Raisin è una fintech con sede a Berlino che gestisce una piattaforma online dedicata al risparmio e agli investimenti, mettendo in contatto oltre un milione di clienti con prodotti di deposito e risparmio offerti da una rete di banche partner in Europa, nel Regno Unito e negli Stati Uniti. Ciò comporta la gestione di ingenti somme di denaro in un mercato regolamentato, il che rende la sicurezza delle applicazioni un aspetto di fondamentale importanza.
Il CISO e il responsabile della sicurezza dei prodotti di Raisin hanno constatato che l’ingegneria assistita dall’intelligenza artificiale stava superando uno stack di sicurezza open source gestito autonomamente. Ecco perché hanno scelto Aikido per stare al passo con i tempi e come questa soluzione si adatta al modo in cui il team lavora già.
In sintesi
- Abbiamo sostituito uno stack di scanner open source gestito autonomamente con un'unica piattaforma dedicata alla sicurezza delle applicazioni e della catena di approvvigionamento
- Esegue Aikido all’interno di JetBrains e VS Code, nonché negli assistenti AI per sviluppatori tramite MCP, in modo che la sicurezza sia integrata nel flusso di lavoro anziché rimanere separata da esso
- Utilizza l'analisi di raggiungibilità in JavaScript e Python per ridurre il lavoro manuale di selezione
- Genera circa 200 correzioni automatiche al mese
- È stata implementata una regola relativa alla qualità del codice per una nuova skill di intelligenza artificiale entro due settimane dalla richiesta
- Utilizza Aikido Safe Chain per gli sviluppatori degli ecosistemi NPM e PyPI
- Viene inviato alla produzione circa 50 volte al giorno, con la sicurezza che ne segue il ritmo anziché bloccarlo
Sfida
Uno stack open source fai-da-te che ha smesso di scalare
Prima di Aikido, il team addetto alla sicurezza dei prodotti gestiva i controlli di sicurezza tramite scanner open source che manteneva internamente, integrati nelle pipeline di compilazione come processi separati. Questo sistema funzionava finché il team di ingegneri era di piccole dimensioni. Man mano che il team cresceva e venivano introdotti nuovi servizi, i processi hanno iniziato a fallire e il team ha finito per dedicare il proprio tempo a risolvere i problemi degli scanner invece di agire in base a ciò che venivano rilevati.
“Utilizzavamo molti scanner open source, con processi separati nelle nostre pipeline che dovevamo gestire. Man mano che crescevamo e aggiungevamo servizi, quei processi hanno iniziato a non funzionare più correttamente e abbiamo dedicato molto tempo a risolverne i problemi invece di agire in base a ciò che individuavano.”
Steeven George, responsabile della sicurezza dei prodotti, Raisin
Il triage si accumulava. Su SCA il team verificava manualmente se un risultato fosse raggiungibile, altrimenti rischiava di scaricare 10 o 20 criticità per progetto sugli sviluppatori che già consideravano la sicurezza un ostacolo insormontabile. Il malware nella catena di fornitura era l’aspetto per cui non avevano una risposta concreta. Gli attacchi agli ecosistemi NPM e Python erano in aumento da un paio d’anni e il boom dell’intelligenza artificiale aveva reso economico sfornare pacchetti dannosi. Raisin generava distinte dei materiali software con uno strumento open source e poi verificava ciascuna di esse manualmente, il che era di per sé un lavoro lento. Sul fronte del malware, il team aveva un punto cieco che non riusciva a colmare con gli strumenti a sua disposizione.
La sicurezza resta indietro rispetto all'ingegneria accelerata dall'intelligenza artificiale
Nitesh Gaikwad, CISO di Raisin, ha individuato lo stesso problema da una prospettiva di alto livello. Gli strumenti di programmazione basati sull’intelligenza artificiale stavano accelerando il lavoro degli ingegneri, ma la sicurezza delle applicazioni non riusciva a tenere il passo. I progetti più datati presentavano problemi che il team non era in grado di individuare con chiarezza.
“I nostri ingegneri stavano accelerando il ritmo, soprattutto grazie agli strumenti basati sull’intelligenza artificiale, ma non riuscivamo a stare al passo dal punto di vista della sicurezza delle applicazioni e dei prodotti. Avevamo bisogno di qualcosa che potesse individuare rapidamente i problemi di sicurezza, direttamente all’interno del flusso di lavoro di sviluppo.”
