Quando Nansen ha fornito a ogni dipendente un agente OpenClaw autonomo, l'intera azienda ha iniziato a scrivere ed eseguire codice. Il responsabile della sicurezza ha dovuto proteggere ogni singola macchina senza rallentare il business.
In sintesi
- Estesa la protezione dei dispositivi a tutte le macchine di Nansen, sia per gli sviluppatori che per il personale non tecnico
- La protezione dei dispositivi ha rilevato e risolto automaticamente un pacchetto npm rischioso in uso nell'ambiente di produzione, senza interrompere la build
- Estensione in corso della protezione dei dispositivi anche agli agenti AI autonomi utilizzati dai dipendenti
- Consolidati otto strumenti puntiformi in un'unica piattaforma per codice e cloud
Quando un'app di analisi aggiunge un terminale di trading
Nansen trasforma i dati on-chain in segnali di trading per gli investitori in criptovalute. Fondata nel 2020, l'azienda si è affermata grazie alle analisi e ora offre un terminale di trading che consente agli utenti di effettuare operazioni on-chain direttamente dai propri portafogli.
Mads Havmand è responsabile della sicurezza presso Nansen. Da quando gli utenti hanno iniziato a effettuare operazioni di trading tramite Nansen, un’infrazione della sicurezza potrebbe costare loro non solo denaro, ma anche dati, e il suo modello di minaccia si è evoluto di conseguenza.
Il Web3 gli ha offerto un vantaggio: il rischio è più facile da spiegare. La gente sa già che, se non si possiedono le chiavi, i fondi non sono propri. Un’azienda giovane che deve dimostrare il proprio valore deve agire in fretta, e Mads afferma senza mezzi termini che la sicurezza è “l’introduzione di attrito” e che “l’attrito è l’antitesi del progresso”.
"Agire in fretta e rompere gli schemi" funziona quando si tratta di un'app web alla moda. Quando però rompere gli schemi potrebbe costare denaro agli utenti, la cosa non mi convince.
La sfida
L'IA ha trasformato l'intera azienda in sviluppatori
Nansen ha fatto una scommessa deliberata sull'IA, assegnando a ogni dipendente il proprio agente OpenClaw autonomo, consentendo così a persone ben oltre il team di ingegneria di scrivere ed eseguire codice.
Siamo passati da 30 sviluppatori a "tutti sono uno sviluppatore".
Non poteva mettere un ingegnere della sicurezza dietro a ogni sviluppatore, né intendeva isolare la sicurezza nel proprio angolo della codebase lasciando che tutti gli altri dessero per scontato che non fosse un loro problema. Gli agenti venivano eseguiti in due luoghi, sui laptop personali delle persone e su istanze OpenClaw condivise, quindi la superficie che doveva coprire si è ampliata in entrambe le direzioni contemporaneamente.
npm era il pensiero che non lo faceva dormire la notte
Mads tiene un elenco aggiornato dei problemi che lo tengono sveglio la notte, e in cima alla lista c'era npm.
Per quanto cerchi di sradicare npm dalla nostra infrastruttura, ci sono aree in cui rappresenta l'opzione migliore e devo farme una ragione.
Un singolo pacchetto dannoso su un singolo laptop poteva raggiungere la produzione.
La protezione dei dispositivi è arrivata al momento giusto
Aikido ha rilasciato la protezione dei dispositivi (Device Protection), che rispondeva esattamente al problema che Mads cercava di risolvere da oltre un anno. Ha quindi deciso di implementarla immediatamente.
Ogni singola macchina in Nansen è protetta.
Gli sviluppatori l'hanno adottata, così come il personale finanziario che ora gestisce i propri agenti IA. I prezzi basati sul numero di licenze erano sufficientemente accessibili da permettere a Mads di acquistare anche licenze per gli sviluppatori, consentendo ai suoi ingegneri di accedere direttamente ad Aikido e gestire i propri problemi in autonomia. La protezione dei dispositivi ha eliminato una delle preoccupazioni che non lo facevano dormire la notte.
