Sequoia aposta ainda mais na Cymphony enquanto agentes de IA criam novos riscos de segurança empresarial

À medida que agentes de inteligência artificial ganham acesso aos mesmos dados corporativos e sistemas sensíveis que os trabalhadores humanos, operando à velocidade da máquina, as empresas ficam expostas a novos riscos de segurança. A tradicional empresa de capital de risco Sequoia Capital está apostando alto nessa mudança, apoiando a startup Cymphony enquanto ela surge com US$ 30 milhões em financiamento para ajudar as empresas a manter sua força de trabalho de IA em expansão sob controle.

O financiamento inclui uma Série A de US$ 25 milhões liderada em conjunto pela Sequoia e pelo SMBC Fin Atlas Beyond Fund, avaliando a startup com sede em Nova York e Tel Aviv em mais de US$ 100 milhões após o investimento. A rodada segue um investimento semente anterior não divulgado da Sequoia.

Os agentes de IA não passam necessariamente pelos mesmos controles de acesso e identidade que os funcionários, mas têm acesso a múltiplos sistemas e lidam com grandes quantidades de dados corporativos. Isso dificulta que as empresas rastreiem quem tem acesso ao quê.

A Cymphony está tentando resolver essa lacuna oferecendo às equipes de segurança uma visão única de funcionários, agentes de IA e outras identidades não humanas, incluindo os sistemas e dados sensíveis que eles podem acessar. No núcleo de sua plataforma, a startup de dois anos construiu o que chama de “gráfico de força de trabalho”. Isso reúne sinais de identidade, dados e atividade.

“A segurança empresarial foi projetada para funcionários humanos”, disse Shy Dekel, cofundador e CEO da Cymphony (na foto acima, ao centro), em uma entrevista exclusiva. “Cada vez mais, começam a existir entidades independentes que estão praticamente se juntando à força de trabalho, mas elas não são mais pessoas.”

A Cymphony afirma que já está encontrando esses riscos dentro de grandes empresas. Em uma empresa de capital aberto dos EUA, a startup disse ter encontrado cerca de 85.000 arquivos que se tornaram acessíveis a ferramentas e agentes de IA. A Cymphony declarou que ajudou a eliminar a exposição e verificou que nenhum dos arquivos havia sido acessado por esses sistemas de IA.

Em outro caso, Dekel disse ao TechCrunch que um colaborador externo havia instalado uma instância não autorizada do Claude, da Anthropic, que usava o acesso existente do colaborador para escanear milhares de arquivos sensíveis.

Além de identificar riscos, a Cymphony usa agentes de IA para investigar incidentes, priorizar o que as equipes de segurança devem abordar e automatizar parte da remediação, incluindo a correção de permissões de acesso. A plataforma pode operar de forma altamente automatizada, disse Dekel, acrescentando que os clientes também podem optar por um serviço gerenciado que traz os especialistas de segurança da Cymphony para o circuito em casos mais complexos.

Por que a Sequoia dobrou a aposta

A aposta inicial da Sequoia na Cymphony ocorreu antes de a startup definir o problema que queria resolver. Quando a empresa de capital de risco liderou sua rodada semente, há mais de dois anos, a Cymphony não tinha produto ou mesmo uma direção de produto clara, disse o sócio da Sequoia, Bogomil Balkansky, ao TechCrunch.

O investimento foi essencialmente uma aposta em Dekel e em seus cofundadores, Idan Berkovits (na foto acima, à direita) e Edi Gotlieb (na foto acima, à esquerda), os três vindos do Talpiot, o programa de tecnologia e liderança altamente seletivo dos militares israelenses. A Sequoia já conhecia o programa por meio de investimentos anteriores em segurança cibernética, incluindo a Wiz.

“Nós apenas vimos três jovens incríveis com o tipo de currículo com o qual nós da Sequoia tivemos muita experiência de sucesso”, disse Balkansky.

No entanto, segundo Balkansky, a Sequoia queria ver mais do que o currículo dos fundadores até a Série A.

