Hoje estamos a lançar a Aikido Machine e a dar as boas-vindas à equipa que ajudou a construí-la. O Aikido Machine é um servidor on-prem que executa o pentest de IA da Aikido Security e a análise de código com IA (e muitos mais a seguir) inteiramente dentro da sua rede: GPUs locais, modelos locais, resultados locais. Nenhum código-fonte, repositório ou prompt sai da sua infraestrutura.
Algumas equipas não podem enviar o seu código para fora da sua rede
Para um banco, uma agência governamental, um contratante de defesa ou um hospital, duas coisas são verdadeiras ao mesmo tempo.
A primeira: a pressão continua a aumentar. Os atacantes movem-se mais depressa do que nunca, e a IA reduziu o custo de encontrar e operacionalizar uma vulnerabilidade. Isto não é hipotético para os reguladores. O BCE deu recentemente a 110 bancos um prazo de quatro meses para apresentarem planos de ação contra ameaças cibernéticas impulsionadas por IA, enquanto o Comité Europeu do Risco Sistémico elevou a sua avaliação de risco cibernético sistémico para "severo" e qualificou os modelos mais recentes como "uma mudança de paradigma para a cibersegurança". Enquanto isso, as defesas antigas estão a mostrar a idade. O DAST baseado em assinaturas foi criado para um mundo onde os atacantes executavam scripts. Agora, os atacantes executam modelos que compreendem uma aplicação melhor do que um scanner, e o pentest manual também está a ficar para trás: 51% dos CISO e CTO afirmam que falhas de lógica, controlos de acesso quebrados e vulnerabilidades de múltiplos passos são ignoradas sempre ou frequentemente.
O segundo: o pentesting contínuo impulsionado por IA existe, mas até agora operava na Cloud, o que significa que estas equipas em indústrias altamente reguladas não o podiam utilizar. Isto deve-se ao facto de a política interna ou a regulamentação determinarem que o código-fonte, os dados do repositório e os prompts não podem ser enviados para uma Cloud externa ou para terceiros.
A única forma de dar a estas equipas pentest de IA contínuo é colocar o servidor inteiro, incluindo os modelos, fisicamente dentro da respetiva rede. Essa é a Aikido Machine.
A Aikido Security adquire a Milou
O Aikido tem trabalhado no desenvolvimento de um produto de pentest de IA fiável e topo de gama há algum tempo.
Para o fazer localmente e entregar um nível de excelência que pudesse satisfazer as necessidades de organizações altamente complexas e reguladas, tivemos de pensar fora da caixa. Precisávamos de trabalhar com pessoas que vivem e respiram segurança ofensiva e têm um historial comprovado de entrega.
E é por isso que o Aikido adquiriu a Milou para potenciar essa missão. Por trás da empresa sediada na Bélgica estão dois pentesters e bug bounty hunters experientes, Tiburce Gridello e Selim Decamps. O objetivo por trás da Milou era simples: facilitar a vida aos pentesters automatizando a criação de relatórios, para permitir que os testadores se concentrassem na principal tarefa, hackear. Adquirimos a Milou para trazer essa experiência, e muita mais ambição, para o nosso trabalho on-prem. Desde que se juntou, a equipa tem-se focado em R&D e em testar modelos no hardware mais rápido disponível para encontrar a melhor configuração de pentesting que corra totalmente no próprio dispositivo.
"A Milou focava-se em executar ferramentas ofensivas em hardware local, para que pudessem ser utilizadas em ambientes altamente regulados. A Aikido desenvolveu a tecnologia de pentest de IA para funcionar sobre essa base. A Aikido Machine junta estas duas componentes para serem utilizadas por toda a equipa de segurança".
Selim Decamps, cofundador da Milou.
