Giovanni Vignone, CEO e Fundador da Octane Security – Série de Entrevistas

Giovanni Vignone, CEO e Fundador da Octane Security, lançou a empresa em 2022 para enfrentar a crescente necessidade de cibersegurança proativa no Web3. Com apenas 22 anos, ele se propôs a construir uma plataforma alimentada por IA que funciona como um engenheiro de segurança 24/7 — analisando bases de código de contratos inteligentes em tempo real, integrando diretamente aos pipelines CI/CD e detectando vulnerabilidades que auditorias tradicionais frequentemente deixam passar.

Nesta conversa, exploramos a missão da Octane de incorporar detecção contínua e explicável de vulnerabilidades ao ciclo de vida do desenvolvimento de software — e o que é necessário para proteger o futuro dos contratos inteligentes.

O que inspirou a decisão de deixar a Duke e construir a Octane em tempo integral? Houve um momento específico que esclareceu a oportunidade?

Durante o meu terceiro ano na Duke, obtive acesso beta antecipado à plataforma da OpenAI e comecei a experimentar grandes modelos de linguagem em contratos inteligentes no cripto. Os resultados realmente abriram meus olhos para o que era possível.

Houve um momento específico que se destaca. Eu inseri um contrato inteligente na interface de chat e pedi que encontrasse quaisquer problemas. Os resultados precisavam de ajustes, mas eu pude ver imediatamente o enorme potencial de usar LLMs para identificar vulnerabilidades difíceis de encontrar. Isso foi em março de 2023.

Isso aconteceu ao mesmo tempo em que eu via todos esses hacks e explorações ocorrendo em toda a indústria. Percebi que havia uma necessidade urgente de corrigir esses problemas de segurança, e esses modelos nos deram uma maneira única de enfrentá‑los. Percebi que era o momento certo para apostar tudo na Octane.

Quais foram alguns dos maiores desafios técnicos ou operacionais ao levar a Octane do conceito à adoção por grandes empresas de cripto?

O maior desafio técnico foi descobrir como identificar vulnerabilidades e mostrá‑las aos usuários de maneira que eles realmente pudessem utilizá‑las. Isso foi muito difícil porque as vulnerabilidades não são preto e branco — elas têm múltiplas dimensões.

Quando analisamos uma vulnerabilidade potencial, precisamos considerar várias coisas: qual é o impacto (alguém poderia perder dinheiro ou estado importante?), quão fácil é explorá‑la, o que pode ser feito para corrigi‑la e o que está causando o problema inicialmente. Gerenciar todos esses aspectos simultaneamente e apresentá‑los de forma clara exigiu muito trabalho.

Investimos muito esforço em transformar cada um desses componentes em produtos, para que os clientes pudessem usar a Octane para encontrar vulnerabilidades, entender rapidamente a gravidade delas e começar a corrigi‑las imediatamente. Construir sistemas que pudessem detectar consistentemente esses problemas em diferentes bases de código exigiu tanto conhecimento técnico quanto uma grande quantidade de dados sobre todos os tipos de vulnerabilidades.

A Octane pretende funcionar como um engenheiro de segurança de IA incorporado em cada equipe de desenvolvimento. Quais marcos são necessários para realizar plenamente esse objetivo em toda a indústria?

Nosso primeiro grande marco é mudar a forma como os desenvolvedores pensam sobre segurança — fazê‑los incorporá‑la desde o primeiro dia, em vez de adicioná‑la algumas semanas antes do lançamento. Isso significa mostrar que começar com segurança realmente economiza tempo, permitindo que eles corrijam problemas mais cedo.

Também precisamos ajudar os usuários a ver e entender o que acontece quando detectam vulnerabilidades cedo, para que possam experimentar os benefícios diretamente.

Do lado do produto, precisamos suportar mais linguagens além de Solidity — outras linguagens de contratos inteligentes e, eventualmente, linguagens de programação convencionais também. Estamos sempre trabalhando para melhorar nossos modelos em termos de precisão e para detectar mais tipos de vulnerabilidades.

Como a plataforma evoluirá para enfrentar ameaças complexas que não são baseadas em código, como phishing ou explorações baseadas em malware?

Na verdade, já lidamos com algumas dessas ameaças hoje. Nós sinalizamos riscos de centralização, o que ajuda as equipes a saber quais chaves privadas e funções são especialmente sensíveis.

Também detectamos padrões comuns de phishing em contratos inteligentes, como quando alguém usa tx.origin para lógica de verificação de chamador, o que pode levar a ataques de phishing. Garantimos apontar isso aos usuários.

No momento, a Octane funciona principalmente como uma ferramenta de segurança pré‑implantação, em vez de algo que detecta ameaças em tempo real. Nosso plano é continuar expandindo o que podemos detectar antes que o código entre em produção, oferecendo aos desenvolvedores as ferramentas para corrigir problemas potenciais antes que se tornem ataques reais.

O que torna o aprendizado de máquina não supervisionado — especificamente o clustering — uma abordagem mais eficaz para classificar vulnerabilidades de contratos inteligentes do que os sistemas tradicionais baseados em regras?

O aprendizado de máquina não supervisionado realmente nos ajudou a mapear quais tipos de bugs existem. Embora ainda utilizemos técnicas baseadas em regras para construir nossos modelos supervisionados, o aprendizado não supervisionado, especialmente o clustering, nos ajuda a descobrir quais modelos devemos construir e como priorizá‑los.

