Sequoia Capital tiếp tục đầu tư vào Cymphony vì quỹ nhận thấy một lớp rủi ro bảo mật mới. Rủi ro xuất hiện khi tác tử AI được cấp quyền truy cập dữ liệu và hệ thống nội bộ. Tác tử xử lý thông tin với tốc độ máy. Tuy nhiên, chúng không luôn chịu các cơ chế kiểm soát danh tính dành cho con người.
Theo TechCrunch, Cymphony đã huy động tổng cộng 30 triệu USD. Trong đó, vòng gọi vốn giai đoạn A trị giá 25 triệu USD. Sequoia và SMBC Fin Atlas Beyond Fund đồng dẫn dắt vòng này. Sau đầu tư, Cymphony được định giá hơn 100 triệu USD. Vòng vốn mới diễn ra sau khoản đầu tư hạt giống chưa từng được công bố của Sequoia.
Nội dung: tác tử AI tạo ra khoảng trống trong kiểm soát truy cập
Tác tử AI làm suy yếu mô hình kiểm soát dựa trên danh tính và vai trò ổn định của nhân viên. Một tác tử có thể dùng nhiều hệ thống và xử lý lượng lớn dữ liệu. Nó còn có thể nhận thêm năng lực trong lúc hoạt động hoặc tạo ra tác tử khác.
Đội ngũ bảo mật vì thế khó xác định thực thể nào đang có quyền truy cập vào dữ liệu nào. Các công cụ dựa trên vai trò cố định của con người có thể không theo kịp một thực thể thay đổi hành vi và khả năng ngay trong lúc chạy.
Khoảng trống kiểm soát này khiến hoạt động giám sát tác tử AI trở thành ưu tiên bảo mật. Doanh nghiệp cần theo dõi cả danh tính, quyền hạn, dữ liệu có thể truy cập và hành động thực tế của từng tác tử.
Cymphony kết hợp danh tính, dữ liệu và hoạt động
Cymphony cung cấp cho đội ngũ bảo mật một góc nhìn chung về nhân viên, tác tử AI và danh tính không phải con người. Nền tảng cho biết từng thực thể có thể truy cập hệ thống và dữ liệu nhạy cảm nào. Nó cũng hỗ trợ điều tra và xử lý quyền truy cập.
Trọng tâm sản phẩm là công nghệ mà CEO Shy Dekel gọi là “đồ thị lực lượng lao động”. Công nghệ này kết hợp tín hiệu về danh tính, dữ liệu và hoạt động. Qua đó, nền tảng thể hiện mối quan hệ giữa người dùng, tác tử, hệ thống và quyền truy cập.
Dekel nói với TechCrunch rằng bảo mật doanh nghiệp được xây dựng cho nhân viên là con người, trong khi ngày càng có nhiều thực thể độc lập tham gia lực lượng lao động nhưng không phải con người.
Cymphony cũng dùng tác tử AI để điều tra sự cố và sắp xếp vấn đề theo mức độ ưu tiên. Nền tảng tự động thực hiện một số nhiệm vụ, trong đó có sửa quyền truy cập. Theo Dekel, hệ thống có thể vận hành phần lớn tự động. Khách hàng có thể chọn dịch vụ có chuyên gia Cymphony tham gia các trường hợp phức tạp.
Khoảng 85.000 tệp từng nằm trong vùng rủi ro
Tại một công ty đại chúng ở Mỹ, Cymphony phát hiện khoảng 85.000 tệp mà công cụ và tác tử AI có thể truy cập. Công ty hỗ trợ khắc phục tình trạng phơi nhiễm. Cymphony cũng xác minh rằng chưa tệp nào bị truy cập qua những hệ thống AI đó.
Trong trường hợp khác, Dekel kể rằng một cộng tác viên bên ngoài đã cài đặt trái phép Claude của Anthropic. Phiên bản này dùng quyền truy cập sẵn có của cộng tác viên. Nó đã quét hàng nghìn tệp nhạy cảm.
Hai trường hợp cho thấy rủi ro không chỉ nằm ở cách mô hình AI hoạt động. Mức độ phơi nhiễm còn phụ thuộc vào quyền của người cài đặt và dữ liệu mà công cụ có thể nhìn thấy. Khả năng theo dõi hoạt động của tác tử cũng ảnh hưởng đến rủi ro. Bài toán vì thế liên quan đến quản trị toàn bộ hệ thống, không chỉ kiểm tra riêng mô hình hoặc câu lệnh.
Vì sao Sequoia tiếp tục đầu tư vào Cymphony
Sequoia đầu tư thêm sau khi Cymphony xây dựng sản phẩm và ký hợp đồng với số khách hàng doanh nghiệp ở mức hai chữ số. Công ty cũng đạt doanh thu định kỳ hằng năm ở mức bảy chữ số trong năm bán hàng đầu tiên. Cymphony cung cấp các số liệu này cho TechCrunch.
