Das auf Cybersicherheit und Compliance spezialisierte Unternehmen Comp AI gab bekannt, in einer von Roo Capital und Grand Ventures angeführten Series-A-Finanzierungsrunde 34 Millionen US-Dollar eingesammelt zu haben. Das Unternehmen beabsichtigt, die Finanzierung für den Ausbau seiner Plattform zu verwenden, die KI-Agenten für Aufgaben einsetzt, die üblicherweise die manuelle Sammlung von Nachweisen, die Erstellung von Dokumentationen und die Überwachung von Sicherheitskontrollen erfordern.
Comp AI zufolge kann die Plattform beim Verfassen von Sicherheitsrichtlinien, beim Zusammenstellen der für Prüfungen erforderlichen Nachweise und bei der kontinuierlichen Überwachung der Einhaltung von Compliance-Kontrollen durch ein Unternehmen helfen. Außerdem bietet sie KI-gestützte Penetrationstests, um Software-Codebasen und Infrastruktur proaktiv auf Schwachstellen zu prüfen. Nach Angaben des Unternehmens beläuft sich die bisher insgesamt eingesammelte Finanzierung auf 37,5 Millionen US-Dollar.
Von der LeapAI-Erfahrung zur Automatisierung der Compliance
Comp AI wurde im vergangenen Januar von Lewis Carhart als CEO sowie den Brüdern Claudio Fuentes und Mariano Fuentes gegründet, die als Chief Operating Officer beziehungsweise Chief Technology Officer tätig sind. Die Gründer hatten zuvor gemeinsam bei LeapAI gearbeitet, einer Workflow-Plattform, die innerhalb von etwa zwei Jahren mehr als eine Million Nutzer erreichte, bevor sie eingestellt wurde, weil kein ausreichend stark haftender Anwendungsfall gefunden werden konnte, der weitere Investitionen gerechtfertigt hätte.
Die Gründer erklärten, die Erfahrung mit LeapAI habe ihnen auch gezeigt, wie komplex und zeitaufwendig die Vorbereitung auf SOC 2 ist, insbesondere beim Versuch, größere Unternehmenskunden zu bedienen. Claudio Fuentes zufolge dauerte die Umsetzung des Prozesses Monate manueller Arbeit, wodurch das Team von der Produktentwicklung abgezogen wurde.
Was ändert sich in der Praxis?
Comp AI verbindet Sicherheit und Compliance mit der Fähigkeit von Softwareunternehmen, neue Geschäfte abzuschließen, da ein Kunde vor dem Vertragsabschluss möglicherweise einen SOC-2-Bericht verlangen kann. Die Idee des Unternehmens besteht darin, einen Teil dieser Arbeit in einen kontinuierlichen Prozess zu überführen, anstatt Compliance als separate Maßnahme zu behandeln, die zu einem einzigen Zeitpunkt überprüft wird.
Diese Idee stützt sich auf ein praktisches Problem, auf das Carhart hingewiesen hat: Ein Unternehmen kann eine SOC-2-Prüfung abschließen und zwei Wochen später einen neuen KI-Agenten einsetzen, der auf Kundendaten zugreifen, interne Berechtigungen ändern oder durch eine Softwarebereitstellung eine Schwachstelle einführen kann. Das bedeutet nicht, dass die vorherige Prüfung ungültig geworden ist, aber sie zeigt nicht zwangsläufig, was sich nach ihrer Durchführung verändert hat.
Automatisierung ersetzt keine menschliche Überprüfung
Das Unternehmen erklärt, dass seine Plattform weder die unabhängige Prüfung noch die für Compliance verantwortlichen Mitarbeiter ersetzt. Die Mitarbeiter sind an der Konfiguration der Agenten, der Unterstützung von Kontrollen und der Verwaltung von Workflows beteiligt, während der Agent beispielsweise einen Richtlinienentwurf erstellen kann, der anschließend von einer Person überprüft und genehmigt wird.
Comp AI ist der Ansicht, dass das Niveau der Sicherheitsvorkehrungen und der menschlichen Genehmigung steigen sollte, je mehr folgenreiche Maßnahmen die Agenten übernehmen. In seiner derzeitigen Phase konzentriert sich das Unternehmen außerdem auf Berechtigungen und Rechenschaftspflicht. Dazu gehört die Kenntnis darüber, worauf der Agent zugegriffen hat, was er zu tun versucht hat und ob er innerhalb der für ihn festgelegten Grenzen geblieben ist.
Lesart von certi.news: Die Bedeutung der Runde beschränkt sich nicht auf die Höhe der Finanzierung, sondern liegt in der Bearbeitung einer Lücke zwischen regelmäßigen Prüfungen und den kontinuierlichen Veränderungen in KI-Umgebungen. Der Erfolg des Modells bleibt jedoch davon abhängig, ob das Unternehmen eine verlässliche Überwachung anbieten kann, ohne die Agenten selbst zu einer neuen Risikoquelle zu machen, und wie die Verantwortung zwischen der Plattform, den Mitarbeitern und unabhängigen Prüfern verteilt wird. Die Quelle enthält keine Angaben zu den Märkten, auf die Comp AI abzielt, oder zu den Compliance-Zertifizierungen, die die Plattform außerhalb von SOC 2 unterstützt.