Als Nansen jedem Mitarbeitenden einen autonomen OpenClaw-Agenten bereitstellte, begann das gesamte Unternehmen damit, Code zu schreiben und auszuführen. Der Leiter der IT-Sicherheit musste jede Maschine schützen, ohne das Geschäft auszubremsen.
Auf einen Blick
- Ausweitung des Geräteschutzes auf jede Maschine bei Nansen – für Entwickelnde und Nicht-Entwickelnde gleichermaßen
- Der Geräteschutz hat ein riskantes npm-Paket im Live-Betrieb erkannt und automatisch behoben, ohne den Build zu unterbrechen
- Geräteschutz wird nun auf die autonomen KI-Agenten ausgeweitet, die von den Mitarbeitenden verwendet werden
- Konsolidierung von acht Einzeltools zu einer einheitlichen Ansicht für Code und Cloud
Wenn eine Analyse-App ein Handelsterminal hinzufügt
Nansen wandelt On-Chain-Daten in Handelssignale für Krypto-Anleger um. Das 2020 gegründete Unternehmen hat sich mit seinen Analysen einen Namen gemacht und bietet nun eine Handelsplattform an, über die Nutzer direkt aus ihren eigenen Wallets heraus On-Chain-Handel betreiben können.
Mads Havmand ist bei Nansen für die Sicherheit zuständig. Seitdem die Nutzer über Nansen handeln, könnte ein Sicherheitsversagen sie nicht nur Daten, sondern auch Geld kosten – und damit änderte sich auch sein Bedrohungsmodell.
Web3 bot ihm einen Vorteil: Risiken lassen sich leichter erklären. Die Leute wissen bereits: Wer nicht die Schlüssel besitzt, dem gehören die Gelder nicht. Ein junges Unternehmen, das sich erst noch beweisen muss, muss schnell Ergebnisse liefern, und Mads sagt unverblümt, dass Sicherheit „die Einführung von Reibung“ sei und dass „Reibung das Gegenteil von Fortschritt“ sei.
„Schnell vorankommen und dabei Dinge kaputtmachen“ funktioniert, wenn man eine coole Web-App ist. Wenn das Kaputtmachen den Nutzern jedoch Geld kosten könnte, fühle ich mich damit nicht wohl.
Die Herausforderung
KI hat das gesamte Unternehmen in Entwickelnde verwandelt
Nansen hat bewusst auf KI gesetzt. Das Unternehmen stellte jedem Mitarbeitenden einen eigenen autonomen OpenClaw-Agenten zur Verfügung, sodass auch Personen weit außerhalb des Engineering-Teams Code schrieben und ausführten.
Wir gingen von 30 Entwickelnden zu „jede Person ist eine entwickelnde Person“ über.
Er konnte nicht hinter jeder entwickelnden Person einen Security Engineer platzieren, und er wollte die Sicherheit auch nicht in ihrer eigenen Ecke des Codebasis einmauern und alle anderen annehmen lassen, das sei nicht ihre Aufgabe. Die Agenten liefen an zwei Orten – auf den persönlichen Laptops der Mitarbeitenden sowie auf gemeinsam genutzten OpenClaw-Instanzen –, sodass die Angriffsfläche, die er abdecken musste, in beide Richtungen gleichzeitig wuchs.
npm war die Sache, die ihn nachts wach hielt
Mads führt eine fortlaufende Liste der Dinge, über die er nachts nachdenkt, und ganz oben stand npm.
So sehr ich auch versuche, npm aus unserer Infrastruktur zu verbannen, gibt es Bereiche, in denen es die beste Option ist, und damit muss ich leben.
Ein einziges schädliches Paket auf einem einzigen Laptop könnte die Produktion erreichen.
Der Geräteschutz kam genau zum richtigen Zeitpunkt
Aikido hat den Device Protection auf den Markt gebracht, und er passte genau zu dem Problem, das Mads seit über einem Jahr zu lösen versuchte. Daraufhin beschloss er, ihn sofort einzuführen.
Jedes einzelne Gerät bei Nansen ist abgesichert.
Entwickelnde haben ihn angenommen, ebenso wie das Finanzteam, das inzwischen eigene KI-Agenten nutzt. Die sitzplatzbasierte Preisgestaltung war so erschwinglich, dass Mads zusätzlich Entwicklerlizenzen erwarb, damit seine Engineers sich bei Aikido einloggen und ihre eigenen Probleme direkt bearbeiten konnten. Der Geräteschutz nahm ihm eine der Sorgen von der Liste, die ihn nachts wach halten.
