Giovanni Vignone, Octane Securityin toimitusjohtaja ja perustaja – Haastattelusarja

Giovanni Vignone, toimitusjohtaja ja perustaja Octane Security, perustti yrityksen vuonna 2022 vastatakseen kasvavaan tarpeeseen proaktiiviseen kyberturvallisuuteen Web3:ssä. Vain 22-vuotiaana hän päätti rakentaa tekoälypohjaisen alustan, joka toimii kuin 24/7 -turvallisuustekniikkamoottori—analysoiden älykkäiden sopimusten koodipohjia reaaliajassa, integroituen suoraan CI/CD-putkiin ja havaitsemaan haavoittuvuudet, joita perinteiset auditoinnit usein jättävät huomaamatta.

Tässä keskustelussa tarkastelemme Octane:n tehtävää, jonka mukaan jatkuva, selitettävä haavoittuvuuksien havaitseminen sisällytetään ohjelmistokehityksen elinkaaren aikana—ja mitä tarvitaan älykkäiden sopimusten tulevaisuuden turvaamiseen älykkäät sopimukset.

Mikä innosti päätöstä jättää Duke ja rakentaa Octane täysipäiväisesti? Oliko erityinen hetki, joka selkeytti mahdollisuutta?

Duken kolmannen vuoden aikana sain varhaisen beta-tilin OpenAI:n alustalle ja aloin kokeilla suuria kielimalleja älykkäiden sopimusten kanssa kryptossa. Tulokset avasivat minulle todella mahdollisuuksien laajuuden.

Tässä oli yksi erityinen hetki, joka erottuu. Syötin älykkään sopimuksen chat-käyttöliittymään ja pyysin sitä löytämään mahdolliset ongelmat. Tulokset vaativat työtä, mutta näin heti suurta potentiaalia LLM:ien käytössä vaikeasti löydettävien haavoittuvuuksien havaitsemiseen. Tämä oli maaliskuussa 2023.

Tämä tapahtui samanaikaisesti, kun näin kaikki nämä hakkeroinnit ja hyökät, jotka tapahtuvat teollisuudessa. Tiesin, että oli kiireellinen tarve korjata nämä turvallisuusongelmat, ja nämä mallit antoivat meille ainutlaatuisen tavan käsitellä niitä. Se oli juuri oikea aika panostaa Octaneen täysimittaisesti.

Mitkä olivat suurimmat tekniset tai operatiiviset haasteet Octane:n siirtämisessä konseptista päättäville kryptoyrityksille?

Suurin tekninen haaste oli selvittää, miten tunnistaa haavoittuvuudet ja näyttää ne käyttäjille tavalla, jota he voisivat käyttää. Tämä oli todella vaikeaa, koska haavoittuvuudet eivät ole mustia ja valkoisia – niillä on useita ulottuvuuksia.

Kun tarkastelemme mahdollista haavoittuvuutta, meidän on otettava huomioon useita asioita: mikä on vaikutus (voiko joku menettää rahaa tai tärkeää tilaa?), kuinka helppoa se on hyödyntää, mitä voidaan tehdä korjaamiseksi ja mikä aiheuttaa ongelman alun perin. Kaikkien näiden näkökohtien käsittely kerralla ja niiden selkeä esittäminen vaati paljon työtä.

Panostimme valtavasti tuotettavien komponenttien tuottamiseen, jotta asiakkaat voisivat käyttää Octanea löytääkseen haavoittuvuuksia, ymmärtääkseen nopeasti niiden vakavuuden ja aloittamaan korjaamisen heti. Järjestelmien rakentaminen, jotka voisivat jatkuvasti havaita näitä ongelmia eri koodipohjissa, vaati sekä teknistä osaamista että runsaasti tietoa kaikista haavoittuvuuksista.

Octane pyrkii toimimaan kuin tekoälyturvallisuustekniikkamoottori, joka on upotettu jokaiselle kehitystiimille. Mitkä virstanpylväät ovat tarpeen, jotta tämä tavoite toteutuu koko teollisuudessa?

Ensimmäinen iso virstanpylväs on muuttaa kehittäjien ajattelua turvallisuudesta – saada heidät rakentamaan se alusta alkaen eikä lisätä sitä viime hetkellä ennen julkaisua. Tämä tarkoittaa, että näytämme heille, että turvallisuudesta aloittaminen säästää aikaa, koska he voivat korjata ongelmat aikaisemmin.

