A janela dos defensores em escala empresarial com o Standard Chartered

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: The Defender’s Window at enterprise scale with Standard Chartered · Canal: OpenAI · 12:31 · Assistir no YouTube

Tópicos: Agentes de IA, Cibersegurança e segurança de software, Governança e regulação de IA

Resumo

Ruben, do Standard Chartered, explica como modelos de fronteira podem ajudar a identificar riscos realmente exploráveis com mais rapidez do que os métodos tradicionais. Ele destaca que fornecer contexto sobre arquitetura, dependências, serviços e limites de confiança é mais importante do que escolher um modelo específico. A adoção exige colaboração entre segurança de aplicações e desenvolvimento, evidências que gerem confiança e integração aos processos de trabalho. Para ampliar a proteção, a organização também precisa fortalecer suas bases técnicas e executar análises em escala para entender o raio de impacto de possíveis invasões.

Pontos-chave

O foco deve ser identificar o que é realmente explorável, não apenas ampliar a lista de vulnerabilidades encontradas no código.
Contexto sobre arquitetura, microsserviços, dependências, serviços conectados e intenção da solução melhora os resultados.
As descobertas precisam ser validadas em conjunto pelas equipes de segurança de aplicações e desenvolvimento.
A IA pode apoiar a remediação e ajudar equipes a entender as causas-raiz, em vez de apenas gerar mais alertas ou tarefas.
Integrar as ferramentas ao pipeline e disponibilizá-las mais cedo ajuda desenvolvedores a priorizar riscos com evidências.
Reduzir dívida técnica e complexidade, atualizar a arquitetura e fortalecer controles de identidade e acesso são bases importantes.
As equipes de segurança devem habilitar o autoatendimento dos desenvolvedores, mantendo verificações apropriadas.
Executar análises em lote e em ambiente isolado pode ajudar a avaliar aplicações conectadas e o raio de impacto de uma invasão.

Capítulos

Início	Capítulo	Resumo
00:06	A janela dos defensores e o risco explorável	Ruben explica por que bancos precisam identificar rapidamente caminhos de ataque entre sistemas, APIs, identidades e limites de confiança.
01:14	Daybreak e a importância do contexto	A conversa aborda os resultados iniciais da avaliação do Daybreak e o valor de fornecer contexto de arquitetura, dependências e serviços.
03:27	Colaboração e confiança nas descobertas	As equipes de segurança e desenvolvimento trabalham juntas para validar os achados e transformar evidências em remediação.
05:35	Habilitar desenvolvedores e fortalecer as bases	Ruben fala sobre integrar segurança ao pipeline, antecipar o acesso às ferramentas e reduzir dívida técnica e complexidade.
08:21	Aprendizados e organização global	A experiência revela lacunas de documentação e ferramentas tradicionais, enquanto a estratégia busca capacitar equipes distribuídas.
10:56	Análises em escala e raio de impacto	Ruben descreve a necessidade de executar análises em lote e em ambiente isolado para compreender explorações e seus efeitos em aplicações conectadas.

Citações

O contexto realmente importa. — 02:21

Fazer uma demonstração e mostrá-la à equipe de desenvolvimento não é suficiente. Você precisa de evidências concretas. — 03:27

É uma questão de mudar essa mentalidade para sermos mais facilitadores. — 06:08

As organizações com bases sólidas conseguirão tirar o máximo proveito da IA. — 07:45

Fazer uma análise em alguns poucos repos, ou repo por repo, não é escalável. — 11:30

Conceitos e entidades

Standard Chartered (empresa): Banco global que avalia o uso de IA de fronteira para identificar riscos de segurança em suas aplicações.
OpenAI (empresa): Empresa anfitriã da conversa, que apresenta o uso de IA de fronteira na defesa de aplicações.
Daybreak (ferramenta): Sistema avaliado pelo Standard Chartered para encontrar riscos que abordagens tradicionais podem não detectar.
defense factory (ferramenta): Iniciativa mencionada como uma forma de executar análises de segurança em escala.
frontier models (conceito): Modelos avançados de IA usados para compreender software e identificar possíveis explorações.
Ruben (pessoa): Representante do Standard Chartered que descreve a avaliação e a adoção de IA nos processos de segurança do banco.

