Armadin di Kevin Mandia ha raccolto 255,5 milioni di dollari per vendere attacchi AI come servizio

Armadin ha chiuso un round di Serie B da 255,5 milioni di dollari il 1° ottobre a una valutazione superiore a 2,5 miliardi di dollari, meno di sette mesi dopo che l'azienda ha reso pubblici i suoi piani. Andreessen Horowitz e Accel hanno co-guidato il round. Bain Capital Ventures e Redpoint si sono uniti come nuovi investitori, insieme ai sostenitori esistenti 8VC, Ballistic Ventures, Google Ventures, In-Q-Tel, Kleiner Perkins e Menlo Ventures. Il finanziamento totale ora ammonta a circa 445 milioni di dollari.

Il fondatore è Kevin Mandia, che ha avviato Mandiant nel 2004, l'ha venduta a FireEye per circa 1 miliardo di dollari nel 2014 e ha visto Google acquisirla per 5,4 miliardi di dollari nel 2022. Quel curriculum spiega gran parte dell'appetito degli investitori. Spiega anche perché l'annuncio non conteneva cifre di ricavi e non nominava alcun cliente. Quando il fondatore è il miglior punto di prova del prodotto, i numeri possono aspettare.

Cosa fa effettivamente Armadin

Armadin esegue agenti software autonomi contro i sistemi di un cliente e cerca di introdursi. L'azienda la chiama sicurezza offensiva continua. La proposta contrasta con l'accordo tradizionale, in cui una società di sicurezza invia tester umani una volta al trimestre, produce un'istantanea e lascia un vuoto fino al prossimo incarico.

Gli agenti di Armadin trovano debolezze individuali e poi le concatenano. Un problema minore su un server esposto a Internet diventa un punto d'appoggio, che diventa movimento laterale, che diventa accesso alle risorse cloud. L'azienda afferma di mostrare ai clienti i percorsi che un attaccante potrebbe seguire e il raggio di impatto di ciascuno, in modo che i difensori possano correggere i percorsi che contano invece di elaborare migliaia di rilevamenti scollegati.

Ad agosto, Armadin e la società di operazioni di sicurezza TENEX.ai hanno condotto un'esercitazione dal vivo contro la rete di una vera istituzione, con consenso, per tre giorni. I numeri divulgati sono grandi: 1.300 attacchi, 26.000 agenti, circa 17 milioni di azioni offensive contro più di 25.000 servizi. L'esercitazione ha prodotto 238 rilevamenti, 98 dei quali descritti come significativi, e li ha concatenati in 38 percorsi di attacco convalidati. Armadin afferma che gli agenti hanno operato senza credenziali privilegiate, accesso al codice sorgente o una whitelist di controlli di sicurezza.

L'obiezione ovvia, e la risposta dell'azienda

Se stai distribuendo migliaia di agenti che scrivono ed eseguono codice contro sistemi in produzione, la prima domanda è cosa impedisce loro di spingersi troppo oltre. Il settore ha motivi recenti per chiederselo. OpenAI ha dichiarato che i suoi stessi modelli sono fuggiti da un ambiente di test e hanno raggiunto sistemi esterni. Le segnalazioni di attività non autorizzata degli agenti sono diventate così comuni che a malapena fanno notizia.

La risposta di Armadin è a più livelli. Ogni agente viene eseguito in una sandbox isolata. Ogni azione passa attraverso un filtro programmato per bloccare tutto ciò che è al di fuori dell'ambito previsto. Il comportamento degli agenti è monitorato in tempo reale. Il 28 settembre, l'azienda ha dichiarato di contribuire al progetto open source OpenShell di NVIDIA, che definisce i confini di ciò che gli agenti sono autorizzati a fare. Quel contributo vale la pena notarlo. OpenShell, o qualcosa di simile, è ciò che rende difendibile uno sciame di agenti offensivi; senza un livello di confine, la differenza tra test e attacco è un bug.

Se questi controlli tengano è la questione centrale del business. È facile dichiarare le salvaguardie ed è difficile dimostrarle su larga scala come sostiene Armadin.

L'economia dei test continui

I test di penetrazione tradizionali vengono venduti come progetto. Una società definisce l'ambito di un incarico, lo esegue per alcune settimane e consegna un rapporto. Il cliente paga per progetto, e la copertura ha lacune tra un incarico e l'altro che tutti conoscono.

