Pluto Security在10月13日公开亮相，把员工自建AI定义为分散的软件开发问题，而不只是员工向聊天机器人粘贴秘密。员工如今可以先拼出应用、连接企业系统，再让智能体使用真实凭证执行操作，传统开发审查却可能尚未发生。
此次发布被描述为融资4200万美元。报道分别列出TLV Partners领投的850万美元种子轮，以及Jump Capital领投的3400万美元A轮。两项相加为4250万美元，因此标题总额应视为报道采用的约数，而非已经核对一致的融资明细。Skinos、Ansa Capital、网络安全创始人及天使投资者也参与。
联合创始人兼CEO Shahar Bahat向TechCrunch表示，公司4月开始销售，年度经常性收入已超过200万美元。公司报告有30多家企业客户，包括Oscar Health、Workato、Sixt和AlphaSense，并在美国及以色列雇用40人。这些是公司披露，不是独立审计结果。资金拟投入产品、研究及美国扩张。
安全团队发现之前，应用可能已经运行
Pluto称，新发布AI工具两小时内就可能出现在企业环境。其客户中约60%的检出风险关联非开发人员创建的应用；财务最多，其后是营销和法务，开发人员排第四。这不能代表所有企业的风险普遍程度或严重程度。
报道举例，一家未具名《财富》500强公司的员工自建财务应用，处理客户与流失数据，却暴露在公网。细节由Pluto提供，并不是独立记录的入侵事件。它说明懂业务逻辑与懂身份验证、依赖安全和网络边界之间有差距。
财务掌握预测、交易与客户经济数据，营销掌握客户名单和发布系统，法务处理机密合同及通信。一个有用原型可以在没有恶意的情况下获得重要权限。AI降低构建成本，不会免除凭证、存储和暴露面的治理。
另一份2025年KPMG职场研究称，44%的员工以未经授权方式使用AI；其中46%报告向公共平台上传敏感公司信息或知识产权。这是行为自述，不是已确认事故，也不能改成“所有员工中46%泄露数据”。
封锁几个聊天网站，覆盖不了个人账户、扩展、本地模型、编程助手及新服务。一刀切禁令可能把工作赶进不可见渠道；无限制连接器则可能连接客户库、消息、代码仓和云资源。书面可接受使用政策本身既不能揭示调用了哪个连接器，也不能实时阻止危险动作。
Pluto希望在智能体执行时判断行为
平台称能发现AI工具、编程环境、扩展、技能、MCP服务器、应用及自治智能体。Model Context Protocol让AI连接外部工具与数据。模型、下载技能、连接器和凭证组合起来，即使没有从零开发整套应用，也形成信任链。
Pluto接入终端安全及设备管理系统，可借这些系统或直接部署传感器。据报道，信号包括提示词、命令、进程、权限和先前用户活动。轻量终端模型用于推断智能体意图，识别超出员工表面任务的权限请求。
其声称的干预包括阻止动作，以及插入要求智能体请求确认的指令。这超出了资产清单或政策报告。不过，提示词指令与可强制执行的阻断不是一回事：模型响应仍有概率性。
例如，总结近期客户取消情况，可能需要读取批准记录，却不需要把完整客户库导出至外部服务。情境控制必须跨不同工具和执行路径稳定区分两者。员工身份验证有效，不代表智能体每一步都符合任务。
因此，终端保护和身份控制仍不可少。高影响边界应可技术强制，例如拒绝网络请求、撤销令牌或停止进程，而非完全依赖智能体自愿遵守新指令。采购方需要明确实际部署中，哪里是模型判断，哪里是真正执行边界。
组件研究有用，但不是完整运行时证明
Pluto还提供免费Plutonium服务，评估公开技能、MCP服务器、连接器和插件，并有扫描器及组件目录。公司称有数千名安全从业者使用，入站兴趣带来70%的销售管线。两项均未经独立核实，管线比例也不是收入或成交率。
该服务同时支持研究与商业获客。安装前扫描可以发现已知恶意行为；运行时观察处理另一类问题：原本可信组件相互作用后，也可能产生不安全动作。
被攻陷软件包可能偷凭证、重定向输出、改变提示词或执行命令；MCP服务器可能暴露超出任务的能力。目录需持续研究，某时点安全评估不能永久证明整个工作流安全。
Bahat还称，每次概念验证都发现恶意材料，部分扩展或技能存在活动攻击。公开材料没有具名、独立确认的事故证明完整范围。“恶意”可能指蓄意恶意软件、凭证暴露、可疑目的地或危险模式，确定性与处理应不同。
60%风险数字也没有披露数据集构成、严重性及重复计数方法。融资不能弥补方法缺口。具名客户、技术分析与可复现测试，比汇总的紧迫感更有说服力。
观察本身产生隐私和安全责任
提示词、命令和历史活动可能包含个人及敏感业务信息。终端模型如果本地处理，可能减少暴露，但已发布架构不足以说明每种部署的收集、传输和保留边界。
企业需知道哪些信号留在设备、哪些进入中央服务、谁能查看、保留多久。工作与私人环境混用时，员工告知及地区隐私义务同样重要。
监测平台自身也可能成为高价值目标。它掌握的工具、权限和工作模式对攻击者有用，因此应测试租户隔离、特权访问、审计及事故响应。
误报也会损害采用。反复无必要审批，会让受监督使用变成另一种禁令并鼓励绕行。漏报则可能在理解意图前放行损害，尤其跨终端、云和外部服务时。快速情境判断需要测量，不能假定存在。
独立控制层也可能被整合
Reco侧重身份、权限、连接应用和可达数据，9月据报融资5500万美元。WitnessAI在1月融资5800万美元，投资者包括Sound Ventures、Fin Capital、Qualcomm Ventures和Samsung Ventures，支持其交互、数据流及智能体治理方向。
Prompt Security等专业厂商覆盖模型、提示词、应用测试和数据丢失防护。既有终端、身份、浏览器、云和数据安全公司已有客户与遥测，可扩展产品或收购专业公司。
Pluto必须证明情境判断更好且集成广泛，而非只创造新标签。若统一控制减少孤立控制台和告警疲劳，客户可能偏好整合。大型智能体项目若仍在实验，安全投入也可能超前于生产采用，尽管影子应用已经制造当前缺口。
早期客户和收入陈述表明存在预算兴趣，不代表独立品类能够长期成立。最难的测试仍是跟踪设备、连接器到业务应用的整条链，并执行员工理解的规则，而不阻碍安全工作。
同时检验赋能与防护
概念验证应加入已知安全任务、预置暴露、意外智能体行为和隐私敏感场景。衡量发现工具、确认暴露、拦截重要动作、误报漏报、调查时间，以及员工是否继续使用批准流程。
还应与已有终端、身份、安全浏览器、数据防护和云控制比较。集成覆盖、新组件支持和新威胁响应，与检测准确性同等重要。监管行业部署及具名独立客户证据，有助判断隐私与执行能否兼容。
融资让问题更可见，却不证明防护成功。真正的问题是，员工能否继续创造有用软件，而数据访问、权限范围和智能体动作仍处于可靠技术控制之下。检验这一点的是后续运营证据，而不是发布时的融资规模。