Tradução completa (pt-BR)

00:06 Ruben, ouvimos muito hoje sobre a janela dos defensores, então gostaria de começar por aí. O que isso significa para o Standard Chartered e para a forma como vocês protegem suas aplicações? >> Certo. Quero dizer, para o Standard Chartered, acho que, com os modelos de fronteira, o que vimos é que o tempo necessário para entender software e descobrir e identificar exploits ficou obviamente muito menor. E, como banco global, precisamos conseguir entender o que são esses

00:42 exploits muito mais rápido que os atacantes. Então, não se trata realmente de encontrar vulnerabilidades no código, mas de entender o que é de fato explorável, porque, no fim das contas, os atacantes não ficam olhando repos e ativos, que é o que muitos programas de segurança analisam. Eles observam caminhos de ataque entre sistemas, APIs, IDs e limites de confiança. Então, isso é realmente fundamental. >> Entendi. Concordo plenamente: não se trata apenas de acrescentar itens a uma lista cada vez maior de CVEs. O Standard Chartered foi um dos primeiros bancos

01:14 do mundo a avaliar o Daybreak, que acreditamos ser uma parte essencial do ecossistema do Defender. Então, gostaria de ouvir um pouco sobre como vocês têm usado o Daybreak até agora. Que tipo de resultados estão vendo? Como ele foi incorporado à maneira como suas equipes trabalham? >> Claro. Começamos a explorar esse caminho porque queríamos saber se a IA de fronteira seria capaz de nos dar mais informações sobre riscos que as abordagens tradicionais não conseguiriam identificar. Seria capaz de entender o que está acontecendo em diferentes repositórios, o que

01:48 está acontecendo em diferentes arquiteturas e limites de confiança? Foi por isso que começamos a investigar. E o que descobrimos inicialmente, em nossas primeiras observações, é que, quando o sistema consegue entender o que ocorre em diferentes arquiteturas — e temos muitos microsserviços e repositórios de microsserviços —, você obtém muito mais descobertas. É muito melhor ter esse contexto. Então, o contexto realmente importa. É mais importante ter esse contexto do que escolher determinado modelo.

02:21 porque, com esse contexto, você consegue encontrar muitas coisas que são realmente exploráveis. >> Isso é muito interessante. Ouvimos muito sobre pegar esses modelos de fronteira e usá-los para análise estática de código, tentando identificar exploits dessa forma. Mas você poderia explicar melhor e detalhar um pouco o que quer dizer quando fala em dar mais contexto? Concordo que contexto é fundamental. Na prática, como isso se parece? O que mais vocês fornecem ao modelo, além da base de código, para ajudá-lo a fazer isso? Por exemplo, coisas como a arquitetura, o diagrama de arquitetura, qual é o modelo de implantação da arquitetura de

02:54 aquilo que estamos analisando, quais são as dependências, quais são os outros serviços conectados ou usados por esse ativo e qual era a intenção da solução para esse item. Então, são todas essas coisas que fornecemos. Quanto mais contexto você conseguir dar, melhores serão os resultados. >> Entendi, faz sentido. E temos conversado um pouco sobre o papel da sua equipe na aplicação do Daybreak. Há muito mais a considerar além da tecnologia, certo? Como a equipe realmente trabalha, e vocês têm a responsabilidade de conquistar a confiança da equipe no uso dessas novas ferramentas. Então, o que estão aprendendo sobre como tornar confiáveis essas descobertas geradas por IA e como isso está mudando a organização das equipes que trabalham nesses desafios? Acho que simplesmente fazer uma demonstração e mostrá-la à equipe de desenvolvimento não basta, certo? É preciso ter evidências concretas. Então, acredito que o caminho é trabalhar em colaboração com a equipe de desenvolvimento, e foi isso que conseguimos fazer: trabalhar em um

