Perusahaan yang terburu-buru menerapkan model bahasa besar (LLM) dan agen AI menghadapi ancaman yang semakin besar: gambar dasar container yang sangat cacat yang menimbulkan kerentanan keamanan bawaan. Startup asal Israel, Echo, telah mendapatkan pendanaan Seri A sebesar $35 juta – sehingga total pendanaannya menjadi $50 juta – untuk mengatasi masalah mendasar ini dengan memikirkan kembali bagaimana infrastruktur cloud dibangun dari awal.
Зміст
Fondasi Awan yang Tak Terlihat
Internet modern bergantung pada gambar kontainer – pada dasarnya mengirimkan kontainer untuk perangkat lunak. Gambar-gambar ini mencakup kode aplikasi dan “gambar dasar” penting yang membuat kode berjalan. Gambar dasar mirip dengan sistem operasi (OS) seperti Windows atau macOS, namun tidak seperti sistem tersebut, sebagian besar gambar dasar bersifat sumber terbuka dan dikelola oleh sukarelawan. Artinya, aplikasi tersebut sering kali berisi alat dan pengaturan yang tidak perlu (“penggembungan”), sehingga menimbulkan risiko keamanan yang signifikan.
Masalahnya sangat penting: gambar dasar yang diunduh dapat berisi lebih dari 1.000 kerentanan yang diketahui (CVE) sejak awal. Patching tradisional adalah perjuangan yang sia-sia bagi tim keamanan, yang mewarisi utang infrastruktur bahkan sebelum menulis kode.
Pendekatan “OS Asli AI Perusahaan” Echo
Solusi Echo bukan tentang memindai kerentanan setelah kerentanan itu ada; ini tentang mencegahnya sepenuhnya. Perusahaan ini beroperasi sebagai “pabrik kompilasi perangkat lunak”, yang membangun kembali gambar dari awal menggunakan proses dua langkah:
- Kompilasi dari Sumber: Echo membuat gambar langsung dari kode sumber, hanya menyertakan komponen penting untuk meminimalkan permukaan serangan.
- Pengerasan & Provenance (SLSA Level 3): Gambar yang dihasilkan diperkeras dengan konfigurasi keamanan yang agresif dan diverifikasi sesuai standar SLSA Level 3, memastikan setiap artefak ditandatangani dan diuji.
Hal ini menghasilkan penggantian drop-in: pengembang cukup mengubah satu baris di Dockerfile mereka untuk mengakses registri aman Echo. Aplikasi ini berjalan dengan cara yang sama, namun OS yang mendasarinya secara matematis lebih bersih dan bebas dari CVE yang diketahui.
AI Bertahan Melawan AI
Perlunya pendekatan ini didorong oleh meningkatnya perlombaan senjata keamanan “AI vs. AI”. Eksploitasi dikompres dari minggu ke hari, dan agen pengkodean yang didukung AI kini menjadi sumber utama kode baru—seringkali memilih perpustakaan yang usang atau rentan dari sumber terbuka.
Untuk mengatasi hal ini, Echo mempekerjakan agen AI miliknya untuk terus memantau kerentanan:
- Pemantauan Berkelanjutan: Melacak 4.000+ CVE baru yang ditambahkan ke Basis Data Kerentanan Nasional (NVD) setiap bulan.
- Riset Tidak Terstruktur: Menjelajahi komentar GitHub dan forum pengembang untuk mencari patch sebelum dipublikasikan secara resmi.
- Penyembuhan Mandiri: Mengotomatiskan perbaikan kerentanan, pengujian kompatibilitas, dan pembuatan permintaan penarikan untuk peninjauan manusia.
Otomatisasi ini memungkinkan Echo menyimpan lebih dari 600 gambar yang aman—skala yang biasanya memerlukan ratusan peneliti.
Mengapa Hal Ini Penting bagi Pemimpin Keamanan
Echo menawarkan peralihan dari “waktu rata-rata menuju remediasi” menjadi “tidak ada kerentanan secara default”. CISO Dan Garcia dari EDB melaporkan bahwa platform tersebut “menghemat setidaknya 235 jam pengembang per rilis” dengan mengotomatiskan pemeriksaan keamanan.
Perusahaan besar seperti UiPath, EDB, dan Varonis sudah menggunakan Echo untuk mengamankan beban kerja produksi. Karena semakin banyak perusahaan yang beralih ke alur kerja agen, kemampuan untuk memercayai infrastruktur yang mendasarinya tanpa mengelolanya dapat menentukan era DevSecOps berikutnya.
Pesan intinya jelas: mengamankan lapisan dasar cloud tidak lagi bersifat opsional. Echo memberikan solusi dasar bagi perusahaan yang perlu menerapkan AI dengan aman dan andal.
