Penetrationstesten flyttede i drift og blev der

Hvad 250 mio. dollar lige har købt

Horizon3 lukkede en serie E på 250 mio. dollar til en værdi over 2 mia. efter at have hentet 100 mio. til omkring 650 mio. i maj 2025. NightDragon og NEA, begge allerede investorer, stod i spidsen sammen. De nye navne dækker et usædvanligt spænd for en sikkerhedsrunde: Acrew, Blue Cloud Ventures, Demeter Group, PSG Equity og Sapphire ved siden af det statsnære singaporeanske EDBI og SAIC Ventures, investeringsgrenen af den amerikanske forsvarsleverandør, med Craft Ventures, Qualcomm Ventures, Ridge Ventures og SignalFire som gengangere. Selskabet nærmer sig 100 mio. dollar i årligt tilbagevendende omsætning med 120 procents vækst år for år og tæller cirka 7.200 kunder, fra udbydere af administrerede tjenester til Fortune 10-virksomheder.

Produktet hedder NodeZero, som selskabet markedsfører som autonom penetrationstest og internt beskriver som AI-hackere. Stifterne Snehal Antani og Anthony Pillitiere kommer fra Joint Special Operations Command, og tilbuddet bærer den arv: i stedet for at hyre et konsulenthus til at angribe et defineret område i to uger lader man en angriber køre løbende mod alt. Horizon3 oplyser at have brugt omkring 100 mio. dollar på forskning og udvikling for at bygge automatiserede systemer, der skal forblive forudsigelige og styrbare, hvilket er en afslørende ting at måtte sige om sit eget produkt.

Dækningsargumentet er det stærke

Matt Hartley, selskabets salgsdirektør, stiller sammenligningen op i vendinger, der er svære at bestride. En traditionel penetrationstest undersøger 2 til 3 procent af et netværk, én gang. NodeZero gennemgår hele infrastrukturen løbende. Enhver, der har bestilt en årlig test, kender problemets form: man betaler for en afgrænset opgave, omfanget forhandles ned til det, der passer i budget og tidsvindue, og rapporten beskriver tilstanden af en del af bestanden i fjorten dage, der sluttede, før konklusionerne blev skrevet.

Løbende test mod det virkelige miljø retter en ægte mangel, og det er grunden til, at kategorien vokser, ikke et markedsføringsindfald. Hartleys anden påstand er den bærende: platformen kan teste levende systemer uden at standse driften. Hele tilbuddet hviler på den evne, for et værktøj, der en gang imellem lægger driften ned, er ikke et værktøj, nogen lader køre løbende, hvor god dækningen end er.

310.000 test, og hvem der talte dem

Beviset for den sikkerhedspåstand er 310.000 sikkerhedstest i drift uden forstyrrelser. Det er et betydeligt tal, og der er ingen grund til at tro, det er forkert. Det er også uundgåeligt leverandøren, der tæller sine egne udfald efter sin egen definition af, hvad der tæller som en forstyrrelse, og de to forhold står side om side uden modstrid. En test, der kortvarigt forringede en tjeneste, eller udløste en alarm, som kostede nogen en time at rydde op i, kan være inden for eller uden for den nævner afhængigt af en definition, ingen uden for selskabet har set.

Den praktiske anvisning er lille og værd at følge. Når det tal når et bestyrelsesoplæg eller et risikoudvalg, bør det ankomme mærket som leverandørstatistik og ikke som et uafhængigt fund, og indkøbssamtalen bør spørge, hvad selskabet klassificerer som en forstyrrelse, og om kunder kan se deres egne hændelsestal. En leverandør, der har tillid til tallet, svarer på begge dele uden besvær. Svaret giver jer desuden noget at holde kontrakten op imod senere, hvilket et overskriftstal aldrig gør.

Spørgsmålet er godkendelse, ikke virkning

Den beslutning, denne runde bør fremkalde, handler ikke om, hvorvidt autonom test virker. Den handler om, hvem der godkendte handlingen. En traditionel opgave frembringer et underskrevet dokument med indsatsregler, der nævner et omfang, et tidsvindue og et menneske, der godkendte begge dele. En løbende kørende agent frembringer fund, og den godkendelse, der dækker den, blev givet én gang, ved indkøbet, for en klasse af aktivitet snarere end for en handling. De fleste organisationers ændringsprocesser er skrevet til den første model og aldrig gennemgået for den anden.

Det hul bliver konkret under europæiske forventninger til operationel modstandsdygtighed, hvor et institut skal kunne rekonstruere, hvem der gjorde hvad i et driftssystem og under hvis myndighed. Det brugbare svar er ikke at undgå værktøjet, hvilket ville være en dårlig byttehandel mod den dækning, det køber. Det er at skrive godkendelsen ned før idriftsættelse: hvilke systemer agenten må røre, hvad den ikke må gøre uden en ny menneskelig beslutning, hvem der har den beslutning, og hvordan en handling foretaget klokken tre om natten rekonstrueres et halvt år senere. Horizon3 åbnede sit kontor i Amsterdam i juni og bruger denne runde på EMEA, så europæiske købere møder det spørgsmål inden for den igangværende budgetcyklus.

Læs videre: En EU-region standser ikke en kendelse  |  Rettelsen signerer nye filer, ikke jeres arkiv