03:27 grupo multifuncional com a equipe de segurança de aplicações e a equipe de desenvolvimento, juntas, para tentar executar isso. Porque tudo o que encontramos precisa ser validado em relação ao código, à arquitetura de implantação e ao ambiente, certo? Para isso, precisamos trabalhar juntos, de forma colaborativa. É isso que estamos tentando fazer. >> Entendi. E tenho certeza de que muitas outras pessoas na sala hoje enfrentam desafios semelhantes: a segurança não é um problema apenas da equipe de segurança, mas exige o apoio de toda a comunidade de engenharia de software

03:57 dentro da organização. Então, que lições vocês aprenderam sobre o que funcionou bem? Como conseguiram convencê-los ou fazê-los começar a adotar essa forma de pensar na construção de produtos e serviços dentro do banco? >> Não se trata apenas de dizer: “Ei, encontramos algo”. Trata-se de como podemos aumentar a eficiência da remediação e alcançar os resultados de segurança certos. Uma coisa é eles entenderem a causa raiz do que

04:30 aconteceu; assim, talvez façam diferente da próxima vez e não construam suas aplicações daquela maneira. Outra coisa é trabalhar com eles para corrigir o problema, em vez de simplesmente apontá-lo. Também usamos IA de fronteira para fazer a remediação. Então, não se trata apenas de mais um painel, certo? >> Sim. E não de acrescentar mais uma tarefa ao backlog. >> Sim. Voltando por um instante à janela dos defensores: há um senso de urgência que certamente sentimos. Tenho certeza de que muitas pessoas nesta sala também sentem urgência

05:02 para enfrentar o desafio que temos pela frente. Mas uma organização como o Standard Chartered é grande, tem processos e governança que talvez não tenham sido concebidos para avançar na velocidade que estamos tentando alcançar agora. Então, gostaria de saber como vocês estão criando confiança dentro da organização para avançar na velocidade necessária e envolver as outras equipes, além de talvez atualizar os processos envolvidos. >> Sim. Historicamente, acho que a segurança — e, em qualquer lugar, os defensores da segurança — sempre foi vista como uma guardiã ou um obstáculo. Então, trata-se de mudar essa mentalidade para que sejamos mais facilitadores. Tudo o que construímos e fazemos é integrado ao pipeline. E uma das coisas fundamentais é dar aos desenvolvedores acesso a isso mais cedo. É como deslocar a segurança para o início do ciclo e permitir que eles tenham acesso antes. Algumas das coisas que você mencionou hoje, mais cedo nesta tarde, fizeram sentido para mim: ter uma espécie de espaço virtual no ciclo de desenvolvimento deles

05:35 onde possam testar isso enquanto está sendo executado e saber com certeza que algo é explorável. Eles veem as evidências de que é explorável e, então, priorizam com base nos exploits, certo? Quando sabem que você está tentando ajudá-los e permitir que trabalhem com mais rapidez e segurança, você constrói essa confiança. >> Sim, acho que isso anda junto com fornecer a eles recursos de programação agentic e ferramentas para acelerar o trabalho e garantir que isso não se torne um

06:08 grande fardo tradicional. Outra coisa — estou há muito tempo na área de segurança. Estávamos conversando antes de subir ao palco: sempre houve uma espécie de corrida entre os defensores e os agentes de ameaças, todos tentando ficar à frente. Mas este momento parece exigir uma maneira diferente de pensar. Então, estou curioso: como vocês estão pensando de forma diferente sobre a área de segurança, em comparação com cinco anos atrás? E o que outros líderes de segurança nesta sala deveriam pensar de forma diferente para estar à altura deste momento?

