Nach Darstellung von Shreyas Sriram zeigte sich die Schwäche des bisherigen Modells vor allem in kritischen Situationen. Wenn bei Vorfällen oder bei der Fehlersuche jede Minute zähle, sei die Wartezeit auf Freigaben ein reales Hindernis gewesen. Gleichzeitig habe die Verzögerung auch den Innovationszyklus gebremst. Das Ziel sei gewesen, Sicherheit mit der Geschwindigkeit eines Start-ups zu ermöglichen, nicht mit der einer Bank.
Robinhood hatte zunächst mit Freigaben über Slack experimentiert, um den Prozess möglichst reibungsarm zu gestalten. Dieses Verfahren erfüllte nach Angaben des Unternehmens jedoch nicht die Anforderungen an die Identitätsprüfung. Daraufhin führte Robinhood die Vorgabe ein, dass alle Zugriffsfreigaben auf unternehmensverwalteten Geräten ausgeführt werden müssen, in der Regel auf dem Firmenlaptop des Genehmigenden.
In der Praxis kollidierte diese Vorgabe mit den Arbeitsabläufen des Unternehmens. Laut Sriram unterstützen über Zeitzonen verteilte Teams eine Plattform, die nie stillsteht, darunter Angebote für den Kryptowährungshandel rund um die Uhr an sieben Tagen die Woche. Wenn ein Freigebender erst einen Laptop suchen müsse, könne das die Behebung eines Produktionsproblems um 15 Minuten verzögern. Auch im regulären Entwicklungsalltag sei die Bindung an ein physisches Gerät zunehmend als Hürde wahrgenommen worden, etwa wenn Teams schnell Zugang zu neuen Cloud-Ressourcen oder Datenumgebungen benötigten.
Aus dieser Rückmeldung entwickelte sich zunächst die Idee, eine Lösung direkt in die Access-Management-Anwendung einzubauen. Während mehrerer Proofs of Concept kam das Application-Security-Team jedoch zu dem Schluss, dass sich daraus mehr machen ließe als nur ein schnellerer Freigabeprozess. Statt einer Einzellösung entstand der Plan für eine eigenständige Plattform, die von verschiedenen internen Diensten genutzt werden kann. Sriram beschreibt das als Entwicklung hin zu einem neuen, sicheren Zugriffsmuster für das gesamte Unternehmen.
Für die Umsetzung arbeitete das AppSec-Team eng mit den Kryptografie- und Infrastrukturteams zusammen. Das Kryptografie-Team entwarf die Public-Key-Infrastruktur, während die Infrastrukturverantwortlichen gemeinsam mit den Sicherheitsingenieuren die Netzwerkanforderungen umsetzten, damit die Plattform sicher auf verwalteten und nicht verwalteten Geräten funktioniert. Laut Sriram traf sich diese funktionsübergreifende Gruppe regelmäßig, um Blockaden zu beseitigen und Proofs of Concept iterativ weiterzuentwickeln.
Bevor SERA in Produktion ging, durchlief die Plattform laut Robinhood eine formale Designprüfung, umfangreiche Penetrationstests und eine strenge Produktionsreifeprüfung. Künstliche Intelligenz half dem Team nach Angaben von Sriram dabei, Basiscode zu erzeugen, Boilerplate-Infrastruktur einzurichten und Kryptoprotokolle zusammenzufassen. Dadurch hätten sich die Ingenieure stärker auf Architektur und schnelle Iteration konzentrieren können. Insgesamt wurde das Projekt in vier Monaten umgesetzt.
Nach dem Start von SERA meldeten sich laut Sriram mehrere Teams, um die Anbindung ihrer Dienste an die Plattform zu besprechen. Robinhood betrachtet SERA inzwischen als „Freigabe als Dienst“, die auch andere interne Vorgänge mit hohem Risiko unterstützen kann. Derzeit arbeite das Team mit einigen Gruppen daran, deren konkrete Anwendungsfälle auszuarbeiten und festzulegen, wo sich als Nächstes der größte operative Geschwindigkeitsgewinn erzielen lässt.
Sriram nennt aus dem Projekt drei zentrale Lehren: eine Zusammenarbeit ohne bürokratische Reibung, das frühe Hinterfragen von Annahmen und den gezielten Einsatz von KI. Eine der größten Herausforderungen während der schnellen Iterationen sei gewesen, die Dokumentation aktuell zu halten. Auch dafür prüft das Team nun den Einsatz von KI, etwa um README.md und Architekturunterlagen automatisch in Echtzeit an Codeänderungen anzupassen.