Vad 250 miljoner dollar just köpte

Horizon3 slöt en serie E på 250 miljoner dollar vid en värdering över 2 miljarder, efter att i maj 2025 ha tagit in 100 miljoner vid omkring 650 miljoner. NightDragon och NEA, båda redan ägare, ledde tillsammans. De nya namnen spänner ovanligt brett för en säkerhetsrunda: Acrew, Blue Cloud Ventures, Demeter Group, PSG Equity och Sapphire vid sidan av statsnära singaporianska EDBI och SAIC Ventures, investeringsgrenen hos den amerikanska försvarsleverantören, med Craft Ventures, Qualcomm Ventures, Ridge Ventures och SignalFire tillbaka. Bolaget närmar sig 100 miljoner dollar i årligen återkommande intäkter med 120 procents tillväxt år över år och räknar ungefär 7 200 kunder, från leverantörer av hanterade tjänster till Fortune 10-företag.

Produkten heter NodeZero, som bolaget marknadsför som autonomt penetrationstest och internt beskriver som AI-hackare. Grundarna Snehal Antani och Anthony Pillitiere kommer från Joint Special Operations Command, och erbjudandet bär det arvet: i stället för att anlita en konsultfirma som angriper ett definierat område i två veckor låter man en angripare löpa kontinuerligt mot allt. Horizon3 uppger sig ha lagt omkring 100 miljoner dollar på forskning och utveckling för att bygga automatiserade system avsedda att förbli förutsägbara och styrbara, vilket är en avslöjande sak att behöva säga om sin egen produkt.

Täckningsargumentet är det starka

Matt Hartley, bolagets försäljningschef, gör jämförelsen i ordalag som är svåra att bestrida. Ett traditionellt penetrationstest granskar 2 till 3 procent av ett nät, en enda gång. NodeZero går igenom hela infrastrukturen löpande. Den som någonsin beställt ett årligt test känner igen problemets form: man betalar för ett avgränsat uppdrag, omfattningen förhandlas ned till vad som ryms i budget och tidsfönster, och rapporten beskriver tillståndet hos en del av beståndet under två veckor som tog slut innan slutsatserna skrevs ned.

Att testa löpande mot den verkliga miljön rättar en genuin brist, och det är skälet till att kategorin växer, inte ett marknadsföringspåfund. Hartleys andra påstående är det bärande: plattformen kan testa levande system utan att stanna verksamheten. Hela erbjudandet vilar på den förmågan, för ett verktyg som då och då fäller produktionen är inget verktyg någon låter löpa kontinuerligt, hur god täckningen än är.

310 000 tester, och vem som räknade dem

Beviset för det säkerhetspåståendet är 310 000 säkerhetstester i produktion utan störningar. Det är ett betydande tal och det finns ingen anledning att tro det falskt. Det är också oundvikligen leverantören som räknar sina egna utfall efter sin egen definition av vad som räknas som en störning, och de två sakerna står bredvid varandra utan motsägelse. Ett test som kortvarigt försämrade en tjänst, eller utlöste ett larm som kostade någon en timme att reda ut, kan ligga inom eller utanför den nämnaren beroende på en definition ingen utanför bolaget har sett.

Den praktiska anvisningen är liten och värd att följa. När den siffran når ett styrelseunderlag eller en riskkommitté bör den anlända märkt som leverantörsstatistik och inte som ett oberoende fynd, och inköpssamtalet bör fråga vad bolaget klassar som en störning och om kunder kan se sina egna incidentsiffror. En leverantör som är trygg i sitt tal svarar på båda utan svårighet. Svaret ger er dessutom något att hålla avtalet emot senare, vilket en rubriksiffra aldrig gör.

Frågan är auktorisation, inte verkan

Beslutet den här rundan bör framkalla gäller inte om autonom testning fungerar. Det gäller vem som auktoriserade handlingen. Ett traditionellt uppdrag ger ett undertecknat dokument med insatsregler som namnger en omfattning, ett tidsfönster och en människa som godkände bådadera. En kontinuerligt körande agent ger fynd, och godkännandet som täcker den gavs en gång, vid inköpet, för en kategori av verksamhet snarare än för en handling. De flesta organisationers ändringsprocesser skrevs för den första modellen och har aldrig setts över för den andra.

Det glappet blir konkret under europeiska förväntningar på operativ motståndskraft, där ett institut ska kunna rekonstruera vem som gjorde vad i ett produktionssystem och under vems befogenhet. Det användbara svaret är inte att undvika verktyget, vilket vore ett dåligt byte mot den täckning det köper. Det är att skriva ned auktorisationen före driftsättning: vilka system agenten får röra, vad den inte får göra utan ett nytt mänskligt beslut, vem som håller det beslutet, och hur en handling utförd klockan tre på natten rekonstrueras ett halvår senare. Horizon3 öppnade sitt kontor i Amsterdam i juni och lägger den här rundan på EMEA, så europeiska köpare möter den frågan inom den pågående budgetcykeln.

Läs vidare: En EU-region stoppar inte ett föreläggande  |  Rättningen signerar nya filer, inte ert arkiv