06:43 onde eles podem testar isso enquanto está em execução e saber com certeza que isso é algo explorável. Eles veem as evidências de que é explorável e então priorizam com base nos exploits, certo? Então, quando sabem que você está tentando ajudá-los e permitir que trabalhem mais rápido com segurança, você você você constrói, constrói essa confiança. >> Sim, acho que isso anda junto com oferecer… permitir que eles usem programação agêntica e ferramentas para acelerar o trabalho e garantir que não seja um

07:14 grande fardo tradicional. Outra coisa, acho que você… quero dizer, tendo trabalhado na área de segurança por muito tempo. Estávamos conversando sobre isso antes de subirmos ao palco: sempre houve essa… acho que corrida entre os defensores e os agentes de ameaça, sempre tentando ficar à frente. Mas este momento parece exigir uma maneira diferente de pensar. Então, estou curioso: como você está pensando de maneira diferente, talvez em comparação com cinco, cinco anos atrás, sobre a área de segurança? E o que você acha que outros líderes de segurança nesta sala deveriam pensar de maneira diferente para estar à altura deste momento?

07:45 >> Para ser bem sincero, ainda há algumas coisas que precisamos fazer. Isso fica bastante evidente quando analisamos e fazemos os testes que temos realizado: precisamos garantir que nossas bases estejam bem estabelecidas. Então, precisamos nos concentrar nelas. Tentar reduzir qualquer dívida técnica e diminuir a complexidade tecnológica. Por exemplo, não ter muitas linguagens: reduzir essa quantidade. Também precisamos garantir que nossa arquitetura esteja atualizada, porque isso nos permitirá fornecer o contexto adequado e ter uma identidade sólida e controles de acesso adequados.

08:21 Porque, no fim das contas, quando a IA é lançada em um ambiente, ela amplifica tudo o que encontra, certo? E as organizações que têm uma base adequada e sólida conseguirão tirar o máximo proveito dela. >> Sim, isso faz todo o sentido. E houve algo que surpreendeu você ao longo dessa jornada, nos últimos seis meses mais ou menos, adotando IA generativa nos processos de segurança? Houve algum aprendizado ou lição que você não esperava e que acha que poderia ser útil para outras pessoas por meio dessa…

08:52 experiência? Quer dizer, a maior parte foi sobre esse contexto e sobre a importância dele. Isso acaba levando você a algumas coisas que considera garantidas no SDLC, que imagina que as equipes de desenvolvimento estejam fazendo, como manter a arquitetura atualizada e coisas assim. Aí você descobre que há lacunas nisso, e elas precisam ser corrigidas. Então, sabe, isso foi uma pequena surpresa. Mas, fora isso, na verdade, uma coisa reconfortante é saber que, sabe, porque existe essa…

09:23 pressão de encontrar algo fora do comum, certo? E não houve muita coisa assim, sabe? O que encontramos é coerente com o que esperávamos. Esperamos que algumas dessas coisas estejam presentes ou que algumas sejam corrigidas. Mas, sim, o principal é que há certas áreas que as ferramentas tradicionais não detectaram, e essa foi a grande coisa que conseguimos identificar com esse método. >> Faz sentido. E, sabe, uma das coisas fascinantes para mim sobre…

09:55 trabalhar com a Standard Chartered é que vocês operam em tantos mercados pelo mundo, sujeitos a tantos regimes regulatórios e, portanto, têm muitos sistemas diferentes nas várias áreas da empresa. É uma superfície enorme para proteger. Então, não se trata necessariamente apenas de analisar repos de código. Gostaria de saber sua perspectiva, ao refletir sobre o tamanho e a complexidade da organização. Como vocês poderiam estruturar a equipe? Como estão pensando em se preparar para o futuro, enquanto continuam formando uma equipe capaz de responder a essas…

10:26 novas ameaças? >> Bem, somos uma organização global e atuamos em muitos mercados diferentes. Nossas equipes de desenvolvimento estão, em grande parte, concentradas em alguns polos. Isso facilita um pouco a coordenação e a colaboração com elas. Mas, na área de segurança, nosso papel é fornecer aos desenvolvedores as ferramentas adequadas para que possam trabalhar de forma autônoma. E acho que, no fim das contas…

