Co właśnie kupiło 250 milionów dolarów

Horizon3 zamknął rundę serii E na 250 milionów dolarów przy wycenie powyżej 2 miliardów, po zebraniu 100 milionów przy około 650 milionach w maju 2025 roku. NightDragon i NEA, obaj już obecni w akcjonariacie, poprowadzili ją wspólnie. Nowe nazwiska obejmują nietypowy dla rundy bezpieczeństwa wachlarz: Acrew, Blue Cloud Ventures, Demeter Group, PSG Equity i Sapphire obok powiązanego z państwem singapurskiego EDBI oraz SAIC Ventures, ramienia inwestycyjnego amerykańskiego wykonawcy zbrojeniowego, a także powracające Craft Ventures, Qualcomm Ventures, Ridge Ventures i SignalFire. Spółka zbliża się do 100 milionów dolarów rocznych przychodów powtarzalnych przy wzroście o 120 procent rok do roku i liczy około 7200 klientów, od dostawców usług zarządzanych po przedsiębiorstwa z listy Fortune 10.

Produktem jest NodeZero, sprzedawany jako autonomiczny test penetracyjny i opisywany wewnętrznie jako hakerzy oparci na sztucznej inteligencji. Założyciele Snehal Antani i Anthony Pillitiere wywodzą się z Joint Special Operations Command, a oferta niesie ten rodowód: zamiast wynajmować firmę doradczą, by przez dwa tygodnie atakowała wyznaczony obszar, puszcza się napastnika w sposób ciągły przeciwko wszystkiemu. Horizon3 podaje, że wydał około 100 milionów dolarów na badania i rozwój, budując systemy automatyczne zaprojektowane tak, by pozostawały przewidywalne i sterowalne, co jako wypowiedź o własnym produkcie jest wymowne.

Argument o pokryciu jest tym mocnym

Matt Hartley, dyrektor handlowy spółki, formułuje porównanie w sposób trudny do podważenia. Tradycyjny test penetracyjny bada 2 do 3 procent sieci, jeden raz. NodeZero przechodzi całą infrastrukturę w sposób ciągły. Każdy, kto kiedykolwiek zamawiał doroczny test, zna kształt problemu: płaci się za zlecenie o wyznaczonym zakresie, zakres negocjuje się w dół do tego, co mieści się w budżecie i oknie czasowym, a raport opisuje stan wycinka majątku w ciągu dwóch tygodni zakończonych, zanim spisano wnioski.

Testowanie ciągłe wobec prawdziwego środowiska naprawia rzeczywistą wadę i to jest powód wzrostu tej kategorii, a nie marketingowy pomysł. Drugie twierdzenie Hartleya jest nośne: platforma potrafi testować żywe systemy bez zatrzymywania działalności. Na tej zdolności opiera się cała propozycja, bo narzędzia, które od czasu do czasu kładą produkcję, nikt nie puszcza w tryb ciągły, choćby jego pokrycie było najlepsze.

310 tysięcy testów i pytanie, kto je liczył

Dowodem na tę obietnicę bezpieczeństwa jest 310 tysięcy testów bezpieczeństwa na produkcji bez zakłóceń. To liczba pokaźna i nie ma powodu uważać jej za fałszywą. Jest to również, nieuchronnie, dostawca liczący własne wyniki według własnej definicji tego, co uchodzi za zakłócenie, i te dwa stwierdzenia stoją obok siebie bez sprzeczności. Test, który na krótko pogorszył działanie usługi albo wywołał alarm, którego uprzątnięcie zajęło komuś godzinę, może mieścić się w tym mianowniku albo poza nim, zależnie od definicji, której poza spółką nikt nie widział.

Praktyczne zalecenie jest drobne i warte wykonania. Kiedy ta liczba dociera do materiału dla zarządu albo komitetu ryzyka, powinna trafiać tam opisana jako statystyka dostawcy, a nie jako niezależne ustalenie, a rozmowa zakupowa powinna pytać, co spółka zalicza do zakłóceń i czy klienci widzą własne liczby incydentów. Dostawca pewny swojej liczby odpowie na oba pytania bez trudu. Odpowiedź daje wam ponadto coś, do czego można później przyłożyć umowę, czego nagłówkowa liczba nigdy nie daje.

Pytanie dotyczy autoryzacji, a nie skuteczności

Decyzja, którą ta runda powinna wywołać, nie brzmi, czy autonomiczne testowanie działa. Brzmi: kto autoryzował działanie. Tradycyjne zlecenie wytwarza podpisany dokument zasad działania, wskazujący zakres, okno czasowe i człowieka, który zatwierdził jedno i drugie. Agent pracujący w trybie ciągłym wytwarza ustalenia, a zgoda, która go osłania, została udzielona raz, przy zakupie, dla klasy czynności, a nie dla czynu. Procesy kontroli zmian w większości organizacji pisano dla pierwszego modelu i nigdy nie przejrzano pod kątem drugiego.

Ta luka staje się namacalna wobec europejskich oczekiwań dotyczących odporności operacyjnej, gdzie instytucja musi umieć odtworzyć, kto co zrobił w systemie produkcyjnym i z czyjego upoważnienia. Wykonalna odpowiedź nie polega na rezygnacji z narzędzia, co byłoby złą zamianą wobec pokrycia, które ono kupuje. Polega na spisaniu autoryzacji przed wdrożeniem: jakich systemów agent może dotykać, czego nie wolno mu zrobić bez świeżej decyzji człowieka, kto tę decyzję trzyma i jak odtwarza się po pół roku działanie podjęte o trzeciej nad ranem. Horizon3 otworzył biuro w Amsterdamie w czerwcu i wydaje tę rundę na EMEA, więc europejscy nabywcy staną przed tym pytaniem w bieżącym cyklu budżetowym.

Czytaj dalej: Wybór regionu UE nie zatrzyma wezwania  |  Poprawka podpisuje nowe pliki, a nie wasze archiwum