AIR startet mit 50 Millionen Dollar und Agenten-Firewall

AIR ist am 1. September 2026 aus dem Stealth-Modus getreten und hat eine Sicherheitsplattform für KI-Agenten vorgestellt. Die Ankündigung des Unternehmens beschreibt das Produkt als vorgeschaltete Firewall, die nicht vertrauenswürdige Inhalte abfangen soll, bevor sie in den Kontext eines Agenten gelangen.

Zum Marktstart machte AIR zugleich eine Finanzierung über insgesamt 50 Millionen Dollar aus zwei Seed-Runden öffentlich. TechCrunchs Finanzierungsbericht beziffert die Runden auf 10 und 40 Millionen Dollar und gibt die Aussage von CEO Yair Saban wieder, AIR filtere derzeit rund 27 Prozent der öffentlich gefundenen Skills und Add-ons aus.

Zwei Seed-Runden innerhalb weniger Wochen

AIR Security erweitert nach zwei Seed-Runden Forschung und Vertrieb für den Schutz von KI-Agenten.

Sequoia führte die erste Runde über 10 Millionen Dollar an, Greenoaks die zweite über 40 Millionen Dollar. Beteiligt waren außerdem Swish, Netz und mehrere Privatinvestoren, darunter Cognition-Präsident Zach Frankel, Wiz-Mitgründer Yinon Costica, Eon-Mitgründer Ofir Ehrlich, die frühere US-Sicherheitsberaterin Anne Neuberger und Clay-Mitgründer Varun Anand.

AIR wurde von CEO Yair Saban und CTO Niv Hoffman gegründet. Das Kapital soll vor allem in zusätzliche Sicherheitsforscher sowie in den Vertrieb in den USA und Europa fließen. Beim Marktstart beschäftigte das Unternehmen rund 40 Menschen und erklärte, mehr als 20 Kunden zu bedienen, darunter ungefähr ein Viertel Großunternehmen.

Diese Kunden- und Beschäftigtenzahlen sind Angaben des Gründers und keine veröffentlichten, unabhängig geprüften Geschäftskennzahlen. Der Finanzierungsumfang wird dagegen auch von einer zweiten aktuellen Berichterstattung bestätigt; eine Bewertung des Unternehmens wurde nicht öffentlich genannt.

Die Firewall prüft Kontext statt nur Berechtigungen

AIR Security erfasst KI-Agenten und entzieht einer nicht freigegebenen Komponente den Zugriff in abhängigen Arbeitsabläufen.

AIR setzt vor dem Moment an, in dem externe Inhalte das Verhalten eines Agenten beeinflussen können. Dazu zählen nicht nur ausführbarer Code, sondern auch Anweisungen aus Skills, Webseiten, Dateien, MCP-Servern oder internen Datenquellen. Der Ansatz ergänzt damit klassische Zugriffskontrollen: Ein Agent kann eine erlaubte Aktion ausführen und dennoch durch manipulierten Kontext fehlgeleitet werden.

Die Plattform soll zunächst aktive Agenten in Endgeräte-, Cloud- und SaaS-Umgebungen erfassen. Eine Kontrollschicht analysiert anschließend Vorgänge wie das Laden eines Skills oder den Abruf von Webinhalten und gleicht verwendete Werkzeuge mit einer gepflegten Freigabeliste ab. Hinzu kommt ein Marktplatz mit vorab geprüften Erweiterungen.

Nach dem CTech-Bericht über den Marktstart bewertet AIR Skills, Plugins, MCP-Server und andere Add-ons vor und nach ihrer Bereitstellung; wird eine Komponente später als schädlich, verwundbar oder nicht genehmigt eingestuft, sollen Sicherheitsteams abhängige Agenten und Arbeitsabläufe finden und die Nutzung organisationsweit widerrufen können.

Warum die erneute Prüfung entscheidend ist

Ein zuvor freigegebener Agenten-Skill wird nach einer Änderung seiner Abhängigkeit erneut geprüft und blockiert.

Eine einmalige Freigabe bildet nur den Zustand zum Prüfzeitpunkt ab. Ein zunächst unauffälliger Skill kann später ein verändertes Paket laden, auf eine übernommene Quelle verweisen oder nach der Kompromittierung eines Entwicklerkontos anderen Inhalt ausliefern. Auch eine unveränderte Erweiterung kann riskant werden, wenn sich eine indirekte Abhängigkeit ändert.