10:56 é isso que precisamos conseguir fazer: permitir que eles atendam às próprias necessidades e trabalhem com segurança, com as verificações adequadas ao longo do processo. >> Entendi. Faz todo o sentido. E talvez só mais uma pergunta antes de encerrarmos. À medida que começamos a desenvolver mais produtos e continuamos ampliando a capacidade dos modelos de fronteira nessa área, gostaria de saber o que vocês gostariam de ver da OpenAI para facilitar o trabalho de vocês como defensores. Vocês aceitariam o…

11:30 feedback do Matt e da equipe para incorporá-lo ao produto? Acho que vocês nos deram uma boa prévia mais cedo do rumo que estão tomando, e é exatamente o que também estávamos pensando em algumas das conversas que tivemos. Queremos conseguir executar o produto em escala. Fazer uma análise em alguns repos ou de repo em repo não é escalável. Então, seria possível executar algo…

12:01 em um ambiente isolado e fazer isso em lote, para verificar se há exploits? Afinal, há muitos aplicativos conectados uns aos outros. Então, vocês querem entender qual é o raio de impacto e, sabe, se um deles for comprometido, para onde mais isso pode se espalhar. Acho que o que vocês estão planejando com a Defense Factory seria muito bom. Bem, estou ansioso para configurar seu acesso à Defense Factory em breve. Assim, tenho certeza de que poderemos continuar a conversa…

12:31 o dia todo, mas estou de olho no relógio, e nosso tempo acabou. Então, muito obrigado por se juntar a nós hoje, Reuben. Tenho certeza de que Reuben ficará feliz em responder a qualquer pergunta, caso queiram encontrá-lo depois das sessões de hoje. Vamos tomar uns drinques depois, então, por favor, procurem por ele e façam suas perguntas. Dito isso, vamos passar direto para a próxima sessão. Por favor, recebam no palco minha colega Claire Lawler, nossa fantástica diretora de contas da equipe de digital natives na AMIA. Obrigado.

Transcrição original

[00:06] Ruben, we’ve heard a lot today about the defenders window, so I’d love to start the conversation there. What does it mean for standard charted and how you’re protecting your applications? >> Right. I mean um for for standard charted I guess when we you know with with um frontier models uh what we’ve seen is that it obviously makes the the time to understand software and the time to figure out and identify exploits as well a lot shorter and and as such as a as a bank in a global scale uh you need to be able to understand what are these

[00:42] exploits a lot faster than than the attackers. Um, so it isn’t really about finding vulnerabilities in code, but it’s about understanding what is actually exploitable because attackers at the end of the day, they aren’t looking at repos and assets, which is what a lot of security programs look at. They look at attack parts across systems, across APIs, across IDs, and across trust boundaries. So that’s really key. >> Got it. Couldn’t couldn’t agree more that it’s not just about adding to a longer list of CVES. Um, Standard Charted have been one of the first banks

[01:14] in the world to evaluate Daybreak, which we believe is going to be a critical part of the Defender ecosystem. So, I’d love to hear a little bit about how you’ve been using Daybreak so far. What kind of results are you seeing? Uh, how has it really been incorporated into the way that your teams are working? >> Sure. Um we we started looking down this track because we wanted to see whether Frontier AI was able to give us uh more insights into risks that the traditional approaches would not be able to provide us with. Uh would it be able to understand what uh what’s happening across different repositories, what’s

[01:48] happening across architectures and and trust boundaries. So that’s why we started looking into this. Um and what we found initially our our earlier observations are that when the system is able to understand across architecture uh across you know we have a lot of microservices across microservices repositories what exactly is going on you get a lot more findings. So it’s a lot it’s it’s a lot better to have that context around. So so context really matters. It it’s more important to have that context than which model you pick.

