Giovanni Vignone, CEO & संस्थापक Octane Security – साक्षात्कार श्रृंखला

Giovanni Vignone, CEO और संस्थापक Octane Security, ने 2022 में कंपनी की स्थापना की ताकि Web3 में सक्रिय साइबर सुरक्षा की बढ़ती आवश्यकता को पूरा किया जा सके। केवल 22 वर्ष की उम्र में, उन्होंने एक AI-संचालित प्लेटफ़ॉर्म बनाने का लक्ष्य रखा जो 24/7 सुरक्षा इंजीनियर की तरह काम करता है—रियल टाइम में स्मार्ट कॉन्ट्रैक्ट कोडबेस का विश्लेषण करता है, सीधे CI/CD पाइपलाइन में एकीकृत होता है, और उन कमजोरियों को पकड़ता है जिन्हें पारंपरिक ऑडिट अक्सर मिस कर देते हैं।

इस बातचीत में, हम Octane के मिशन का अन्वेषण करते हैं कि निरंतर, समझाने योग्य कमजोरियों का पता लगाने को सॉफ़्टवेयर विकास जीवनचक्र में कैसे एम्बेड किया जाए—और स्मार्ट कॉन्ट्रैक्ट्स के भविष्य को सुरक्षित करने के लिए क्या चाहिए।

Octane को पूर्णकालिक बनाने के लिए Duke छोड़ने का निर्णय क्या प्रेरित किया? क्या कोई विशेष क्षण था जिसने अवसर को स्पष्ट किया?

Duke में अपने जूनियर वर्ष के दौरान, मुझे OpenAI के प्लेटफ़ॉर्म तक प्रारंभिक बीटा एक्सेस मिला और मैंने क्रिप्टो में स्मार्ट कॉन्ट्रैक्ट्स पर बड़े भाषा मॉडल के साथ प्रयोग करना शुरू किया। परिणामों ने वास्तव में मुझे संभावनाओं के बारे में जागरूक किया।

एक विशेष क्षण है जो याद रहता है। मैंने एक स्मार्ट कॉन्ट्रैक्ट को चैट इंटरफ़ेस में डाला और उससे किसी भी समस्या को खोजने को कहा। परिणामों को सुधार की जरूरत थी, लेकिन मैं तुरंत LLMs का उपयोग करके कठिन-से-खोजने वाली कमजोरियों को पहचानने की बड़ी संभावनाएँ देख सका। यह मार्च 2023 में था।

यह उसी समय हुआ जब मैं उद्योग में हो रहे सभी हैक्स और एक्सप्लॉइट्स देख रहा था। मुझे एहसास हुआ कि इन सुरक्षा समस्याओं को ठीक करने की तत्काल आवश्यकता है, और ये मॉडल हमें उन्हें हल करने का एक अनोखा तरीका प्रदान करते हैं। यह स्पष्ट हो गया कि यह Octane में पूरी तरह निवेश करने का सही समय है।

Octane को अवधारणा से प्रमुख क्रिप्टो कंपनियों द्वारा अपनाने तक ले जाने में सबसे बड़ी तकनीकी या संचालन संबंधी चुनौतियाँ क्या थीं?

सबसे बड़ी तकनीकी चुनौती यह समझना था कि कमजोरियों की पहचान कैसे की जाए और उन्हें उपयोगकर्ताओं को ऐसे तरीके से दिखाया जाए जिसे वे वास्तव में उपयोग कर सकें। यह बहुत कठिन था क्योंकि कमजोरियां काली और सफेद नहीं होतीं – उनके कई आयाम होते हैं।

जब हम किसी संभावित कमजोरी को देखते हैं, तो हमें कई बातों पर विचार करना पड़ता है: उसका प्रभाव क्या है (क्या कोई पैसा या महत्वपूर्ण स्थिति खो सकता है?), इसे शोषित करना कितना आसान है, इसे ठीक करने के लिए क्या किया जा सकता है, और मूल समस्या क्या है। इन सभी पहलुओं को एक साथ संभालना और उन्हें स्पष्ट रूप से प्रस्तुत करना बहुत काम लेता है।

हमने इन प्रत्येक घटकों को उत्पादित करने में बहुत प्रयास किया ताकि ग्राहक Octane का उपयोग करके कमजोरियों को खोज सकें, यह जल्दी समझ सकें कि वे कितनी गंभीर हैं, और तुरंत उन्हें ठीक करना शुरू कर सकें। विभिन्न कोडबेस में लगातार इन समस्याओं को पहचानने वाले सिस्टम बनाना तकनीकी ज्ञान और विभिन्न प्रकार की कमजोरियों पर बहुत सारे डेटा दोनों की आवश्यकता रखता है।

Octane का लक्ष्य हर डेवलपर टीम में एम्बेडेड AI सुरक्षा इंजीनियर जैसा कार्य करना है। इस लक्ष्य को उद्योग भर में पूरी तरह साकार करने के लिए कौन से माइलस्टोन आवश्यक हैं?

