ニューヨークとテルアビブに拠点を置くスタートアップのCymphonyは、企業内のAIエージェントや非人間アイデンティティを監視するためのセキュリティツールの開発に向け、3,000万ドルを調達した。この資金には、Sequoia CapitalとSMBC Fin Atlas Beyond Fundが主導した2,500万ドルのSeries Aが含まれ、投資後の同社の評価額は1億ドルを超えた。
今回のラウンドは、これまで公表されていなかったSequoiaによる初期投資に続くものだ。TechCrunchがCymphonyのパートナーおよび創業者から得た情報によると、2年前に設立された同社は、製品と解決したい課題を固める前に資金を調達していた。
アイデンティティ、データ、アクティビティを集約するプラットフォーム
Cymphonyは、同社がワークフォースグラフと呼ぶ仕組みに基づいている。これは、アイデンティティ、データ、アクティビティのシグナルを一つの画面に集約し、セキュリティチームに提供するモデルだ。対象には従業員、AIエージェント、その他の非人間アイデンティティに加え、それぞれがアクセスできるシステムや機密データも含まれる。
同社によると、AIエージェントには、従業員に適用されるものと同じアクセス制御やアイデンティティ管理が常に適用されているわけではない。その一方で、AIエージェントは複数のシステムや大量の企業データを扱っている。Cymphonyは、ある米国の上場企業で、ツールやAIエージェントからアクセス可能になっていたファイルを約8万5,000件発見し、その後、この露出の解消を支援するとともに、それらのシステムがファイルにアクセスしていないことを確認したという。別のケースでは、最高経営責任者（CEO）のシャイ・ディケル氏が、外部の協力者が許可なくClaudeのコピーをインストールし、既存の権限を使って数千件の機密ファイルを調査していたと述べた。
実際に何が変わるのか？
このプラットフォームは、リスクを監視するだけではない。AIエージェントを使ってインシデントを調査し、対応の優先順位を付け、アクセス権限の修正など一部の措置を自動化する。顧客は高度な自動化で運用することも、複雑なケースにCymphonyのチームが介入するマネージドサービスを利用することもできる。
このアプローチが重要なのは、エージェントがタスクを完了するために異なる経路をたどったり、新たな能力を獲得したり、別のエージェントを作成したりする可能性があり、役割と権限がより安定した従業員よりも制御が難しくなるためだ。ただし、これはCymphonyが既存のアイデンティティ管理ツールに取って代わることを意味しない。同社の投資家によると、顧客は現在、Cymphonyを追加のレイヤーとして利用しており、将来的には一部の専門ツール、特にデータ漏えい防止のためのツールを置き換える可能性があるという。
競争の激しい市場での資金調達
Cymphonyによると、同社は複数の企業顧客と契約を締結し、販売初年度に7桁の年間経常収益を達成した。顧客にはKKR、Syngenta、Cass Information Systems、Athennianが含まれ、Sequoiaも初期段階から社内で同プラットフォームを利用している。同社の従業員数はニューヨークとテルアビブで約30人で、現在の顧客の大半は北米に集中しているが、欧州、中東、アフリカからの需要も現れ始めている。
同社は、Microsoft、Okta、CyberArk、Wiz、Varonisなどの企業と競合している。これらの企業も、アイデンティティ、データ、AIセキュリティの分野で提供サービスを拡大している。そのため、AIエージェントのセキュリティが独立した市場になるのか、それともより大規模なセキュリティプラットフォームの機能の一つになるのかが、依然として未解決の問題となっている。また、同社が示した露出事例は同社自身の開示に基づくものであり、リスクの規模と対応結果を独立して検証することが、製品を評価する際の重要なポイントとなる。