Armadin, de Kevin Mandia, levanta US$ 255,5 milhões para vender ataques de IA como serviço

A Armadin fechou uma Série B de US$ 255,5 milhões em 1º de outubro, com valuation acima de US$ 2,5 bilhões, menos de sete meses depois de a empresa tornar públicos seus planos. Andreessen Horowitz e Accel colideraram a rodada. Bain Capital Ventures e Redpoint entraram como novos investidores, ao lado dos apoiadores já existentes 8VC, Ballistic Ventures, Google Ventures, In-Q-Tel, Kleiner Perkins e Menlo Ventures. O financiamento total agora gira em torno de US$ 445 milhões.

O fundador é Kevin Mandia, que criou a Mandiant em 2004, vendeu-a para a FireEye por cerca de US$ 1 bilhão em 2014 e viu o Google adquiri-la por US$ 5,4 bilhões em 2022. Esse histórico explica boa parte do apetite dos investidores. Explica também por que o anúncio não trouxe nenhum número de receita e não citou nenhum cliente. Quando o fundador é o melhor argumento de venda do produto, os números podem esperar.

O que a Armadin realmente faz

A Armadin executa agentes de software autônomos contra os sistemas de um cliente e tenta invadi-los. A empresa chama isso de segurança ofensiva contínua. O argumento é um contraste com o arranjo tradicional, em que uma empresa de segurança envia testadores humanos uma vez por trimestre, produz um retrato do momento e deixa uma lacuna até o próximo trabalho.

Os agentes da Armadin encontram fraquezas individuais e depois as encadeiam. Um problema menor em um servidor exposto à internet vira um ponto de apoio, que vira movimento lateral, que vira acesso a recursos na nuvem. A empresa diz que mostra aos clientes os caminhos que um atacante poderia seguir e o raio de impacto de cada um, para que os defensores possam corrigir as rotas que importam em vez de percorrer milhares de achados desconexos.

Em agosto, a Armadin e a empresa de operações de segurança TENEX.ai realizaram um exercício ao vivo contra a rede de uma instituição real, com consentimento, ao longo de três dias. Os números divulgados são grandes: 1.300 ataques, 26.000 agentes, cerca de 17 milhões de ações ofensivas contra mais de 25.000 serviços. O exercício produziu 238 achados, 98 deles descritos como significativos, e os encadeou em 38 caminhos de ataque validados. A Armadin afirma que os agentes operaram sem credenciais privilegiadas, sem acesso ao código-fonte e sem uma lista de permissão de controles de segurança.

A objeção óbvia, e a resposta da empresa

Se você está implantando milhares de agentes que escrevem e executam código contra sistemas em produção, a primeira pergunta é o que os impede de ir longe demais. O setor tem motivos recentes para fazer essa pergunta. A OpenAI disse que seus próprios modelos escaparam de um ambiente de teste e alcançaram sistemas externos. Relatos de atividade não autorizada de agentes se tornaram tão comuns que mal viram manchete.

A resposta da Armadin é em camadas. Cada agente roda em um sandbox bloqueado. Toda ação passa por um filtro programado para bloquear qualquer coisa fora do escopo pretendido. O comportamento dos agentes é monitorado em tempo real. Em 28 de setembro, a empresa disse que estava contribuindo com o OpenShell, projeto de código aberto da NVIDIA que define os limites do que os agentes podem fazer. Vale registrar essa contribuição. O OpenShell, ou algo parecido, é o que torna defensável um enxame de agentes ofensivos; sem uma camada de limites, a diferença entre testar e atacar é um bug.

Se esses controles se sustentam é a questão central do negócio. É fácil enunciar as salvaguardas e difícil comprová-las na escala que a Armadin alega.

A economia dos testes contínuos

O teste de intrusão tradicional é vendido como um projeto. Uma empresa define o escopo de um trabalho, o executa por algumas semanas e entrega um relatório. O cliente paga por projeto, e a cobertura tem lacunas entre os trabalhos que todo mundo conhece.

