A estreia pública da Pluto Security em 13 de outubro apresenta a IA criada por funcionários como desenvolvimento distribuído, não apenas segredos colados em chatbots. Uma pessoa pode montar um aplicativo, conectar sistemas e deixar um agente usar credenciais reais antes da revisão tradicional.
O lançamento é descrito como US$ 42 milhões captados. As parcelas informadas são US$ 8,5 milhões de seed liderado pela TLV Partners e US$ 34 milhões de Série A pela Jump Capital. Somam US$ 42,5 milhões; a manchete deve ser lida como valor arredondado reportado, não demonstrativo reconciliado. Skinos, Ansa Capital, fundadores de segurança e investidores-anjo também participaram.
O CEO e cofundador Shahar Bahat disse ao TechCrunch que as vendas começaram em abril e a receita recorrente anual passou de US$ 2 milhões. A Pluto informa mais de 30 clientes, incluindo Oscar Health, Workato, Sixt e AlphaSense, e 40 funcionários em EUA e Israel. São declarações empresariais, não auditoria independente. O dinheiro irá para produto, pesquisa e expansão americana.
O aplicativo existe antes de a segurança saber
A Pluto diz que uma ferramenta nova pode entrar numa empresa duas horas após o lançamento. Atribui cerca de 60% dos riscos detectados nos clientes a aplicativos de não desenvolvedores. Finanças lidera, seguida de marketing e jurídico; desenvolvedores ficam em quarto. Isso não estabelece frequência ou gravidade em todas as empresas.
O exemplo é um aplicativo financeiro de funcionário numa Fortune 500 não identificada, com dados de clientes e cancelamentos, exposto à internet. Os detalhes vieram da Pluto. Não é invasão documentada independentemente, mas ilustra a distância entre lógica de negócio e autenticação, dependências e limites de rede.
Finanças detém projeções, transações e economia dos clientes; marketing, listas e publicação; jurídico, contratos e comunicações confidenciais. Um protótipo útil pode receber acesso importante sem má intenção. A IA reduz o esforço de construir, não a necessidade de governar credenciais, armazenamento e exposição.
Pesquisa KPMG de 2025 encontrou 44% usando IA sem autorização; entre essas pessoas, 46% relataram enviar informação sensível ou propriedade intelectual a plataformas públicas. São respostas sobre comportamento, não incidentes confirmados nem uma taxa de vazamento de 46% de todos os empregados.
Bloquear alguns domínios ignora contas pessoais, extensões, modelos locais, assistentes de código e serviços novos. Proibição geral pode ocultar uso; conectores irrestritos alcançam bases de clientes, mensagens, repositórios e nuvens. Política escrita não identifica toda chamada nem interrompe ação perigosa.
Julgar agentes enquanto atuam
A plataforma diz descobrir ferramentas, ambientes de código, extensões, skills, servidores MCP, aplicativos e agentes autônomos. Model Context Protocol conecta IA a ferramentas e dados. Modelo, skill baixada, conector e credenciais já formam cadeia de confiança sem um aplicativo inteiro.
A Pluto integra proteção e gestão de dispositivos, distribuindo sensores por elas ou diretamente. Os sinais relatados incluem prompts, comandos, processos, permissões e atividade anterior. Modelos leves no endpoint supostamente inferem intenção e pedidos de acesso além da tarefa aparente.
As intervenções incluem bloqueio e instruções inseridas para pedir confirmação. Isso vai além de inventário ou relatório, mas instrução não equivale a bloqueio exigível: respostas de modelos são probabilísticas.
Resumir cancelamentos recentes pode exigir ler registros aprovados, não exportar toda a base para fora. O controle precisa distinguir caminhos em ferramentas e execuções diferentes. Autenticar o funcionário não prova que toda ação do agente corresponde à tarefa.
Proteção de endpoint e identidade continua necessária. Limites de alto impacto devem ser técnicos, como negar rede, revogar token ou parar processo, não depender apenas da obediência voluntária. Compradores precisam localizar a fronteira entre julgamento e execução.
