De pentest verhuisde naar productie en bleef daar

Wat 250 miljoen dollar zojuist kocht

Horizon3 sloot een serie E van 250 miljoen dollar bij een waardering boven 2 miljard, na in mei 2025 100 miljoen te hebben opgehaald bij ongeveer 650 miljoen. NightDragon en NEA, beide al aandeelhouder, leidden samen. De nieuwe namen beslaan een ongebruikelijke breedte voor een beveiligingsronde: Acrew, Blue Cloud Ventures, Demeter Group, PSG Equity en Sapphire naast het aan de staat gelieerde Singaporese EDBI en SAIC Ventures, de investeringstak van de Amerikaanse defensieleverancier, met Craft Ventures, Qualcomm Ventures, Ridge Ventures en SignalFire opnieuw van de partij. Het bedrijf nadert 100 miljoen dollar aan jaarlijks terugkerende omzet bij 120 procent groei op jaarbasis en telt ruwweg 7.200 klanten, van beheerde dienstverleners tot Fortune 10-ondernemingen.

Het product heet NodeZero, door het bedrijf vermarkt als autonome penetratietest en intern omschreven als AI-hackers. Oprichters Snehal Antani en Anthony Pillitiere komen uit het Joint Special Operations Command, en het voorstel draagt die herkomst: in plaats van een adviesbureau in te huren om twee weken lang een afgebakend gebied aan te vallen, laat u een aanvaller doorlopend tegen alles lopen. Horizon3 zegt ongeveer 100 miljoen dollar aan onderzoek en ontwikkeling te hebben besteed aan geautomatiseerde systemen die voorspelbaar en beheersbaar moeten blijven, wat een veelzeggende uitspraak is over het eigen product.

Het dekkingsargument is het sterke

Matt Hartley, commercieel directeur van het bedrijf, maakt de vergelijking in bewoordingen die lastig te weerleggen zijn. Een traditionele penetratietest bekijkt 2 à 3 procent van een netwerk, één keer. NodeZero doorloopt de gehele infrastructuur continu. Wie ooit een jaarlijkse test heeft laten uitvoeren kent de vorm van het probleem: u betaalt voor een afgebakende opdracht, de omvang wordt onderhandeld tot wat in budget en tijdvenster past, en het rapport beschrijft de staat van een deel van uw park gedurende twee weken die eindigden voordat de bevindingen op papier stonden.

Doorlopend testen tegen de echte omgeving herstelt een werkelijk gebrek, en dat is de reden dat deze categorie groeit, geen marketingvondst. Hartleys tweede bewering is de dragende: het platform kan levende systemen testen zonder de bedrijfsvoering stil te leggen. Op die eigenschap rust het hele voorstel, want een gereedschap dat af en toe de productie plat legt, laat niemand doorlopend draaien, hoe goed de dekking ook is.

310.000 tests, en wie ze telde

Het bewijs voor die veiligheidsbelofte is 310.000 productiebeveiligingstests zonder verstoringen. Het is een fors getal en er is geen reden het onwaar te achten. Het is ook, onvermijdelijk, de leverancier die zijn eigen uitkomsten telt langs zijn eigen definitie van wat als verstoring geldt, en die twee constateringen staan zonder tegenspraak naast elkaar. Een test die een dienst kort vertraagde, of een melding uitlokte waarvan het opruimen iemand een uur kostte, kan binnen of buiten die noemer vallen afhankelijk van een definitie die buiten het bedrijf niemand heeft gezien.

De praktische aanwijzing is klein en de moeite waard. Bereikt dat cijfer een bestuursstuk of een risicocommissie, dan hoort het aan te komen met het etiket leveranciersstatistiek en niet als onafhankelijke bevinding, en het inkoopgesprek hoort te vragen wat het bedrijf als verstoring aanmerkt en of klanten hun eigen incidenttellingen kunnen inzien. Een leverancier die vertrouwen heeft in het getal beantwoordt beide moeiteloos. Het antwoord geeft u bovendien iets om het contract later langs te leggen, wat een kopcijfer nooit doet.

De vraag is autorisatie, niet werkzaamheid

De beslissing die deze ronde zou moeten uitlokken gaat niet over de vraag of autonoom testen werkt. Zij gaat over wie de handeling heeft geautoriseerd. Een traditionele opdracht levert een ondertekend document met inzetregels op dat een omvang, een tijdvenster en een mens noemt die beide goedkeurde. Een doorlopend draaiende agent levert bevindingen op, en de goedkeuring die hem dekt is eenmalig gegeven, bij de inkoop, voor een categorie activiteit en niet voor een handeling. De wijzigingsprocessen van de meeste organisaties zijn voor het eerste model geschreven en nooit voor het tweede herzien.

Dat gat wordt concreet onder Europese verwachtingen rond operationele weerbaarheid, waar een instelling moet kunnen reconstrueren wie wat deed in een productiesysteem en onder wiens gezag. Het werkbare antwoord is niet om het gereedschap te mijden, wat een slechte ruil zou zijn tegen de dekking die het oplevert. Het is om de autorisatie vóór ingebruikname op te schrijven: welke systemen de agent mag raken, wat hij niet mag doen zonder een nieuw menselijk besluit, wie dat besluit houdt, en hoe een handeling om drie uur 's nachts een half jaar later wordt gereconstrueerd. Horizon3 opende zijn Amsterdamse kantoor in juni en besteedt deze ronde aan EMEA, dus Europese kopers krijgen die vraag binnen de lopende budgetcyclus voorgelegd.

Lees hierna: Een EU-regio kiezen houdt geen bevel tegen  |  De fix tekent nieuwe bestanden, niet uw archief