Sequoia подвоює ставку на Cymphony, оскільки ШІ-агенти створюють нові ризики для корпоративної безпеки

Оскільки агенти ШІ отримують доступ до тих самих конфіденційних корпоративних даних і систем, що й люди, працюючи водночас із машинною швидкістю, підприємства стикаються з новими ризиками для безпеки. Відома венчурна компанія Sequoia Capital робить велику ставку на цю зміну, підтримуючи стартап Cymphony, який залучив $30 мільйонів фінансування, щоб допомогти компаніям контролювати свою численну й дедалі більшу робочу силу на основі ШІ.

Фінансування включає раунд Series A на $25 мільйонів, співочолений Sequoia та SMBC Fin Atlas Beyond Fund, унаслідок чого оцінка стартапу, що базується в Нью-Йорку й Тель-Авіві, після інвестиції перевищила $100 мільйонів. Цей раунд відбувся після раніше не розкритої початкової інвестиції від Sequoia.

Агенти ШІ не обов’язково проходять ті самі перевірки доступу та ідентифікації, що й працівники, але вони мають доступ до багатьох систем і обробляють великі обсяги корпоративних даних. Через це підприємствам складно відстежувати, хто до чого має доступ.

Cymphony намагається усунути цю прогалину, надаючи командам безпеки єдине уявлення про працівників, агентів ШІ та інші не людські ідентичності, зокрема про системи й конфіденційні дані, до яких вони можуть отримати доступ. В основі своєї платформи дворічний стартап створив те, що називає «графом робочої сили». Він об’єднує сигнали ідентичності, даних і активності.

«Корпоративна безпека була розроблена для людей-працівників», — сказав співзасновник і генеральний директор Cymphony Шай Декель (на фото вище, у центрі) в ексклюзивному інтерв’ю. «Дедалі частіше з’являються незалежні суб’єкти, які фактично приєднуються до робочої сили, але більше не є людьми».

Cymphony заявляє, що вже виявляє такі ризики у великих компаніях. В одній американській публічній компанії стартап виявив близько 85 000 файлів, які стали доступними для інструментів і агентів ШІ. Cymphony повідомила, що допомогла усунути вразливість і перевірила, що через ці системи ШІ не було доступу до жодного з файлів.

В іншому випадку Декель розповів TechCrunch, що зовнішній співробітник установив несанкціонований екземпляр Claude від Anthropic, який використав наявний у співробітника доступ для сканування тисяч конфіденційних файлів.

Окрім виявлення ризиків, Cymphony використовує агентів ШІ для розслідування інцидентів, визначення пріоритетів для команд безпеки та автоматизації деяких заходів із виправлення, зокрема коригування дозволів доступу. За словами Декеля, платформа може працювати значною мірою автоматично; він додав, що клієнти також можуть обрати керовану послугу, яка залучає експертів Cymphony з безпеки до складніших випадків.

Чому Sequoia подвоїла ставку

Початкова ставка Sequoia на Cymphony була зроблена ще до того, як стартап визначився з проблемою, яку хотів розв’язати. Коли венчурна компанія очолила його початковий раунд понад два роки тому, у Cymphony не було ані продукту, ані навіть чіткого напряму розвитку продукту, розповів TechCrunch партнер Sequoia Богоміл Балканський.

Інвестиція значною мірою була ставкою на Декеля та його співзасновників Ідана Берковіца (на фото вище, праворуч) і Еді Готліба (на фото вище, ліворуч) — усі троє пройшли через «Тальпіот», надзвичайно вибіркову ізраїльську військову програму з технологій і лідерства. Sequoia вже була знайома з цією програмою завдяки попереднім інвестиціям у кібербезпеку, зокрема у Wiz.

«Ми просто побачили трьох неймовірних молодих людей із таким послужним списком, із яким ми в Sequoia вже не раз досягали значного успіху», — сказав Балканський.

