"אנת'רופיק לא מפחידה אותי… הרעש יכול להביא לי עסקאות"

שחר פלד, מנכ"ל Terra Security מסביר על שילוב AI בבדיקות חדירה, המעבר ממילואים ליזמות בניו-יורק ומדוע הוא לא ממש חושש מחברה של 2 טריליון דולר

שחר פלד. תמונה: עמוד הלינקדאין

"אנת'רופיק לא מפחידה אותי ברמת הביזנס, אבל הרעש סביבה כן יכול לעכב עסקאות", אומר שחר פלד, מנכ"ל ומייסד משותף של Terra Security, בפודקאסט של גיא קצוביץ'. "לקוח כבר יודע שהוא רוצה לקנות, ואז הוא מקבל הוראה מהמנכ"ל, מה-CTO או מה-CISO: ‘תנסו לבנות את זה רגע’. נוצרת תחושה שאפשר לעשות הכול לבד מחר בבוקר. לרוב הם לא יצליחו. כשזו החלטה של לבנות או לקנות, זו בעצם תחרות בינינו לבין הלקוח. אני אומר שאנחנו ננצח. זה יכול לקחת עוד כמה חודשים, אבל בסוף הם יחזרו והם יקנו".

גיא קצוביץ': "אז מה ההערכה שלך? בסוף תבוא חברת מודלים גדולה, תוציא מודל שייקח את כל השוק, או שעדיין יהיה צורך בפתרונות ייעודיים?"

"בקוד סקיוריטי המודלים כבר טובים מאוד, וארגונים יכולים לשלב אותם במערכות שלהם. יש חברות AppSec מצוינות שבונות מעליהם ונותנות ערך נוסף, ובכל זאת, אם הייתי פועל בתחום הזה, הייתי חושש שחברות המודלים הגדולות ייקחו את השוק. בבדיקות חדירה אני פחות מוטרד מהאפשרות הזאת. כאן אתה נותן למערכת לתקוף סביבה אמיתית של לקוח, וצריך לוודא שהיא מוצאת פרצות בלי לגרום נזק. היכולת לשלוט במה שהסוכנים עושים היא חלק מהותי מהמוצר".

"סוכן שקצת אגרסיבי מדי או עושה פעולה שלא היה צריך לעשות עלול למחוק דאטהבייס או להפיל מוצר בפרודקשן. אם AI כותב סקריפט ועושה טעות, המחיר שלה נמוך משמעותית מאשר אם הוא מפיל אפליקציה של חברת תעופה בזמן שאנשים משתמשים בה. אנחנו מחלקים את הסוכנים למערכות שבכוונה לא תמיד מתקשרות זו עם זו, כדי למנוע פעולות מסוכנות. הלקוח מגדיר מה מותר למערכת לעשות לבד, מה אסור לה לעשות בכלל ובאילו פעולות הוא רוצה שאדם יבדוק את הפקודה לפני הביצוע".

תמונה: Terra

"וגם אם בנית בעצמך מערכת לבדיקות חדירה והיא עובדת, מה קורה מחר, כשמגיע מודל חדש, משהו נשבר או שהמודל מקבל מגבלות חדשות? יש לנו צוות שכל העבודה שלו היא לבדוק מודלים חדשים ולהשוות אותם לקודמים. גם אין סיבה להריץ כל פעולה עם המודל הכי חזק והכי יקר. הרבה פעולות לא צריכות אותו, וצריך לדעת איזה מודל מתאים לכל משימה".

את ההחלטה להקים את Terra קיבל פלד אחרי חודשים ארוכים במילואים. בשיחה עם קצוביץ' הוא חוזר לתקופה שבה שילב בין השירות ביחידה לבין משלחות הסברה בחו"ל, כשהרעיון להקים חברה עם גל מלאכי, שותפו וה-CTO של החברה, כבר היה על הפרק.

"בשבעה באוקטובר הוקפצתי למילואים. היינו בקיבוצים, נפצעתי והגעתי לבית חולים. בהמשך חילקתי את הזמן בין היחידה לבין פעילות עם דובר צה"ל. מצאתי את עצמי בארצות הברית, יוצא למשלחות הסברה ומתראיין לתקשורת הבינלאומית, מנסה להציג את ישראל כמו שאני ראיתי אותה. התקופה הזאת הייתה גם חלק ממה שדחף אותי להקים את החברה. אחרי שמונה או תשעה חודשים במילואים, גל ואני, שכבר דיברנו הרבה זמן על הקמת חברה יחד, אמרנו: הגיע הזמן".

גיא קצוביץ': "אתה חוזר עכשיו לניו יורק בכובע אחר. באת לעשות הסברה אחרי הצבא וגם בזמן המלחמה, ועכשיו אתה בא לבנות ביזנס. למה מפה? למה לא להמשיך לעשות את זה מהארץ?"