Ora sta collaborando con Aikido per estendere la protezione di un ulteriore livello, direttamente sulle istanze OpenClaw condivise, in modo che gli agenti siano protetti ovunque vengano eseguiti, e non solo sui laptop da cui sono pilotati.
Una protezione che funziona e basta
Mentre faceva lavoro open-source a tarda notte, Mads ha clonato una codebase, l'ha controllata manualmente e l'ha installata. Un pacchetto ha attivato il controllo sull'età dei pacchetti della protezione dei dispositivi e ha ricevuto un avviso. Il suo agente ha trovato autonomamente una versione che aggirava la restrizione, consentendo all'app di funzionare comunque.
Ho ricevuto il popup che indicava che ero protetto, ma senza ritrovarmi con qualcosa che non funzionava.
Era protetto senza subire rallentamenti, trovando esattamente il bilanciamento che cercava tra attrito e velocità.
Molto più della protezione dei dispositivi: una visione unificata su codice e cloud
La protezione dei dispositivi ha risolto il problema degli endpoint, ma Mads si era rivolto ad Aikido innanzitutto per qualcosa di più ampio: la visibilità.
Non posso proteggere ciò di cui non conosco l'esistenza, quindi il mio primo caso d'uso di Aikido è stato quello di ottenere una panoramica di tutte le risorse cloud.
Aikido gli ha fornito la panoramica e il filtraggio per gravità di cui aveva bisogno in un unico posto, sostituendo la soluzione frammentata che aveva assemblato tra GitHub, Dependabot e gli strumenti nativi di Google Cloud.
Non posso gestire otto strumenti diversi. Ho bisogno di un'unica interfaccia centralizzata da cui consultare e dare priorità ai problemi, e per me Aikido è stata la soluzione ideale.
Poiché Aikido si collega ai singoli progetti e repository di GCP, può individuare con precisione il repository alla base del terminale di trading e concentrarsi su quello, tenendo d’occhio i problemi a basso rischio senza però lasciarsi distrarre da essi. Gestisce Aikido in qualità di responsabile dei dati del team di sicurezza, utilizzando personalmente gli strumenti e trasmettendo agli ingegneri solo i risultati verificati. Questo gli permette di proteggere la sua risorsa più preziosa nei confronti degli ingegneri che si occupano delle correzioni: la fiducia. AutoTriage filtra e raggruppa il rumore di fondo, così ciò che lui trasmette merita di essere seguito e un falso positivo non compromette mai i rapporti che ha costruito.
La moneta di scambio della sicurezza è la fiducia. Quando consegno qualcosa, devo assicurarne la veridicità (true positive).
Perché Nansen ha scelto Aikido
Diversi fattori hanno reso la scelta semplice:
- Un piano gratuito che ha permesso a Mads di registrarsi, inserire progetti di test e mostrare al proprio VP of Engineering un risultato concreto, senza dover affrontare un processo di vendita durato mesi
- Un modello di prezzo basato sui posti utente che include sia gli sviluppatori che il personale non tecnico
- Una protezione dei dispositivi arrivata esattamente nel momento in cui i rischi legati agli agenti IA e agli attacchi alla supply chain hanno raggiunto il picco
- Un'unica dashboard che ha sostituito gli otto strumenti specifici usati in precedenza
Quali saranno i prossimi passi di Nansen
Attualmente sto utilizzando
- Protezione dei dispositivi su ogni macchina aziendale
- Scansione del codice su tutti i repository
- Cloud security posture e asset management su Google Cloud
- AutoFix per la risoluzione di problemi di codice e dipendenze
- AutoTriage per la gestione dei problemi
Pianificazione successiva
- Onboarding dell'intero team di sviluppo su Aikido, affinché gli ingegneri possano visualizzare e gestire i problemi direttamente
In fase di valutazione
- Deep PR Review
- AI Pentesting
Verdetto finale
Ora che avete aggiunto la protezione dei dispositivi, probabilmente non uscirò più da Aikido.