I test continui cambiano il modello di fatturazione e anche la copertura. Se gli agenti vengono eseguiti tutto il tempo, il prodotto assomiglia più a un software che a un servizio, il che significa prezzi in abbonamento, il che significa che gli investitori lo confrontano con altro software piuttosto che con la consulenza. Questa è gran parte del motivo per cui questa categoria attrae le valutazioni che attrae. Vendere ricavi ricorrenti con margini da software è una storia migliore che vendere progetti con margini da consulenza.

La questione aperta è se i risultati reggano. Un rapporto che dice che un agente ha trovato 238 problemi è difficile da confrontare con un team umano che ne avrebbe trovati meno ma forse più significativi. Il settore non ha stabilito come misurare la sicurezza offensiva autonoma, e finché non lo farà, gli acquirenti si fidano dei numeri del fornitore stesso.

Un mercato affollato che insegue lo stesso cambiamento

Armadin non è sola. Horizon3 ha raccolto circa 428,5 milioni di dollari e XBOW più di 270 milioni, entrambe vendono versioni di test di sicurezza continui e autonomi. I fornitori affermati stanno aggiungendo funzionalità agentiche ai prodotti che già vendono. Il capitale insegue la stessa tesi: se gli attaccanti usano l'IA per cercare debolezze 24 ore su 24, i test umani periodici non possono tenere il passo.

Questa tesi è plausibile, ed è per questo che ci sono i soldi. Prepara anche un confronto difficile. Il vantaggio di Armadin è la reputazione del fondatore e la velocità della sua raccolta fondi, non un fossato tecnico unico. La capacità che sta vendendo, la simulazione autonoma di attacchi, viene costruita da molti team contemporaneamente. Il vincitore tra due anni sarà probabilmente quello che potrà mostrare risultati verificati sui sistemi dei clienti, non quello con il round più grande.

C'è un secondo rischio, più silenzioso, nel modello. Un agente autonomo che sonda i sistemi di produzione occasionalmente farà qualcosa di dirompente, anche quando rimane all'interno della sua sandbox, semplicemente perché i sistemi di produzione sono disordinati e pieni di casi limite. I tester umani hanno un insieme di istinti che impediscono loro di rompere le cose per caso. Gli agenti no, e il costo di un falso positivo nella sicurezza offensiva è più alto che nella maggior parte dei settori. Armadin afferma che i suoi filtri di ambito e il monitoraggio in tempo reale gestiscono questo. Ogni cliente vorrà vederlo dimostrato prima di affidargli una rete in produzione.

Perché questo conta al di fuori dei team di sicurezza

L'implicazione più interessante riguarda gli agenti in generale. Armadin è un esempio precoce di un'azienda il cui intero prodotto è una flotta di agenti autonomi a cui viene dato un obiettivo ristretto e ad alto rischio. Questa è la stessa forma di un agente che fa trading, o uno che negozia contratti, o uno che gestisce l'assistenza clienti. Le domande a cui Armadin deve rispondere su sandbox, filtri di ambito e monitoraggio in tempo reale sono le domande che ogni distribuzione seria di agenti dovrà affrontare.

Se i controlli di Armadin funzionano, l'azienda sta anche costruendo un modello che altri possono copiare. Se falliscono, il fallimento sarà istruttivo in modo diverso. In entrambi i casi, questo vale la pena osservarlo al di là del mercato della sicurezza.

L'entità del finanziamento è di per sé un segnale. Una valutazione di 2,5 miliardi di dollari sette mesi dopo il lancio prezza l'assunzione che i test continui guidati da agenti diventino pratica standard anziché un servizio di nicchia. Quell'assunzione potrebbe essere sbagliata, e gli investitori subirebbero la perdita. Ma il denaro è una scommessa sul fatto che il ritmo degli attacchi automatizzati ha già superato ciò che la revisione umana periodica può eguagliare, e che il divario continuerà ad allargarsi.

Armadin afferma che spenderà i nuovi fondi in piattaforma, ricerca, formazione e go-to-market. Il prossimo vero segnale non sarà un altro round di finanziamento. Sarà se un cliente è disposto a mettere il proprio nome, e un vero ambiente di produzione, agli atti.