हमारा पहला बड़ा माइलस्टोन यह है कि डेवलपर्स की सुरक्षा के बारे में सोचने की शैली को बदलना – उन्हें लॉन्च से कुछ हफ्ते पहले जोड़ने के बजाय पहले दिन से ही इसे बनाना सिखाना। इसका मतलब है उन्हें दिखाना कि सुरक्षा से शुरुआत करने से वास्तव में समय बचता है क्योंकि वे समस्याओं को पहले ठीक कर सकते हैं।

हमें उपयोगकर्ताओं को यह देखने और समझने में मदद करनी होगी कि जब वे शुरुआती चरण में कमजोरियों को पकड़ते हैं तो क्या होता है, ताकि वे स्वयं लाभ का अनुभव कर सकें।

उत्पाद पक्ष में, हमें केवल Solidity से आगे अधिक भाषाओं का समर्थन करना होगा – अन्य स्मार्ट कॉन्ट्रैक्ट भाषाएँ और अंततः सामान्य प्रोग्रामिंग भाषाएँ भी। हम हमेशा अपने मॉडलों को सटीकता के मामले में बेहतर बनाने और अधिक प्रकार की कमजोरियों को पकड़ने के लिए काम कर रहे हैं।

प्लेटफ़ॉर्म जटिल, कोड-आधारित नहीं होने वाले खतरों जैसे फ़िशिंग या मैलवेयर-आधारित एक्सप्लॉइट्स को संबोधित करने के लिए कैसे विकसित होगा?

वास्तव में हम आज ही इन खतरों में से कुछ को संभालते हैं। हम केंद्रीकरण जोखिमों को फ़्लैग करते हैं, जिससे टीमों को पता चलता है कि कौन सी प्राइवेट कीज़ और भूमिकाएँ विशेष रूप से संवेदनशील हैं।

हम स्मार्ट कॉन्ट्रैक्ट्स में सामान्य फ़िशिंग पैटर्न भी पकड़ते हैं, जैसे जब कोई कॉलर वेरिफिकेशन लॉजिक के लिए tx.origin का उपयोग करता है, जिससे फ़िशिंग हमले हो सकते हैं। हम सुनिश्चित करते हैं कि इनको उपयोगकर्ताओं को दिखाया जाए।

वर्तमान में, Octane मुख्य रूप से एक प्री-डिप्लॉयमेंट सुरक्षा टूल के रूप में काम करता है, न कि वास्तविक समय में खतरों को पकड़ने वाला कुछ। हमारी योजना कोड लाइव होने से पहले हम जो पता लगा सकते हैं उसे लगातार विस्तारित करने की है, जिससे डेवलपर्स को संभावित समस्याओं को वास्तविक हमलों में बदलने से पहले ठीक करने के उपकरण मिलें।

अनसुपरवाइज़्ड मशीन लर्निंग—विशेष रूप से क्लस्टरिंग—को पारंपरिक नियम-आधारित सिस्टम की तुलना में स्मार्ट कॉन्ट्रैक्ट कमजोरियों को वर्गीकृत करने में अधिक प्रभावी क्यों बनाता है?

अनसुपरवाइज़्ड मशीन लर्निंग ने हमें वास्तव में यह समझने में मदद की है कि कौन-कौन से बग मौजूद हैं। जबकि हम अभी भी नियम-आधारित तकनीकों का उपयोग करके अपने सुपरवाइज़्ड मॉडल बनाते हैं, अनसुपरवाइज़्ड लर्निंग, विशेष रूप से क्लस्टरिंग, हमें यह निर्धारित करने में मदद करती है कि हमें कौन से मॉडल बनाने चाहिए और उन्हें कैसे प्राथमिकता देनी चाहिए।

यह दृष्टिकोण हमें हमारे मॉडलों को विभिन्न प्रकार की कमजोरियों के लिए अधिक विशिष्ट विश्लेषण पाइपलाइन में विभाजित करने की अनुमति देता है।

