Fleuret AI dobio 4 mil. € — pentest prelazi iz snimke u stalnu provjeru

Pariški startup Fleuret AI objavio je 5. listopada 2026. zatvaranje pre-seed runde od 4 milijuna eura koju je predvodio RAISE Ventures uz Auriga Cyber Ventures, Wind Capital i Better Angle. Među poslovnim anđelima su Eric Fourrier iz GitGuardiana i Georges Lotigier, suosnivač Vadea. Novac je namijenjen zapošljavanju stručnjaka za umjetnu inteligenciju, razvoj softvera i ofenzivnu sigurnost te razvoju platforme za češće penetracijsko testiranje.

Startup.euov pregled runde opisuje agente Emile i Champollion: mapiraju aplikacije, API-je i infrastrukturu, traže ranjivosti te pokušavaju dokazati da se one mogu iskoristiti. Fleuret želi takvu provjeru povezati s popravkom i novim testom nakon promjene sustava. Potpuna automatizacija završnog dijela tog ciklusa još je razvojni cilj, a ne neovisno potvrđen rezultat proizvoda.

Kako Fleuret povezuje nalaz i dokaz napada

Vrijednost predloženog modela počinje razlikom između sumnje na propust i dokaza da se on može iskoristiti. U objavi RAISE Venturesa suosnivač i direktor Yanis Grigy kaže: „Nous ne voulons pas simplement automatiser le pentest tel qu’il existe aujourd’hui.” Platforma je zamišljena kroz pet koraka: mapiranje izloženih sustava, pronalaženje slabosti, dokaz iskoristivosti, pomoć pri popravku i provjeru je li popravak uspio.

Emile i Champollion istražuju okruženje te pokušavaju iskoristiti otkrivene slabosti. Nalaz bi trebao sadržavati dokaz kompromitacije, pa sigurnosni tim vidi konkretan put kojim je test došao do neželjenog pristupa. Propust s ponovljivim dokazom daje čvršću osnovu za tehnički prioritet od same procjene skenera, koja može upozoriti na moguću ranjivost bez potvrde da je napad izvediv.

Dokaz vrijedi unutar dopuštenog opsega i uvjeta testiranja. Ako je agent uspio pristupiti jednom resursu, iz toga se samo po sebi ne može zaključiti kolika je ukupna poslovna šteta niti jesu li jednako izloženi drugi dijelovi sustava. Takvu procjenu moraju povezati ljudi koji poznaju podatke, korisničke ovlasti i način na koji se aplikacija stvarno koristi.

Zašto stalna provjera mijenja vrijednost pentesta

Povremeni penetracijski test snima dogovoreni sustav u određenom razdoblju. Kad se nakon izvješća objavi nova verzija aplikacije, promijeni API ili konfiguracija, raniji nalaz više ne opisuje nužno istu površinu napada. Fleuretova zamisao zato obuhvaća novu provjeru kad promjena otvori novi put napada ili promijeni već poznati.

U zamišljenom radnom toku nalaz najprije dolazi s dokazom iskoristivosti, zatim razvojni tim mijenja kod ili postavke, a provjera se vraća na isti propust. Uvjetni primjer: ako promjena pravila pristupa zatvori ranije dokazani put do tuđeg zapisa, ponovni test treba pokušati isti zahtjev pod istim relevantnim ovlastima. Tek rezultat te provjere može pokazati je li konkretna ranjivost uklonjena; oznaka „riješeno” u evidenciji zadataka sama to ne pokazuje.

Platforma je opisana kao sustav koji prati površinu napada i može pokrenuti nove testove nakon promjena. Određivanje prioriteta prema iskoristivosti, povezivanje s alatima razvojnih timova, automatski ponovni test i izvješća o potvrđenom popravku predstavljeni su kao alati u razvoju. Ponavljanje sigurnosnih provjera zato treba razlikovati od potpuno dovršenog automatiziranog ciklusa od nalaza do potvrđenog popravka.

Kapital ide u proizvod koji već ima kupce

Osnivači su Yanis Grigy i tehnički direktor Augustin Ponsin. Njih dvojica ranije su pokrenula tvrtku za penetracijsko testiranje; sada taj posao pokušavaju pretvoriti u softverski proces koji se može češće ponavljati. Među imenovanim kupcima su Brevo, Stoïk i Yogosha, ali objava runde ne iznosi rezultate njihovih testova niti kaže koje dijelove najavljenog ciklusa svaki od njih koristi.

Runda financira i zapošljavanje i daljnji razvoj proizvoda. Uz vodećeg ulagača RAISE Ventures sudjeluju fondovi i poslovni anđeli povezani s europskim tvrtkama za kibernetičku sigurnost. Njihovo sudjelovanje govori o sastavu financiranja; učinkovitost agenata u različitim korisničkim okruženjima traži zasebne podatke o otkrivenim propustima, popravcima i ponovnim provjerama, koji nisu objavljeni uz vijest o ulaganju.

Europski okvir i granica automatizacije

Europsko tržište važan je dio plana, a rad agenata opisan je kao izvođenje iz Europe na europskoj infrastrukturi. U tom se okviru spominje i direktiva NIS2, relevantna za upravljanje kibernetičkim rizikom obuhvaćenih organizacija. Hrvatskom kupcu pritom je bitno gdje se obrađuju osjetljivi nalazi i može li rekonstruirati što je točno ispitano, dok usklađenost s propisima ovisi o obvezama i postupcima same organizacije.

Automatizirani agent može opetovano ispitivati poznati opseg i priložiti dokaz za put napada koji uspije izvesti. Ručni stručnjak i dalje određuje sigurne granice zahvata, prepoznaje neobičnu poslovnu logiku te procjenjuje što nalaz znači za korisnike i poslovanje. Za organizacije koje moraju dokumentirati sigurnosne provjere najvažniji će biti pouzdan trag od nalaza preko popravka do ponovnog testa, osobito nakon dovršetka najavljenih integracija i izvješća o uklanjanju propusta.

Pročitajte i:

• Armadin dobio 255,5 mil. dolara — kapital stiže prije dokaza prihoda
• Googleov PageBreak našao je 500+ XSS propusta, uz provjeru svakog napada
• Cloudflareov Web Search API daje agentima tri tražilice, ali ne provjerava odgovor