AIRs Kernversprechen ist deshalb die fortlaufende Neubewertung der Lieferkette. Die Prüfung soll Veränderungen erkennen, bevor neue Inhalte in den Agentenkontext gelangen; bei konkreten Aktionen kommt eine Laufzeitkontrolle hinzu. Das sind zwei unterschiedliche Kontrollpunkte: Die vorgelagerte Prüfung bewertet eine Komponente und ihre Quellen, während die Laufzeitkontrolle eine tatsächliche Interaktion beobachtet oder blockiert.

Ob diese Kombination unter hoher Last, bei verschachtelten Abhängigkeiten und gegenüber gezielt angepassten Angriffen zuverlässig funktioniert, lässt sich aus den veröffentlichten Unterlagen nicht bestimmen. Es fehlen öffentlich dokumentierte Werte zu Erkennungsraten, Fehlalarmen, Prüfgeschwindigkeit und der Abdeckung verschiedener Agentenplattformen.

Was die Quote von 27 Prozent wirklich aussagt

Die Zahl aus dem Titel ist keine Fehlerquote für sämtliche Erweiterungen von KI-Agenten. Sie bezieht sich auf die Skills und Add-ons, die AIR nach Aussage des Gründers öffentlich im Internet findet und anhand der eigenen Kriterien herausfiltert. Damit beschreibt sie das Ergebnis eines anbietereigenen Auswahlverfahrens, nicht den Anteil nachweislich bösartiger Komponenten im Gesamtmarkt.

„Aussortiert“ kann mehrere Gründe umfassen: schädliches Verhalten, eine verwundbare oder nicht vertrauenswürdige Abhängigkeit, übermäßige Berechtigungen oder das Fehlen einer organisatorischen Freigabe. AIR hat zu der Quote bislang keine vollständige Stichprobe, keinen Prüfzeitraum, keine Aufteilung der Ausschlussgründe und keine Fehlalarmrate veröffentlicht. Ohne diese Angaben ist weder ein Vergleich mit Wettbewerbern noch eine Übertragung auf den internen Bestand eines Unternehmens belastbar.

Auch weitere Forschungszahlen stammen von AIR selbst. Das Unternehmen nennt mehr als 17.800 öffentliche Add-ons mit zusammen rund 6,7 Millionen Installationen, die Anweisungen aus nicht vertrauenswürdigen externen Quellen bezogen hätten. Diese Werte verdeutlichen die behauptete Größenordnung der Lieferkette, messen aber nicht die Leistung der AIR-Plattform.

Ein besetzter Markt und ein offener Leistungsnachweis

AIR tritt gegen Anbieter an, die Teile desselben Problems adressieren. Noma Security bietet Erkennung, Zugriffskontrollen und Laufzeitüberwachung für Agenten, MCP-Server und Skills an; Zenity konzentriert sich auf Sicherheit und Governance. Astrix Security deckt Identitäten und Zugriffe ab, Operant AI unter anderem Agentenschutz und ein MCP-Gateway.

AIR versucht sich durch die kontinuierliche Neubewertung öffentlich verfügbarer Erweiterungen und durch eine herstellerübergreifende Kontrollschicht abzugrenzen. Ob daraus ein dauerhafter Vorteil entsteht, hängt von der Breite und Aktualität der Prüfinfrastruktur sowie davon ab, wie zuverlässig Änderungen an direkten und indirekten Abhängigkeiten erkannt werden.

Bestätigt sind damit der Marktstart am 1. September 2026, insgesamt 50 Millionen Dollar aus zwei Seed-Runden und der Aufbau einer Kontrollplattform für die Lieferkette von KI-Agenten. Die 27-Prozent-Quote bleibt eine eng begrenzte Unternehmensangabe. Für eine belastbare Beurteilung fehlen vor allem die Testgrundlage, Fehlalarmdaten und unabhängige Ergebnisse zur versprochenen kontinuierlichen Kontrolle.

Lesen Sie auch:

AIR erhält 50 Millionen Dollar – 27 Prozent der Agenten-Add-ons fallen durch