O teste de intrusão mudou-se para a produção

O que 250 milhões de dólares acabaram de comprar

A Horizon3 fechou uma série E de 250 milhões de dólares com uma avaliação acima de 2 mil milhões, depois de ter captado 100 milhões a cerca de 650 milhões em maio de 2025. A NightDragon e a NEA, ambas já acionistas, colideraram. Os nomes novos abrangem um leque invulgar para uma ronda de segurança: Acrew, Blue Cloud Ventures, Demeter Group, PSG Equity e Sapphire ao lado da singapurense EDBI, ligada ao Estado, e da SAIC Ventures, braço de investimento do contratante de defesa norte-americano, com a Craft Ventures, a Qualcomm Ventures, a Ridge Ventures e a SignalFire a repetir. A empresa aproxima-se de 100 milhões de dólares de receita recorrente anual, com crescimento de 120 por cento em termos homólogos, e conta cerca de 7.200 clientes, de prestadores de serviços geridos a empresas do Fortune 10.

O produto é o NodeZero, que a empresa comercializa como teste de intrusão autónomo e descreve internamente como piratas de inteligência artificial. Os fundadores, Snehal Antani e Anthony Pillitiere, vêm do Joint Special Operations Command, e a proposta traz essa ascendência: em vez de contratar uma consultora para atacar um perímetro definido durante duas semanas, deixa-se um atacante correr em contínuo contra tudo. A Horizon3 afirma ter gasto cerca de 100 milhões de dólares em investigação e desenvolvimento para construir sistemas automatizados concebidos para permanecerem previsíveis e controláveis, o que é revelador enquanto declaração sobre o próprio produto.

O argumento da cobertura é o sólido

Matt Hartley, diretor comercial da empresa, faz a comparação em termos difíceis de contestar. Um teste de intrusão convencional examina 2 a 3 por cento de uma rede, uma só vez. O NodeZero percorre toda a infraestrutura em contínuo. Quem alguma vez encomendou uma auditoria anual conhece a forma do problema: paga-se por um trabalho delimitado, o âmbito é negociado para baixo até ao que cabe no orçamento e na janela, e o relatório descreve o estado de uma parte do parque durante uma quinzena que terminou antes de as conclusões serem escritas.

Testar em contínuo contra o ambiente real corrige um defeito genuíno, e é essa a razão do crescimento da categoria, não uma invenção de marketing. A segunda afirmação de Hartley é a que sustenta tudo: a plataforma consegue testar sistemas vivos sem parar as operações. É nessa capacidade que assenta toda a proposta, porque uma ferramenta que de vez em quando deita a produção abaixo não é uma ferramenta que alguém deixe correr em contínuo, por melhor que seja a cobertura.

310 mil testes, e quem os contou

A prova apresentada para essa garantia de segurança são 310 mil testes de segurança em produção sem interrupções. É um número considerável e não há razão para o julgar falso. É também, inevitavelmente, o fornecedor a contar os seus próprios resultados segundo a sua própria definição do que conta como interrupção, e as duas coisas coexistem sem contradição. Um teste que tivesse degradado brevemente um serviço, ou disparado um alerta cuja limpeza custou uma hora a alguém, pode estar dentro ou fora desse denominador consoante uma definição que ninguém viu fora da empresa.

A instrução prática é pequena e vale a pena. Quando esse número chegar a um documento de administração ou a uma comissão de risco, deve chegar rotulado como estatística de fornecedor e não como conclusão independente, e a conversa de compra deve perguntar o que a empresa classifica como interrupção e se os clientes conseguem ver as suas próprias contagens de incidentes. Um fornecedor confiante no número responderá a ambas sem dificuldade. A resposta deixa-lhe ainda algo com que confrontar o contrato mais tarde, coisa que um número de manchete nunca dá.

A questão é a autorização, não a eficácia

A decisão que esta ronda deveria suscitar não é se o teste autónomo funciona. É quem autorizou a ação. Um trabalho tradicional produz um documento assinado de regras de empenhamento que nomeia um âmbito, uma janela e uma pessoa que aprovou ambos. Um agente em execução contínua produz conclusões, e a aprovação que o cobre foi dada uma vez, na compra, para uma classe de atividade e não para um ato. Os processos de controlo de alterações da maioria das organizações foram escritos para o primeiro modelo e nunca revistos para o segundo.

Esse desfasamento torna-se concreto perante as expectativas europeias de resiliência operacional, em que uma instituição tem de conseguir reconstituir quem fez o quê num sistema em produção e sob que autoridade. A resposta praticável não é dispensar a ferramenta, o que seria uma má troca face à cobertura que compra. É escrever a autorização antes da entrada em serviço: que sistemas o agente pode tocar, o que não pode fazer sem uma nova decisão humana, quem detém essa decisão e como uma ação praticada às três da manhã se reconstitui seis meses depois. A Horizon3 abriu o escritório de Amesterdão em junho e gasta esta ronda na região EMEA, pelo que os compradores europeus enfrentarão essa pergunta dentro do ciclo orçamental em curso.

Leia a seguir: Escolher uma região da UE não trava uma intimação  |  A correção assina ficheiros novos, não o seu arquivo