Essa abordagem nos permite dividir nossos modelos em pipelines de análise mais especializados para diferentes tipos de vulnerabilidade.

Na verdade, usamos aprendizado supervisionado e não supervisionado juntos — aprendizado não supervisionado para entender o panorama e métodos supervisionados para construir capacidades de detecção precisas. Essa combinação funciona melhor do que confiar apenas em sistemas tradicionais baseados em regras.

Você pode compartilhar um exemplo em que o clustering revelou uma nova classe de vulnerabilidades que não havia sido reconhecida anteriormente em auditorias ou revisões de segurança?

O clustering não cria realmente novas categorias de vulnerabilidades do zero — ele pega dados existentes e os agrupa de maneiras significativas. Nossos dados vêm de exploits on‑chain do mundo real, relatórios públicos de vulnerabilidades e outras fontes de bugs de contratos inteligentes.

O que o aprendizado não supervisionado faz muito bem é nos ajudar a refinar a forma como entendemos as categorias de vulnerabilidades existentes. Ele identifica padrões e conexões entre diferentes vulnerabilidades que poderiam passar despercebidos, o que nos permite criar melhores métodos de detecção.

Por meio desse reconhecimento de padrões e agrupamento de dados, criamos modelos mais sutis que podem detectar variações discretas de tipos de vulnerabilidades conhecidos, em vez de descobrir classes totalmente novas de vulnerabilidades.

Como a Octane lida com casos extremos em que uma vulnerabilidade não se encaixa claramente nas categorias existentes dentro da taxonomia?

Tentamos equilibrar o quão específicas versus gerais tornamos nossa taxonomia. Quanto mais gerais forem nossas categorias e modelos, melhor conseguiremos capturar casos extremos estranhos que não se encaixam perfeitamente em nenhum lugar. Mas categorias mais específicas fornecem explicações melhores aos usuários e nos permitem detectar tipos de bugs conhecidos de forma mais consistente.

Quando nos deparamos com vulnerabilidades que a Octane perde ou que não correspondem claramente às nossas categorias existentes, analisamos se devemos adicionar mais dados sobre essa vulnerabilidade a um modelo existente ou se precisamos criar um modelo completamente novo para detectar esse tipo de bug no futuro.

Essa abordagem flexível nos permite continuar aprimorando nossas capacidades de detecção, ao mesmo tempo em que mantemos uma estrutura que faz sentido para os usuários.

Após analisar milhares de bugs, quais padrões recorrentes ou causas raízes se destacaram nas vulnerabilidades de contratos inteligentes?

Observamos vários padrões difíceis surgirem repetidamente. Reentrância ainda é um grande problema em contratos inteligentes. Outra categoria importante decorre do fato de que as transações são publicamente visíveis no mempool, o que cria vulnerabilidades onde atacantes podem ver transações pendentes e roubar informações ou fazer com que transações falhem — o que as pessoas chamam de front‑running, embora ocorra de várias maneiras.

Também encontramos muitas vulnerabilidades críticas que surgem de erros simples dos desenvolvedores. Antes eram amplamente chamadas de “erros de lógica”, mas isso é muito vago. Um erro comum que vemos é desenvolvedores esquecerem de atualizar variáveis de estado em certos caminhos de código onde realmente precisam fazê‑lo.

Estes são apenas alguns exemplos — temos uma análise privada muito mais detalhada de todos os bugs que desenvolvemos por meio de nossos esforços de análise de dados.

Os contratos inteligentes variam amplamente entre ecossistemas e linguagens. Como a Octane garante que seus modelos permaneçam eficazes nesses ambientes diversos?

Muitas vulnerabilidades seguem padrões comuns independentemente da linguagem ou ecossistema específico. Isso nos permite construir modelos que podem detectar efetivamente essas vulnerabilidades em diferentes bases de código.

Projetamos nossos modelos para focar nos princípios básicos de segurança que se aplicam amplamente a sistemas de contratos inteligentes, ao mesmo tempo em que consideramos as características específicas de diferentes linguagens. Essa abordagem nos ajuda a permanecer eficazes em vários ambientes sem precisar reconstruir tudo para cada nova linguagem.

Ao focar nos padrões centrais das vulnerabilidades em vez de detalhes superficiais, construímos modelos que podem se adaptar ao mundo diverso do desenvolvimento de contratos inteligentes.

Ferramentas de segurança baseadas em IA frequentemente enfrentam ceticismo quanto à explicabilidade. Como a Octane garante que as classificações e alertas de vulnerabilidades sejam acionáveis para os desenvolvedores?

Investimos muito trabalho em nosso processo de validação de back‑end para verificar vulnerabilidades por meio de verificações adicionais. 

Classificamos cuidadosamente nossas descobertas para separar vulnerabilidades críticas (que podem realmente impactar a base de código) de questões menos graves ou avisos que representam boas práticas. Essa categorização ajuda os desenvolvedores a focar no que mais importa.

Nossa interface de usuário foi projetada para ser simples e clara, destacando os problemas mais graves para que recebam atenção imediata, em vez de ficarem enterrados em um conjunto de alertas menos importantes. Ao fornecer explicações claras e focar no que é acionável, garantimos que os desenvolvedores possam entender rapidamente e corrigir as vulnerabilidades que encontramos.

Obrigado pela ótima entrevista, leitores que desejam saber mais devem visitar a Octane Security.