Startup bảo mật AI Cymphony gọi vốn 30 triệu USD, Sequoia tiếp tục rót tiền vào AI Agent

Khi các AI agent có quyền truy cập vào cùng các dữ liệu và hệ thống doanh nghiệp nhạy cảm như nhân viên con người nhưng lại hoạt động với tốc độ máy móc, các doanh nghiệp đang phải đối mặt với những rủi ro bảo mật mới. Công ty đầu tư mạo hiểm danh tiếng Sequoia Capital đang đặt cược lớn vào sự thay đổi này, khi rót 30 triệu USD vào startup Cymphony để giúp các công ty kiểm soát lực lượng lao động AI đang ngày càng gia tăng của họ.

Khoản tài trợ này bao gồm 25 triệu USD trong vòng Series A do Sequoia và SMBC Fin Atlas Beyond Fund đồng dẫn đầu, định giá startup có trụ sở tại New York và Tel Aviv này ở mức hơn 100 triệu USD sau đầu tư. Vòng gọi vốn này tiếp nối một khoản đầu tư hạt giống trước đó từ Sequoia mà chưa từng được công bố.

Các AI agent không nhất thiết phải trải qua các quy trình kiểm soát danh tính và quyền truy cập giống như nhân viên, nhưng chúng lại có quyền truy cập vào nhiều hệ thống và xử lý lượng lớn dữ liệu doanh nghiệp. Điều này khiến các doanh nghiệp khó theo dõi được ai đang truy cập vào cái gì.

Cymphony đang cố gắng giải quyết khoảng trống đó bằng cách cung cấp cho các đội ngũ bảo mật một cái nhìn thống nhất về nhân viên, AI agent và các danh tính phi nhân loại khác, bao gồm cả các hệ thống và dữ liệu nhạy cảm mà họ có thể truy cập. Cốt lõi của nền tảng này là thứ mà startup hai năm tuổi này gọi là “workforce graph” (biểu đồ lực lượng lao động). Nó kết hợp các tín hiệu về danh tính, dữ liệu và hoạt động lại với nhau.

“Bảo mật doanh nghiệp vốn được thiết kế cho nhân viên là con người,” đồng sáng lập kiêm CEO của Cymphony, Shy Dekel (ảnh trên, giữa), chia sẻ trong một cuộc phỏng vấn độc quyền. “Ngày càng có nhiều thực thể độc lập thực sự tham gia vào lực lượng lao động, nhưng chúng không còn là con người nữa.”

Cymphony cho biết họ đã và đang phát hiện ra những rủi ro đó bên trong các công ty lớn. Tại một công ty đại chúng ở Mỹ, startup này cho biết họ đã tìm thấy khoảng 85.000 tệp tin đã trở nên dễ dàng truy cập đối với các công cụ và AI agent. Cymphony tuyên bố họ đã giúp đóng các lỗ hổng này và xác minh rằng chưa có tệp tin nào bị truy cập thông qua các hệ thống AI đó.

Trong một trường hợp khác, Dekel nói với TechCrunch rằng một cộng tác viên bên ngoài đã cài đặt một phiên bản Claude của Anthropic không được cấp phép, sử dụng quyền truy cập hiện có của cộng tác viên đó để quét hàng ngàn tệp tin nhạy cảm.

Ngoài việc xác định rủi ro, Cymphony còn sử dụng các AI agent để điều tra sự cố, ưu tiên những vấn đề mà đội ngũ bảo mật cần giải quyết và tự động hóa một số biện pháp khắc phục, bao gồm cả việc điều chỉnh quyền truy cập. Nền tảng này có thể hoạt động gần như tự động, Dekel cho biết, đồng thời nói thêm rằng khách hàng cũng có thể chọn dịch vụ quản lý để đưa các chuyên gia bảo mật của Cymphony vào cuộc đối với những trường hợp phức tạp hơn.

Tại sao Sequoia lại tiếp tục đặt cược

Khoản đặt cược ban đầu của Sequoia vào Cymphony diễn ra trước khi startup này xác định được vấn đề mà họ muốn giải quyết. Khi công ty đầu tư mạo hiểm này dẫn đầu vòng gọi vốn hạt giống hơn hai năm trước, Cymphony chưa có sản phẩm hay thậm chí là một định hướng sản phẩm rõ ràng, đối tác Bogomil Balkansky của Sequoia chia sẻ với TechCrunch.

Khoản đầu tư này phần lớn là đặt cược vào Dekel và các đồng sáng lập của ông, Idan Berkovits (ảnh trên, phải) và Edi Gotlieb (ảnh trên, trái), cả ba đều xuất thân từ Talpiot, chương trình công nghệ và lãnh đạo có tính chọn lọc cao của quân đội Israel. Sequoia đã quen thuộc với chương trình này thông qua các khoản đầu tư an ninh mạng trước đó, bao gồm cả Wiz.

“Chúng tôi chỉ đơn giản là nhìn thấy ba người trẻ tuyệt vời với nền tảng mà tại Sequoia, chúng tôi đã từng trải nghiệm rất nhiều thành công,” Balkansky nói.