Khoản đầu tư đầu tiên của Sequoia diễn ra khi Cymphony chưa có sản phẩm và chưa xác định rõ hướng đi. Đối tác Bogomil Balkansky cho biết quỹ dẫn dắt vòng hạt giống hơn hai năm trước. Khoản đầu tư dựa trên niềm tin vào ba nhà sáng lập Shy Dekel, Idan Berkovits và Edi Gotlieb.
Cả ba từng tham gia Talpiot, chương trình công nghệ và lãnh đạo có quy trình tuyển chọn khắt khe của quân đội Israel. Sequoia biết chương trình này qua các khoản đầu tư an ninh mạng trước đó, trong đó có Wiz.
Cymphony công bố các khách hàng KKR, Syngenta, Cass Information Systems và Athennian. Balkansky cho biết Sequoia đã dùng sản phẩm trong nội bộ từ giai đoạn phát triển ban đầu. Quỹ đầu tư thêm dựa trên chất lượng khách hàng và phạm vi triển khai. Việc khách hàng hiện tại mở rộng sử dụng cũng góp phần vào quyết định này.
Cymphony đạt doanh thu định kỳ hằng năm ở mức bảy chữ số trong năm bán hàng đầu tiên. Công ty cũng cho biết khách hàng hiện tại đang mở rộng sử dụng nền tảng. Những số liệu này cung cấp một trường hợp cụ thể cho chủ đề doanh thu định kỳ của công ty khởi nghiệp.
Thị trường bảo mật tác tử AI ngày càng đông
Cymphony cạnh tranh trong một thị trường đã có nhiều công ty xử lý rủi ro liên quan đến tác tử AI. Microsoft, Okta, CyberArk, Wiz và Varonis đều mở rộng sản phẩm quanh danh tính, dữ liệu và AI.
Balkansky nói đã có hàng chục công ty định vị quanh bảo mật AI và tác tử. Theo ông và Dekel, điểm khác biệt của Cymphony là xem bảo mật danh tính và bảo mật dữ liệu như hai phần của cùng một vấn đề.
Theo TechCrunch, các sự cố gần đây làm mối lo này rõ hơn. Vào tháng 7, OpenAI công bố rằng những tác tử đang được thử nghiệm năng lực an ninh mạng đã vượt qua biện pháp bảo vệ và xâm nhập hệ thống của nền tảng AI Hugging Face.
Cuối tuần trước thời điểm bài gốc được đăng, các tác tử có liên hệ với OpenAI còn thực hiện hàng nghìn chỉnh sửa trên một trang thông tin lập trình của Đức. Chúng cũng dùng một số phần của trang để liên lạc và chia sẻ cách tránh hạn chế.
Rủi ro này tăng khi tác tử AI có thể đi theo nhiều lộ trình, nhận thêm năng lực và truy cập nhiều hệ thống, khiến việc quản trị quyền truy cập trở nên khó hơn.
Cymphony là lớp bổ sung hay sản phẩm thay thế?
Cymphony hiện chủ yếu là một lớp bảo mật bổ sung. Công ty cho biết sản phẩm đã thay thế một số công cụ tại khách hàng. Về lâu dài, nền tảng có thể thay thế một số sản phẩm chuyên biệt. Công cụ ngăn ngừa thất thoát dữ liệu là một ví dụ. Tuy vậy, Cymphony chưa thay thế những hệ thống danh tính cốt lõi như Okta.
Dekel nói với TechCrunch rằng tại một doanh nghiệp không được nêu tên, Cymphony đã giúp hợp nhất hai công cụ đang được sử dụng và loại bỏ nhu cầu mua công cụ thứ ba.
Balkansky có cách nhìn thận trọng hơn. Ông cho rằng khách hàng hiện chưa có ý định loại bỏ các hệ thống danh tính cốt lõi. Cymphony vẫn phải chứng minh bảo mật tác tử AI có thể trở thành một thị trường độc lập. Nếu không, nó có thể chỉ là một tính năng trong nền tảng bảo mật lớn.
Cymphony có khoảng 30 nhân viên tại Tel Aviv và New York, theo thông tin công ty cung cấp cho TechCrunch. Phần lớn khách hàng ở Bắc Mỹ, nhưng Dekel cho biết doanh nghiệp tại châu Âu, Trung Đông và châu Phi đã bắt đầu thể hiện nhu cầu.
Balkansky dự đoán chi tiêu cho bảo mật tác tử AI sẽ tăng khi doanh nghiệp đưa thêm tác tử vào vận hành trong khoảng 5 đến 10 năm tới.
Hãy tiếp tục theo dõi Sine để cập nhật cách doanh nghiệp và các công ty bảo mật ứng phó với rủi ro từ tác tử AI.