Tarvitsemme myös auttaa käyttäjiä näkemään ja ymmärtämään, mitä tapahtuu, kun he havaitsevat haavoittuvuudet aikaisin, jotta he voivat kokea hyödyt itse.

Tuotepuolella meidän on tuettava enemmän kieliä kuin pelkkä Solidity – muita älykkäiden sopimusten kieliä ja lopulta myös tavallisia ohjelmointikieliä. Työskentelemme jatkuvasti parantaaksemme mallien tarkkuutta ja kykyä havaita enemmän haavoittuvuustyyppejä.

Kuinka alusta kehittyy käsittelemään monimutkaisia, koodittomia uhkia, kuten phishing- tai haittaohjelma-pohjaisia hyökkäyksiä?

Käsittelemme jo joitakin näistä uhista tänään. Merkitsemme keskittämisriskejä, mikä auttaa tiimejä tietämään, mitkä yksityiset avaimet ja roolit ovat erityisen herkkiä.

Havaitsemme myös yleisiä phishing-malleja älykkäissä sopimuksissa, kuten kun joku käyttää tx.originia kutsujan vahvistuslogiikassa, mikä voi johtaa phishing-hyökkäyksiin. Varmistamme, että huomautamme näistä käyttäjille.

Tällä hetkellä Octane toimii pääasiassa esijulkaisu- turvallisuustyökaluna eikä jotain, joka havaitsee uhkia reaaliajassa. Suunnitelmamme on jatkaa laajentamista siitä, mitä voimme havaita ennen kuin koodi julkaistaan, antamalla kehittäjille työkalut mahdollisten ongelmien korjaamiseen ennen kuin ne muuttuvat todellisiksi hyökkäyksiksi.

Mikä tekee valvomattomasta koneoppimisesta – erityisesti klusteroinnista – tehokkaamman lähestymistavan älykkäiden sopimusten haavoittuvuuksien luokittelussa kuin perinteiset sääntöpohjaiset järjestelmät?

Valvomaton koneoppiminen on todella auttanut meitä kartoittamaan, millaisia virheitä siellä on. Vaikka käytämme edelleen sääntöpohjaisia tekniikoita valvottujen mallien rakentamiseen, valvomaton oppiminen, erityisesti klusterointi, auttaa meitä selvittämään, mitkä mallit meidän pitäisi rakentaa.

Tämä lähestymistapa antaa meille mahdollisuuden jakaa mallimme erikoistuneisiin analyysiputkiin eri haavoittuvuustyypeille.

Käytämme todellakin sekä valvottua että valvomatonta koneoppimista yhdessä – valvomatonta oppimista ymmärtääksemme maiseman ja valvottuja menetelmiä tarkkojen havaitsemiskykyjen rakentamiseen. Tämä yhdistelmä toimii paremmin kuin pelkkä perinteisten sääntöpohjaisten järjestelmien käyttö.

Voitko jakaa esimerkin, jossa klusterointi paljasti uuden haavoittuvuuksien luokan, jota ei aiemmin tunnistettu auditoinneissa tai turvallisuusarvioissa?

Klusterointi ei oikeastaan luo uusia haavoittuvuuksien luokkia alusta alkaen – se ottaa olemassa olevat tiedot ja ryhmittelee ne merkityksellisillä tavoilla. Tietomme tulevat todellisista ketjussa tapahtuvista hyökkäyksistä, julkisista haavoittuvuusselvityksistä ja muista älykkäiden sopimusten virheiden lähteistä.

Valvomaton oppiminen tekee todella hyvää siinä, että se auttaa meitä tarkentamaan, miten ymmärrämme olemassa olevat haavoittuvuuksien luokat. Se havaitsee kuvioita ja yhteyksiä eri haavoittuvuuksien välillä, jotka muuten saattaisivat jäädä huomaamatta, mikä antaa meille mahdollisuuden kehittää parempia havaitsemismenetelmiä.

Tämän kuvioiden tunnistamisen ja tietojen ryhmittelyn kautta olemme luoneet hienovaraisempia malleja, jotka voivat havaita tunnetun haavoittuvuustyypin hienovaraisia variaatioita, sen sijaan että löytäisimme täysin uusia haavoittuvuuksien luokkia.

Miten Octane käsittelee poikkeustapauksia, joissa haavoittuvuus ei selvästi sovi olemassa oleviin luokkiin taksonomian sisällä?

Yritämme tasapainottaa, kuinka tarkkoja tai yleisiä taksonomiaamme tehdään. Mitä yleisempiä luokkamme ja mallimme ovat, sitä paremmin voimme havaita outoja poikkeustapauksia, jotka eivät sovi tiukasti mihinkään. Mutta tarkemmat luokat antavat käyttäjille paremman selityksen ja mahdollistavat tunnetut virhetyypit johdonmukaisemmin.

