Miksi loimme Fabiuksen

AI-ohjelmoinnin innostuksesta tarpeeseen puolustautua

Fabiuksen lähtökohtana oli hyvin konkreettinen ongelma.

IT-asiantuntijana ja AI-avusteisen ohjelmistokehityksen harrastajana aloin havaita, kuinka nopeasti nykyään voi rakentaa tuotteen. AI-agentilla, modernilla IDE:llä, muutamalla avoimen lähdekoodin kirjastolla ja hyvillä ohjeilla voit luoda toiminnallisuuksia sellaisella vauhdilla, joka olisi ollut muutama vuosi sitten mahdotonta.

Mutta nopeudella on hintansa.

Koodikanta kasvaa nopeasti. Riippuvuudet lisääntyvät nopeasti. Kirjastot muuttuvat nopeasti. AI-agentit ehdottavat ratkaisuja, asentavat paketteja, muokkaavat tiedostoja, luovat määrityksiä ja joskus koskettavat herkkiä alueita ilman, että ehtisit tarkistaa jokaista yksityiskohtaa.

Aluksi ongelma näytti kurinpidon kysymykseltä: pitäisi tarkistaa tarkemmin, lukea enemmän, hallita paremmin mitä projektiin tulee.

Sitten ymmärsin, ettei kyse ollut enää kurinpidosta.

Kyse oli skaalasta.

Et voi tarkistaa manuaalisesti ekosysteemiä, joka muuttuu päivittäin

Joka viikko uusia hyökkäyksiä kohdistuu ohjelmistotoimitusketjuun. Osa kohdistuu suosittuihin paketteihin. Osa käyttää asennusskriptejä. Osa piiloutuu IDE:n määrityksiin, Git-hookkeihin, lock-tiedostoihin, AI-agenttien sääntöihin tai ohjelmoijan työnkulun näennäisen vaarattomiin mekanismeihin.

Glassworm. CanisterWorm. Axios supply chain RAT. IDE-työtilojen hyökkäykset. Kyselyinjektio. Tunnistetietojen varastaminen AI-työkalujen hyödyntämisen kautta.

Lista ei vähene.

Päinvastoin, se laajenee.

Ja tämä muuttaa olennaisesti kysymystä.

Ei riitä enää kysyä:

"Onko koodissani haavoittuvuuksia?"

Täytyy kysyä myös:

"Mitä tapahtuu koneellani ennen kuin tämä koodi päätyy repositoryyn, CI-putkeen tai tuotantoon?"

Minulle tämä oli ratkaiseva hetki.

Ymmärsin, etten voinut luottaa pelkästään SAST- tai SCA-työkaluihin, jotka suoritetaan Continuous Integrationissa. CI on tärkeä, mutta se tulee liian myöhään. Jos haitallinen paketti on jo asennettu, jos postinstall-skripti on jo suoritettu, jos AI-agentti on jo lisännyt vaarallisen määrityksen, jos kloonattu repository on jo laukaissut jotain IDE:ssä, ongelma ei enää ole pelkästään putkessa.

Ongelma on jo työasemalla.

Tarvitsin suojaa lähempänä sitä paikkaa, jossa riski alkaa: ohjelmoijan koneelta.

Reagoinnista ennaltaehkäisyyn

Ensimmäinen idea oli yksinkertainen: automatisoida suoja hyökkäyksiä vastaan, joita näin.

Jos hyökkäys hyödynsi vaarantuneita paketteja, tarvitsin eläviä mustalistoja ja esiasennus-hookkeja, jotka pysäyttävät asennuksen ennen kuin paketti päätyy projektiin.

Jos hyökkäys hyödynsi vaarallisia IDE-määrityksiä, tarvitsin paikallista havainnointia työtiloille, tehtäville, hookkeille ja piilotetuille suorituksille.

Jos hyökkäys perustui haitallisiin ohjeisiin AI- agenteille, tarvitsin selkeitä sääntöjä, jotka kertovat agenteille, mitä ne eivät saa tehdä.

