Pluto با ۴۲ میلیون دلار از اختفا بیرون آمد؛ ریسک اصلی از ابزارهای بی‌کد است

Pluto Security در ۱۳ اکتبر ۲۰۲۶ با مجموع ۴۲ میلیون دلار سرمایه از حالت اختفا بیرون آمد و محصول امنیت هوش مصنوعی خود را به بازار سازمانی معرفی کرد؛ گزارش SiliconANGLE می‌گوید پلتفرم شرکت برای نقشه‌برداری از عامل‌ها در دستگاه‌های کارکنان، زیرساخت ابری و برنامه‌های SaaS طراحی شده است. مشتری اصلی آن تیم امنیتی است که باید بداند کارکنان چه ابزارهایی به کار می‌برند، چه برنامه‌هایی با هوش مصنوعی می‌سازند و آن برنامه‌ها به کدام سامانه‌های سازمانی دسترسی پیدا می‌کنند.

دور تازهٔ سری A حدود ۳۴ میلیون دلار گزارش شده است، اما همهٔ سرمایهٔ شرکت را نباید به همین دور نسبت داد. شاهار بهات، مدیرعامل و هم‌بنیان‌گذار Pluto، در گفت‌وگو با TechCrunch گفته حدود ۶۰ درصد ریسک‌هایی که شرکت در محیط مشتریانش شناسایی می‌کند، به ابزارهای ساخته‌شده با کمک هوش مصنوعی توسط افراد غیربرنامه‌نویس مربوط است و تغییر کانون نظارت را چنین خلاصه کرده است: «We’re moving from user behavior to agent behavior». این درصد برآورد Pluto از مشتریان خودش است، نه اندازه‌گیری ریسک در همهٔ سازمان‌ها.

دور تازه با کل سرمایه چه تفاوتی دارد؟

رقم اعلام‌شده برای تأمین مالی Pluto به سرمایهٔ جذب‌شده در چند مرحله اشاره دارد، در حالی که دور سری A فقط سرمایه‌گذاری تازه است. Jump Capital، سرمایه‌گذار راهبر این دور، در یادداشت سرمایه‌گذاری خود مبلغ سری A را ۳۳ میلیون دلار نوشته است. این رقم با مبلغ حدود ۳۴ میلیون دلاری در گزارش‌های خبری تفاوت دارد؛ توضیح منتشرشده‌ای دربارهٔ علت اختلاف در دست نیست. بنابراین رقم دور تازه را باید تقریبی خواند و از مجموع سرمایهٔ اعلام‌شده جدا نگه داشت.

مرحلهٔ شرکت نیز از همین تمایز روشن می‌شود: Pluto پس از جذب سرمایهٔ اولیه، اکنون دور سری A را پشت سر گذاشته و حضور عمومی خود را آغاز کرده است. سرمایه‌گذار راهبر می‌گوید محصول برای تیم‌های امنیت سراسر سازمان عرضه می‌شود، چون برنامه‌سازی با ابزارهای هوش مصنوعی به کارکنان بیرون از تیم توسعه هم رسیده است. این تعریف مشتری هدف، از مسئله‌ای مشخص می‌آید: مسئولیت دسترسی به داده‌ها با سازمان می‌ماند، حتی وقتی سازندهٔ برنامه عضو تیم فنی نیست.

چرا ساخت آسان برنامه به ریسک امنیتی تبدیل می‌شود؟

ابزارهای بی‌کد و ابزارهایی که با فرمان متنی کد تولید می‌کنند، فاصلهٔ میان یک نیاز کاری و ساخت برنامه را کم کرده‌اند. کارمندی که برای پیگیری مشتریان یا خودکارسازی یک فرایند داخلی برنامه می‌سازد، ممکن است آن را به داده‌ها و سرویس‌هایی وصل کند که پیش‌تر فقط نرم‌افزارهای تأییدشدهٔ سازمان به آن‌ها دسترسی داشتند. سه پرسش امنیتی از همین‌جا شکل می‌گیرد: برنامه چه داده‌ای می‌خواند، با کدام مجوز کار می‌کند و خروجی یا اقدامش در کجا قابل دسترسی است.

بهات نمونه‌ای از برنامه‌ای ساخته‌شده در بخش مالی یک شرکت بزرگ را شرح داده است که برای مدیریت اطلاعات مشتری و ریزش آن‌ها به کار می‌رفت، اما از اینترنت نیز در دسترس مانده بود. مسئله در این نمونه، صرفاً شیوهٔ ساخت برنامه نیست؛ اتصال یک ابزار داخلی به اطلاعات مشتری و بازماندن مسیر دسترسی بیرونی، مرز امنیتی سازمان را تغییر می‌دهد. جزئیات منتشرشده دامنهٔ دسترسی یا وقوع سوءاستفاده از آن برنامه را مشخص نمی‌کند.

«بی‌کد» در این بحث نامی کوتاه برای آسان‌تر شدن ساخت ابزار به دست کارکنان غیرفنی است، نه ادعایی مبنی بر اینکه هیچ کدی در برنامه وجود ندارد. بعضی از این ابزارها کدی را اجرا می‌کنند که هوش مصنوعی تولید کرده است. برای تیم امنیت، نام سازنده یا روش تولید کد به‌تنهایی تعیین‌کننده نیست؛ رفتار برنامه و مجوزهایی که هنگام اجرا به کار می‌گیرد، مسیر واقعی ریسک را نشان می‌دهد.

