Qué acaban de comprar 250 millones de dólares

Horizon3 cerró una serie E de 250 millones de dólares con una valoración superior a 2.000 millones, tras captar 100 millones a unos 650 millones en mayo de 2025. NightDragon y NEA, ambos ya accionistas, colideraron. Los nombres nuevos abarcan un rango insólito para una ronda de seguridad: Acrew, Blue Cloud Ventures, Demeter Group, PSG Equity y Sapphire junto al singapurense EDBI, vinculado al Estado, y SAIC Ventures, el brazo inversor del contratista de defensa estadounidense, con Craft Ventures, Qualcomm Ventures, Ridge Ventures y SignalFire repitiendo. La compañía se acerca a 100 millones de dólares de ingresos recurrentes anuales con un crecimiento del 120 por ciento interanual y contabiliza unos 7.200 clientes, desde proveedores de servicios gestionados hasta empresas del Fortune 10.

El producto es NodeZero, que la compañía comercializa como pruebas de penetración autónomas y describe internamente como hackers de inteligencia artificial. Los fundadores, Snehal Antani y Anthony Pillitiere, proceden del Joint Special Operations Command, y la propuesta arrastra ese linaje: en lugar de contratar a una consultora para atacar un alcance definido durante dos semanas, se deja correr a un atacante de forma continua contra todo. Horizon3 afirma haber destinado unos 100 millones de dólares a investigación y desarrollo para construir sistemas automatizados diseñados para seguir siendo predecibles y controlables, lo que resulta revelador como declaración sobre el propio producto.

El argumento de la cobertura es el sólido

Matt Hartley, director comercial de la compañía, formula la comparación en términos difíciles de rebatir. Una prueba de penetración convencional examina entre el 2 y el 3 por ciento de una red, una vez. NodeZero recorre toda la infraestructura de forma continua. Quien haya encargado alguna vez una auditoría anual conoce la forma del problema: se paga por un encargo acotado, el alcance se negocia a la baja hasta lo que cabe en el presupuesto y la ventana, y el informe describe el estado de una parte del parque durante una quincena que terminó antes de que se redactaran las conclusiones.

Probar de forma continua contra el entorno real corrige un defecto genuino, y ésa es la razón del crecimiento de la categoría, no una ocurrencia de marketing. La segunda afirmación de Hartley es la que sostiene el edificio: la plataforma puede probar sistemas vivos sin detener las operaciones. Sobre esa capacidad descansa toda la propuesta, porque una herramienta que de vez en cuando tumba la producción no es una herramienta que nadie deje correr en continuo, por buena que sea su cobertura.

310.000 pruebas, y quién las contó

La evidencia que se ofrece para esa promesa de seguridad son 310.000 pruebas de seguridad en producción sin interrupciones. Es una cifra considerable y no hay motivo para creerla falsa. También es, inevitablemente, el proveedor contando sus propios resultados según su propia definición de qué cuenta como interrupción, y ambas cosas conviven sin contradicción. Una prueba que degradara brevemente un servicio, o que disparara una alerta cuya limpieza costó una hora a alguien, puede estar dentro o fuera de ese denominador según una definición que nadie ha visto fuera de la empresa.

La instrucción práctica es pequeña y merece la pena. Cuando esa cifra llegue a un informe de consejo o a un comité de riesgos, debería llegar etiquetada como estadística de proveedor y no como hallazgo independiente, y la conversación de compra debería preguntar qué clasifica la compañía como interrupción y si los clientes pueden ver sus propios recuentos de incidentes. Un proveedor seguro de su número responderá a ambas sin dificultad. La respuesta además le deja algo con lo que contrastar el contrato más adelante, cosa que una cifra de titular nunca da.

La cuestión es la autorización, no la eficacia

La decisión que debería provocar esta ronda no es si las pruebas autónomas funcionan. Es quién autorizó la acción. Un encargo tradicional produce un documento firmado de reglas de enfrentamiento que nombra un alcance, una ventana y a una persona que aprobó ambos. Un agente en marcha continua produce hallazgos, y la aprobación que lo ampara se dio una vez, en la compra, para una clase de actividad y no para un acto. Los procesos de control de cambios de la mayoría de las organizaciones se escribieron para el primer modelo y no se han revisado para el segundo.

Ese hueco se vuelve concreto bajo las expectativas europeas de resiliencia operativa, donde una entidad ha de poder reconstruir quién hizo qué en un sistema en producción y bajo qué autoridad. La respuesta viable no es renunciar a la herramienta, lo que sería un mal canje frente a la cobertura que compra. Consiste en escribir la autorización antes del despliegue: qué sistemas puede tocar el agente, qué no puede hacer sin una decisión humana nueva, quién sostiene esa decisión y cómo se reconstruye seis meses después una acción tomada a las tres de la madrugada. Horizon3 abrió su oficina de Ámsterdam en junio y gasta esta ronda en EMEA, así que los compradores europeos afrontarán esa pregunta dentro del ciclo presupuestario actual.

Leer a continuación: Elegir una región europea no frena una citación  |  La corrección firma los archivos nuevos, no su archivo histórico