Come Omnea distribuisce codice generato dall'intelligenza artificiale da 70 a 80 volte al giorno garantendo una sicurezza costante

In sintesi

• Un solo ingegnere della sicurezza si occupa di 50 sviluppatori che effettuano da 70 a 80 rilasci al giorno
• Oltre l'80% del nuovo codice sviluppato da Omnea è generato dall'intelligenza artificiale
• Ha scelto Aikido al posto di Snyk dopo un periodo di prova di sei settimane con Snyk per la verifica della fattibilità
• Ha adottato Aikido come primo strumento dedicato alla sicurezza delle applicazioni (AppSec) di Omnea, senza alcun strumento precedente da sostituire
• L'Aikido rimane in secondo piano nel flusso di lavoro degli sviluppatori per circa il 90% del tempo
• Un basso numero di falsi positivi significa che un singolo tecnico può fidarsi di ogni avviso e intervenire di conseguenza
• I dati SOC 2 vengono importati in Vanta e i rapporti sulle licenze soddisfano le esigenze di due diligence degli investitori su richiesta
• Avvio di una fase pilota di test di penetrazione basati sull'intelligenza artificiale e pianificazione dell'implementazione della protezione dei dispositivi

Sfida

Omnea è un'azienda specializzata in approvvigionamento basata sull'intelligenza artificiale (AI), che annovera tra i propri clienti imprese globali come Spotify, MongoDB e Monzo. Il servizio è fornito da un team che assume personale in modo aggressivo e rilascia aggiornamenti in modo continuo. Quando il team ha adottato Aikido per la prima volta, era composto da 14 sviluppatori ed era in rapida crescita. La sicurezza doveva crescere di pari passo con lo sviluppo tecnico senza diventare un ostacolo al rilascio delle versioni e, allo stesso tempo, doveva superare le verifiche di approvvigionamento aziendali.

‍"Quando abbiamo iniziato a utilizzare Aikido, avevamo bisogno di uno strumento di sicurezza in grado di crescere insieme a noi. All’epoca eravamo 14 sviluppatori e stavamo crescendo rapidamente. Ci serviva qualcosa che ci permettesse di garantire la sicurezza e di fornire i nostri prodotti ai clienti aziendali, senza diventare un ostacolo."

Soluzione

Aikido ha coperto un ampio spettro di AppSec all’interno di un’unica piattaforma e si è guadagnato l’adozione da parte degli sviluppatori grazie alla sua discrezione. Interrompe gli ingegneri solo quando c’è qualcosa di concreto da esaminare.

‍"I nostri sviluppatori usano Aikido ogni singolo giorno, ma non rappresenta un ostacolo rilevante. Il 90% delle volte rimane silenziosamente in secondo piano. La metà delle volte la maggior parte degli sviluppatori si dimentica persino che ci sia. Li coinvolge solo quando c’è un problema concreto."

Omnea ha integrato Aikido con gli strumenti già utilizzati dai propri reparti di ingegneria e sicurezza: GitHub, Linear e Vanta. L'integrazione con Vanta ha rivoluzionato il modo in cui il team gestisce gli audit SOC 2.

‍"Abbiamo integrato Aikido in GitHub, Linear e Vanta. Con Vanta, il nostro strumento SOC 2, Aikido fornisce agli auditor prove pronte all'uso, senza bisogno di tornare indietro e recuperare problemi specifici."

Il codice generato dall'intelligenza artificiale è ormai la norma presso Omnea, piuttosto che l'eccezione. Ciò influisce sulla velocità con cui si evolve il codice e su ciò a cui uno strumento di sicurezza deve stare al passo.

‍"Oggi oltre l'80% del nostro codice è generato dall'intelligenza artificiale. Avere uno strumento che controlli ciò che stiamo facendo, in un contesto in cui le cose cambiano e evolvono così rapidamente, è davvero importante."

Perché Omnea ha scelto l'Aikido

Omnea ha valutato Aikido rispetto a Snyk e ad alcuni operatori già affermati. Ciò che ha fatto la differenza è stata la facilità d’uso di Aikido fin dall’inizio: prezzi trasparenti, ampia copertura fin da subito e un team in grado di implementare le richieste di nuove funzionalità nel giro di pochi giorni.

‍"Fin dall'inizio è stato chiaro quanto fosse più semplice lavorare con Aikido. Prezzi trasparenti, soluzioni più innovative e un team sempre pronto a rispondere. La scelta è stata quindi chiara e facile."

Il contrasto con la valutazione di Snyk era evidente. Una prova di sei settimane ha messo in luce la differenza in termini di reattività: Aikido forniva il feedback già il giorno successivo.

