Fleuret keräsi 4 miljoonaa euroa – pentestaus muuttuu jatkuvaksi

Pariisilaisen Fleuret AI:n 5. lokakuuta 2026 päivätty rahoitustiedote kertoo yhtiön sulkeneen 4 miljoonan euron pre-seed-kierroksen, jota johti RAISE Ventures. Mukana olivat myös Auriga Cyber Ventures, Wind Capital, Better Angle ja kyberturvallisuusalan yksityissijoittajia. Rahoituksella palkataan osaajia tekoälyyn, ohjelmistokehitykseen ja hyökkäävään tietoturvaan sekä kehitetään alustaa, jossa Emile- ja Champollion-agentit etsivät haavoittuvuuksia ja yrittävät osoittaa, miten niitä voi hyödyntää. Yhtiö nimeää asiakkaikseen Brevon, Stoïkin ja Yogoshan, mutta ei julkaise tiedotteessa riippumattomasti mitattuja tuloksia agenttien tehokkuudesta.

Télécom Paris’n 5. lokakuuta 2026 julkaistussa haastattelussa Fleuret AI:n perustaja ja toimitusjohtaja Yanis Grigy kuvaa 4 miljoonan euron kierroksen tavoitteeksi ”une vraie posture de sécurité continue” eli jatkuvan tietoturvatyön ja kertoo tuotteen olevan jo käytössä asiakkaiden todellisissa testauskohteissa. Nykyinen testaus kattaa verkkosovelluksia, rajapintoja ja ulkoista infrastruktuuria. Pilviympäristöt, Active Directory ja mobiilisovellukset kuuluvat suunniteltuun laajennukseen. Rahoitusta on määrä käyttää myös korjausten seurantaan, automaattiseen uusintatestaukseen ja myyntiin Euroopassa.

Mitä Fleuretin agentit todentavat?

Emile ja Champollion kartoittavat testattavaa ympäristöä, tutkivat sovelluksia ja rajapintoja sekä yrittävät käyttää löytämiään heikkouksia hallitusti. Tavoitteena on liittää löydökseen toistettava näyttö hyödyntämisreitistä: esimerkiksi siitä, millä pyynnöllä ja käyttöoikeudella järjestelmä antoi pääsyn tietoon, johon pääsyä ei pitäisi olla. Tämä on ostajalle konkreettisempaa kuin pelkkä ilmoitus mahdollisesta haavoittuvuudesta, koska tekninen tiimi saa rajatun ongelman tutkittavakseen.

Onnistunut hyödyntämisyritys osoittaa kuitenkin juuri testatun reitin toimineen kyseisillä tunnuksilla, asetuksilla ja testaushetkellä. Se ei yksin kerro kaikkien sovelluksen osien turvallisuudesta eikä haavoittuvuuden liiketoimintavaikutuksesta. Ihmisen on siksi tulkittava löydöksen merkitys omassa järjestelmässään, päätettävä korjauksen tavasta ja varmistettava, ettei muutos riko tarkoitettua käyttöä. Agentin tuottama näyttö auttaa tässä työssä, mutta päätös hyväksyttävästä korjauksesta jää asiakkaalle.

Korjaus tekee testistä jatkuvan prosessin

Kertaluonteinen tunkeutumistesti kuvaa sovellusta toimeksiannon aikana. Seuraava julkaisu voi lisätä rajapinnan, muuttaa käyttöoikeuksia tai palauttaa aiemmin suljetun hyödyntämisreitin. Fleuretin kuvaamassa jatkuvassa mallissa hyökkäyspinnan seuranta voi johtaa uuteen testiin järjestelmän muuttuessa. Korjauksen jälkeinen automaattinen uusintatestaus on puolestaan rahoituksella kehitettävä osa: sen tarkoitus on kokeilla uudelleen, toimiiko alkuperäinen hyödyntämisyritys muutoksen jälkeen.