Однак, за словами Балканського, до раунду Series A Sequoia хотіла побачити щось більше, ніж лише послужний список засновників.

Cymphony створила продукт, підписала двозначну кількість корпоративних клієнтів і вже протягом першого року продажів досягла семизначного показника щорічного регулярного доходу, повідомив стартап TechCrunch. Серед його клієнтів — KKR, Syngenta, Cass Information Systems та Athennian.

За словами Балканського, Sequoia також використовує продукт Cymphony у себе з перших етапів його розробки. Він зазначив, що якість і масштаб клієнтської бази Cymphony, а також розширення використання платформи наявними клієнтами були одними з ключових причин, чому венчурна компанія вирішила інвестувати знову.

Cymphony виходить на дедалі більш переповнений ринок, оскільки компанії з кібербезпеки прагнуть усунути ризики, що виникають через широке використання агентів ШІ.

Нещодавні інциденти посилили ці побоювання. У липні OpenAI повідомила, що агенти, які тестувалися на можливості у сфері кібербезпеки, обійшли захисні механізми та скомпрометували системи платформи ШІ Hugging Face. Наприкінці минулого тижня пов’язані з OpenAI агенти внесли тисячі змін до німецької вікі про програмування, використовуючи частини сайту для спілкування та обміну способами обходу обмежень.

Балканський визнав, що десятки компаній уже позиціонують себе у сфері безпеки ШІ та агентів. Водночас він зазначив, що підхід Cymphony вирізняється розглядом безпеки ідентичностей і даних як частин однієї проблеми.

Як стверджують Декель і Балканський, ця відмінність стає важливішою в міру того, як компанії впроваджують більше агентів ШІ у свої операційні процеси. На відміну від людей-працівників із відносно стабільними ролями та дозволами, агенти можуть обирати різні шляхи для виконання завдання, набувати нових можливостей і в деяких випадках створювати інших агентів, через що їхній доступ важче контролювати за допомогою систем безпеки, розроблених для людей.

«Агенти — це дуже відмінні суб’єкти», — сказав Балканський, стверджуючи, що наявні інструменти керування ідентичностями не були розроблені для агентів, які можуть змінювати свою поведінку та можливості під час роботи.

Cymphony також змагається з усталеними компаніями у сфері безпеки, які розширюють свої пропозиції у сферах ідентичностей, даних і ШІ, зокрема Microsoft, Okta, CyberArk, Wiz та Varonis.

Декель розповів TechCrunch, що Cymphony вже замінює деякі наявні продукти безпеки у клієнтів. В одному підприємстві, не розкриваючи подробиць, він сказав, що компанія допомогла об’єднати два наявні інструменти й усунула потребу в придбанні третього.

Однак Балканський наразі бачить роль Cymphony радше як доповнення, ніж заміну. «Ніхто не позбудеться своєї Okta», — сказав він, додавши, що сьогодні клієнти переважно впроваджують Cymphony як додатковий рівень. Водночас із часом, розповів він TechCrunch, стартап може почати витісняти деякі точкові рішення, особливо у таких сферах, як запобігання витоку даних.

У Cymphony працює близько 30 співробітників у Тель-Авіві та Нью-Йорку. Наразі більшість її клієнтів розташовані в Північній Америці, хоча Декель розповів TechCrunch, що стартап починає бачити попит з боку підприємств у Європі, на Близькому Сході та в Африці.

Водночас, виходячи за межі раунду Series A та розширюючи присутність серед великих корпоративних клієнтів, Cymphony тепер має довести, що безпека агентів ШІ може стати окремим ринком, а не просто функцією, яку пропонують більші платформи безпеки. Балканський вважає, що витрати в цій сфері зростатимуть у міру того, як компанії залучатимуть до роботи більше агентів ШІ.

«Якщо компанії не витрачатимуть гроші на безпеку агентів, я не знаю, на що ще вони витрачатимуть їх у найближчі п’ять-десять років», — сказав він.