[02:21] uh because with that context then you’re able to uh find a lot of things that are truly exploitable. >> That’s really interesting. So we we we hear a lot about kind of taking these frontier models and using them for static code analysis and trying to identify exploits that way. But uh can you just expand and maybe double click into that for me when you say like giving it more context and I agree context is king. What in practice does that look like? What what else are you feeding into the model at the time that you give it the codebase to help it do? So things like um the architecture the architecture diagram what is the what is the architecture deployment model of

[02:54] what we’re looking at uh what are the dependencies um what are you know other services that are connected or or being used uh by by this asset across u and what what was the solution intent of of this uh item right so these are all the things that we’re giving it the more context that you’re able to provide it with then you get better results >> got it that makes sense and you know we’ve been talking a bit about the role that your team is playing by applying Daybreak. Uh, and there’s a lot more things to consider beyond just the tech, right? How the team actually operates um, and you, I guess, have a

[03:27] responsibility to earn the trust of the team in using these new tools. So, what are you learning about how to make these AI generated findings trustworthy and how is that changing the way that you organize the teams that are working on these challenges? Um yeah, I mean just just doing a demo and showing it to the development team is isn’t good enough, right? You need hard evidence. So working collaboratively with with the development team is where where I think we’re going and that’s what we’ve been able to do. uh is working in um in a

[03:57] cross functional group with uh application security as well as the development team together on on trying to you know run this because anything that we find needs to be validated against the code needs to be validated against the architecture deployment and against the environment right so in order to do that we need to do it together in a collaborative manner so that’s what we’re trying to do >> got it and I’m sure that many others in the room today are facing similar challenges is that uh security is not just the security team’s problem but requires buyin from the entire software

[04:30] engineering community inside the organization. So are there any lessons that you learned of like what worked well or how did you uh win them over or get them to start to adopt this way of thinking into the way that they’re building products and services inside the bank? >> Um it’s it’s not just focusing on hey we found something right. Um it it’s about how do we kind of get better efficiency on remediation um and getting those uh those the right security outcomes. So one them understanding the root cause of why

[05:02] something happened and then they may not you know they they’ll do different do it differently next time around and won’t build their applications that way. Uh and and the other is also just work you know not trying to call it out trying to work with them to remediate. So also using the frontier AI to do the remediation so it’s not just about another dashboard, right? >> Yeah. And not just adding another task to the backlog. >> Yeah. >> Um I think the coming back to the defenders window for a second, you know, there’s a sense of urgency which which we certainly feel. I’m sure that many in this room also feel a sense of urgency

[05:35] to to address the challenge in front of us. But uh an organization like Standard Charted uh you know is large, has processes, has governance uh which maybe isn’t designed to move at the speed that we’re now trying to. So I’d love to know like how are you uh building confidence inside the organization to move at the speed that’s required uh and get those other teams and and maybe update the processes that need to be involved. >> Yeah. I mean um I I think historically like security and I think anywhere defenders security has always been

[06:08] looked as as a gatekeeper or as a blocker. So it’s just trying to change that mindset to be more enablers. um whatever we build and we do it’s it’s integrated into the pipeline. Um and one of the key things is to have it have the developers have access to that earlier. So it’s like shifting left and allowing them to have access to that earlier. So some of the things that you spoke about uh this morning as as early this afternoon as it resonated is like about having a sort of you know a virtual area space in their development uh cycle

[06:43] where they can test this out as it’s as it’s running and and know for a fact that you know this is something that’s exploitable. they see the evidence that it’s exploitable and then they um prioritize based on exploits, right? So then when they know that you are trying to help them and enable them to go faster safely, you you you build you build that trust. >> Yeah, I think it goes hand inhand with kind of providing uh enabling them with agentic coding and tools to accelerate the work and and make sure it’s not a

[07:14] huge traditional burden. Um the other thing I think you I mean having worked in the security space for a very long time. We were just discussing before we came on stage um there’s always been this uh I guess race between defenders uh and and threat actors uh and always trying to stay ahead. Um this moment though feels like it requires like thinking differently. So I’m curious, how are you thinking differently maybe than you were five five years ago about the security space and what do you think other security leaders in this room should be thinking differently uh to to rise to the moment?