Jos haavoittuvuus ilmaantui jo käytössä olevaan kirjastoon, tarvitsin vaikutusanalyysin, päivitysehdotuksia, selkeät diffit, testit ja linterit, jotka tarkistavat paitsi ongelman olemassaolon, myös sen, että korjaus pysyy pystyssä.

Lista kasvoi jatkuvasti.

Näin Fabius syntyi: ei suurena alustana, vaan kokoelmana puolustusmekanismeja, jotka luotiin tarpeesta suojautua päivittäisessä työssä.

Aluksi Fabius kattoi muutamia hyökkäystyyppejä. Sitten jokainen uusi tapaus toi oppitunnin. Jokainen oppitunti muuttui havainnoijaksi, säännöksi, suojaksi, testiksi, työnkuluksi tai automaatioksi.

Ajan myötä tuote kasvoi pelkän skannerin idean yli.

Se muuttui ohjelmoijien kyberturvallisuuspajaksi.

Miksi ohjelmoijat ovat tulleet ihanteellisiksi kohteiksi

Nykyaikaiset hyökkäykset eivät kohdistu enää pelkästään palvelimiin, altistuneisiin sovelluksiin tai pilvipalveluihin.

Ne kohdistuvat myös ohjelmoijiin.

Ohjelmoijalla on pääsy koodiin. Hänellä on tokenit. Hänellä on avaimet. Hänellä on pääsy rekistereihin, repositoryihin, putkiin, klustereihin, tuotteisiin, asiakkaisiin ja infrastruktuuriin. Monissa organisaatioissa yhden kehittäjän kone on yksi arvokkaimmista pääsypisteistä.

Ja nykyään ohjelmoija työskentelee nopeammin kuin koskaan.

Hän kloonaa repositoryita. Suorittaa asennuskomentoja. Avaa projekteja moderneissa IDEissä. Hyväksyy ehdotuksia AI- agenteilta. Testaa kirjastoja. Päivittää. Integroi työkaluja. Automatisoi työnkuluja.

Kaikki nopeasti.

Tämä luo valtavan hyökkäyspinnan.

Olen jopa nähnyt tilanteita, joissa yksinkertainen rekrytointiprosessi voi muuttua hyökkäysvektoriksi: saat repositoryn tekniseen testiin, kloonaat sen, avaat sen IDE:ssä, ja huomaamattasi paikallinen ympäristösi voi muuttua hyökkäyksen kohteeksi.

Tämä on uusi todellisuus.

Riskit eivät ala vasta, kun koodi päätyy tuotantoon.

Riskit voivat alkaa jo silloin, kun avaat kansion.

Fabius: suoja siellä, missä riski alkaa

Fabiuksen tarkoituksena on siirtää puolustus lähemmäs ohjelmoijaa.

Ei vasta commitin jälkeen.

Ei vasta CI:ssä.

Ei vasta, kun haavoittuvuus ilmenee raportissa.

Vaan ennen.

Ennen kuin ongelmallinen kirjasto asennetaan.

Ennen kuin AI-agentti lisää riskialttiin riippuvuuden.

Ennen kuin haitallinen repository hyödyntää IDE:n määritystä.

Ennen kuin vaarantunut paketti päätyy suoritettavaksi koneellesi.

Fabius tarkkailee turvalähteitä, luokittelee uhkia, generoi havainnointisääntöjä, skannaa paikallisia repositoryita ja ehdottaa korjauksia. Mutta tärkein osa sen filosofiaa on se, että se ei pysähdy havainnointiin.

Fabius haluaa estää.

Siksi se varustaa repositoryt puolustuskerroksilla, kuten:

• git-hookit;
• säännöt AI- agenteille;
• asennussuojat;
• linterit;
• turvallisuustestit;
• CI/CD-porteilla.

Ja jos uusi uhka ilmenee, Fabiuksen pitäisi auttaa sinua muuttamaan se nopeasti säännöksi, testiksi, korjaukseksi ja ennaltaehkäiseväksi mekanismiksi.

Tämä on filosofiaa koskeva muutos:

korjauksesta ennaltaehkäisyyn,
reagoinnista jatkuvaan valvontaan,
skannerista agenttiseen AI-turvallisuuspajaan.

