Giovanni Vignone, CEO & Pendiri Octane Security – Seri Wawancara

Giovanni Vignone, CEO dan Pendiri Octane Security, meluncurkan perusahaan pada 2022 untuk mengatasi kebutuhan yang semakin meningkat akan keamanan siber proaktif di Web3. Pada usia 22, ia bertekad membangun platform berbasis AI yang berfungsi seperti insinyur keamanan 24/7—menganalisis basis kode kontrak pintar secara real time, terintegrasi langsung ke pipeline CI/CD, dan menangkap kerentanan yang sering terlewatkan oleh audit tradisional.

Dalam percakapan ini, kami mengeksplorasi misi Octane untuk menyematkan deteksi kerentanan yang berkelanjutan dan dapat dijelaskan ke dalam siklus hidup pengembangan perangkat lunak—dan apa yang diperlukan untuk mengamankan masa depan smart contracts.

Apa yang menginspirasi keputusan untuk meninggalkan Duke dan membangun Octane secara penuh waktu? Apakah ada momen khusus yang memperjelas peluang tersebut?

Selama tahun junior saya di Duke, saya mendapatkan akses beta awal ke platform OpenAI dan mulai bereksperimen dengan model bahasa besar pada kontrak pintar di crypto. Hasilnya benar-benar membuka mata saya tentang apa yang mungkin.

Ada satu momen khusus yang menonjol. Saya memasukkan kontrak pintar ke antarmuka obrolan dan memintanya menemukan masalah apa pun. Hasilnya masih perlu perbaikan, tetapi saya langsung melihat potensi besar penggunaan LLM untuk menemukan kerentanan yang sulit ditemukan. Ini terjadi pada Maret 2023.

Hal ini terjadi bersamaan dengan saya melihat semua peretasan dan eksploitasi yang terjadi di seluruh industri. Saya menyadari ada kebutuhan mendesak untuk memperbaiki masalah keamanan ini, dan model-model tersebut memberi kami cara unik untuk menanganinya. Saya langsung menyadari bahwa ini adalah waktu yang tepat untuk berkomitmen penuh pada Octane.

Apa saja tantangan teknis atau operasional terbesar dalam mengubah Octane dari konsep menjadi diadopsi oleh perusahaan crypto besar?

Tantangan teknis terbesar adalah menemukan cara mengidentifikasi kerentanan dan menampilkannya kepada pengguna dengan cara yang dapat mereka gunakan. Ini sangat sulit karena kerentanan tidak bersifat hitam putih—mereka memiliki banyak dimensi.

Ketika kami melihat potensi kerentanan, kami harus mempertimbangkan beberapa hal: apa dampaknya (apakah seseorang dapat kehilangan uang atau status penting?), seberapa mudah dieksploitasi, apa yang dapat dilakukan untuk memperbaikinya, dan apa penyebab masalah tersebut. Menangani semua aspek ini sekaligus dan menyajikannya secara jelas membutuhkan banyak kerja.

Kami menghabiskan banyak upaya untuk memproduksi setiap komponen ini sehingga pelanggan dapat menggunakan Octane untuk menemukan kerentanan, dengan cepat memahami seberapa seriusnya, dan segera memperbaikinya. Membangun sistem yang dapat secara konsisten menemukan masalah ini di berbagai basis kode memerlukan keahlian teknis serta banyak data tentang semua jenis kerentanan.

Octane bertujuan berfungsi seperti insinyur keamanan AI yang terintegrasi dalam setiap tim pengembang. Milestone apa yang diperlukan untuk mewujudkan tujuan tersebut secara penuh di seluruh industri?

Milestone besar pertama kami adalah mengubah cara pengembang memikirkan keamanan—membuat mereka membangunnya sejak hari pertama alih-alih menambahkannya beberapa minggu sebelum peluncuran. Ini berarti menunjukkan kepada mereka bahwa memulai dengan keamanan sebenarnya menghemat waktu dengan memungkinkan mereka memperbaiki masalah lebih awal.