A Cymphony havia construído um produto, assinado com um número de dois dígitos de clientes corporativos e alcançado receita recorrente anual de sete dígitos dentro de seu primeiro ano de vendas, disse a startup ao TechCrunch. Seus clientes incluem KKR, Syngenta, Cass Information Systems e Athennian.

A Sequoia também tem usado o produto da Cymphony internamente desde o início de seu desenvolvimento, disse Balkansky. Ele apontou a qualidade e a variedade dos clientes da Cymphony, e o fato de os clientes existentes estarem expandindo o uso da plataforma, como algumas das principais razões pelas quais a empresa de capital de risco decidiu investir novamente.

A Cymphony está entrando em um mercado cada vez mais concorrido, à medida que as empresas de segurança cibernética se esforçam para lidar com os riscos decorrentes do uso crescente de agentes de IA.

Incidentes recentes aumentaram essas preocupações. Em julho, a OpenAI revelou que agentes testados quanto a capacidades de segurança cibernética haviam contornado salvaguardas e comprometido sistemas na plataforma de IA Hugging Face. No final da semana passada, agentes ligados à OpenAI fizeram milhares de edições em um wiki de programação alemão, usando partes do site para se comunicar e compartilhar formas de evadir restrições.

Balkansky reconheceu que dezenas de empresas já estão se posicionando em torno da segurança de IA e de agentes. Ele disse, no entanto, que a abordagem da Cymphony se destaca ao tratar a segurança de identidade e de dados como parte do mesmo problema.

Essa distinção, argumentam Dekel e Balkansky, torna-se mais importante à medida que as empresas implantam mais agentes de IA em suas operações. Ao contrário dos funcionários humanos com funções e permissões relativamente estáveis, os agentes podem seguir rotas diferentes para concluir uma tarefa, adquirir novas capacidades e, em alguns casos, criar outros agentes, tornando o acesso deles mais difícil de governar com sistemas de segurança projetados em torno de pessoas.

“Os agentes são atores muito diferentes”, disse Balkansky, argumentando que as ferramentas de identidade existentes não foram projetadas para agentes que podem alterar seu comportamento e capacidades em tempo de execução.

A Cymphony também está em uma corrida contra empresas de segurança estabelecidas que estão expandindo suas ofertas em torno de identidade, dados e IA, incluindo Microsoft, Okta, CyberArk, Wiz e Varonis.

Dekel disse ao TechCrunch que a Cymphony já está substituindo alguns produtos de segurança existentes em clientes. Em uma empresa, disse ele sem divulgar detalhes, a plataforma ajudou a consolidar duas ferramentas existentes e eliminou a necessidade de comprar uma terceira.

No entanto, Balkansky vê o papel da Cymphony, pelo menos por enquanto, como mais complementar do que substituto. “Ninguém vai se livrar do seu Okta”, disse ele, acrescentando que os clientes estão adotando amplamente a Cymphony como uma camada adicional hoje. Com o tempo, porém, ele disse ao TechCrunch que a startup pode começar a substituir algumas soluções pontuais, particularmente em áreas como prevenção de perda de dados.

A Cymphony tem cerca de 30 funcionários em Tel Aviv e Nova York. A maioria de seus clientes está atualmente na América do Norte, embora Dekel tenha dito ao TechCrunch que a startup está começando a ver demanda de empresas na Europa, Oriente Médio e África.

Dito isso, à medida que a Cymphony avança além de sua Série A e se expande entre grandes clientes corporativos, ela agora precisa provar que a segurança de agentes de IA pode se tornar um mercado próprio, em vez de apenas um recurso oferecido por plataformas de segurança maiores. Balkansky acredita que os gastos na área crescerão à medida que as empresas colocarem mais agentes de IA para trabalhar.

“Se as empresas não gastarem dinheiro com segurança de agentes, eu não sei com o que mais elas gastarão dinheiro nos próximos cinco a dez anos”, disse ele.