वास्तव में हम सुपरवाइज़्ड और अनसुपरवाइज़्ड दोनों ML को साथ में उपयोग करते हैं—अनसुपरवाइज़्ड लर्निंग परिदृश्य को समझने के लिए और सुपरवाइज़्ड विधियों से सटीक डिटेक्शन क्षमताएँ बनाने के लिए। यह संयोजन केवल पारंपरिक नियम-आधारित सिस्टम पर निर्भर रहने से बेहतर काम करता है।

क्या आप एक उदाहरण साझा कर सकते हैं जहाँ क्लस्टरिंग ने ऐसी नई वर्ग की कमजोरियों को उजागर किया जो पहले ऑडिट या सुरक्षा समीक्षाओं में पहचानी नहीं गई थीं?

क्लस्टरिंग वास्तव में नई वर्ग की कमजोरियों को शून्य से नहीं बनाती—यह मौजूदा डेटा को लेती है और उसे सार्थक तरीकों से समूहित करती है। हमारा डेटा वास्तविक दुनिया के ऑन-चेन एक्सप्लॉइट्स, सार्वजनिक कमजोरी रिपोर्टों, और अन्य स्मार्ट कॉन्ट्रैक्ट बग स्रोतों से आता है।

अनसुपरवाइज़्ड लर्निंग जो वास्तव में अच्छी तरह करती है वह है मौजूदा कमजोरी वर्गों को समझने के तरीके को परिष्कृत करना। यह विभिन्न कमजोरियों के बीच पैटर्न और कनेक्शन को पहचानती है जो अन्यथा अनदेखी रह सकते हैं, जिससे हम बेहतर डिटेक्शन विधियाँ बना सकते हैं।

इस पैटर्न पहचान और डेटा समूहबद्धता के माध्यम से, हमने अधिक सूक्ष्म मॉडल बनाए हैं जो ज्ञात कमजोरी प्रकारों के सूक्ष्म विविधताओं को पकड़ सकते हैं, न कि पूरी तरह नई वर्ग की कमजोरियों की खोज करना।

Octane किन किन किनारे मामलों को कैसे संभालता है जहाँ कोई कमजोरी टैक्सोनॉमी में मौजूदा वर्गों में स्पष्ट रूप से फिट नहीं होती?

हम अपनी टैक्सोनॉमी को जितना विशिष्ट बनाते हैं और जितना सामान्य, उसका संतुलन बनाने की कोशिश करते हैं। जितनी अधिक सामान्य हमारी श्रेणियाँ और मॉडल होते हैं, उतनी ही बेहतर हम उन अजीब किनारे मामलों को पकड़ सकते हैं जो कहीं भी ठीक से फिट नहीं होते। लेकिन अधिक विशिष्ट श्रेणियाँ उपयोगकर्ताओं को बेहतर व्याख्याएँ देती हैं और हमें ज्ञात बग प्रकारों को अधिक लगातार पकड़ने देती हैं।

जब हमें ऐसी कमजोरियों का सामना करना पड़ता है जिन्हें Octane मिस करता है या जो हमारी मौजूदा श्रेणियों से स्पष्ट रूप से मेल नहीं खातीं, तो हम देखते हैं कि क्या हमें उस कमजोरी के बारे में अधिक डेटा मौजूदा मॉडल में जोड़ना चाहिए, या भविष्य में उस प्रकार के बग को पकड़ने के लिए एक पूरी नई मॉडल बनानी चाहिए।

यह लचीला दृष्टिकोण हमें अपनी डिटेक्शन क्षमताओं को निरंतर सुधारने देता है, साथ ही एक ऐसा फ्रेमवर्क बनाए रखता है जो उपयोगकर्ताओं के लिए समझ में आता है।

हजारों बगों का विश्लेषण करने के बाद, स्मार्ट कॉन्ट्रैक्ट कमजोरियों में कौन से दोहराव वाले पैटर्न या मूल कारण प्रमुख रूप से उभरे हैं?

