Giovanni Vignone, CEO & Oprichter van Octane Security – Interviewreeks

Giovanni Vignone, CEO en Oprichter van Octane Security, lanceerde het bedrijf in 2022 om de groeiende behoefte aan proactieve cyberbeveiliging in Web3 aan te pakken. Op slechts 22, zette hij zich in om een AI-aangedreven platform te bouwen dat fungeert als een 24/7 beveiligingsingenieur—die smart contract codebases in realtime analyseert, direct integreert in CI/CD-pijplijnen, en kwetsbaarheden vangt die traditionele audits vaak missen.

In dit gesprek verkennen we Octane’s missie om continue, uitlegbare kwetsbaarheidsdetectie in de softwareontwikkelingslevenscyclus te integreren—en wat er nodig is om de toekomst van smart contracts te beveiligen.

Wat inspireerde de beslissing om Duke te verlaten en Octane fulltime op te bouwen? Was er een specifiek moment dat de kans verduidelijkte?

Tijdens mijn juniorjaar aan Duke kreeg ik vroege bèta-toegang tot het platform van OpenAI en begon ik te experimenteren met grote taalmodellen op smart contracts in crypto. De resultaten openden echt mijn ogen voor wat mogelijk was.

Er was één specifiek moment dat eruit springt. Ik voerde een smart contract in de chatinterface in en vroeg het om eventuele problemen te vinden. De resultaten hadden nog werk nodig, maar ik zag meteen het enorme potentieel van het gebruik van LLM’s om moeilijk te vinden kwetsbaarheden te detecteren. Dit was in maart 2023.

Dit gebeurde rond dezelfde tijd dat ik al deze hacks en exploits door de hele industrie heen zag. Ik realiseerde me dat er een dringende behoefte was om deze beveiligingsproblemen op te lossen, en deze modellen boden ons een unieke manier om ze aan te pakken. Het klikte dat dit het juiste moment was om volledig in te zetten op Octane.

Wat waren enkele van de grootste technische of operationele uitdagingen bij het overzetten van Octane van concept naar adoptie door grote crypto‑bedrijven?

De grootste technische uitdaging was uitzoeken hoe we kwetsbaarheden konden identificeren en aan gebruikers konden tonen op een manier die ze daadwerkelijk konden gebruiken. Dit was erg moeilijk omdat kwetsbaarheden niet zwart-wit zijn – ze hebben meerdere dimensies.

Wanneer we naar een potentiële kwetsbaarheid kijken, moeten we verschillende zaken overwegen: wat is de impact (kan iemand geld of belangrijke status verliezen?), hoe gemakkelijk is het te exploiteren, wat kan er gedaan worden om het te verhelpen, en wat veroorzaakt het probleem in de eerste plaats. Het tegelijk behandelen van al deze aspecten en ze duidelijk presenteren vergde veel werk.

We hebben enorm veel moeite gestoken in het productiseren van elk van deze componenten zodat klanten Octane kunnen gebruiken om kwetsbaarheden te vinden, snel begrijpen hoe ernstig ze zijn, en ze meteen kunnen verhelpen. Het bouwen van systemen die consistent deze problemen kunnen detecteren in verschillende codebases vereiste zowel technische expertise als veel data over allerlei soorten kwetsbaarheden.

Octane streeft ernaar te functioneren als een AI‑beveiligingsingenieur die in elk dev‑team is ingebed. Welke mijlpalen zijn nodig om dat doel volledig te realiseren in de hele industrie?

Onze eerste grote mijlpaal is het veranderen van de manier waarop ontwikkelaars over beveiliging denken – ze vanaf dag één laten bouwen in plaats van het enkele weken voor de lancering toe te voegen. Dit betekent dat we hen laten zien dat beginnen met beveiliging daadwerkelijk tijd bespaart doordat ze problemen eerder kunnen oplossen.

We moeten gebruikers ook helpen zien en begrijpen wat er gebeurt wanneer ze kwetsbaarheden vroegtijdig opsporen, zodat ze de voordelen zelf kunnen ervaren.

