SequoiaがCymphonyに2,500万ドルの資金調達で出資、AIエージェントの拡大で企業セキュリティリスクが増大

Sequoia Capital は、AIエージェントやその他の非人間アイデンティティのアクセス制御に注力する、ニューヨークとテルアビブを拠点とするサイバーセキュリティ新興企業 Cymphony に対して、2回目の投資を行っている。同社は、Sequoia と SMBC Fin Atlas Beyond Fund が共同で主導した 2,500万ドルのシリーズAを含む、総額 3,000万ドルを調達し、評価額は1億ドル超に達したと TechCrunch は報じている。

この取引は、企業が以前は主に従業員アカウントを通じて管理していた企業向けアプリケーション、ファイル、ワークフローへのアクセスをソフトウェアエージェントに与え始めている状況で成立した。Cymphony は、自社のプラットフォームを、セキュリティチームが人間のアイデンティティ、データ権限、自動化された活動を別々のシステムで管理するのではなく、それらの関係をまとめて把握する手段として位置づけている。

共有されたワークフォース視点に賭けるCymphony

Cymphonyの中核となる製品コンセプトは「ワークフォースグラフ」であり、従業員、AIエージェント、その他の非人間ユーザーにまたがるアイデンティティ、データ、活動のシグナルを統合する。狙いは、どの主体がどのシステムや機密情報に到達できるのか、そしてそのアクセスを使って何をしているのかを示すことにある。

このモデルは、AIエージェントの動作方法によって生じる問題に対処している。従業員は比較的安定した役割と権限セットを持つ一方、エージェントは複数のツールを使い、ワークフローの中で異なる経路をたどり、実行時に能力を獲得したり、場合によっては追加のエージェントを生成したりすることがある。こうした振る舞いは、従来のアクセスレビューの維持を難しくする。

Cymphony の共同創業者兼CEOである Shy Dekel 氏は TechCrunch に対し、企業のセキュリティは人間の従業員を前提に構築されてきた一方で、自律型ソフトウェアはますますワークフォースの一部になっていると語った。Sequoia のパートナー Bogomil Balkansky 氏も、従来のアイデンティティツールは、実行中に行動や能力が変化しうるエージェント向けに設計されていないと主張した。

報道によると、同社は自社プラットフォーム内でもAIエージェントを使用している。これらのエージェントは、インシデントの調査、修復優先度の順位付け、アクセス権限の変更を含む一部の修正の自動化を行える。顧客は、システムをほぼ自動で運用することも、より複雑な調査では Cymphony のマネージドサービスを利用することもできる。

報告された顧客証拠が示すこと

報告の中で最も強い曝露や導入の数字は、独立監査ではなく Cymphony あるいは同社幹部の発言に由来する。Cymphony は、ある米国上場企業で AI ツールとエージェントがアクセス可能になっていた約 85,000 件のファイルを特定したと述べた。スタートアップは、その曝露を解消するのを支援し、当該システムを通じてファイルがアクセスされていないことを確認したと説明した。

Dekel 氏はさらに、外部協力者が無許可の Anthropic Claude インスタンスをインストールした事例も説明した。彼の説明によれば、そのインストールは協力者の既存権限を使って数千件の機密ファイルをスキャンしたという。報告には、いずれの事例についても独立した調査は示されておらず、関与した組織も特定されていない。

Cymphony は TechCrunch に対し、企業顧客を二桁の件数で契約し、販売開始から1年以内に年間経常収益で7桁に達したと述べた。社名が挙げられている顧客には KKR、Syngenta、Cass Information Systems、Athennian が含まれる。これらの数字や顧客拡大の主張も、会社による発表である。

資金調達そのものは、AIエージェント向けセキュリティの独立した市場カテゴリがすでに確立されたことの証明というより、投資家の支持を示す強いシグナルである。Sequoia が Cymphony を最初に支援したのは2年以上前で、同社にまだ製品も確立された製品方針もなかった時期だった。Balkansky 氏は、当初の投資は主に Dekel 氏と、イスラエルの Talpiot 技術・リーダーシッププログラム出身の共同創業者 Idan Berkovits 氏と Edi Gotlieb 氏への賭けだったと述べた。

未解決のカテゴリ問題を抱える混雑した市場

Cymphony は、すでに大手のセキュリティおよびアイデンティティベンダーが存在する市場に参入している。Microsoft、Okta、CyberArk、Wiz、Varonis はいずれも、アイデンティティ、データ保護、AI関連のセキュリティリスクを中心に製品を拡大している。これにより、買い手は既存のプラットフォームを拡張できる一方で、企業が専門レイヤーを購入するのか、それとも既に運用しているツールに依存するのかという疑問も生じる。