[07:45] >> Actually to be quite honest a few things that we still need to do and it’s quite evident when you um when you go through and do this testing that we have been doing is that you have to make sure that you’ve got your found your foundations down right. So you need to focus on your foundations. Try to make sure that any technical debt is reduced. Reduce any technology complexities. Uh so not having too many languages like reduce that. um making sure that your architecture is up to date because that will make sure that’ll enable you to have the right context to provide and have a solid identity and access control

[08:21] because ultimately AI when it’s released into an environment it’ll it’ll it’ll amplify whatever it it sees right and the the organizations that have the right foundation and if it’s solid they’ll be able to make the most out of it. >> Yeah, that that makes total sense. And is there anything that’s been surprising as you’ve been on this journey over the last kind of uh six months or so uh adopting Genai into the security processes? Is there anything any learnings or lessons that kind of you weren’t expecting that you think others might benefit from through that uh

[08:52] experience? I mean uh well the the the most part it has been about that context and how important that is which kind of leads you to some of the things that you take for granted in the SDLC that you think that development teams are doing like keeping the architecture up to date and stuff like that and then you find there are gaps in that and so that that has to get uh addressed. Um so you know that’s been a a little bit of surprise but um not otherwise actually one of the things that’s been comforting is to know that um you know because there’s there’s

[09:23] this push that hey have you found something that is uh out of the ordinary right and there hasn’t been a lot of that you know so we it you know what we found resonates we expect some of those things to to be there or some of those things to be fixed but it’s um yeah it’s uh it’s just that there are certain in areas that traditional tooling did not pick up on and that’s been the the key thing that we’ve been able to pick that up with this method. >> That makes sense. And you know, one of the fascinating things for me about

[09:55] working with Standard Chartered is that you operate in so many markets uh around the world, so many regulatory regimes that apply, therefore many uh different systems uh across the different parts of your business. Uh that’s a huge footprint to secure. So it’s not necessarily just about scanning code repos. Um, I’d love to get your perspective as you kind of reflect on the the the size and complexity of the organization. Uh, how might you structure your team? How are you thinking about uh kind of building into the future as you uh continue to build a team that is able to respond to these

[10:26] new threats? >> Um, we yeah, we are a global organization and um do have a lot of different markets. uh our development teams are pretty much concentrated in in a few hubs. Uh that makes it a little bit easier to to kind of uh coordinate and collaborate with them. Um but the way that we see ourselves in security is is is enabling the developers with the right tooling to be able to do it to self-s serve and I think ultimately

[10:56] that’s what we need to be able to do to self to get themselves served and um and be able to go securely but we’ll have right checks along the way. >> Got it. That makes total sense. And then maybe just a final question from me before we wrap up. Um, as as we uh embark on uh kind of building out more products as we uh continue to advance the capability of Frontier models in this space, uh I’d love to know uh what what what would you like to see from OpenAI uh that would make uh your work as a defender easier? Would you take the

[11:30] feedback from Matt and the team uh to to incorporate into the product? Um I I I think you’ve um you gave us a good uh sneak peek earlier uh on where you’re going with it and that’s exactly what we were thinking as well in some of the conversations that we’ve had. Uh we do want to be able to like as you’re moving the product is to be able to run it at scale. So just doing uh a scan on a handful of repos or repo by repo is not scalable. So being able to run something

[12:01] in uh in a sandboxed environment and do it at at bulk uh to to see if there are any exploits because you the the fact of the matter is that you have a lot of applications that are connected to each other. So you want to understand what is that blast radius and you know if you if one gets breached where else does it go. So I think what you’re thinking about with the defense factory would would be really good. Well, I’m looking forward to get to getting you access uh set up soon uh to the defense factory. Um so we could I’m sure continue the conversation

[12:31] all day, but uh I’m watching the clock and our our time is up. So thank you so much uh for joining us today, Reuben. Uh and I’m sure that Reuben will be delighted to to answer any questions if you if you want to find him uh after the sessions today. Uh we’ll be having some drinks afterwards. So please do come find him and ask questions. But with that, right now we’re moving straight on to our next session. Uh so please welcome my colleague Claire Lawler who’s our fantastic account director for the digital natives uh team in AMIA to the stage. Thank you.