Pluto سطح حمله را چگونه نقشه‌برداری می‌کند؟

ادعای محصول Pluto این است که تیم امنیت بتواند فعالیت عامل هوش مصنوعی را در محیط‌های متصل به هم ببیند. عامل ممکن است روی دستگاه کارمند اجرا شود، از یک سرویس ابری کمک بگیرد و در برنامهٔ سازمانی داده بخواند یا اقدامی انجام دهد. فهرست‌کردن نام ابزارهای مورد استفاده، به‌تنهایی نشان نمی‌دهد کدام اتصال و کدام مجوز به عامل امکان آن اقدام را داده است.

در کنار خود عامل، اجزایی مانند افزونه‌ها، مهارت‌ها، اتصال‌دهنده‌ها و سرورهای MCP نیز مهم‌اند. این اجزا تعیین می‌کنند عامل به چه ابزارها یا اطلاعاتی برسد و چه عملی انجام دهد. از دید تیم امنیت، کشف یک عامل آغاز کار است؛ برای فهم خطر باید رابطهٔ میان کاربر، عامل، جزء متصل و دادهٔ مقصد نیز روشن شود.

Pluto برای گردآوری این تصویر از اتصال به ابزارهای امنیت نقطهٔ پایانی و مدیریت دستگاه و نیز از حسگرهای خود استفاده می‌کند. شرکت می‌گوید داده‌هایی مانند فرایندهای در حال اجرا، فرمان‌ها و مجوزها را در ارزیابی رفتار عامل به کار می‌گیرد. میزان دیدی که این روش در یک سازمان فراهم می‌کند، به محیط آن سازمان و ابزارهای متصل به پلتفرم وابسته است.

کنترل رفتار عامل به چه معناست؟

Pluto محصولش را فقط برای یافتن ابزارهای ناشناخته عرضه نمی‌کند؛ مدعی است می‌تواند هنگام اجرای عامل نیز بر اساس سیاست امنیتی مداخله کند. اگر عامل بخواهد عملی فراتر از مجوز مورد نظر کاربر انجام دهد، سامانه بنا بر توضیح شرکت می‌تواند آن عمل را متوقف کند یا از عامل بخواهد پیش از ادامه تأیید بگیرد. ارزش این قابلیت برای خریدار سازمانی به دقت تشخیص بستگی دارد: توقف دسترسی خطرناک باید از کار مجاز کارکنان تفکیک شود.

شرکت خدمت رایگان Plutonium را نیز برای بررسی ریسک اجزای عمومی، از جمله افزونه‌ها و اتصال‌دهنده‌های عامل‌ها، ارائه می‌کند. این خدمت به مرحلهٔ انتخاب اجزای مورد استفاده مربوط است؛ کنترل رفتار عامل در محیط داخلی مشتری مسئلهٔ دیگری است. کنار هم قرار گرفتن این دو بخش نشان می‌دهد چرا ارزیابی امنیت عامل فقط به مدل هوش مصنوعی محدود نمی‌شود: ابزارهایی که عامل فرا می‌خواند می‌توانند دامنهٔ عمل آن را گسترش دهند.

مشتریان سازمانی از Pluto چه می‌خواهند؟

خریدار مستقیم Pluto مدیر امنیت و تیمی است که باید استفاده از هوش مصنوعی را در سراسر سازمان اداره کند. کارکنان بخش‌های مالی، بازاریابی یا حقوقی ممکن است برای کار خود برنامه و فرایند بسازند؛ تیم امنیت باید بتواند این فعالیت‌ها را در کنار نرم‌افزارهای رسمی ببیند، زیرا هر دو ممکن است از دسترسی‌های سازمانی استفاده کنند. به همین دلیل پرسش خریدار فراتر از این است که کدام ابزار نصب شده: ابزار ساخته‌شده چه کاری می‌تواند انجام دهد و چه کسی حدود آن را تعیین می‌کند؟

نام‌هایی مانند Oscar Health، Workato، Sixt و AlphaSense در میان مشتریان معرفی‌شدهٔ Pluto قرار دارند. نام مشتریان نشان می‌دهد محصول وارد فروش سازمانی شده است، اما نتیجهٔ استقرار در هر محیط از روی این فهرست معلوم نمی‌شود. آزمون مهم برای شرکت پس از معرفی عمومی، نشان‌دادن میزان پوشش و دقت مداخله در محیط‌های متفاوت مشتریان خواهد بود؛ همان‌جایی که یک برنامهٔ ساخته‌شده بیرون از تیم فنی می‌تواند به داده‌ها و مجوزهای واقعی سازمان برسد.

بیشتر بخوانید:

• Netsec بیش از ۱۰ میلیون دلار گرفت؛ قیمت‌گذاری به‌ازای هر کارمند است
• Crisp یا Intercom؛ رشد تیم مدل صورتحساب را به مسئلهٔ اصلی تبدیل می‌کند
• Arena با ۲۰۰ میلیون دلار، ارزش‌گذاری‌اش را در ۱۰ ماه دو برابر کرد