Kami juga perlu membantu pengguna melihat dan memahami apa yang terjadi ketika mereka menemukan kerentanan lebih awal, sehingga mereka dapat merasakan manfaatnya secara langsung.

Di sisi produk, kami perlu mendukung lebih banyak bahasa selain Solidity—bahasa kontrak pintar lainnya dan akhirnya bahasa pemrograman umum juga. Kami terus bekerja meningkatkan akurasi model kami dan menangkap lebih banyak jenis kerentanan.

Bagaimana platform akan berkembang untuk menangani ancaman kompleks yang bukan berbasis kode seperti phishing atau eksploitasi berbasis malware?

Sebenarnya kami sudah menangani beberapa ancaman ini saat ini. Kami menandai risiko sentralisasi, yang membantu tim mengetahui kunci pribadi dan peran mana yang sangat sensitif.

Kami juga menangkap pola phishing umum dalam kontrak pintar, seperti ketika seseorang menggunakan tx.origin untuk logika verifikasi pemanggil, yang dapat menyebabkan serangan phishing. Kami memastikan untuk menunjukkan hal ini kepada pengguna.

Saat ini, Octane terutama berfungsi sebagai alat keamanan pra-deployment daripada sesuatu yang menangkap ancaman secara real-time. Rencana kami adalah terus memperluas apa yang dapat kami deteksi sebelum kode dipublikasikan, memberikan pengembang alat untuk memperbaiki potensi masalah sebelum menjadi serangan nyata.

Apa yang membuat pembelajaran mesin tak terawasi—khususnya clustering—menjadi pendekatan yang lebih efektif untuk mengklasifikasikan kerentanan kontrak pintar dibandingkan sistem berbasis aturan tradisional?

Pembelajaran mesin tak terawasi sangat membantu kami memetakan jenis bug yang ada. Meskipun kami masih menggunakan teknik berbasis aturan untuk membangun model terawasi, pembelajaran tak terawasi, terutama clustering, membantu kami menentukan model mana yang harus dibangun dan bagaimana memprioritaskannya.

Pendekatan ini memungkinkan kami memecah model menjadi pipeline analisis yang lebih khusus untuk berbagai jenis kerentanan..

Kami sebenarnya menggunakan pembelajaran terawasi dan tak terawasi bersama—pembelajaran tak terawasi untuk memahami lanskap dan metode terawasi untuk membangun kemampuan deteksi yang tepat. Kombinasi ini bekerja lebih baik daripada hanya mengandalkan sistem berbasis aturan tradisional saja.

Bisakah Anda berbagi contoh di mana clustering mengungkap kelas baru kerentanan yang sebelumnya tidak diakui dalam audit atau tinjauan keamanan?

Clustering sebenarnya tidak menciptakan kategori baru kerentanan dari nol—ia mengambil data yang ada dan mengelompokkannya secara bermakna. Data kami berasal dari eksploitasi on-chain dunia nyata, laporan kerentanan publik, dan sumber lain dari bug kontrak pintar.

Apa yang dilakukan pembelajaran tak terawasi dengan sangat baik adalah membantu kami memperbaiki pemahaman tentang kategori kerentanan yang ada. Ia menemukan pola dan hubungan antara kerentanan yang berbeda yang mungkin terlewatkan, sehingga memungkinkan kami membangun metode deteksi yang lebih baik.

Melalui pengenalan pola dan pengelompokan data ini, kami telah menciptakan model yang lebih halus yang dapat menangkap variasi halus dari jenis kerentanan yang sudah dikenal, alih-alih menemukan kelas baru kerentanan secara keseluruhan.

Bagaimana Octane menangani kasus tepi di mana kerentanan tidak jelas masuk ke dalam kategori yang ada dalam taksonomi?

