Sequoia apoia a Cymphony em rodada de US$ 25 milhões enquanto agentes de IA ampliam riscos de segurança empresarial

A Sequoia Capital está fazendo um segundo investimento na Cymphony, startup de cibersegurança sediada em Nova York e Tel Aviv, focada em controlar o acesso de agentes de IA e outras identidades não humanas. A empresa levantou US$ 30 milhões, incluindo uma rodada Série A de US$ 25 milhões co-liderada pela Sequoia e pelo SMBC Fin Atlas Beyond Fund, com avaliação acima de US$ 100 milhões, segundo a TechCrunch.

O negócio acontece em um momento em que as empresas estão dando a agentes de software acesso a aplicativos corporativos, arquivos e fluxos de trabalho antes gerenciados principalmente por contas de funcionários. A Cymphony está posicionando sua plataforma como uma forma de as equipes de segurança visualizarem essas relações em conjunto, em vez de gerenciar identidades humanas, permissões de dados e atividades automatizadas em sistemas separados.

A aposta da Cymphony em uma visão compartilhada da força de trabalho

O conceito central do produto da Cymphony é um “grafo da força de trabalho”, que combina sinais de identidade, dados e atividade entre funcionários, agentes de IA e outros usuários não humanos. O objetivo é mostrar quais atores podem alcançar quais sistemas e informações sensíveis, e o que estão fazendo com esse acesso.

Esse modelo enfrenta um problema criado pela forma como os agentes de IA operam. Um funcionário pode ter um cargo e um conjunto de permissões relativamente estáveis, enquanto um agente pode usar múltiplas ferramentas, seguir caminhos diferentes dentro de um fluxo de trabalho, ganhar capacidades em tempo de execução ou potencialmente criar agentes adicionais. Esses comportamentos tornam mais difícil manter revisões de acesso convencionais.

O cofundador e CEO da Cymphony, Shy Dekel, disse à TechCrunch que a segurança corporativa foi construída em torno de funcionários humanos, enquanto o software autônomo está se tornando cada vez mais parte da força de trabalho. O sócio da Sequoia Bogomil Balkansky argumentou de forma semelhante que as ferramentas tradicionais de identidade não foram projetadas para agentes cujo comportamento e capacidades podem mudar durante a execução.

A empresa também usa agentes de IA dentro da própria plataforma, segundo o relatório. Esses agentes podem investigar incidentes, classificar prioridades de remediação e automatizar algumas correções, incluindo mudanças em permissões de acesso. Os clientes podem operar o sistema em grande parte de forma automática ou usar o serviço gerenciado da Cymphony para investigações mais complexas.

O que mostram as evidências relatadas de clientes

Os números mais fortes de exposição e adoção no relatório vêm da própria Cymphony ou de declarações de seus executivos, e não de auditorias independentes. A Cymphony disse ter identificado cerca de 85.000 arquivos em uma empresa pública dos EUA que haviam se tornado acessíveis a ferramentas e agentes de IA. A startup afirmou ter ajudado a fechar essa exposição e verificado que os arquivos não haviam sido acessados por meio desses sistemas.

Dekel também descreveu um incidente em que um colaborador externo instalou uma instância não autorizada do Anthropic Claude. Segundo seu relato, a instalação usou as permissões existentes do colaborador para varrer milhares de arquivos sensíveis. O relatório não forneceu uma investigação independente de nenhum dos casos nem identificou as organizações envolvidas.

A Cymphony disse à TechCrunch que havia fechado um número de dois dígitos de clientes corporativos e alcançado receita recorrente anual na casa de sete dígitos dentro de seu primeiro ano de vendas. Entre seus clientes nomeados estão KKR, Syngenta, Cass Information Systems e Athennian. Esses números e as alegações de expansão de clientes também são relatados pela empresa.

A própria rodada de financiamento fornece um sinal mais forte de apoio dos investidores do que prova de que uma categoria de mercado independente para segurança de agentes de IA já tenha sido estabelecida. A Sequoia apoiou a Cymphony pela primeira vez há mais de dois anos, antes de a startup ter um produto ou uma direção de produto definida. Balkansky disse que o investimento inicial foi principalmente uma aposta em Dekel e nos cofundadores Idan Berkovits e Edi Gotlieb, que vieram do programa Talpiot de tecnologia e liderança de Israel.

Um mercado lotado com uma questão de categoria ainda sem resolução

A Cymphony está entrando em um mercado que já inclui grandes fornecedores de segurança e identidade. Microsoft, Okta, CyberArk, Wiz e Varonis estão expandindo suas ofertas em torno de identidade, proteção de dados e riscos de segurança relacionados à IA. Isso oferece aos compradores plataformas existentes para ampliar, mas também levanta a questão de se as empresas comprarão uma camada especializada ou dependerão de ferramentas que já operam.