Jetzt arbeitet er mit Aikido daran, den Schutz eine Ebene weiter auszubauen – direkt auf die gemeinsam genutzten OpenClaw-Instanzen, sodass die Agenten geschützt sind, egal wo sie laufen, und nicht nur auf den Laptops, die sie steuern.
Schutz, der einfach funktioniert
Als Mads eines Nachts an Open-Source-Projekten arbeitete, klonte er eine Codebasis, prüfte sie manuell und installierte sie. Ein Paket fiel beim Alterscheck des Geräteschutzes durch, und er erhielt eine Warnung. Sein Agent fand selbstständig eine Version, die die Einschränkung aufhob, sodass die App weiterhin lief.
Ich bekam den Hinweis, dass ich geschützt wurde, aber das Ergebnis war kein System, das nicht mehr funktionierte.
Er war abgesichert, ohne ausgebremst zu werden – genau die Balance zwischen Reibung und Tempo, die er gesucht hatte.
Mehr als Geräteschutz: eine zentrale Anlaufstelle für Code und Cloud
Der Geräteschutz löste das Endpoint-Problem, aber Mads war ursprünglich wegen etwas Umfassenderem zu Aikido gekommen: Sichtbarkeit.
Ich kann nichts schützen, von dem ich nichts weiß. Daher war mein erster Anwendungsfall für „ Aikido “, mir einen Überblick über alle Cloud-Ressourcen zu verschaffen.
Aikido bot ihm den Überblick und die Schweregradfilterung, die er an einem zentralen Ort benötigte, und ersetzte das Flickwerk, das er sich aus GitHub, Dependabot und den integrierten Tools von Google Cloud zusammengestellt hatte.
Ich kann nicht acht verschiedene Tools gleichzeitig verwalten. Ich brauche eine zentrale Anlaufstelle, auf die ich zugreifen und Prioritäten setzen kann, und für mich war Aikido diese Lösung.
Da „ Aikido “ eine Verbindung zu einzelnen GCP-Projekten und Repositories herstellt, kann er das Repo hinter dem Handelsterminal genau lokalisieren und sich darauf konzentrieren, wobei er Probleme mit geringerem Risiko im Blick behält, diese aber aus dem Weg räumt. Er betreibt „ Aikido “ als Datenverantwortlicher des Sicherheitsteams, bedient die Tools selbst und leitet nur verifizierte Befunde an die Entwickler weiter. Das schützt sein wertvollstes Gut gegenüber den Entwicklern, die die Fehler beheben: das Vertrauen. AutoTriage filtert und gruppiert die irrelevanten Meldungen, sodass das, was er weitergibt, handlungswürdig ist und ein Fehlalarm niemals die von ihm aufgebauten Beziehungen beeinträchtigt.
Die Währung der Sicherheit ist Vertrauen. Wenn ich etwas weitergebe, muss ich sicherstellen, dass es sich um einen echten Treffer handelt.
Warum sich Nansen für Aikido entschieden hat
Mehrere Faktoren machten die Entscheidung leicht:
- Ein kostenloses Einstiegspaket, mit dem sich Mads anmelden, Testprojekte hochladen und seinem VP of Engineering ein funktionierendes Ergebnis präsentieren konnte, anstatt einen monatelangen Vertriebsprozess zu durchlaufen
- Eine sitzplatzbasierte Preisgestaltung, die sowohl Entwickelnde als auch Nicht-Entwickelnde abdeckt
- Ein Geräteschutz, der genau zu dem Zeitpunkt auf den Markt kam, als das Risiko durch KI-Agenten und Lieferkettenangriffe ihren Höchststand erreichte
- Eine zentrale Anlaufstelle, die die acht zuvor genutzten Einzeltools ersetzt
Wo Nansen als Nächstes hingeht
Derzeit im Einsatz
- Geräteschutz für jeden Firmenrechner
- Code-Scans über Repositories hinweg
- Cloud-Sicherheitsstatus und Asset-Management in Google Cloud
- AutoFix für Abhängigkeits- und Code-Korrekturen
- AutoTriage zur Problembearbeitung
Als Nächstes geplant
- Einbindung des gesamten Entwickelnden-Teams in Aikido, damit Engineers Probleme direkt sehen und beheben
Wird evaluiert
- Deep PR Review
- KI-Penetrationstests
Fazit
Jetzt, wo Sie den Geräteschutz hinzugefügt haben, komme ich vielleicht nie wieder aus Aikido heraus.
