关注代码，您就会错过大部分情况。

传统的应用程序安全性主要关注代码审查。当AI代理在实时生成、修改和部署代码时，安全性思维需要如何演变？

安全性需要从周期性检查转变为持续的监督。信任的概念已经完全被打破——您可以拥有可信的模型和可信的MCP服务器，但由于AI的非确定性性质，它们仍然可能被操纵或简单地表现出意外的风险。

这也意味着需要进行思维转变，安全性需要在开发过程中实时进行，并且需要在该环境中具有更深入的治理、防护和检测及响应能力。这意味着需要批判性地思考正在使用哪些工具，它们正在消费什么上下文，应该为它们制定什么政策，以及它们正在采取什么行动。另外，我们不能忽视AI和AI模型在处理漏洞方面的作用。如果一年前AI模型默认产生了很多漏洞，现在情况已经有了显著的改善，其他模型现在被用来发现以前从未发现的零日漏洞。因此，我们正在朝着更好的输出方向发展——但谁来监督这一过程？攻击者正在寻找其他目标。

Cursor、Claude Code和GitHub Copilot等工具正在成为开发工作流中的标准。在没有适当的治理层的情况下采用这些工具时，您看到的最大的安全差距在哪里？

最大的差距是可见性。在许多组织中，这些工具正在迅速传播，没有经过正式审查。安全团队通常不知道哪些代理正在被使用，它们如何配置，可以访问什么数据，以及它们连接到哪些外部系统。这就产生了一个影子AI问题，这与影子IT类似，只是更快、更动态。

第二大差距是缺乏可执行的政策。大多数组织可能有指南，但指南本身并不能在开发人员在IDE中快速移动时提供太多帮助。没有工具和工作流层面的治理，团队就有可能过度授权工具，这些工具可能不符合企业标准。这些工具本身并不是坏的，但在没有治理的情况下采用它们意味着您正在扩大开发速度，而没有相应地扩大控制。

第三个出现的差距是，每个人都可能成为开发人员——我们称之为“公民开发者”，使用vibe coding工具。当财务人员使用Claude Code自动化流程并连接到内部系统时，这就产生了潜在的风险和巨大的盲点，即使在今天也是如此。

Backslash专注于保护整个AI开发生态系统，而不是单个工具。为什么这种全栈方法是必要的，如果组织继续将这些风险视为孤立的怎么办？

因为风险并不仅仅存在于堆栈中的任何一个产品中。AI原生开发本质上是一个生态系统问题，因为它在许多不同的地方、使用许多不同的工具运作。IDE、模型、代理、MCP服务器、外部插件、身份和连接的数据源都影响着什么被构建以及如何构建。组织故意不标准化工具，因为它们的相对优势正在迅速转变。如果您只保护链条中的一个点，您仍然会错过风险如何在系统中移动的方式。

将这些风险视为孤立的会导致防御分裂和危险的盲点。您可能会加固代码扫描器，但忽略了将有风险的上下文输入到模型中的MCP服务器。这就是为什么我们认为正确的方法是整个AI开发生态系统的全栈可见性和实时保护。否则，组织将继续解决症状，而实际的攻击面将在他们下面不断扩大。

提示正在出现为一种新的编程层。组织应该如何保护提示并防止诸如提示注入、数据泄露或操纵等问题？

提示越来越多地决定逻辑和行为。在许多情况下，它们实际上是软件创作的新控制平面。这意味着它们需要像代码或基础设施定义一样具有政策、监控和防护措施。实际上，这从限制提示可以访问的内容和可以触发的下游操作开始。它还意味着定义与安全性和质量期望相符的提示规则，防止通过上下文窗口暴露敏感数据，并监视诸如提示注入或间接指令劫持等操纵尝试。并且它还包括确保规则本身不会被用作提示注入的后门。更广泛的观点是，您不通过指示开发人员和代理“小心”来保护提示，而是通过将控制措施嵌入到提示实际发生的环境中来保护提示。

MCP服务器和代理技能引入了系统之间的动态连接。从安全角度来看，它们代表了AI驱动开发中最重要的新风险向量吗？

MCP服务器和代理技能代表了一个主要的新风险层，因为它们定义了AI系统如何连接和与现实世界交互。技能定义了代理可以做什么，而MCP扩展了其对上下文和系统的访问。它们一起决定了代理的实际行为。如果这些层没有被严格控制，组织就会失去对其AI工具的能力和实际行为的可见性。从生成代码到采取行动的转变使得这一领域对安全性来说至关重要，当您将它们链接在一起时，它们会变得更加不可预测。

您的一个核心主题是“成为是的部门”——在不减慢开发速度的情况下实现安全性。您如何在开发速度至关重要的环境中平衡实时保护和开发速度？

安全性会在晚期或与开发过程脱节时产生摩擦。当它被嵌入到工作流中并专注于真正重要的内容时，它变得更加有效。这一直是Backslash的思考方式，尤其是在AI驱动的开发中更为重要。

在实践中，这意味着要突出真正代表风险的少数问题，而不是向开发人员提供所有理论上可疑的内容。它意味着要在IDE和代理工作流中执行策略，而不是事后。并且它意味着要创建透明、确定的防护措施，以便团队可以快速移动，同时仍然知道哪些工具正在使用，它们具有什么权限，以及何时发生了异常情况。目标不是减慢AI的采用速度，而是帮助组织在不失去控制的情况下自信地采用AI。在现实中，这意味着开发人员将有较少的机会犯错误，但如果他们犯了错误，错误将被快速捕获和处理。

我们看到越来越多的非技术用户使用AI工具构建软件。非开发人员vibe编码者的崛起如何改变威胁格局？

它以两种方式扩大了威胁格局。首先，它大大增加了能够产生类似软件的输出而不了解安全影响的人数。其次，它创造了一种虚假的安全感，因为这些工具使开发感觉像对话式和低摩擦的。

这意味着组织将看到更多由不了解信任边界、输入验证、依赖关系卫生、访问控制或数据暴露的安全知识的人创建的应用程序、自动化和集成。换句话说，攻击面不仅因为AI编写了更多的代码而扩大，而且因为更多的人现在可以生成类似软件的工作流和系统，而不应用基本的工程学纪律。这使得可见性和内置的保障措施变得更加重要，因为您不能再假设安全知识存在于创作的点上。

展望未来12到24个月，您预计会出现哪些特定于AI原生开发工作流的攻击或漏洞？

我们预计，许多常见的代码漏洞将通过LLM本身的改进或围绕这些工具的“马厩”中更好的嵌入式提示规则来避免。如果我们现在看到由于开发速度加快而导致的漏洞数量增加，这将会自行纠正。而那些没有纠正的漏洞将被AI启用的SAST和SCA（其中一些将由AI平台供应商提供，例如Claude Code Security和Glasswing项目）追踪下来。

然而，我预计，由于在应用程序开发中使用未经审查和无监督的AI工具（例如OpenClaw），将会出现更糟糕的结果，这些工具的安全性默认值很差，用户群体的安全知识远远被他们对vibe coding的热情所超越。

因此，我认为我们将看到攻击转向针对开发生态系统本身，而不仅仅是生产系统。随着AI成为软件创作过程的一部分，攻击者将专注于操纵塑造该过程的工具和连接，有效地在软件部署之前就将其置于危险之中。

感谢这次精彩的采访，希望了解更多的读者可以访问Backslash Security。