Nitesh Gaikwad, responsabile della sicurezza informatica (CISO) di Raisin
Questa lacuna si rifletteva anche nel flusso di lavoro. Raisin non disponeva di funzionalità di sicurezza integrate nell’IDE, quindi il team faceva affidamento sulle pipeline CI/CD e sulle scansioni, e i problemi venivano alla luce solo quando il codice raggiungeva la fase di merge. Ciò rallentava la consegna e non offriva alcuna possibilità concreta di anticipare i controlli, il che era l’esatto contrario di come Nitesh avrebbe voluto che fosse gestita la sicurezza.
Per Nitesh il lavoro era un rischio: individuare le lacune nei progetti che il team non era mai riuscito a esaminare e impedire che problemi critici entrassero in produzione, senza diventare lui stesso un fattore di rallentamento nella consegna.
Perché Raisin ha scelto l'Aikido
Nitesh ha effettuato una valutazione confrontando diverse soluzioni, tra cui Wiz e CrowdStrike, e valutando anche l’opzione di mantenere la configurazione interna. Aikido si è distinto per la sua capacità di analizzare il malware presente nei pacchetti open source e nelle librerie di terze parti, nonché per la possibilità di coprire l’intero spettro in un’unica piattaforma anziché ricorrere a strumenti scollegati tra loro.
“Ciò che ha fatto la differenza è stata l’analisi del malware sui pacchetti open source e sulle librerie di terze parti. Nessun altro strumento che abbiamo valutato copriva l’intera gamma in un’unica piattaforma.”
Nitesh Gaikwad, responsabile della sicurezza informatica (CISO) di Raisin
Un ambito così ampio solleva un’ovvia preoccupazione: quella che una piattaforma che copra così tanti aspetti possa non essere solida in nessuna area specifica. La risposta di Nitesh è stata proprio la valutazione stessa. Il suo team ha condotto un’analisi approfondita, ha comunicato i risultati e ha osservato come Aikido li ha messi in pratica durante il PoC; pertanto, la decisione si è basata sul comportamento del prodotto nel loro ambiente piuttosto che su un elenco di funzionalità.
Il prodotto doveva conquistare anche la fiducia degli sviluppatori, non solo quella del team di sicurezza. In Raisin, è il reparto di ingegneria della piattaforma a dare il via libera ai nuovi strumenti, quindi l’usabilità era parte integrante del test. Per Steeven, il punto di forza tecnico era rappresentato dal consolidamento e dall’accessibilità.
“L’Aikido ci ha offerto un unico punto di vista. Grazie all’analisi della raggiungibilità per JavaScript e Python, dobbiamo effettuare meno selezioni preliminari e ci sono meno attriti dal punto di vista del SAST.”
Steeven George, responsabile della sicurezza dei prodotti, Raisin
La trasparenza è stata uno dei fattori di attrazione. Steeven ha trovato il team molto aperto riguardo alla direzione che il prodotto stava prendendo, il che ha reso più facile definire i requisiti e discutere la roadmap invece di doverla immaginare.
In che modo l'Aikido si adatta al modo di lavorare di Raisin
Gli sviluppatori vedono i risultati di Aikido direttamente negli editor che già utilizzano e, grazie all’integrazione con MCP, i loro assistenti IA possono estrarre direttamente il contesto di Aikido. La sicurezza è integrata nel flusso di lavoro, anziché in una console separata che gli sviluppatori devono ricordarsi di aprire.
“Aikido è integrato negli IDE che i nostri sviluppatori utilizzano già, come JetBrains e VS Code. Grazie all’integrazione con MCP, possono interrogare Aikido e verificare quali problemi presenta un repository, senza dover uscire dai propri strumenti.”
Steeven George, responsabile della sicurezza dei prodotti, Raisin
Aikido gestisce in un'unica piattaforma le analisi SAST e SCA di Raisin, il rilevamento dei codici segreti e la scansione dei pacchetti malware open source. In passato, gli sviluppatori tendevano a contestare i risultati sostenendo che una vulnerabilità non fosse raggiungibile, e questo botta e risposta comportava una perdita di tempo per entrambe le parti. Grazie all’analisi di raggiungibilità su JavaScript e Python nella stessa schermata, tale dibattito viene meno, poiché lo strumento mostra già se un risultato riguarda il codice attivo.
Per quanto riguarda la correzione dei problemi, Aikido AutoFix genera circa 200 correzioni al mese. Ogni correzione è accompagnata da un livello di affidabilità e viene esaminata da uno sviluppatore prima di essere implementata. AutoTriage opera in sinergia con questo sistema. In passato, il team esaminava i risultati del SAST uno per uno per valutare quali fossero reali. Ora l’IA di Aikido li classifica, consentendo agli ingegneri e al team di sicurezza di dedicare meno tempo a stabilire se un risultato sia un falso positivo e di concentrarsi maggiormente su quelli che contano davvero.
