Pluto Security, une start-up spécialisée dans la sécurité de l’utilisation de l’intelligence artificielle au sein des entreprises, a levé 42 millions de dollars après sa sortie de la phase de furtivité, alors que les entreprises s’inquiètent de plus en plus des outils et applications créés ou utilisés par leurs employés sans examen de sécurité suffisant.
Shahar Bahat, directrice générale et cofondatrice, affirme qu’un nouvel outil d’intelligence artificielle peut apparaître au sein de l’environnement d’une entreprise seulement deux heures après son lancement. Selon les données de Pluto, environ 60 % des risques détectés chez ses clients sont liés à des outils créés par des personnes qui ne sont pas développeuses, à l’aide de ce que l’on appelle le « vibe coding ». Les services financiers arrivent en tête, suivis du marketing et des affaires juridiques, tandis que les développeurs occupent la quatrième place.
Les risques liés aux applications et aux agents non soumis à un examen
Les outils de Pluto ont détecté une application créée par un employé du service financier d’une entreprise cotée figurant au classement Fortune 500 pour gérer les données des clients et les taux d’attrition, mais qui avait été laissée exposée sur Internet. Bahat affirme que les tests de preuve de concept menés par l’entreprise ne se sont pas déroulés sans éléments malveillants, notamment des modules d’extension et des compétences contenant des attaques actives pendant le test.
Pluto mise sur le fait que les outils de sécurité traditionnels ne suffisent pas à surveiller un environnement dans lequel la manière de construire et d’utiliser les applications évolue rapidement. Au lieu de se concentrer uniquement sur le comportement des utilisateurs, l’entreprise veut surveiller le comportement des agents et les opérations qu’ils exécutent à chaque instant.
Surveillance des outils et intervention pendant l’exécution
Le logiciel de Pluto surveille les outils d’intelligence artificielle utilisés par les employés, ainsi que les compétences, les extensions, les serveurs MCP et les autres composants qui leur sont associés, de même que les applications et les agents qu’ils créent. La société affirme que le système peut identifier les composants dangereux, détecter les activités suspectes des agents et appliquer des politiques de sécurité sans empêcher complètement les employés d’utiliser ou de développer ces outils.
Le système se connecte aux plateformes de protection et de gestion des appareils, et peut déployer des capteurs directement sur les appareils ou par l’intermédiaire de ces plateformes. Il recueille également des données comprenant les requêtes, les commandes, les processus en cours, les autorisations et l’historique des activités, et utilise des modèles légers sur les terminaux pour contribuer à évaluer ce que l’agent tente d’exécuter.
L’une de ses principales capacités annoncées est l’intervention pendant le fonctionnement de l’agent. Si celui-ci tente par exemple d’obtenir des autorisations dépassant ce que l’utilisateur avait prévu, le système peut interrompre l’action ou ajouter des instructions à la session pour demander à l’agent d’obtenir une confirmation.
Financement et croissance commerciale
Le financement se répartit entre un tour d’amorçage de 8,5 millions de dollars mené par TLV Partners, avec la participation des fondateurs de l’entreprise de cybersécurité Armis, et un tour de Series A de 34 millions de dollars mené par Jump Capital, avec la participation de Skinos, la société de capital-risque du cofondateur de Check Point, Shlomo Kramer, ainsi que d’autres investisseurs providentiels.
Pluto a commencé à vendre ses produits en avril et affirme avoir dépassé 2 millions de dollars de chiffre d’affaires récurrent annualisé, avec plus de 30 clients entreprises, parmi lesquels Oscar Health, Workato, Sixt et AlphaSense. La société compte 40 employés aux États-Unis et en Israël et prévoit d’utiliser le financement pour développer le produit, étendre ses recherches en sécurité et renforcer sa présence aux États-Unis.
Pourquoi cette actualité est-elle importante ?
Le changement concret réside ici dans le déplacement du point de surveillance de la sécurité, qui ne se limite plus aux comptes et aux applications traditionnels des employés, mais s’étend aux outils, aux agents et aux composants susceptibles d’agir en leur nom. Toutefois, les chiffres cités reposent sur les déclarations de l’entreprise, et la source ne fournit pas de détails indépendants sur la méthodologie de mesure des risques ou les résultats obtenus chez les clients. Elle ne précise pas non plus les limites exactes des interventions du système ni le taux de faux positifs. La capacité de cette catégorie de solutions à trouver un équilibre entre surveillance et liberté accordée aux employés d’utiliser l’intelligence artificielle reste donc une question ouverte.