• Prezzi trasparenti senza l'obbligo di un ciclo di valutazione di più settimane
• Ampia copertura pronta all’uso, che va oltre quella di uno strumento SCA autonomo, comprendente SAST, SCA e AutoFix
• Un team che risponde alle richieste di nuove funzionalità nel giro di pochi giorni, non di trimestri
• Integrazioni native con GitHub, Linear e Vanta
• Una piattaforma progettata per soddisfare le esigenze di un team di ingegneri che opera in un ambiente nativo per l'IA

Risultati

Sicurezza che tiene il passo senza richiedere personale aggiuntivo

Grazie ad Aikido, Omnea riesce a mantenere un rapporto che sarebbe difficile da sostenere con uno strumento più "rumoroso" o che richieda un intervento manuale maggiore: un ingegnere della sicurezza che si occupa di cinquanta sviluppatori. Questo rapporto è sostenibile perché Aikido copre codice, cloud e dipendenze in un unico posto e riduce al minimo il "rumore", consentendo così a un singolo ingegnere di avere una visione d'insieme e di fidarsi di ciò che viene segnalato.

‍"Aikido ci ha permesso di effettuare il deploy su ambienti aziendali mantenendo al contempo un elevato livello di sicurezza. Effettuiamo da 70 a 80 deploy al giorno in produzione. Abbiamo un solo ingegnere della sicurezza ogni 50 sviluppatori, che gestisce l'intero carico di lavoro poiché è Aikido a occuparsi delle operazioni più impegnative."

Avvisi di cui il team può fidarsi

Una funzione di sicurezza snella funziona solo se vale la pena intervenire su ogni allarme. In Omnea, l’assenza di falsi positivi è ciò che permette a un solo ingegnere di stare al passo, ed è il motivo per cui gli sviluppatori prendono sul serio lo strumento quando questo segnala un problema.

‍"Gli sviluppatori sono certi che, quando Aikido segnala un problema, si tratta di un problema reale. L'assenza di rumore di fondo e di falsi positivi significa che, quando si esamina una questione, si sa che c'è un problema reale da risolvere."

Il rischio legato alla catena di approvvigionamento, ora evidente

Aikido mette in luce l'entità dei rischi legati alla catena di approvvigionamento presenti nelle dipendenze di Omnea, raggruppandoli in un unico punto anziché lasciarli sparsi tra i vari registri. In un recente periodo di tre mesi, in cui sono state rilevate vulnerabilità della catena di approvvigionamento sette volte superiori rispetto al trimestre precedente, tutte queste informazioni erano visibili al team.

‍"È fin troppo facile per gli sviluppatori installare un pacchetto vulnerabile o compromesso; avere qualcosa che blocchi ciò che viene installato è davvero prezioso."

Una sicurezza che ripaga nella sala di due diligence

Per un’azienda alla ricerca di finanziamenti, l’Aikido ha dato i suoi frutti proprio dove Omnea non se lo aspettava. Quando gli investitori hanno chiesto prove di un sistema di sicurezza ben consolidato, la risposta era già pronta e a disposizione.

‍"L'Aikido ci ha aiutato persino nella due diligence degli investitori. Un report su ogni tipo di licenza, generato all'istante. Non sapevamo nemmeno di averlo a disposizione finché i nostri investitori non ce lo hanno chiesto, e ha risolto il problema in un attimo."

Ha inoltre cambiato il modo in cui gli investitori valutavano l’azienda. La possibilità di dimostrare, su richiesta, che la sicurezza era stata garantita ha eliminato un’intera serie di domande prima ancora che venissero poste.

‍"Quando si cerca di raccogliere fondi, gli investitori vogliono vedere che si è maturi sotto ogni aspetto in materia di sicurezza. Con Aikido non ci sono state preoccupazioni fin dall'inizio. Abbiamo potuto dire che abbiamo tutto sotto controllo e che adottiamo un approccio proattivo in materia."

Lo stesso percorso delle prove viene utilizzato per gli audit SOC 2 del team, in cui Aikido fornisce ai revisori la prova delle azioni correttive intraprese all’interno dello SLA senza che nessuno debba individuare manualmente i problemi.

Come Omnea sta ampliando l'uso dell'Aikido

Già in uso

• Scansione SAST e SCA
• AutoFix
• Integrazione di Vanta per la documentazione relativa alla conformità SOC 2
• Rendicontazione delle licenze
• Aikido Safe Chain

Fase pilota

• Test di penetrazione basati sull'intelligenza artificiale: le prime esecuzioni sono state completate ed è previsto un lancio continuativo

‍"Prima facevamo solo un pentest all'anno, che spesso era più una formalità che altro. Con i pentest basati sull'intelligenza artificiale riusciamo a individuare i problemi non appena vengono rilasciati. Possiamo risolverli prima che qualcuno se ne accorga."

Sto pensando di adottare un bambino

• Protezione dei dispositivi

Valutazione successiva

• Aikido Zen Firewall, come possibile alternativa ad AWS WAF per le regole in uscita e basate sull'apprendimento

Verdetto finale

‍"Per noi, il vantaggio principale dell'Aikido è che ci permette di sentirci sempre al sicuro mentre ci muoviamo alla velocità della luce."

‍