Publiczny debiut Pluto Security 13 października przedstawia AI tworzone przez pracowników jako rozproszony problem programistyczny, nie tylko wklejanie tajemnic do chatbotów. Pracownik może zbudować aplikację, połączyć systemy i uruchomić agenta z prawdziwymi danymi logowania przed tradycyjnym przeglądem.
Debiut opisano jako finansowanie 42 mln dolarów. Wymienione części to 8,5 mln rundy seed prowadzonej przez TLV Partners i 34 mln Series A pod kierunkiem Jump Capital. Daje to 42,5 mln, więc nagłówek należy czytać jako raportowane zaokrąglenie, nie uzgodniony bilans. Uczestniczyli też Skinos, Ansa Capital, założyciele firm bezpieczeństwa i aniołowie.
Współzałożyciel i CEO Shahar Bahat powiedział TechCrunch, że sprzedaż rozpoczęta w kwietniu przekroczyła 2 mln dolarów rocznego przychodu powtarzalnego. Firma podaje ponad 30 klientów, w tym Oscar Health, Workato, Sixt i AlphaSense, oraz 40 pracowników w USA i Izraelu. To deklaracje, nie niezależny audyt. Kapitał ma wspierać produkt, badania i ekspansję USA.
Aplikacja powstaje przed wiedzą ochrony
Pluto twierdzi, że nowe narzędzie AI może wejść do firmy w dwie godziny od premiery. Około 60% wykrytych ryzyk wiąże z aplikacjami nieprogramistów. Finanse wyprzedzają marketing i prawo, programiści są czwarci. Nie ustala to częstości ani wagi ryzyka we wszystkich przedsiębiorstwach.
Przykładem jest własna aplikacja finansowa nienazwanej firmy Fortune 500 obsługująca dane klientów i odejść, dostępna z publicznego internetu. Szczegóły podało Pluto. Nie jest to niezależnie opisane włamanie, ale pokazuje różnicę między logiką biznesową a uwierzytelnianiem, zależnościami i granicami sieci.
Finanse mają prognozy, transakcje i ekonomikę klientów; marketing listy i publikowanie; prawo poufne umowy i komunikację. Przydatny prototyp może bez złych intencji dostać istotny dostęp. AI zmniejsza trud budowy, nie obowiązek kontroli poświadczeń, danych i ekspozycji.
Osobne badanie KPMG z 2025 wykazało 44% nieautoryzowanego użycia AI; wśród tych osób 46% deklarowało przesyłanie poufnych informacji lub własności intelektualnej na platformy publiczne. To odpowiedzi o zachowaniu, nie potwierdzone incydenty ani 46% ogółu zatrudnionych jako odsetek wycieków.
Blokada kilku domen omija prywatne konta, rozszerzenia, modele lokalne, asystentów kodowania i nowe usługi. Pełny zakaz może ukrywać aktywność; otwarte konektory dają dostęp do baz klientów, komunikacji, repozytoriów i chmury. Pisemna polityka sama nie pokaże wywołanego konektora ani nie zatrzyma niebezpiecznej akcji.
Ocena agenta podczas działania
Platforma deklaruje wykrywanie narzędzi AI, środowisk kodowania, rozszerzeń, umiejętności, serwerów MCP, aplikacji i agentów. Model Context Protocol łączy AI z narzędziami i danymi. Model, pobrana umiejętność, konektor i poświadczenia już tworzą łańcuch zaufania bez budowy całego programu.
Pluto integruje ochronę końcówek i zarządzanie urządzeniami, rozsyłając sensory przez te systemy lub bezpośrednio. Sygnały obejmują prompty, polecenia, procesy, uprawnienia i wcześniejszą aktywność. Lekkie modele na końcówkach mają odczytywać intencję i nadmierne żądania uprawnień.
Interwencje obejmują blokowanie oraz dodawanie instrukcji wymagających potwierdzenia. To więcej niż inwentarz czy raport, ale instrukcja nie jest równoznaczna z wymuszoną blokadą: odpowiedzi modelu pozostają probabilistyczne.
Podsumowanie ostatnich rezygnacji klientów może wymagać czytania zatwierdzonych rekordów, nie eksportu całej bazy na zewnątrz. Kontrola kontekstu musi rozróżniać te ścieżki w różnych narzędziach. Prawidłowe uwierzytelnienie człowieka nie dowodzi zgodności każdej czynności agenta.
Ochrona urządzeń i tożsamości pozostaje konieczna. Ważne granice powinny dać się wymusić odmową żądania sieciowego, cofnięciem tokenu lub zatrzymaniem procesu, nie tylko dobrowolnym posłuszeństwem modelu. Kupujący musi znać granicę osądu i egzekwowania.
Badanie komponentów nie dowodzi pełnej ochrony
Bezpłatne Plutonium bada publiczne umiejętności, serwery MCP, konektory i dodatki, oferując skaner i katalog. Firma mówi o tysiącach praktyków i 70% lejka sprzedaży z zainteresowania przychodzącego. Nie zweryfikowano tego niezależnie; udział lejka to nie przychód ani konwersja.
