Nansen her çalışana özerk bir OpenClaw ajanı verdiğinde, tüm şirket kod yazıp çalıştırmaya başladı. Güvenlik müdürü, iş süreçlerini yavaşlatmadan her makineyi korumak zorundaydı.
Bir bakışta
- Geliştiriciler ve geliştirici olmayanlar dahil, Nansen'deki her makineye cihaz koruması genişletildi
- Cihaz koruması, derlemeyi bozmadan canlı kullanımda riskli bir npm paketini yakaladı ve otomatik olarak çözdü
- Şimdi cihaz koruması, her çalışan tarafından çalıştırılan özerk yapay zeka ajanlarına da genişletiliyor
- Sekiz farklı nokta aracı, kod ve bulut genelinde tek bir ekranda birleştirildi
Bir analiz uygulaması bir işlem terminali eklediğinde
Nansen, zincir içi verileri kripto yatırımcıları için işlem sinyallerine dönüştürür. 2020 yılında kurulan şirket, analiz alanındaki başarılarıyla adını duyurmuş olup, şu anda kullanıcıların kendi cüzdanlarından zincir içi işlem yapabilmelerini sağlayan bir işlem terminali sunmaktadır.
Mads Havmand, Nansen’de güvenlikten sorumludur. Kullanıcılar Nansen üzerinden işlem yapmaya başladıkça, bir güvenlik açığı kullanıcıların hem parasına hem de verilerine zarar verebilirdi ve bununla birlikte onun tehdit modeli de değişti.
Web3 ona bir avantaj sağladı: riskin açıklanması daha kolay. İnsanlar, anahtarları elinde tutmuyorsan paranın sana ait olmadığını zaten biliyor. Kendini kanıtlamaya çalışan genç bir şirketin hızlı hareket etmesi gerekir ve Mads, güvenliğin “sürtüşme yaratmak” olduğunu ve “sürtüşmenin ilerlemenin tam zıttı” olduğunu açıkça dile getiriyor.
Hızlı hareket etmek ve hatalar yapmak, havalı bir web uygulamasıysanız işe yarar. Ancak hatalar yapmak kullanıcılara maddi zarara yol açabilecekse, bu durumdan hiç hoşlanmıyorum.
Zorluk
Yapay zeka tüm şirketi birer geliştiriciye dönüştürdü
Nansen yapay zekaya bilinçli bir yatırımdan bulundu. Her çalışana kendi özerk OpenClaw ajanını verdi; böylece mühendislik ekibinin çok ötesindeki insanlar da kod yazıp çalıştırmaya başladı.
30 geliştiriciden "herkesin bir geliştirici olduğu" noktaya geldik.
Her geliştiricinin arkasına bir güvenlik mühendisi koyamazdı ve güvenliği kod tabanının kendi köşesine hapsetip diğer herkesin bunun kendi işi olmadığını varsaymasına izin veremezdi. Ajanlar iki yerde çalışıyordu: insanların kişisel dizüstü bilgisayarlarında ve paylaşılan OpenClaw örneklerinde. Dolayısıyla kapsamak zorunda olduğu yüzey alanı her iki yönde aynı anda büyüdü.
Geceleri onu uykusuz bırakan şey npm'di
Mads uykusuz kalmasına neden olan şeylerin güncel bir listesini tutar ve listenin üst sıralarında npm yer alıyordu.
npm'i altyapımızdan ne kadar ortadan kaldırmaya çalışırsam çalışayım, bunun en iyi seçenek olduğu yerler var ve bunu kabullenmek zorundayım.
Tek bir dizüstü bilgisayardaki tek bir kötü amaçlı paket, üretime (production) ulaşabilirdi.
Cihaz koruması tam zamanında geldi
Aikido, Device Protection'ı kullanıma sundu ve bu, Mads'in bir yıldan uzun süredir çözmeye çalıştığı sorunla tam olarak örtüşüyordu. Bunun üzerine ürünü derhal devreye sokmaya karar verdi.
Nansen'teki her bir makine koruma altında.
Geliştiriciler durumu hemen kavradı; aynı şekilde kendi AI ajanlarını çalıştıran finans ekibi de öyle. Koltuk tabanlı (seat-based) fiyatlandırma o kadar uygundu ki Mads ayrıca geliştirici lisansları da satın aldı; böylece mühendisleri Aikido'ya giriş yaparak kendi sorunlarını doğrudan çözebildi. Cihaz koruması, uykularını kaçıran endişeler listesinden birini daha sildi.
