Cuando Nansen proporcionó a cada empleado un agente OpenClaw autónomo, toda la empresa comenzó a escribir y ejecutar código. Su responsable de seguridad tenía que proteger cada máquina sin ralentizar el negocio.
De un vistazo
- Protección de dispositivos ampliada a todas las máquinas en Nansen, tanto para desarrolladores como para no desarrolladores
- La protección de dispositivos detectó y resolvió automáticamente un paquete npm vulnerable en uso activo, sin interrumpir la compilación
- Ampliando ahora la protección de dispositivos a los agentes de IA autónomos que ejecuta cada empleado
- Consolidación de ocho herramientas puntuales en un panel único para código y cloud
Cuando una aplicación de análisis añade una plataforma de negociación
Nansen transforma los datos de la cadena de bloques en señales de negociación para los inversores en criptomonedas. Fundada en 2020, se ha labrado una reputación gracias a sus análisis y ahora ofrece una plataforma de negociación en la que los usuarios pueden operar en la cadena de bloques desde sus propias carteras.
Mads Havmand es el responsable de seguridad de Nansen. Cuando los usuarios empezaron a operar a través de Nansen, un fallo de seguridad podía suponerles pérdidas económicas, además de la pérdida de datos, y su modelo de amenazas se adaptó a esta nueva situación.
Web3 le proporcionó una ventaja: el riesgo es más fácil de explicar. La gente ya entiende que, si no tienes las claves, los fondos no son tuyos. Una empresa joven que está demostrando su valía tiene que lanzar sus productos rápidamente, y Mads afirma sin rodeos que la seguridad es «la introducción de fricción» y que «la fricción es la antítesis del progreso».
«Avanzar rápido y romper cosas» funciona cuando se trata de una aplicación web molona. Pero cuando romper cosas puede suponer un gasto para los usuarios, no me siento cómodo con eso.
El desafío
La IA convirtió a toda la empresa en desarrolladores
Nansen apostó firmemente por la IA. Proporcionó a cada empleado su propio agente OpenClaw autónomo, de modo que personas mucho más allá del equipo de ingeniería comenzaron a escribir y ejecutar código.
Pasamos de tener 30 desarrolladores a que "todo el mundo sea desarrollador".
No podía poner a un ingeniero de seguridad detrás de cada desarrollador, ni aislar la seguridad en su propio rincón del código dejando que los demás asumieran que no era su problema. Los agentes se ejecutaban en dos sitios, en los portátiles personales de los empleados y en instancias compartidas de OpenClaw, por lo que la superficie que debía cubrir crecía en ambas direcciones a la vez.
npm era lo que no le dejaba dormir por las noches
Mads lleva una lista actualizada de las cosas que le quitan el sueño, y cerca de la parte superior estaba npm.
Por mucho que intente erradicar npm de nuestra infraestructura, hay lugares donde es la mejor opción, y tengo que convivir con ello.
Un solo paquete malicioso en un solo portátil podría llegar a producción.
La protección de dispositivos llegó en el momento adecuado
Aikido lanzó Device Protection, y coincidía exactamente con el problema que Mads llevaba intentando resolver desde hacía más de un año. Así que decidió implementarlo de inmediato.
Todas y cada una de las máquinas de Nansen están cubiertas.
Los desarrolladores lo entendieron, al igual que el personal financiero que ahora ejecuta sus propios agentes de IA. El modelo de precios por usuario era lo suficientemente asequible como para que Mads también comprara licencias de desarrollador, permitiendo que sus ingenieros iniciaran sesión en Aikido y resolvieran sus propios problemas directamente. La protección de dispositivos eliminó una de las preocupaciones de la lista que no le deja dormir por las noches.
Ahora trabaja con Aikido para llevar la protección un paso más allá, directamente a las instancias compartidas de OpenClaw, de modo que los agentes estén cubiertos dondequiera que se ejecuten, no solo en los portátiles que los impulsan.
Protección que simplemente funciona
Trabajando en código abierto a altas horas de la noche, Mads clonó un repositorio, lo revisó manualmente y lo instaló. Un paquete activó la comprobación de antigüedad de la protección de dispositivos y recibió una advertencia. Su agente encontró una versión que superaba la restricción por sí sola, por lo que la aplicación siguió funcionando.
Recibí la ventana emergente de que estaba protegido, pero no me quedé con algo que no funcionaba.
Estaba protegido sin que su ritmo se viera ralentizado, logrando el equilibrio que tanto buscaba entre fricción y velocidad.
Más que protección de dispositivos: una vista unificada para Código y Cloud
La protección de dispositivos resolvió el problema de los endpoints, pero Mads había llegado a Aikido buscando algo más amplio en primer lugar: visibilidad.
No puedo proteger lo que no conozco, así que mi primer uso de Aikido fue obtener una visión general de todos los activos en la nube.
Aikido le proporcionó la visión general y el filtrado por gravedad que necesitaba en un solo lugar, sustituyendo el sistema provisional que había montado con GitHub, Dependabot y las herramientas integradas de Google Cloud.
No puedo lidiar con ocho herramientas diferentes. Necesito un panel centralizado al que pueda acudir y priorizar, y para mí Aikido ha sido esa solución.
Dado que Aikido se conecta a proyectos y repositorios individuales de GCP, puede identificar con precisión el repositorio correspondiente a la terminal de negociación y centrarse en él, sin perder de vista los problemas de menor riesgo, pero manteniéndolos al margen. Gestiona Aikido como responsable de los datos del equipo de seguridad, manejando él mismo las herramientas y transmitiendo a los ingenieros únicamente los hallazgos verificados. De este modo, protege su activo más valioso ante los ingenieros que se encargan de las correcciones: la confianza. AutoTriage filtra y agrupa el ruido, de modo que lo que él transmite merece la pena ser tenido en cuenta y un falso positivo nunca daña las relaciones que ha construido.
La moneda de cambio de la seguridad es la confianza. Cuando entrego algo, necesito asegurarme de que es un positivo real.
Por qué Nansen eligió Aikido
Varios factores hicieron que la decisión fuera fácil:
- Un nivel gratuito que le permitió a Mads registrarse, añadir proyectos de prueba y mostrar a su vicepresidente de ingeniería un resultado funcional, en lugar de pasar por un proceso de ventas de varios meses.
- Precios basados en usuarios que cubren tanto a desarrolladores como a perfiles no técnicos
- Protección de dispositivos que llegó justo cuando el riesgo de los agentes de IA y los ataques a la cadena de suministro alcanzaban su punto máximo
- Un panel que reemplaza las ocho herramientas independientes que utilizaba anteriormente
Los próximos pasos de Nansen
Actualmente en uso
- Protección de dispositivos en todas las máquinas de la empresa
- Análisis de código en todos los repositorios
- Gestión de activos y postura de seguridad en la nube en Google Cloud
- AutoFix para la corrección de código y dependencias
- AutoTriage para la gestión de incidencias
Próximos planes
- Incorporación de todo el equipo de desarrollo a Aikido para que los ingenieros vean y actúen directamente sobre los problemas
Evaluando
- Deep PR Review
- Pentesting de IA
Veredicto final
Ahora que habéis añadido la protección de dispositivos, puede que no salga nunca de Aikido.