Usługa dostarcza badania i wejście do płatnego produktu. Skan przed instalacją może znaleźć znane szkodliwe zachowania. Obserwacja wykonania dotyczy innego problemu: zaufane części mogą razem prowadzić do niebezpiecznych działań.
Przejęty pakiet może kraść poświadczenia, przekierowywać wyniki, zmieniać prompty lub wykonywać polecenia. MCP może udostępniać zbyt szerokie możliwości. Katalog potrzebuje ciągłych badań; ocena w jednym momencie nie dowodzi trwałego bezpieczeństwa całego procesu.
Bahat mówi też, że każda próba koncepcyjna wykryła materiał złośliwy, a niektóre rozszerzenia lub umiejętności aktywne ataki. Brak nazwanych niezależnie potwierdzonych incydentów ustalających zakres. „Złośliwe” może oznaczać malware, ekspozycję poświadczeń, podejrzany adres lub ryzykowny wzorzec, o różnej pewności.
Dla 60% nie opublikowano składu zbioru, wagi ustaleń ani obsługi duplikatów. Finansowanie nie wypełnia luk metodologii. Nazwane przypadki, opisy techniczne i odtwarzalne testy są lepszym dowodem niż zbiorowa pilność.
Obserwacja tworzy własne obowiązki
Prompty, polecenia i historia mogą zawierać dane osobowe i poufne. Modele lokalne mogłyby zmniejszać ekspozycję, ale ujawniona architektura nie określa zbierania, przesyłu i retencji w każdej konfiguracji.
Firma musi wiedzieć, co zostaje na urządzeniu, co trafia centralnie, kto ma dostęp i na jak długo. Powiadomienie pracowników i regionalne obowiązki prywatności mają znaczenie przy mieszaniu pracy z życiem osobistym.
Platforma monitorująca sama staje się cennym celem. Wiedza o narzędziach, uprawnieniach i wzorcach pracy wymaga sprawdzenia izolacji klientów, dostępu uprzywilejowanego, audytu i reakcji na incydenty.
Fałszywe alarmy tworzą niepotrzebne zgody, zamieniają nadzorowane użycie w zakaz i zachęcają do obejść. Przeoczenia pozwalają zaszkodzić przed zrozumieniem celu, szczególnie między końcówką, chmurą i usługami. Szybkie decyzje kontekstowe trzeba mierzyć.
Własna warstwa lub konsolidacja
Reco skupia się na tożsamościach, prawach, połączonych aplikacjach i danych; wrześniowa runda przyniosła według doniesień 55 mln dolarów. WitnessAI zebrało w styczniu 58 mln z udziałem Sound Ventures, Fin Capital, Qualcomm Ventures i Samsung Ventures dla interakcji, przepływu danych i agentów.
Prompt Security i inni specjaliści zajmują się modelami, atakami na prompty, testowaniem aplikacji i utratą danych. Dostawcy ochrony końcówek, tożsamości, przeglądarek, chmur i danych mają klientów i telemetrię oraz mogą rozszerzać produkty lub kupować startupy.
Pluto musi dowieść lepszego kontekstu i szerokiej integracji, nie samej nowej etykiety. Klienci mogą preferować konsolidację ograniczającą konsole i zmęczenie alarmami. Jeśli duże projekty agentowe pozostaną eksperymentami, budżety bezpieczeństwa mogą wyprzedzić wdrożenia, choć obecne ukryte aplikacje już tworzą luki.
Wczesne deklaracje klientów i przychodu wskazują zainteresowanie budżetowe, nie trwałość kategorii. Najtrudniejsze jest śledzenie drogi od urządzenia przez konektor do aplikacji i zrozumiałe reguły bez utrudniania bezpiecznej pracy.
Testuj umożliwianie i zapobieganie razem
Próba powinna zawierać znane bezpieczne zadania, zasiane ekspozycje, nieoczekiwane zachowanie i scenariusze prywatności. Mierz wykryte narzędzia, potwierdzone luki, zatrzymane ważne akcje, fałszywe alarmy i przeoczenia, czas analizy oraz dalsze użycie zatwierdzonych procesów.
Porównaj z istniejącą ochroną końcówek, tożsamości, przeglądarki, danych i chmur. Zasięg integracji, nowe komponenty i reakcja na zagrożenia liczą się obok dokładności. Regulowane branże i nazwane niezależne dowody klientów pomogą ocenić zgodność prywatności z egzekwowaniem.
Kapitał uwidacznia problem, nie dowodzi prewencji. Pytanie brzmi, czy pracownicy nadal tworzą użyteczne programy, zachowując dostęp, prawa i działania agentów pod niezawodną kontrolą techniczną. Sprawdzą to kolejne wyniki operacyjne, nie wielkość debiutu.