Şimdi ise korumayı bir adım daha öteye taşıyarak doğrudan paylaşılan OpenClaw örneklerine (instances) uygulamak için Aikido ile çalışıyor; böylece ajanlar yalnızca onları çalıştıran dizüstü bilgisayarlarda değil, çalıştıkları her yerde güvence altında oluyor.
Sorunsuz çalışan koruma
Bir gece geç saatlerde açık kaynaklı projeler üzerinde çalışırken Mads bir kod tabanını klonladı, manuel olarak inceledi ve yükledi. Paketlerden biri cihaz korumasının yaş kontrolüne takıldı ve bir uyarı aldı. Ajanı, kısıtlamayı kendi başına kaldıran bir versiyon buldu, böylece uygulama sorunsuz bir şekilde çalışmaya devam etti.
Korunduğuma dair bildirimi aldım, ancak çalışmayan bir sistemle baş başa kalmadım.
Süreç yavaşlatılmadan koruma altına alındı; bu da sürtünme ile hız arasında yakalamaya çalıştığı dengeydi.
Cihaz korumasından fazlası: Kod ve Bulut için tek bir ekran
Cihaz koruması uç nokta (endpoint) sorununu çözmüştü, ancak Mads Aikido'ya ilk olarak daha kapsamlı bir şey için gelmişti: görünürlük.
Bilmediğim bir şeyi koruyamam; bu nedenle Aikido’yu ilk olarak tüm bulut varlıklarına genel bir bakış elde etmek amacıyla kullandım.
Aikido, GitHub, Dependabot ve Google Cloud'un yerleşik araçlarından oluşan yama işi sistemin yerini alarak ona tek bir yerden ihtiyaç duyduğu genel görünümü ve önem derecesine göre filtrelemeyi sağladı.
Sekiz farklı araçla aynı anda uğraşamam. Gitmem, önceliklendirme yapmam gereken tek bir konsola ihtiyacım var ve benim için Aikido tam olarak bu çözüm oldu.
Aikido, bireysel GCP projeleri ve depolarıyla entegre olduğu için, ticaret terminalinin arkasındaki depoyu tam olarak belirleyip oraya odaklanabilir; böylece daha düşük riskli sorunları göz önünde tutarken bunların iş akışını engellememesini sağlar. Aikido’yu güvenlik ekibinin veri sahibi olarak çalıştırır; araçları bizzat kendisi kullanır ve mühendislere yalnızca doğrulanmış bulguları iletir. Bu, düzeltme işini yapan mühendisler nezdinde en değerli varlığı olan güveni korur. AutoTriage, gereksiz bilgileri filtreleyip gruplandırır; böylece ona aktardığı bilgiler üzerinde harekete geçmeye değer olur ve yanlış pozitif sonuçlar, kurduğu ilişkileri asla zedelemez.
Güvenliğin para birimi güvenilirliktir. Bir şeyi başkasına aktardığımda, bunun gerçek bir pozitif (true positive) olduğundan emin olmalıyım.
Nansen neden Aikido'yu seçti?
Bu kararı kolaylaştıran birkaç faktör vardı:
- Mads'in aylar süren bir satış süreci yürütmek zorunda kalmadan kayıt olmasını, test projeleri eklemesini ve mühendislik başkanına çalışan bir sonuç göstermesini sağlayan ücretsiz bir katman
- Hem geliştiricileri hem de geliştirici olmayanları kapsayan koltuk tabanlı (seat-based) fiyatlandırma
- Yapay zeka ajanı risklerinin ve tedarik zinciri saldırılarının zirve yaptığı anda tam zamanında kullanıma sunulan cihaz koruması
- Daha önce kullandığı sekiz farklı nokta çözümünün (point tools) yerini alan tek bir ekran
Nansen bundan sonra ne yapıyor?
Şu anda kullanılıyor
- Şirketteki her makinede cihaz koruması
- Depolar (repositories) genelinde kod taraması
- Google Cloud genelinde bulut güvenlik duruşu ve varlık yönetimi
- Bağımlılık ve kod düzeltmeleri için AutoFix
- Sorun yönetimi için AutoTriage
Sıradaki planlama
- Tüm geliştirici ekibini Aikido'ya dahil ederek mühendislerin sorunları doğrudan görmesini ve müdahale etmesini sağlayın
Değerlendiriliyor
- Derinlemesine PR İncelemesi
- AI Pentesting
Nihai karar
Cihaz korumasını eklediğinize göre, bir daha Aikido'dan hiç çıkamayabilirim.
