Quando a Nansen atribuiu a cada colaborador um agente OpenClaw autónomo, toda a empresa começou a escrever e a executar código. O seu responsável de segurança teve de proteger todas as máquinas sem abrandar o negócio.
Em resumo
- Estendeu a proteção de dispositivos a todas as máquinas na Nansen, tanto para programadores como para não programadores
- A proteção de dispositivos detetou e resolveu automaticamente um pacote npm arriscado em utilização real, sem interromper a compilação
- A alargar agora a proteção de dispositivos aos agentes de IA autónomos executados por cada colaborador
- Consolidou oito ferramentas pontuais num único painel que abrange o code e a Cloud
Quando uma aplicação de análise adiciona um terminal de negociação
A Nansen transforma dados da cadeia de blocos em sinais de negociação para investidores em criptomoedas. Fundada em 2020, ganhou notoriedade graças à sua análise de dados e oferece agora um terminal de negociação onde os utilizadores podem negociar na cadeia de blocos a partir das suas próprias carteiras.
Mads Havmand é o responsável pela segurança na Nansen. Assim que as pessoas começaram a negociar através da Nansen, uma falha de segurança poderia custar aos utilizadores não só dinheiro como também dados, e o seu modelo de ameaças mudou em conformidade.
A Web3 deu-lhe uma vantagem: o risco é mais fácil de explicar. As pessoas já compreendem que, se não forem os detentores das chaves, os fundos não lhes pertencem. Uma empresa jovem que está a tentar provar o seu valor tem de lançar produtos rapidamente, e Mads é categórico ao afirmar que a segurança é «a introdução de atrito» e que «o atrito é a antítese do progresso».
«Avançar rapidamente e causar falhas» funciona quando se trata de uma aplicação web fixe. Mas quando essas falhas podem custar dinheiro aos utilizadores, não me sinto à vontade com isso.
O desafio
A IA transformou toda a empresa em programadores
A Nansen fez uma aposta deliberada na IA. Atribuiu a cada colaborador o seu próprio agente OpenClaw autónomo, permitindo que pessoas muito para além da equipa de engenharia escrevessem e executassem código.
Passámos de 30 programadores para "todos são programadores".
Ele não conseguia colocar um engenheiro de segurança atrás de cada programador, nem podia isolar a segurança num canto próprio da base de código e deixar que todos os outros assumissem que isso não era trabalho deles. Os agentes corriam em dois locais: nos computadores pessoais das pessoas e em instâncias OpenClaw partilhadas, pelo que a superfície que tinha de abranger cresceu em ambas as direções ao mesmo tempo.
O npm era o que o tirava o sono
O Mads mantém uma lista atualizada do que o faz ficar acordado a pensar, e perto do topo estava o npm.
Por muito que tente erradicar o npm da nossa infraestrutura, há sítios onde é a melhor opção, e tenho de conviver com isso.
Um único pacote malicioso num único computador podia chegar à produção.
A proteção de dispositivos chegou na altura certa
A Aikido lançou a Device Protection, e correspondia exatamente ao problema que o Mads tentava resolver há mais de um ano. Ele decidiu então implementá-la de imediato.
Todas as máquinas na Nansen estão protegidas.
Os programadores perceberam a ideia, assim como a equipa financeira, que agora executa os seus próprios agentes de IA. O preço baseado em licenças era suficientemente acessível para que o Mads também comprasse licenças de programador, permitindo que os seus engenheiros entrassem na Aikido e resolvessem os seus próprios problemas diretamente. A proteção de dispositivos eliminou uma das preocupações da lista que o deixa sem dormir.
Agora, está a trabalhar com a Aikido para levar a proteção mais um passo adiante, aplicando-a diretamente às instâncias OpenClaw partilhadas, para que os agentes fiquem protegidos onde quer que sejam executados, e não apenas nos computadores portáteis que os controlam.
Proteção que simplesmente funciona
A fazer trabalho open-source tarde numa noite, o Mads clonou uma base de código, verificou-a manualmente e instalou-a. Um pacote falhou a verificação de idade da proteção de dispositivos e ele recebeu um aviso. O seu agente encontrou uma versão que ultrapassava a restrição por si só, pelo que a aplicação continuou a funcionar.
Recebi a notificação de que tinha sido protegido, mas fiquei com algo que continuava a funcionar.
Ficou protegido sem que a sua velocidade fosse afetada, que é o equilíbrio que tem procurado entre atrição e ritmo.
Mais do que proteção de dispositivos: uma única plataforma para Código e Cloud
A proteção de dispositivos resolveu o problema dos endpoints, mas o Mads tinha recorrido à Aikido por algo mais abrangente em primeiro lugar: visibilidade.
Não consigo proteger aquilo de que não tenho conhecimento, por isso a minha primeira utilização do Aikido foi para obter uma visão geral de todos os recursos na nuvem.
A Aikido deu-lhe a visão geral e a filtragem de severidade de que precisava num único local, substituindo a manta de retalhos que tinha juntado a partir do GitHub, Dependabot e das ferramentas nativas do Google Cloud.
Não consigo gerir oito ferramentas diferentes. Preciso de um painel único onde possa entrar e priorizar, e para mim a Aikido tem sido essa solução.
Como o Aikido se liga a projetos e repositórios individuais do GCP, ele consegue identificar o repositório subjacente ao terminal de negociação e concentrar-se nesse ponto, mantendo as questões de menor risco em vista, mas sem que estas o atrapalhem. Ele gere o Aikido na qualidade de responsável pelos dados da equipa de segurança, operando ele próprio as ferramentas e transmitindo aos engenheiros apenas as descobertas verificadas. Isso protege o seu bem mais precioso junto dos engenheiros que realizam as correções: a confiança. O AutoTriage filtra e agrupa o ruído, pelo que o que ele transmite vale a pena ser tratado e um falso positivo nunca prejudica as relações que construiu.
A moeda da segurança é a confiança. Quando entrego algo, preciso de ter a certeza de que é um verdadeiro positivo.
Porque é que a Nansen escolheu a Aikido
Vários fatores tornaram a decisão fácil:
- Um plano gratuito que permitiu ao Mads registar-se, inserir projetos de teste e mostrar ao seu VP de engenharia um resultado funcional, em vez de realizar um processo de vendas de vários meses
- Preços baseados em licenças que cobriam tanto programadores como não programadores
- Proteção de dispositivos que chegou exatamente na altura em que o risco dos agentes de IA e os ataques à Supply chain atingiram o pico
- Uma única plataforma a substituir as oito ferramentas pontuais que utilizava anteriormente
Para onde a Nansen vai a seguir
Atualmente em uso
- Proteção de dispositivos em todas as máquinas da empresa
- Análise de código em todos os repositórios
- Gestão de ativos e postura de segurança na nuvem em todo o Google Cloud
- AutoFix para correções de dependências e de código
- AutoTriage para a gestão de problemas
Próximos passos
- Integração de toda a equipa de programadores no Aikido para que os engenheiros vejam e atuem diretamente sobre os problemas
Em avaliação
- Deep PR Review
- Pentesting de IA
Veredito final
Agora que adicionou a proteção de dispositivos, é capaz de nunca mais sair do Aikido.