Kami berusaha menyeimbangkan antara spesifik dan umum dalam taksonomi kami. Semakin umum kategori dan model kami, semakin baik kami dapat menangkap kasus tepi yang aneh yang tidak cocok di mana pun. Namun, kategori yang lebih spesifik memberikan penjelasan yang lebih baik kepada pengguna dan memungkinkan kami menangkap jenis bug yang dikenal secara lebih konsisten.

Ketika kami menemukan kerentanan yang terlewat oleh Octane atau yang tidak jelas cocok dengan kategori yang ada, kami menilai apakah perlu menambahkan lebih banyak data tentang kerentanan tersebut ke model yang ada, atau apakah kami harus membuat model baru sepenuhnya untuk menangkap jenis bug itu di masa depan.

Pendekatan fleksibel ini memungkinkan kami terus meningkatkan kemampuan deteksi sambil mempertahankan kerangka kerja yang masuk akal bagi pengguna.

Setelah menganalisis ribuan bug, pola atau penyebab utama apa yang berulang muncul di seluruh kerentanan kontrak pintar?

Kami telah melihat beberapa pola sulit muncul berulang-ulang. Reentrancy masih menjadi masalah utama dalam kontrak pintar. Kategori besar lainnya berasal dari fakta bahwa transaksi terlihat secara publik di mempool, yang menciptakan kerentanan di mana penyerang dapat melihat transaksi yang menunggu dan mencuri informasi atau menyebabkan transaksi gagal—yang disebut front-running, meskipun terjadi dalam berbagai cara.

Kami juga menemukan banyak kerentanan kritis yang berasal dari kesalahan sederhana pengembang. Ini dulu secara umum disebut “logic errors,” tetapi terlalu samar. Kesalahan umum yang kami lihat adalah pengembang lupa memperbarui variabel state pada jalur kode tertentu yang memang memerlukannya.

Ini hanya beberapa contoh—kami memiliki rincian pribadi yang jauh lebih detail tentang semua bug yang telah kami kembangkan melalui upaya analisis data kami.

Kontrak pintar sangat bervariasi di seluruh ekosistem dan bahasa. Bagaimana Octane memastikan modelnya tetap efektif di berbagai lingkungan ini?

Banyak kerentanan mengikuti pola umum terlepas dari bahasa atau ekosistem tertentu. Hal ini memungkinkan kami membangun model yang dapat secara efektif menemukan kerentanan ini di berbagai basis kode.

Kami merancang model kami untuk fokus pada prinsip keamanan dasar yang berlaku secara luas di seluruh sistem kontrak pintar, sambil memperhitungkan fitur spesifik dari berbagai bahasa. Pendekatan ini membantu kami tetap efektif di berbagai lingkungan tanpa harus membangun ulang semuanya untuk setiap bahasa baru.

Dengan fokus pada pola inti kerentanan daripada detail permukaan, kami telah membangun model yang dapat beradaptasi dengan dunia pengembangan kontrak pintar yang beragam.

Alat keamanan berbasis AI sering menghadapi skeptisisme terkait keterjelasan. Bagaimana Octane memastikan bahwa klasifikasi kerentanan dan peringatan dapat ditindaklanjuti oleh pengembang?

Kami telah menghabiskan banyak kerja pada proses validasi back-end kami untuk memverifikasi kerentanan melalui pemeriksaan tambahan. 

Kami dengan cermat menyortir temuan kami untuk memisahkan kerentanan kritis (yang benar-benar dapat memengaruhi basis kode) dari masalah yang kurang parah atau peringatan yang mewakili praktik terbaik. Kategorisasi ini membantu pengembang fokus pada hal yang paling penting.

UI kami dirancang sederhana dan jelas, menyoroti masalah paling serius sehingga mereka mendapatkan perhatian segera alih-alih terkubur di antara banyak peringatan yang kurang penting. Dengan memberikan penjelasan yang jelas dan fokus pada apa yang dapat ditindaklanjuti, kami memastikan pengembang dapat dengan cepat memahami dan memperbaiki kerentanan yang kami temukan.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin belajar lebih lanjut sebaiknya mengunjungi Octane Security.