Aan de productkant moeten we meer talen ondersteunen naast alleen Solidity – andere smart contract‑talen en uiteindelijk ook reguliere programmeertalen. We werken voortdurend aan het verbeteren van onze modellen op het gebied van nauwkeurigheid en het detecteren van meer soorten kwetsbaarheden.

Hoe zal het platform zich ontwikkelen om complexe, niet‑code‑gebaseerde bedreigingen zoals phishing of malware‑exploits aan te pakken?

We handelen deze bedreigingen al vandaag. We markeren centralisatierisico’s, wat teams helpt te weten welke privésleutels en rollen bijzonder gevoelig zijn.

We vangen ook veelvoorkomende phishing‑patronen in smart contracts, zoals wanneer iemand tx.origin gebruikt voor verificatielogica van de aanroeper, wat kan leiden tot phishing‑aanvallen. We zorgen ervoor dat we deze aan gebruikers aanwijzen.

Op dit moment werkt Octane voornamelijk als een pre‑deployment beveiligingsinstrument in plaats van iets dat bedreigingen in realtime detecteert. Ons plan is om te blijven uitbreiden wat we kunnen detecteren voordat code live gaat, zodat ontwikkelaars de tools hebben om potentiële problemen op te lossen voordat ze echte aanvallen worden.

Wat maakt unsupervised machine learning—specifiek clustering—een effectievere aanpak voor het classificeren van smart contract‑kwetsbaarheden dan traditionele regelgebaseerde systemen?

Unsupervised machine learning heeft ons echt geholpen om in kaart te brengen welke soorten bugs er bestaan. Hoewel we nog steeds regelgebaseerde technieken gebruiken om onze supervised modellen te bouwen, helpt unsupervised learning, met name clustering, ons te bepalen welke modellen we moeten bouwen en hoe we ze moeten prioriteren.

Deze aanpak stelt ons in staat om onze modellen op te splitsen in meer gespecialiseerde analyse‑pijplijnen voor verschillende soorten kwetsbaarheden.

We gebruiken eigenlijk zowel supervised als unsupervised ML samen—unsupervised learning om het landschap te begrijpen en supervised methoden om precieze detectiemogelijkheden te bouwen. Deze combinatie werkt beter dan alleen vertrouwen op traditionele regelgebaseerde systemen.

Kun je een voorbeeld delen waarbij clustering een nieuwe klasse van kwetsbaarheden aan het licht bracht die eerder niet werd herkend in audits of beveiligingsreviews?

Clustering creëert niet echt nieuwe categorieën van kwetsbaarheden vanaf nul—het neemt bestaande data en groepeert deze op betekenisvolle manieren. Onze data komt van real‑world on‑chain exploits, openbare kwetsbaarheidsrapporten en andere bronnen van smart contract‑bugs.

Wat unsupervised learning echt goed doet, is ons helpen verfijnen hoe we bestaande kwetsbaarheidscategorieën begrijpen. Het ontdekt patronen en verbanden tussen verschillende kwetsbaarheden die anders onopgemerkt zouden blijven, waardoor we betere detectiemethoden kunnen bouwen.

Door deze patroonherkenning en datagroepering hebben we meer genuanceerde modellen gecreëerd die subtiele variaties van bekende kwetsbaarheidstypen kunnen detecteren, in plaats van volledig nieuwe klassen van kwetsbaarheden te ontdekken.

Hoe gaat Octane om met randgevallen waarbij een kwetsbaarheid niet duidelijk past binnen bestaande categorieën van de taxonomie?

We proberen een balans te vinden tussen hoe specifiek versus algemeen we onze taxonomie maken. Hoe algemener onze categorieën en modellen zijn, hoe beter we vreemde randgevallen kunnen opvangen die nergens netjes in passen. Maar meer specifieke categorieën geven gebruikers betere uitleg en laten ons bekende bug‑typen consistenter detecteren.