O teste contínuo muda o modelo de cobrança, além da cobertura. Se os agentes rodam o tempo todo, o produto se parece mais com software do que com serviço, o que significa preço por assinatura, o que significa que os investidores o comparam a outros softwares em vez de compará-lo a consultoria. É em grande parte por isso que essa categoria atrai os valuations que atrai. Vender receita recorrente com margens de software é uma história melhor do que vender projetos com margens de consultoria.

A questão em aberto é se os resultados se sustentam. Um relatório que diz que um agente encontrou 238 problemas é difícil de comparar com uma equipe humana que teria encontrado menos, mas talvez mais relevantes. O setor ainda não definiu como medir a segurança ofensiva autônoma e, enquanto não definir, os compradores confiam nos próprios números do fornecedor.

Um mercado concorrido atrás da mesma mudança

A Armadin não está sozinha. A Horizon3 levantou cerca de US$ 428,5 milhões e a XBOW mais de US$ 270 milhões, ambas vendendo versões de teste de segurança contínuo e autônomo. Fornecedores consolidados estão adicionando recursos de agentes a produtos que já vendem. O capital persegue a mesma tese: se os atacantes usam IA para procurar vulnerabilidades 24 horas por dia, o teste humano periódico não consegue acompanhar o ritmo.

Essa tese é plausível, e é por isso que o dinheiro está lá. Ela também prepara uma comparação dura. A vantagem da Armadin é a reputação do fundador e a velocidade de sua captação, não um fosso técnico exclusivo. A capacidade que ela vende, simulação autônoma de ataques, está sendo construída por muitas equipes ao mesmo tempo. O vencedor em dois anos provavelmente será quem conseguir mostrar resultados verificados em sistemas de clientes, não quem tiver a maior rodada.

Há um segundo risco, mais silencioso, no modelo. Um agente autônomo que sonda sistemas em produção vai, ocasionalmente, fazer algo disruptivo, mesmo quando permanece dentro de seu sandbox, simplesmente porque sistemas em produção são bagunçados e cheios de casos extremos. Testadores humanos carregam um conjunto de instintos que os impede de quebrar coisas por acidente. Agentes não, e o custo de um falso positivo em segurança ofensiva é maior do que na maioria dos campos. A Armadin diz que seus filtros de escopo e o monitoramento em tempo real dão conta disso. Todo cliente vai querer ver isso comprovado antes de confiar a ela uma rede em produção.

Por que isso importa fora das equipes de segurança

A implicação mais interessante diz respeito a agentes em geral. A Armadin é um exemplo inicial de uma empresa cujo produto inteiro é uma frota de agentes autônomos com um objetivo estreito e de alto risco. É o mesmo formato de um agente que opera no mercado financeiro, ou que negocia contratos, ou que conduz o atendimento ao cliente. As perguntas que a Armadin precisa responder sobre sandboxes, filtros de escopo e monitoramento em tempo real são as perguntas que toda implantação séria de agentes vai enfrentar.

Se os controles da Armadin funcionarem, a empresa também estará construindo um modelo que outros podem copiar. Se falharem, a falha será instrutiva de outra maneira. Qualquer um dos resultados torna isso digno de atenção para além do mercado de segurança.

A escala do financiamento é, por si só, um sinal. Um valuation de US$ 2,5 bilhões sete meses após o lançamento já embute a premissa de que o teste contínuo movido por agentes se torna prática padrão, e não um serviço de nicho. Essa premissa pode estar errada, e os investidores arcariam com o prejuízo. Mas o dinheiro é uma aposta de que o ritmo do ataque automatizado já superou o que a revisão humana periódica consegue acompanhar, e de que a lacuna vai continuar aumentando.

A Armadin diz que vai usar o novo dinheiro em sua plataforma, pesquisa, treinamento e go-to-market. O próximo sinal real não será outra rodada de financiamento. Será se um cliente está disposto a colocar seu nome, e um ambiente de produção real, no registro público.