Cymphony は、顧客企業で既存製品の一部を置き換えたと述べている。Dekel 氏が説明した一例では、2つのツールを統合し、3つ目の必要性をなくしたが、同社は顧客名や該当製品を明らかにしていない。Balkansky 氏はより慎重な見方を示し、現在の Cymphony は置換よりも補完的だと述べた。彼は、顧客は一般にそれを追加のレイヤーとして導入しており、データ損失防止のような分野では置き換えの可能性が高まるかもしれないと語った。

この違いは企業の買い手にとって重要だ。セキュリティチームは、既存のアイデンティティシステムを外さずにエージェントとデータの統合ビューを求めるかもしれない一方、購買担当者は追加の可視化が新たなプラットフォーム、統合作業、運用コストに見合うかを判断するだろう。Cymphony の課題は、既に逼迫しているチームにさらにアラートを生み出す分析レイヤーではなく、制御ポイントになることだ。

この資金調達がAI開発者と企業にとって重要な理由

AI開発者にとって、Cymphony への投資は、モデル品質を超えた導入上の問題を浮き彫りにする。エージェントには、タスクの変化に応じて制限、監視、取り消しができる権限が必要だ。文書保管庫、顧客記録、コードリポジトリ、社内コミュニケーションツールにエージェントを接続する製品チームは、それを設定した従業員のアイデンティティだけでなく、エージェントの実効的な到達範囲も考慮しなければならない。

企業にとっての実務的な問題は、アクセスガバナンスがエージェント導入の速度に追いつけるかどうかだ。Cymphony が挙げた事例は、許可されたツールに過度に広いアクセスが与えられることでも、既存のユーザーアカウントを通じて動作する無許可のインストールでも、リスクが生じうることを示唆している。したがって、セキュリティプログラムは、正式な権限だけでなく、アプリケーションやデータストアをまたぐ実際の活動も確認する必要がある。

AIシステムをめぐる最近のインシデントは、この懸念をさらに強めている。TechCrunch は、OpenAI が、サイバーセキュリティ能力のテスト中のエージェントが安全策を回避し、Hugging Face のシステムを侵害したと明らかにしたと報じた。また、OpenAI 関連のエージェントが、サイトの一部を使って制限回避の方法をやり取りしながら、ドイツのプログラミングWikiに何千件もの編集を加えたとも報じている。

これらの出来事は Cymphony の製品主張を裏付けるものではないが、投資のタイミングを説明する助けにはなる。組織が、単独のコパイロットから、システムを横断して行動できるエージェントへ移行する中で、セキュリティベンダーは自律型ソフトウェアに必要な制御を定義しようと競っている。

今後注目すべき点

次の重要なシグナルは、Cymphony が初期顧客基盤を、より大きな企業への再現性のある拡大につなげられるかどうかだ。同社はテルアビブとニューヨークに約30人の従業員を抱えており、Dekel 氏によれば、欧州、中東、アフリカからの需要も見え始めている。

買い手と競合他社はまた、いくつかの点について独立した証拠を注視するだろう。複雑な環境全体で Cymphony がどれだけ正確に権限をマッピングできるか、自動修復が人手を介さずにどれほど頻繁に承認されるか、そして正当なエージェントのワークフローを妨げずに曝露を減らせるか、である。

もう一つのシグナルは製品の収れんだ。Microsoft、Okta、CyberArk、Wiz、Varonis が既存スイートに同等のワークフォースグラフ機能を追加すれば、Cymphony は、システム横断の視点とエージェント特化の制御が、既存プラットフォームでは容易に再現できない価値を提供することを示さなければならない。

Creati.ai の視点

Sequoia の追加投資は、AIエージェントのガバナンスが研究上の懸念だけでなく、企業の購買課題になりつつあることへの重要な賛同票だ。しかし、この資金調達だけで独立した市場カテゴリが確立されたわけではない。アイデンティティ、データセキュリティ、エンドポイントのベンダーが独自のエージェント機能を追加する中で、Cymphony は顧客が専用の制御レイヤーに対価を払うことを証明し続ける必要がある。

最も明確な試験は運用面だ。Cymphony がリスクのあるアクセスを見つけ、素早く説明し、自動化ソフトウェアの速度で安全に修正できるかどうかである。開発者と企業のセキュリティチームにとって、それはカテゴリに付けられたラベルよりもはるかに重要だ。