“Riceviamo circa 200 correzioni automatiche al mese. La maggior parte degli strumenti SAST si limita a fornire una raccomandazione. Aikido, invece, comprende il contesto e propone una correzione quasi pronta per essere integrata, indicandone il livello di affidabilità, in modo che lo sviluppatore possa valutarla.”
Steeven George, responsabile della sicurezza dei prodotti, Raisin
Raisin utilizza inoltre Aikido Safe Chain per gli sviluppatori che operano negli ecosistemi NPM e PyPI. La sua scansione CI/CD, che un tempo era costituita da una serie di processi open source instabili, ora viene eseguita tramite Aikido come un’unica integrazione.
Un fornitore che effettua le spedizioni secondo i propri tempi
La prova più evidente è arrivata da una minaccia che, appena un mese prima, era praticamente inesistente. Gli sviluppatori di Raisin hanno iniziato a integrare competenze esterne in materia di IA e il team temeva che il malware potesse insinuarsi insieme a esse. Nessuno strumento sul mercato copriva questa eventualità. Raisin ha sollevato la questione con Aikido e, nel giro di circa due settimane, è stata implementata una regola nel modulo dedicato alla qualità del codice. Ora il team esegue la scansione da un repository centrale. L’accesso del fondatore a un canale Slack condiviso ha reso la conversazione rapida, ma l’aspetto che Steeven sottolinea è la rapidità di risposta, non l’accesso in sé.
“Eravamo preoccupati perché i file ‘skills’ esterni arrivavano con del malware e nessun altro strumento era in grado di gestirlo. Aikido ha implementato una regola nel modulo dedicato alla qualità del codice nel giro di circa due settimane.”
Steeven George, responsabile della sicurezza dei prodotti, Raisin
Ciò che ha fatto la differenza è stata la tempistica. Le competenze relative all’IA erano apparse solo uno o due mesi prima e nessun altro prodotto sul mercato le rilevava, quindi Steeven si aspettava una lunga attesa o una soluzione alternativa. Invece, la funzionalità è arrivata all’interno della piattaforma, come parte degli strumenti di sicurezza propri di Aikido. La regola relativa alle skill era solo un esempio di questo stesso modello. Steeven afferma che Aikido continua a rilasciare aggiornamenti contro le nuove minacce man mano che emergono – Device Protection ne è un esempio recente – ed è esattamente ciò di cui un team dinamico come Raisin ha bisogno da un fornitore di soluzioni di sicurezza.
Raisin garantisce tempi di consegna rapidi, che continuano a migliorare. Il volume di produzione è passato da circa 10 al giorno a circa 50. A questo ritmo, la sicurezza deve tenere il passo oppure rischia di diventare il collo di bottiglia. L’obiettivo di Nitesh è individuare i problemi durante lo sviluppo, nell’IDE, piuttosto che in una fase successiva della pipeline, ed è proprio in questo che Aikido si rivela utile.
“Possiamo accelerare il processo invece di bloccare la pipeline. La maggior parte dei problemi viene individuata in fase di sviluppo, nell’IDE, anziché in una fase in cui la pipeline viene bloccata, quindi effettuiamo il push sul ramo principale molto più rapidamente.”
Nitesh Gaikwad, responsabile della sicurezza informatica (CISO) di Raisin
Come Raisin utilizza l'Aikido oggi
Già in uso
- SAST e SCA
- Rilevamento di segreti
- Scansione dei pacchetti open source alla ricerca di malware
- Analisi di raggiungibilità (JavaScript e Python)
- AutoFix
- AutoTriage
- Sicurezza CI/CD
- Modulo per la valutazione della qualità del codice, compresa l'analisi delle competenze in materia di IA
- Plugin IDE per JetBrains e VS Code
- Integrazione MCP per gli assistenti AI
- Aikido Safe Chain
Sto pensando di adottare un bambino
- Protezioni per l'Aikido, testate e pronte per essere lanciate sul mercato
- Aikido Zen Firewall, per la difesa contro l’intelligenza artificiale “ombra” e l’iniezione di prompt
- DAST
Valutazione
Verdetto finale
“Uno dei nostri maggiori successi è che il vecchio attrito tra il team di sicurezza e gli sviluppatori è ormai superato. Sono convinti che, quando Aikido segnala un problema, valga la pena dedicargli del tempo.”