Työkalusta turvallisuuspajaksi

Fabius ei ole pelkkä työkalu, joka kertoo sinulle, että sinulla on ongelma.

Se on alusta, jonka avulla voit luoda omia analyysi-, havainnointi- ja korjausmekanismejasi.

Voit aloittaa ideasta, uudesta hyökkäyksestä, varoituksesta, epäilyttävästä paketista tai turvallisuusohjeesta, jonka haluat ottaa käyttöön projekteissasi. Fabius auttaa sinua muuttamaan tuon idean analysoijaksi, skanneriksi, testiksi, korjaukseksi tai uudelleenkäytettäväksi säännöksi.

Tämä muuttaa ohjelmoijan roolia.

Et ole enää pelkkä henkilö, joka odottaa, että turvallisuusmyyjä integroi havainnoinnin joskus keskitettyyn työkaluun.

Voit rakentaa oman puolustuksesi.

Voit hallita vaikutusta koodissa.

Voit saada reaaliaikaisia hälytyksiä uutisista, jotka ehdottavat automaattisia korjauksia.

Voit tarkistaa, mitkä prosessit kommunikoivat ulospäin ja minne ne lähettävät tietoja.

Voit saada ilmoituksen, kun jokin vaikuttaa epäilyttävältä.

Ja siellä, missä se on järkevää, voit jopa estää liikenteen.

Fabius alkoi muutamista mahdollisista hyökkäyksistä ja on kehittynyt laajemmaksi alustaksi: tilaan, jossa ohjelmoijat voivat havaita, puolustaa, estää, korjata ja rakentaa omia turvallisuustyökalujaan.

Kenelle Fabius on tarkoitettu

Fabius on ohjelmoijille, jotka käyttävät AI:ta, avoimen lähdekoodin kirjastoja, pakettimanagereita, moderneja IDEitä kuten VS Codea, koodausagentteja, moderneja putkia ja nopeita työkaluja.

Toisin sanoen lähes kaikille nykyajan ohjelmoijille.

Se on tarkoitettu niille, jotka eivät halua valita nopeuden ja turvallisuuden välillä. Niille, jotka haluavat rakentaa nopeasti, mutta eivät sokeasti. Niille, jotka ymmärtävät, että ohjelmistotoimitusketjun turvallisuus ei ole enää pelkästään enterprise-tiimien ongelma, vaan päivittäinen haaste jokaiselle kehittäjälle.

Fabius on ohjelmoijille, jotka asentavat kirjastoja, kloonaavat repositoryita, hyväksyvät ehdotuksia AI- agenteilta, testaavat uusia frameworkkeja, päivittävät, automatisoivat työnkuluja ja työskentelevät jatkuvasti muuttuvassa ohjelmistoympäristössä.

Toisin sanoen niille, jotka rakentavat ohjelmistoja todellisessa maailmassa, eivät laboratoriossa eristyksissä.

Ja heille turvallisuus ei voi olla enää pelkkä raportti, joka ilmestyy putken lopussa. Sen täytyy olla läsnä siellä, missä työ alkaa: työasemalla, IDE:ssä, pakettimanagerissa, AI-agentissa, repositoryssa ja jokaisessa teknisessä päätöksessä, joka vaikuttaa vaarattomalta.

Miksi teknologinen itsenäisyys on tärkeää

Fabius on suunniteltu olevan kaikkien ohjelmoijien saavutettavissa maailmanlaajuisesti, mutta sillä on myös selkeä eurooppalainen painoarvo.

Euroopan unionin ohjelmoijat tarvitsevat vahvoja, helposti saatavilla olevia työkaluja, jotka kunnioittavat yksityisyyttä, kontrollia ja teknologista suvereniteettia.

Kaikki tiimit eivät voi tai halua olla täysin riippuvaisia suurista infrastruktuuritoimittajista ja hyperskaaleista. Kaikki projektit eivät voi lähettää arkaluonteisia tietoja minne tahansa. Kaikki organisaatiot eivät voi kohdella turvallisuutta enterprise-luokan luksuksena.