Wanneer we kwetsbaarheden tegenkomen die Octane mist of die niet duidelijk overeenkomen met onze bestaande categorieën, kijken we of we meer data over die kwetsbaarheid moeten toevoegen aan een bestaand model, of dat we een volledig nieuw model moeten creëren om dat type bug in de toekomst te detecteren.

Deze flexibele aanpak stelt ons in staat onze detectiemogelijkheden te blijven verbeteren terwijl we een raamwerk behouden dat logisch is voor gebruikers.

Na het analyseren van duizenden bugs, welke terugkerende patronen of oorzaken zijn er naar voren gekomen bij smart contract‑kwetsbaarheden?

We hebben verschillende hardnekkige patronen keer op keer gezien. Reentrancy blijft een groot probleem in smart contracts. Een andere grote categorie ontstaat doordat transacties publiekelijk zichtbaar zijn in de mempool, wat kwetsbaarheden creëert waarbij aanvallers pending transacties kunnen zien en informatie kunnen stelen of transacties kunnen laten mislukken—wat men front‑running noemt, hoewel het op vele manieren gebeurt.

We hebben ook veel kritieke kwetsbaarheden gevonden die voortkomen uit eenvoudige ontwikkelaarsfouten. Deze werden vroeger breed aangeduid als “logische fouten”, maar dat is te vaag. Een veelvoorkomende fout die we zien, is dat ontwikkelaars vergeten statusvariabelen bij te werken in bepaalde codepaden waar dat echt nodig is.

Dit zijn slechts enkele voorbeelden—we hebben een veel gedetailleerdere privé‑overzicht van alle bugs die we hebben ontwikkeld via onze data‑analyse‑inspanningen.

Smart contracts variëren sterk tussen ecosystemen en talen. Hoe zorgt Octane ervoor dat zijn modellen effectief blijven in deze diverse omgevingen?

Veel kwetsbaarheden volgen gemeenschappelijke patronen ongeacht de specifieke taal of het ecosysteem. Dit stelt ons in staat modellen te bouwen die deze kwetsbaarheden effectief kunnen opsporen in verschillende codebases.

We ontwerpen onze modellen om zich te richten op de basisbeveiligingsprincipes die breed toepasbaar zijn op smart contract‑systemen, terwijl we rekening houden met de specifieke kenmerken van verschillende talen. Deze aanpak helpt ons effectief te blijven in diverse omgevingen zonder alles opnieuw te hoeven bouwen voor elke nieuwe taal.

Door ons te concentreren op de kernpatronen van kwetsbaarheden in plaats van oppervlakkige details, hebben we modellen gebouwd die zich kunnen aanpassen aan de diverse wereld van smart contract‑ontwikkeling.

AI‑gebaseerde beveiligingstools worden vaak geconfronteerd met scepsis over uitlegbaarheid. Hoe zorgt Octane ervoor dat kwetsbaarheidsclassificaties en waarschuwingen bruikbaar zijn voor ontwikkelaars?

We hebben veel werk gestoken in ons back‑end validatieproces om kwetsbaarheden te verifiëren via aanvullende controles. 

We sorteren onze bevindingen zorgvuldig om kritieke kwetsbaarheden (die daadwerkelijk de codebase kunnen beïnvloeden) te scheiden van minder ernstige problemen of waarschuwingen die best practices vertegenwoordigen. Deze categorisatie helpt ontwikkelaars zich te concentreren op wat het belangrijkst is.

Onze UI is ontworpen om simpel en duidelijk te zijn, waarbij de ernstigste issues worden uitgelicht zodat ze onmiddellijke aandacht krijgen in plaats van te verdwijnen tussen een reeks minder belangrijke waarschuwingen. Door duidelijke uitleg te geven en te focussen op wat actie vereist, zorgen we ervoor dat ontwikkelaars de kwetsbaarheden die we vinden snel kunnen begrijpen en verhelpen.

Bedankt voor het geweldige interview, lezers die meer willen weten, kunnen een bezoek brengen aan Octane Security.