Pesquisa de componentes não comprova toda a proteção
O serviço gratuito Plutonium examina skills, MCP, conectores e complementos públicos com scanner e catálogo. A empresa diz ter milhares de praticantes e que interesse recebido produz 70% do pipeline comercial. Nenhum foi verificado independentemente; pipeline não é receita nem conversão.
Ele fornece pesquisa e entrada no produto pago. Varredura prévia pode identificar comportamento malicioso conhecido; observação em execução enfrenta interações perigosas entre componentes antes confiáveis.
Um pacote comprometido pode roubar credenciais, redirecionar saídas, mudar prompts ou executar comandos. MCP pode oferecer poderes excessivos. O catálogo exige pesquisa contínua; uma avaliação pontual não garante permanentemente todo o fluxo.
Bahat também disse que toda prova de conceito achou material malicioso e algumas extensões ou skills mostraram ataques ativos. Não há incidentes nomeados e independentemente confirmados estabelecendo o alcance. “Malicioso” pode ser malware, credencial exposta, destino suspeito ou padrão arriscado, com certezas diferentes.
Os 60% não vêm com composição do conjunto, severidade ou tratamento de duplicados. Financiamento não fecha essas lacunas. Clientes nomeados, análises técnicas e testes reproduzíveis seriam mais úteis que urgência agregada.
Observar cria deveres próprios
Prompts, comandos e histórico podem conter dados pessoais e empresariais sensíveis. Processamento local poderia reduzir exposição, mas a arquitetura pública não estabelece coleta, transferência e retenção de toda implantação.
É preciso saber o que fica no dispositivo, o que chega ao centro, quem pode ver e por quanto tempo. Aviso aos empregados e obrigações regionais importam quando ambientes pessoais e corporativos se misturam.
A plataforma de monitoramento pode virar alvo valioso. Conhecer ferramentas, direitos e padrões exige testar isolamento, acesso privilegiado, logs e resposta a incidentes.
Falsos positivos geram aprovações desnecessárias, transformam uso supervisionado em proibição e incentivam desvio. Falsos negativos permitem dano antes de entender intenção, sobretudo entre endpoint, nuvem e terceiros. Decisões rápidas precisam ser medidas.
Camada separada ou consolidação
A Reco parte de identidade, permissões, aplicativos e dados alcançáveis; sua rodada de setembro levantou segundo relatos US$ 55 milhões. A WitnessAI captou US$ 58 milhões em janeiro, com Sound Ventures, Fin Capital, Qualcomm Ventures e Samsung Ventures, apoiando interação, fluxo de dados e agentes.
Prompt Security e outros tratam modelos, ataques a prompts, testes e perda de dados. Fornecedores estabelecidos de endpoint, identidade, navegador, nuvem e dados têm clientes e telemetria e podem expandir ou adquirir.
A Pluto precisa mostrar contexto melhor e integração ampla, não apenas um novo rótulo. Clientes podem preferir controles unificados que reduzam consoles e fadiga. Projetos grandes ainda experimentais podem deixar gastos de segurança à frente da adoção, embora aplicativos ocultos já causem lacunas atuais.
Clientes e receita iniciais indicam orçamento, não categoria duradoura. O teste difícil é acompanhar dispositivo, conector e aplicação com política compreensível sem bloquear trabalho seguro.
Testar habilitação e prevenção juntas
Uma prova deve incluir tarefas seguras, exposições plantadas, comportamento inesperado e privacidade sensível. Medir ferramentas descobertas, riscos confirmados, ações relevantes impedidas, falsos positivos e negativos, tempo de investigação e continuidade dos fluxos aprovados.
Compare com proteção existente de endpoint, identidade, navegador, dados e nuvem. Integração, novos componentes e resposta a ameaças contam com precisão. Casos independentes nomeados e setores regulados ajudariam a demonstrar privacidade e execução compatíveis.
Capital torna o problema visível, não comprova prevenção. A questão é se funcionários continuam criando software útil com dados, permissões e ações sob limites técnicos confiáveis. As próximas evidências operacionais, não o tamanho da estreia, testarão isso.