हमने कई कठिन पैटर्न बार-बार देखे हैं। री-एंट्रेंसी अभी भी स्मार्ट कॉन्ट्रैक्ट्स में एक प्रमुख समस्या है। एक और बड़ी श्रेणी इस तथ्य से आती है कि लेनदेन मेमपूल में सार्वजनिक रूप से दिखाई देते हैं, जिससे ऐसी कमजोरियां बनती हैं जहाँ हमलावर पेंडिंग लेनदेन देख सकते हैं और जानकारी चुरा सकते हैं या लेनदेन को विफल कर सकते हैं—जिसे लोग फ्रंट-रनिंग कहते हैं, हालांकि यह कई विभिन्न तरीकों से होता है।

हमने कई गंभीर कमजोरियों को भी पाया है जो सरल डेवलपर गलतियों से आती हैं। इन्हें पहले व्यापक रूप से “लॉजिक एरर” कहा जाता था, लेकिन यह बहुत अस्पष्ट है। एक सामान्य गलती जो हम देखते हैं वह है डेवलपर्स का कुछ कोड पाथ में स्टेट वेरिएबल्स को अपडेट करना भूल जाना जहाँ उन्हें वास्तव में अपडेट करना चाहिए।

ये सिर्फ कुछ उदाहरण हैं—हमारे पास सभी बगों का एक बहुत अधिक विस्तृत निजी विश्लेषण है जिसे हमने अपने डेटा विश्लेषण प्रयासों के माध्यम से विकसित किया है।

स्मार्ट कॉन्ट्रैक्ट्स विभिन्न इकोसिस्टम और भाषाओं में बहुत विविध होते हैं। Octane कैसे सुनिश्चित करता है कि उसके मॉडल इन विविध परिवेशों में प्रभावी बने रहें?

कई कमजोरियां सामान्य पैटर्न का अनुसरण करती हैं चाहे भाषा या इकोसिस्टम कुछ भी हो। यह हमें ऐसे मॉडल बनाने की अनुमति देता है जो विभिन्न कोडबेस में इन कमजोरियों को प्रभावी रूप से पहचान सकें।

हम अपने मॉडलों को इस तरह डिजाइन करते हैं कि वे बुनियादी सुरक्षा सिद्धांतों पर ध्यान केंद्रित करें जो स्मार्ट कॉन्ट्रैक्ट सिस्टम में व्यापक रूप से लागू होते हैं, साथ ही विभिन्न भाषाओं की विशिष्ट विशेषताओं को ध्यान में रखें। यह दृष्टिकोण हमें विभिन्न पर्यावरणों में प्रभावी रहने में मदद करता है बिना प्रत्येक नई भाषा के लिए सब कुछ पुनः बनाना पड़े।

सतही विवरणों के बजाय कमजोरियों के मूल पैटर्न पर ध्यान केंद्रित करके, हमने ऐसे मॉडल बनाए हैं जो स्मार्ट कॉन्ट्रैक्ट विकास की विविध दुनिया के अनुकूल हो सकते हैं।

AI-आधारित सुरक्षा टूल अक्सर व्याख्यात्मकता के बारे में संदेह का सामना करते हैं। Octane कैसे सुनिश्चित करता है कि कमजोरी वर्गीकरण और अलर्ट डेवलपर्स के लिए कार्रवाई योग्य हों?

हमने अपनी बैक-एंड वैलिडेशन प्रक्रिया में बहुत काम किया है ताकि अतिरिक्त जांचों के माध्यम से कमजोरियों की पुष्टि की जा सके। 

हम अपने निष्कर्षों को सावधानीपूर्वक क्रमबद्ध करते हैं ताकि महत्वपूर्ण कमजोरियों (जो वास्तव में कोडबेस को प्रभावित कर सकती हैं) को कम गंभीर मुद्दों या सर्वोत्तम प्रथाओं को दर्शाने वाले चेतावनियों से अलग किया जा सके। यह वर्गीकरण डेवलपर्स को सबसे महत्वपूर्ण चीज़ों पर ध्यान केंद्रित करने में मदद करता है।

हमारा UI सरल और स्पष्ट होने के लिए डिज़ाइन किया गया है, सबसे गंभीर मुद्दों को उजागर करता है ताकि उन्हें तुरंत ध्यान मिले न कि कम महत्वपूर्ण अलर्ट्स की भीड़ में दबा दिया जाए। स्पष्ट व्याख्याएँ प्रदान करके और कार्रवाई योग्य चीज़ों पर ध्यान केंद्रित करके, हम सुनिश्चित करते हैं कि डेवलपर्स जल्दी से हमारी खोजी गई कमजोरियों को समझें और उन्हें ठीक करें।

उत्कृष्ट साक्षात्कार के लिए धन्यवाद, जो पाठक अधिक जानना चाहते हैं उन्हें Octane Security पर जाना चाहिए।