Näiden vaiheiden ero ratkaisee myös sen, mitä löydöksen sulkeminen tarkoittaa. Korjaustehtävän merkitseminen valmiiksi kertoo työn etenemisestä, kun taas uusintatesti voi antaa näyttöä siitä, ettei sama hyödyntämisreitti enää toimi testatuissa oloissa. Jos korjaus muuttaa sovelluksen toimintaa laajemmin, alkuperäisen löydöksen tarkistus ei vielä kata kaikkia muutoksen mahdollisesti synnyttämiä heikkouksia. Jatkuvan palvelun arvo riippuu siksi sekä uusien muutosten testaamisesta että siitä, että vanhojen löydösten tila pysyy ymmärrettävänä.

Kertatestin hinta ja jatkuvan sopimuksen rajat

Fleuretin julkinen hinnasto ilmoittaa yksittäisen verkkosovelluksen tunkeutumistestin hinnaksi 4 000 euroa ja kertoo sen sisältävän korjausten jälkeisen uusintatestin; Enterprise-sopimus hinnoitellaan tarjouksella sovellusta ja vuotta kohti. Yksittäiseen testiin kuuluvat myös sovelluksen rajapinnat ja siihen liittyvä ulkoinen infrastruktuuri. Sivulla kuvataan käyttäjän käynnistämä uusintatesti, joten se on syytä erottaa suunnitellusta automaatiosta, joka seuraisi korjausta ja käynnistäisi tarkistuksen ilman uutta erillistä päätöstä.

Kertatestissä ostaja maksaa määritellyn sovelluksen tutkimisesta ja siihen kuuluvasta jälkitarkistuksesta. Jatkuvan sopimuksen taloudellinen kysymys on laajempi: kuinka monta sovellusta sopimus kattaa, millainen testauskiintiö kuhunkin kuuluu ja miten usein muutokset edellyttävät uutta ajoa. Enterprise-mallissa testejä voi käynnistää tarpeen mukaan sovelluskohtaisen kiintiön rajoissa. Pelkkä vuosihinta ei siksi kerro testauksen todellista laajuutta ilman tietoa kohteista, käyttöoikeuksista ja siitä, miten löydökset siirtyvät asiakkaan korjaustyöhön.

Myös vastuut muuttuvat, kun raportin sijasta käsitellään elävää löydösjonoa. Testaaja tuottaa näytön ja voi tarkistaa korjauksen, mutta asiakkaan tiimi omistaa sovelluksen muutokset ja niiden julkaisemisen. Toistuva testaus lisää hyötyä vain, jos löydökselle on vastuuhenkilö, alkuperäinen hyödyntämisreitti säilyy toistettavana ja uusintatestin tulos liittyy samaan korjaukseen. Muuten testejä voi kertyä ilman selvää tietoa siitä, mikä riski on todella poistunut.

Euroopan-laajennus nojaa myös korjausketjuun

Fleuret tähtää eurooppalaisiin asiakkaisiin ja käyttää eurooppalaista infrastruktuuria. Sen suunnitelmassa tekniset löydökset yhdistetään asiakkaan käyttämiin työnhallintavälineisiin sekä NIS2-, DORA- ja ISO 27001 -viitekehyksiin. Löydöksen luokittelu voi helpottaa teknisen näytön kokoamista, mutta se ei yksin ratkaise, täyttääkö organisaatio sitä koskevat velvoitteet. Vaatimustenmukaisuuden arviointi koskee myös järjestelmien rajausta, päätöksiä ja näyttöä, joita yksittäinen hyödyntämistesti ei tuota.

Rahoituksen seuraava näkyvä vaikutus on siinä, miten korjausten seuranta ja automaattinen uusintatestaus toimivat asiakkaiden käytössä. Jo tarjolla oleva kertatesti antaa löydökselle jälkitarkistuksen; jatkuva malli edellyttää lisäksi, että muuttuva kohde havaitaan, testi voidaan uusia oikeassa rajauksessa ja korjauksen tulos kirjautuu samaan työketjuun. Silloin Euroopan markkinoille vietävä tuote voidaan arvioida toistuvan testauksen toteutuneen kattavuuden, ei pelkän nopeuslupauksen, perusteella.

Lue myös:

• Steady Energy tuli pörssiin – 40 miljoonan euron laina vauhdittaa reaktoria
• Enkelisijoittaja vai VC-rahasto? Ensimmäinen miljoona muuttaa neuvottelun
• First North vai päälista? Kevyempi raportointi voi maksaa silti miljoonan