Siksi Fabius on rakennettu siten, että ohjelmistotoimitusketjun suoja on lähellä ohjelmoijaa, helppokäyttöinen ja mahdollisimman riippumaton vaikeasti hallittavista infrastruktuureista.

Turvallisuuden ei pitäisi olla saatavilla vain suurille yrityksille.

Sen pitäisi olla saavutettavissa myös yksittäisille kehittäjille, pienille tiimeille, startup-yrityksille, freelancereille, avoimen lähdekoodin yhteisöille ja eurooppalaisille organisaatioille, jotka haluavat rakentaa ohjelmistoja turvallisesti.

Yhteys Revzperiin

Fabius ei ole tuote, joka on syntynyt Revzperin vision ulkopuolella.

Päinvastoin, se on yksi sen luonnollisimmista laajennuksista.

Revzper-alusta on luotu selkeällä tavoitteella: helpottaa AI:n käyttöönottoa mahdollisimman positiivisella tavalla työmarkkinoille.

Emme ole sokeita. Näemme, että AI muuttaa syvästi älyllistä työtä. Näemme, että se vaikuttaa ainakin osaan tärkeimmistä white collar -ammateista. Näemme, että monet ammatit joutuvat sopeutumaan nopeasti, ja monille asiantuntijoille kysymys ei enää ole siitä, käyttävätkö he AI:ta, vaan siitä, onnistuvatko he käyttämään sitä tarpeeksi hyvin pysyäkseen relevantteina, tuottavina ja arvokkaina.

Alusta asti Revzper on lähtenyt tästä kysymyksestä:

"Kuinka autamme asiantuntijoita hyötymään AI:sta sen sijaan, että heidät korvattaisiin sillä?"

Vastauksemme on rakentaa työkaluja, joiden avulla ihmiset voivat luoda nopeammin, työskennellä paremmin ja muuttaa osaamisensa konkreettisiksi tuloksiksi.

Jos eri ammattialoilla onnistumme auttamaan asiantuntijoita luomaan nopeammin AI:n avulla ja myös ansaitsemaan siitä, mitä he luovat, nämä asiantuntijat voivat osallistua aktiivisesti uuteen AI-talouteen. Ei pelkästään suurten alustojen passiivisina käyttäjinä, vaan ihmisinä, jotka vahvistavat omaa asiantuntemustaan.

Tässä mielessä Fabiuksen uusin suunta, kyberturvallisuuspaja, liittyy hyvin yhteen Revzperin vision kanssa.

Tänään Fabius auttaa ohjelmoijia havaitsemaan, estämään, korjaamaan ja automatisoimaan puolustusta ohjelmistotoimitusketjun hyökkäyksiä vastaan. Mutta syvemmällä ideana on vielä suurempi: antaa asiantuntijoille mahdollisuus muuttaa turvallisuustietämyksensä konkreettisiksi työkaluiksi.

Asiantuntijan, joka ymmärtää hyökkäyksen, pitäisi pystyä luomaan havainnoija.

Ohjelmoijan, joka havaitsee riskialttiin käytännön, pitäisi pystyä luomaan sääntö.

Asiantuntijan, joka löytää hyvän korjauksen, pitäisi pystyä muuttamaan sen uudelleenkäytettäväksi mekanismiksi.

Ammattilaisen, joka havaitsee uuden riskin, pitäisi pystyä rakentamaan nopeasti suojaa muille.

Emme vielä ole siinä pisteessä, jossa Fabiuksen käyttäjät voivat suoraan rahallistaa turvallisuustuotteitaan, korjauksiaan, sääntöjään tai alustallaan luomaansa asiantuntemusta.

Mutta suunta on siellä.

Fabiuksen odotetaan kehittyvän varmasti tähän suuntaan.

Koska Revzperin vision mukaan AI:n ei pitäisi olla pelkästään voima, joka automatisoi asiantuntijoiden työtä.

Sen pitäisi olla myös voima, joka auttaa heitä luomaan enemmän, jakamaan helpommin, ansaitsemaan osaamisestaan ja pysymään tärkeinä muodostuvan työmarkkinan toimijoina.

Fabiuksen on siis enemmän kuin kyberturvallisuustuote.