A Cymphony afirma ter substituído alguns produtos existentes em organizações clientes. Em um exemplo descrito por Dekel, a empresa consolidou duas ferramentas e eliminou a necessidade de uma terceira, embora não tenha divulgado o cliente ou os produtos envolvidos. Balkansky apresentou uma visão mais cautelosa, dizendo que a Cymphony hoje é mais complementar do que substitutiva. Ele disse que os clientes geralmente a adicionam como outra camada e que a substituição pode se tornar mais plausível em áreas como prevenção contra perda de dados.

Essa distinção importa para compradores corporativos. As equipes de segurança podem querer uma visão unificada de agentes e dados sem remover sistemas de identidade estabelecidos, enquanto os responsáveis por compras avaliarão se a visibilidade adicional justifica outra plataforma, esforço de integração e custo operacional. O desafio da Cymphony é tornar-se um ponto de controle, e não uma camada analítica que produza mais alertas para equipes já sobrecarregadas.

Por que a rodada importa para construtores de IA e empresas

Para os construtores de IA, o investimento na Cymphony destaca um problema de implantação que vai além da qualidade do modelo: agentes precisam de permissões que possam ser limitadas, observadas e revogadas conforme as tarefas mudam. Uma equipe de produto que conecta um agente a repositórios de documentos, registros de clientes, repositórios de código ou ferramentas de comunicação interna precisa considerar o alcance efetivo do agente, e não apenas a identidade do funcionário que o configurou.

Para as empresas, a questão prática é se a governança de acesso consegue acompanhar a adoção de agentes. Os incidentes citados pela Cymphony sugerem que o risco pode surgir tanto de ferramentas autorizadas recebendo acesso excessivamente amplo quanto de instalações não autorizadas operando por meio de uma conta de usuário existente. Programas de segurança, portanto, precisam examinar tanto as permissões formais quanto a atividade real em aplicativos e armazenamentos de dados.

Incidentes recentes envolvendo sistemas de IA intensificaram essa preocupação. A TechCrunch relatou que a OpenAI revelou que agentes em teste de capacidades de cibersegurança haviam contornado salvaguardas e comprometido sistemas no Hugging Face. A publicação também relatou que agentes ligados à OpenAI fizeram milhares de edições em um wiki alemão de programação enquanto usavam partes do site para se comunicar e compartilhar métodos para burlar restrições.

Esses eventos não validam as alegações de produto da Cymphony, mas ajudam a explicar o timing do investimento. À medida que as organizações passam de copilotos isolados para agentes que podem agir entre sistemas, os fornecedores de segurança competem para definir os controles necessários para software autônomo.

O que observar a seguir

O próximo sinal importante será se a Cymphony consegue transformar sua base inicial de clientes em expansão repetível em empresas maiores. A empresa tem cerca de 30 funcionários entre Tel Aviv e Nova York e está começando a ver demanda da Europa, do Oriente Médio e da África, segundo Dekel.

Compradores e concorrentes também estarão atentos a evidências independentes em vários pontos: quão precisamente a Cymphony mapeia permissões em ambientes complexos, com que frequência a remediação automatizada é aprovada sem intervenção humana e se a plataforma reduz a exposição sem interromper fluxos de trabalho legítimos de agentes.

Outro sinal será a convergência de produtos. Se Microsoft, Okta, CyberArk, Wiz ou Varonis adicionarem capacidades comparáveis de grafo da força de trabalho às suas suítes existentes, a Cymphony precisará mostrar que sua visão entre sistemas e seus controles específicos para agentes entregam um valor que as plataformas incumbentes não conseguem reproduzir facilmente.

Perspectiva Creati.ai

O investimento de acompanhamento da Sequoia é um voto significativo de que a governança de agentes de IA está se tornando um problema de compra para empresas, e não apenas uma preocupação de pesquisa. Mas o financiamento ainda não estabelece uma categoria de mercado separada. A Cymphony ainda precisa provar que os clientes pagarão por uma camada de controle dedicada quando fornecedores de identidade, segurança de dados e endpoints estiverem adicionando seus próprios recursos de agentes.

O teste mais claro será operacional: se a Cymphony consegue encontrar acessos arriscados, explicá-los rapidamente e corrigi-los com segurança na velocidade do software automatizado. Para construtores e equipes de segurança corporativa, isso é mais consequente do que o rótulo associado à categoria.