捍卫者的十年：Secure Code Warrior 十周年纪念

年轻时，我经常玩 《毁灭战士》(DOOM)。起初，为了通关，我不得不反复切换各种难度等级，从“我太年轻，不想死”(简单)到“噩梦”(极难)。有时我真希望经营一家科技公司也能像游戏一样重置并调整难度，特别是在早期阶段，那时许多环节都脆弱、不稳定且极易失败。

创业失败的统计数据 众所周知且令人警醒：初创企业的倒闭率约为 90%，这种情况已持续多年。深入分析发现，21% 的初创企业在第一年倒闭，30% 在两年内倒闭，50% 在五年内倒闭，70% 在十年内倒闭。

我为我的联合创始人 Matias Madou、Fatemah Beydoun、Colin Wong、Nathan Desmet 和 Jaap Karan Singh 感到自豪，我们成功闯过了“第 10 关”。这离不开我们的投资者 Goldman Sachs、Cisco Investment、Paladin Capital、Forgepoint、Airtree 和 Tidal 的支持，以及我的独立董事 Jim Pflaging 和 Nanhi Singh 的鼎力相助。

创始团队始终并肩作战，在过去十年中共同经历了每一次磨砺、胜利与挫折。我们正在不断壮大，并已做好准备迎接下一个篇章——SCW 2.0，继续引领开发者风险管理领域。

2024 年：我们向市场推出了行业首创的数据洞察工具。

证明提升员工技能的投资回报率极其困难，但在 2024 年，SCW 实现了整个行业梦寐以求的目标：“你们能证明通过提升开发者技能，软件会更安全吗？”我们从一些运行成熟项目的超大型客户那里收集了漏洞和问题修复数据，并经客户验证，自豪地证明：与其他人编写的代码相比，由具备安全技能的开发者编写的代码，其漏洞中位数减少了 53%。我们还证明，具备安全技能的开发者修复安全问题的速度快 2-3 倍，从而节省了时间并降低了风险敞口。

首先推出的是 SCW Trust Score，这是 唯一 一款能够量化企业安全编码项目影响力的基准测试工具。安全负责人首次能够获得关于开发团队安全编码技能的细粒度、数据驱动的洞察，并将其与行业标准进行对比。这种卓越的可见性正是许多人所期待的，它不仅能帮助企业对项目进行关键调整，还能为每位开发者提供学习路径，终身强化其安全技能。我们甚至与前美国国家网络总监 Chris Inglis 以及 Paladin 全球研究所所长、前美国代理国家网络总监 Kemba Walden 共同发布了一份 研究报告。

随后，我们发布了 SCW Trust Agent，这是一款配套产品，能够提供整个组织代码库的可见性，并根据开发者的安全编码技能分析每一次提交。SCW Trust Agent 基于 SCW Trust Score 构建，两者协同工作，展示了公司安全项目在每次代码提交中的应用效果。

这些工具在协助企业安全负责人实现 CISA“安全设计”(Secure-by-Design) 指南等目标方面发挥了重要作用，通过验证开发者的安全技能、安全提交，并最终消除各类漏洞，这些都是经过验证的安全设计原则中的必要要素。

嘿，伙伴！我们的合作伙伴网络在不断壮大，客户群也在持续增长。

身处网络安全行业，最暖心的一点在于我们本质上是一个充满极客精神和热情的大家庭。大多数时候，我们都非常乐意携手合作，不仅为了共同的成功，更为了构建一个对所有人而言都更安全的数字世界。

我们很荣幸能与众多安全和技术公司建立 业务合作伙伴关系，我们的合作伙伴计划在推动增长方面发挥了关键作用。2024 年底，我们宣布与全球信息管理领导者 OpenText 达成第二项 OEM 合作。这一进展，加上我们旗舰级的 OEM 合作伙伴 Black Duck，使我们能够提供全面、整体的解决方案，满足企业及其安全项目的当代需求。

此外，我们现在拥有超过 650 家企业客户。回想十年前，我们团队只有 4 个人，我记得当时为了庆祝第一个大客户，请大家吃了一顿廉价午餐。如今，我们已经拥有了稳固的客户群，他们不再畏惧将开发者作为变革的推动者，共同践行预防性安全策略。

AI：终极颠覆者，开发者驱动安全技术的未来。

人工智能、大语言模型 (LLM) 和 AI 编码工具在过去两年里一直是 IT 专业人士口中的热词。作为社会的一员，我们正处于技术史上一个决定性的时刻。几乎每个领域的 AI 工具都承诺带来巨大的生产力提升，而在软件开发领域，一项 GitHub 的最新调查显示，大多数工程师已经开始采用 AI 辅助编码工具。

尽管只有 38% 的组织批准使用，但这些工具已成为软件开发格局的一部分。它们的使用不可避免，与其制造“影子 AI”的局面，安全负责人更应专注于引导开发者进行安全、负责任的编码。具备安全意识的开发者能够运用批判性思维和安全专业知识来驾驭这些工具，从而真正从生产力提升中获益，而不会因开发者安全技能不足而增加持续的风险。

2025 年，你将继续看到 AI 编码技术的进步。当然，我们可能也准备了一些“杀手锏”，帮助企业在这一领域及其他方面有效地应用开发者风险管理。请持续关注，看看我们的旅程将走向何方。