Kun kohtaamme haavoittuvuuksia, joita Octane ei havaitse tai jotka eivät selvästi vastaa olemassa olevia luokkia, tarkastelemme, pitäisikö lisätä enemmän tietoa kyseisestä haavoittuvuudesta olemassa olevaan malliin, vai tarvitsemmeko täysin uuden mallin, jotta voimme havaita kyseisen virhetyypin tulevaisuudessa.

Tämä joustava lähestymistapa antaa meille mahdollisuuden jatkaa havaitsemiskykyjemme parantamista samalla säilyttäen käyttäjille järkevän kehykset.

Analysoidessamme tuhansia virheitä, mitkä toistuvat kuvioiden tai juurisyiden ovat nousseet esiin älykkäiden sopimusten haavoittuvuuksissa?

Olemme nähneet useita vaikeita kuvioita toistuvasti. Reentrancy on edelleen merkittävä ongelma älykkäissä sopimuksissa. Toinen suuri luokka johtuu siitä, että tapahtumat ovat julkisesti näkyvissä mempoolissa, mikä luo haavoittuvuuksia, joissa hyökkääjät voivat nähdä odottavia tapahtumia ja varastaa tietoa tai aiheuttaa tapahtumien epäonnistumista—mitä ihmiset kutsuvat front-runningiksi, vaikka se tapahtuu monin eri tavoin.

Olemme myös löytäneet paljon kriittisiä haavoittuvuuksia, jotka johtuvat yksinkertaisista kehittäjien virheistä. Ne kutsuttiin aiemmin laajalti “logiikkavirheiksi”, mutta se on liian epämääräinen. Yksi yleinen virhe, jonka näemme, on kehittäjien unohtaminen päivittää tilamuuttujia tietyissä koodipolkuissa, joissa niiden on todella päivitettävä.

Nämä ovat vain muutamia esimerkkejä—meillä on paljon yksityiskohtaisempi sisäinen jakautuminen kaikista virheistä, joita olemme kehittäneet tietoanalyysityön kautta.

Älykkäät sopimukset vaihtelevat laajalti ekosysteemeissä ja kielissä. Kuinka Octane varmistaa, että sen mallit pysyvät tehokkaina näissä moninaisissa ympäristöissä?

Monet haavoittuvuudet noudattavat yhteisiä malleja riippumatta erityisestä kielestä tai ekosysteemistä. Tämä mahdollistaa mallien rakentamisen, jotka voivat tehokkaasti havaita näitä haavoittuvuuksia eri koodipohjissa.

Suunnittelemme mallimme keskittymään perus turvallisuusperiaatteisiin, jotka koskevat laajasti älykkäiden sopimusten järjestelmiä, samalla huomioiden eri kielien erityisominaisuudet.

Keskittymällä haavoittuvuuksien ydinkuvioihin sen sijaan, että keskityisimme pintakohteisiin, olemme rakentaneet malleja, jotka voivat sopeutua älykkäiden sopimusten kehityksen monipuoliseen maailmaan.

Tekoälypohjaiset turvatyökalut kohtaavat usein epäilyksiä selitettävyyden suhteen. Kuinka Octane varmistaa, että haavoittuvuuksien luokittelut ja hälytykset ovat toimivia kehittäjille?

Olemme panostaneet paljon taustaprosessiin, joka vahvistaa haavoittuvuudet lisätarkistuksilla.

Järjestämme huolellisesti löydöksemme erottaaksemme kriittiset haavoittuvuudet (jotka voivat vaikuttaa koodipohjaan) vähemmän vakavista ongelmista tai varoituksista, jotka edustavat parhaita käytäntöjä. Tämä luokittelu auttaa kehittäjiä keskittymään tärkeimpiin asioihin.

Käyttöliittymämme on suunniteltu yksinkertaiseksi ja selkeäksi, korostaen vakavimpia ongelmia, jotta ne saavat välittömän huomion sen sijaan, että ne kaakuisi joukkoon vähemmän tärkeitä hälytyksiä. Tarjoamalla selkeitä selityksiä ja keskittymällä toimivaan, varmistamme, että kehittäjät voivat nopeasti ymmärtää ja korjata löydetyt haavoittuvuudet.

Kiitos loistavasta haastattelusta, lukijat, jotka haluavat oppia lisää, voivat vierailla Octane Security.