"הלקוחות שלנו פה, צוותי המכירות, השיווק והשותפויות שלנו נמצאים כאן. אנחנו עדיין חברה שצריכה את המייסדים שלה ביום־יום, והם צריכים אותי בשעות שלהם. כשניהלתי את זה מישראל, השעות היו שוחקות. הייתי עכשיו אצל לקוח בפלורידה: טסתי בבוקר וחזרתי לארוחת ערב. מישראל זה היה הופך לנסיעה של שבוע, כי כבר הייתי מכניס לתוכה עוד פגישות. גם כאן אני עובד המון, אבל בשעות יותר נורמליות".

"היום ישבתי לקפה עם איש מכירות שלי שאני עובד איתו מאוד צמוד, ועד עכשיו לא פגשתי אותו פיזית. הוא כאן, אני הייתי בישראל או במקומות אחרים בארצות הברית, ופשוט לא נפגשנו. בפגישה כזאת נבנה הקשר. זה נכון גם ללקוחות, לשותפים ולמשקיעים. הביזנס שלנו נמצא כאן".

גיא קצוביץ': "שוק הסייבר גדל, הבעיה ברורה, גם הפתרון. אבל בסוף יש פה הרבה מאוד תחרות. איך מתבדלים בתוך הדבר הזה?"

"כשאתה מסתכל על התחום מבחוץ, אתה רואה המון חברות מצוינות בארץ ובחו"ל שגייסו מאות מיליוני דולרים. אבל כשאנחנו מגיעים לעסקאות עם לקוחות, אנחנו פוגשים בעיקר שחקן אמריקאי אחד. איך זה מסתדר? חלק מהחברות עדיין בונות את המוצר, וגם תחת הכותרת של AI בסייבר התקפי מכניסים היום דברים שונים מאוד: חברות שירותים, באג באונטי, מוצרי SaaS ומערכות אוטונומיות. לא כולן מוכרות את אותו הדבר ולא כולן מתחרות על אותן עסקאות. אין לי ספק שהתחרות תגדל. כרגע, כשמגיעים ללקוח, אנחנו רואים הרבה פחות מתחרים ממה שאפשר לחשוב מבחוץ".

גיא קצוביץ': "אתה בא ללקוח שכבר שנים משלם לחברה על בדיקות חדירה. מה אתה אומר לו: אני אחליף אותם, תשלם לי אותו דבר? פחות? מה אתה מציע לו בעצם?"

"יש חברות שבאות ללקוח ואומרות: נעשה עם AI את אותה בדיקה, מהר יותר ובזול יותר. אני אומר לו: קח את התקציב שאתה כבר מוציא על בדיקות ידניות, ובאותו כסף נבדוק את כל הסביבה שלך, כל הזמן. כשמשלמים לפי שעות עבודה, התקציב מכריח אותך לבחור אילו מערכות לבדוק ועל מה לוותר. עם AI אפשר להרחיב את הבדיקות בלי להגדיל את התקציב. לכן אני לא מחפש לחסוך ללקוח כסף, אני מחפש שהכסף שלו ישמש אותו טוב יותר. נדיר שאני פוגש לקוח שאומר לי שהוא עושה מספיק בדיקות ובטוח שהוא לא פגיע".

גיא קצוביץ': "אז רגע, כבר יצרת קשר עם הלקוח, הוא פתוח לפתרון כזה. אתה אומר לו: בוא תבחר מה לבדוק, אני אראה לך שזה עובד ואז תשלם. תסביר קצת יותר איך זה עובד. איפה אתה שם את הגבול בבדיקה הזאת?"

"אנחנו מסכמים מראש מה נבדוק ומה צריך להוכיח. הלקוח בוחר אפליקציה, רשת ארגונית או מערכת אחרת, ואנחנו מגדירים יחד מה ייחשב להצלחה. אני שואל אותו: מה אתה צריך לראות כדי להגיד, ‘אוקיי, זה עובד, אני קונה מחר בבוקר’? למשל, לקוח שכבר עשה בדיקת חדירה ידנית יכול לבקש שנמצא את אותן חולשות, מהר יותר ובלי התרעות שווא. זה מה שאנחנו קוראים לו Proof of Value. המטרה היא לתת לו מספיק ביטחון כדי לקנות, בלי לעשות עבורו את כל העבודה בחינם".

"ברגע שאנחנו מגיעים לבדיקה אצל הלקוח, שיעור ההצלחה שלנו בסגירת העסקה גבוה מאוד. הקושי הוא להגיע לשם. הלקוח שומע חברות שגייסו המון כסף, חברות שנכנסות לתחום משווקים אחרים, וכולן מדברות על AI, פנטסט ורד טימינג. מאחורי אותן מילים יכולים להיות מוצרים שונים לגמרי. בתוך כל הרעש הזה, לפעמים לוקח הרבה זמן עד שהלקוח מוכן לתת לך גישה ולהגיד: בוא תראה לי מה אתה יודע לעשות".