Se on konkreettinen osoitus siitä, mitä haluamme rakentaa Revzperin kanssa: alustoja, joiden avulla asiantuntijat käyttävät AI:ta tullakseen vahvemmiksi, eivät tarpeettomiksi.

Kaikki ajoissa.

Miksi nimi Fabius

Nimi Fabius tulee historiallisesta henkilöstä Quintus Fabius Maximusista, joka tunnetaan kärsivällisyydestään, strategiastaan ja harkitusta puolustuksestaan.

Se vaikutti sopivalta nimeltä sille, mitä yritän rakentaa.

Todellinen kyberturvallisuus ei ole yksittäinen taistelu. Se ei ole yksittäinen korjaus. Se ei ole yksittäinen skanneri. Se ei ole impulsiivinen reaktio viimeisimpään tapaukseen.

Se on päivittäinen, raskas, toistuva taistelu, jossa täytyy tarkkailla, ymmärtää, sopeutua ja estää.

Täytyy ajatella kerroksittain.

Täytyy palata päätösten ääreen.

Täytyy tarkistaa, mitä on muuttunut.

Täytyy muuttaa tieto toiminnaksi.

Yksittäisen ohjelmoijan on mahdotonta hallita tätä manuaalisesti.

Maailmanlaajuisesti julkaistaan keskimäärin 130–132 CVE-haavoittuvuutta päivittäin. On inhimillisesti mahdotonta seurata tätä määrää manuaalisesti, ymmärtää sitä, yhdistää se omiin projekteihinsa ja muuttaa jokaisen riskin konkreettisiksi toimiksi.

Siksi Fabius on olemassa.

Fabius ottaa osan tästä taakasta pois ohjelmoijien harteilta, jotka ovat tulleet ihanteellisiksi kohteiksi value chain- ja supply chain -hyökkäyksille.

Koska yksikään ohjelmoija ei halua joutua tällaisen hyökkäyksen uhriksi.

Ja kaikkien meidän hyvinvointimme vuoksi ohjelmoijat tarvitsevat tehokkaampia, helpommin saatavilla olevia ja lähempänä todellista kybertaistelua olevia työkaluja, jotka käydään joka päivä.

Johtopäätös

Fabiuksen synty oli henkilökohtainen tarve, mutta ongelma on globaali.

AI on kiihdyttänyt ohjelmistokehitystä. Avoimen lähdekoodin on kiihdyttänyt koodin jakelua. Nykyaikaiset ekosysteemit ovat kiihdyttäneet integraatiota. Mutta hyökkääjät ovat myös kiihdyttäneet toimintaansa.

Tässä uudessa kontekstissa ohjelmoijat tarvitsevat työkaluja, jotka toimivat samalla nopeudella kuin uhat.

Fabiuksen on vastaukseni tähän todellisuuteen: alusta, joka havaitsee, puolustaa, estää, korjaa ja auttaa ohjelmoijia muuttamaan ohjelmistotoimitusketjun turvallisuuden kaaoksen jokapäiväiseksi suojajärjestelmäksi.

Mutta Fabius on myös osa suurempaa visiota: että AI:n pitäisi auttaa asiantuntijoita tulemaan tuottavammiksi, suojatuimmiksi ja ajan myötä kykenevämmiksi muuttamaan asiantuntemuksensa taloudelliseksi arvoksi.

Korjauksesta ennaltaehkäisyyn.

Reagoinnista jatkuvaan valvontaan.

Skannerista agenttiseen AI-turvallisuuspajaan.

AI:stä riskistä työmarkkinoille työkaluksi asiantuntemuksen vahvistamiseen.

Yksikään ohjelmoija ei halua joutua hyökkäyksen uhriksi kirjaston, repositoryn, AI-agentin, IDE:n tai piilotetun määrityksen kautta.

Ja kaikkien meidän hyvinvointimme vuoksi ohjelmoijat tarvitsevat tehokkaampia, helpommin saatavilla olevia ja lähempänä riskin alkamista olevia työkaluja.

Siksi loimme Fabiuksen.

Ja siksi Fabius kuuluu Revzperiin.