Tuy nhiên, Balkansky cho biết Sequoia muốn thấy nhiều hơn là chỉ nền tảng của các nhà sáng lập khi đến vòng Series A.

Cymphony đã xây dựng được sản phẩm, ký kết với hàng chục khách hàng doanh nghiệp và đạt doanh thu định kỳ hàng năm ở mức bảy con số trong năm đầu tiên bán hàng, startup này chia sẻ với TechCrunch. Khách hàng của họ bao gồm KKR, Syngenta, Cass Information Systems và Athennian.

Sequoia cũng đã sử dụng sản phẩm của Cymphony nội bộ từ giai đoạn đầu phát triển, Balkansky cho biết. Ông lưu ý rằng chất lượng và phạm vi khách hàng của Cymphony, cùng với việc các khách hàng hiện tại đang mở rộng sử dụng nền tảng, là những lý do chính khiến công ty đầu tư mạo hiểm này quyết định đầu tư thêm lần nữa.

Cymphony đang bước vào một thị trường ngày càng đông đúc khi các công ty an ninh mạng nỗ lực giải quyết các rủi ro phát sinh từ việc sử dụng AI agent ngày càng tăng.

Các sự cố gần đây đã làm tăng thêm những lo ngại đó. Vào tháng 7, OpenAI tiết lộ rằng các agent đang được thử nghiệm về khả năng an ninh mạng đã vượt qua các biện pháp bảo vệ và xâm phạm hệ thống tại nền tảng AI Hugging Face. Cuối tuần trước, các agent liên kết với OpenAI đã thực hiện hàng ngàn chỉnh sửa trên một wiki lập trình của Đức, sử dụng các phần của trang web để giao tiếp và chia sẻ cách thức né tránh các hạn chế.

Balkansky thừa nhận rằng có rất nhiều công ty đang định vị mình xung quanh vấn đề bảo mật AI và agent. Tuy nhiên, ông cho rằng cách tiếp cận của Cymphony nổi bật hơn nhờ việc coi bảo mật danh tính và dữ liệu là một phần của cùng một vấn đề.

Cả Dekel và Balkansky đều lập luận rằng sự khác biệt đó trở nên quan trọng hơn khi các công ty triển khai nhiều AI agent hơn trong hoạt động của họ. Không giống như nhân viên con người với vai trò và quyền hạn tương đối ổn định, các agent có thể thực hiện các lộ trình khác nhau để hoàn thành nhiệm vụ, đạt được các khả năng mới và trong một số trường hợp, tạo ra các agent khác, khiến việc quản lý quyền truy cập của chúng trở nên khó khăn hơn với các hệ thống bảo mật được thiết kế xoay quanh con người.

“Các agent là những tác nhân rất khác biệt,” Balkansky nói, lập luận rằng các công cụ danh tính hiện có không được thiết kế cho các agent có thể thay đổi hành vi và khả năng của chúng trong thời gian thực (runtime).

Cymphony cũng đang trong cuộc đua với các công ty bảo mật lâu đời đang mở rộng các dịch vụ xoay quanh danh tính, dữ liệu và AI, bao gồm Microsoft, Okta, CyberArk, Wiz và Varonis.

Dekel nói với TechCrunch rằng Cymphony đã thay thế một số sản phẩm bảo mật hiện có tại các khách hàng. Tại một doanh nghiệp, ông cho biết mà không tiết lộ chi tiết, công ty đã giúp hợp nhất hai công cụ hiện có và loại bỏ nhu cầu mua công cụ thứ ba.

Tuy nhiên, Balkansky coi vai trò của Cymphony, ít nhất là vào lúc này, mang tính bổ sung nhiều hơn là thay thế. “Sẽ không ai loại bỏ Okta của họ cả,” ông nói, đồng thời cho biết thêm rằng khách hàng hiện đang áp dụng Cymphony như một lớp bảo mật bổ sung. Tuy nhiên, ông chia sẻ với TechCrunch rằng theo thời gian, startup này có thể bắt đầu thay thế một số giải pháp đơn lẻ, đặc biệt là trong các lĩnh vực như ngăn ngừa mất dữ liệu (data loss prevention).

Cymphony có khoảng 30 nhân viên tại Tel Aviv và New York. Hầu hết khách hàng của họ hiện ở Bắc Mỹ, mặc dù Dekel nói với TechCrunch rằng startup này đang bắt đầu thấy nhu cầu từ các doanh nghiệp ở Châu Âu, Trung Đông và Châu Phi.

Mặc dù vậy, khi Cymphony vượt ra ngoài vòng Series A và mở rộng trong số các khách hàng doanh nghiệp lớn, giờ đây họ phải chứng minh rằng bảo mật AI agent có thể trở thành một thị trường riêng biệt thay vì chỉ là một tính năng được cung cấp bởi các nền tảng bảo mật lớn hơn. Balkansky tin rằng chi tiêu trong lĩnh vực này sẽ tăng lên khi các công ty đưa nhiều AI agent vào làm việc hơn.

“Nếu các công ty không chi tiền cho bảo mật agent, tôi không biết họ sẽ chi tiền cho việc gì khác trong 5 đến 10 năm tới,” ông nói.

Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể nhận được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập trong biên tập của chúng tôi.