O que o pentest de IA on-prem torna possível
A Aikido Machine é um servidor GPU que a Aikido Security instala, opera e mantém. Eis os benefícios para si:
- Tudo permanece on-prem: a inferência é executada nas GPUs próprias da Aikido Machine. Nada do que lhe fornece toca num fornecedor de Cloud ou num modelo externo. Isolado por conceção (air-gapped), sem necessidade de ligação à internet.
- Sempre ativa: Execute pentests de forma contínua. A inferência local significa que não há taxas por token ou por pentest, pelo que não há razão para racionar os testes entre ciclos.
- Visibilidade completa: Com acesso total ao seu código-fonte, documentação e runtime, a Aikido Machine trabalha a partir de um contexto inacessível a um atacante em black-box, podendo igualar ou superar um modelo de fronteira a testar a sua aplicação a partir do exterior.
- Uma infraestrutura real: Autenticação de fator único ou multifator, gestão de sessões, uma camada de proxy e imposição de âmbito. Esta estrutura é o que permite ao Aikido Machine testar por trás de fluxos reais de início de sessão e manter-se dentro dos alvos que define.
- Prova: Cada vulnerabilidade detetada inclui um exploit funcional, para que a sua equipa se possa focar nos problemas confirmados. A Aikido Machine também fornece pull requests prontos a integrar e retestes no mesmo âmbito.
- Operacional no primeiro dia: Um engenheiro da Aikido Security desloca-se às instalações, liga a alimentação e a rede, e coloca o seu primeiro pentest a decorrer antes de sair.
O pentest de IA e a análise de código com IA já estão disponíveis na Aikido Machine, com muitas mais funcionalidades da stack da Aikido Security a caminho.
Um banco europeu com 192,8 mil milhões de euros em ativos já o implementou
O Belfius, o banco-segurador detido pelo governo federal belga, com 192,8 mil milhões de euros em ativos, é um dos primeiros a executar o Aikido Machine dentro do seu próprio centro de dados. Mais de 200 agentes de IA testam agora os sistemas do banco 24 horas por dia, a partir do interior da infraestrutura do próprio Belfius. O Belfius traz a complexidade operacional e a experiência de uma grande instituição financeira para o stack tecnológico do Aikido. O banco ajudará a refinar o produto para cumprir requisitos rigorosos de segurança e regulamentação.
"A cibersegurança já não é um exercício periódico. Tornou-se numa missão contínua. Ao implementar agentes de IA que testam os nossos sistemas a toda a hora, conseguimos identificar riscos mais rapidamente, reforçar a nossa resiliência de forma contínua e potenciar ainda mais a confiança que milhões de clientes depositam no Belfius todos os dias. A IA está a tornar-se num dos nossos aliados mais fortes na proteção do que é mais importante."
Fabian Delava, Head of Technology no Belfius
Porque é que o pentest on-prem é importante agora
A IA está simultaneamente a acelerar o desenvolvimento de software e a fornecer aos atacantes formas mais fáceis e baratas de visar organizações. Isso significa que podem fazê-lo com maior frequência. Para acompanhar este ritmo, as organizações precisam de conseguir testar os seus sistemas com a maior frequência possível. Mas sabemos que existe uma lacuna: 76% implementam alterações significativas semanalmente ou mais rapidamente, e 21% validam a segurança em cada lançamento.
Até hoje, os melhores testes de segurança impulsionados por IA só estavam disponíveis para equipas que podiam enviar tudo para a Cloud. As organizações com as regras mais restritas, e frequentemente com mais em jogo, eram as que ficavam de fora, a menos que criassem a sua própria solução internamente. A Aikido Machine fecha essa lacuna.
Uma calorosa boas-vindas ao Tiburce e ao Selim. Trazer o pentest de IA on-prem já estava em curso e o seu trabalho forneceu-nos a base de que precisávamos para entregar um produto que está à frente do seu tempo.
Se gere a segurança numa indústria fortemente regulada e "isso não pode sair da nossa rede" tem dado por terminada todas as conversas sobre pentest de IA que teve, está na hora de conhecer a Aikido Machine.
{{cta}}
