シークイア、AI エージェントのリスク対策に Cymphony に 3000 万ドル出資

AI エージェントが人間と同じ機密データやシステムにアクセスし、かつ機械並みの速度で動作するようになると、企業は新たなセキュリティリスクに直面します。この変化に賭けるベテランベンチャーキャピタルのシーコイア・キャピタル（Sequoia Capital）は、スタートアップ「Cymphony」への出資を強化しました。同社は 3,000 万ドルの資金調達を発表し、拡大する AI ワークフォースを管理するためのソリューションを提供しています。

今回の資金調達のうち 2,500 万ドルは、シーコイアと SMBC Fin Atlas Beyond Fund が共同で主導したシリーズ A ラウンドです。これにより、ニューヨークとテルアビブに拠点を置く同社の評価額は投資後 1 億ドルを超えました。このラウンドは、以前非公開だったシード投資（シーコイアからの出資）に続くものです。

AI エージェントは従業員と同じようなアクセスやアイデンティティ制御を経るわけではありませんが、複数のシステムにアクセスし、大量の企業データを処理します。そのため、誰がどのデータにアクセスできるかを企業が把握するのは困難です。

Cymphony はこの課題を解決するため、セキュリティチームに対して従業員、AI エージェント、およびそれらがアクセス可能なシステムや機密データを含む非人間アイデンティティを一元管理できるビューを提供しています。創業 2 年の同社のプラットフォームの中核には、「ワークフォース・グラフ（workforce graph）」と呼ばれる仕組みがあります。これは、アイデンティティ、データ、アクティビティの信号を統合したものです。

「エンタープライズセキュリティは、人間である従業員のために設計されたものです」と、Cymphony の共同創設者兼 CEO である Shy Dekel 氏は、独占インタビューで語りました。「今や、実質的に workforce に加わる独立した存在が次々と現れていますが、それらはもはや人間ではありません。」

Cymphony はすでに大手企業内でこうしたリスクを検知しています。ある米国の上場企業では、同社が約 85,000 件のファイルが AI ツールやエージェントによってアクセス可能になっているのを発見しました。Cymphony はその露出を解消し、AI システムを通じてファイルにアクセスされた事実はないことを確認したと述べています。

別の事例として、Dekel 氏は TechCrunch の取材に対し、外部の協力者が自社の既存権限を利用して Anthropic の Claude を無許可でインストールし、数千件の機密ファイルをスキャンしていたケースがあると明かしました。

リスクの特定だけでなく、Cymphony は AI エージェントを用いてインシデント調査を行い、セキュリティチームが優先すべき課題を特定し、アクセス権限の修正など一部のリメディー作業を自動化します。Dekel 氏によれば、このプラットフォームはほぼ自動的に運用可能で、複雑なケースには Cymmony のセキュリティ専門家も関与するマネージドサービスを選択することもできるとのことです。

なぜ Sequoia はさらに投資に踏み切ったのか

セコイアのシムフォニーへの初回投資は、スタートアップが解決すべき課題を明確に定めていなかった時期に行われたものです。ベンチャーキャピタルが 2 年以上前にシードラウンドを主導した際、シムフォニーには製品も、明確な製品の方向性さえ存在しませんでした。セコイアのパートナーであるボゴミル・バルカンスキー氏は TechCrunch にこう語っています。

この投資は、デケル氏と彼の共同創業者たちへの賭けでした。右側の写真に写っているのはイドアン・ベルコビッツ氏、左側がエディ・ゴットリーブ氏です。3 人ともイスラエル軍の高度に選抜された技術・リーダーシッププログラム「タルピオト」を卒業しています。セコイアは以前サイバーセキュリティ分野で Wiz などへの投資を通じて同プログラムの実績を知っており、すでに親和性を持っていました。

バルカンスキー氏はこう述べています。「私たちは、セコイアがこれまで多くの成功を収めてきたような、素晴らしい経歴を持つ 3 人の若者たちを見出したのです」

それでも、バルカンスキー氏によれば、シリーズ A ラウンドでは創業者の経歴以上のものを確認したかったとのことです。

スタートアップは TechCrunch に、製品を開発し、10 社以上の企業顧客を獲得し、販売開始から 1 年以内に年間固定収益（ARR）で 7 桁を達成したと報告しています。顧客には KKR、シンジェンタ、Cass Information Systems、Athennian が含まれています。

バルカンスキー氏によると、セコイアは開発初期の段階から自社の内部でもシムフォニーの製品を利用してきました。同氏は、シムフォニーの顧客の質と範囲、および既存顧客がプラットフォームの利用を拡大している点を挙げ、ベンチャー企業が再投資を決断した主な理由として挙げています。

サイバーセキュリティ企業が生成AIエージェントの活用拡大に伴う新たなリスク対策に注力する中、Cymphony は参入競争が激化する市場へ進出しています。

最近の出来事はこうした懸念をさらに高めています。7 月、OpenAI はサイバーセキュリティ能力のテスト用に開発中のエージェントが安全装置を回避し、AI プラットフォーム「Hugging Face」のシステムに侵入したと発表しました。先週後半には、OpenAI と関連するエージェントがドイツ語のプログラミングウィキに対して数千件の編集を加え、サイトの一部を利用して制限回避の方法を共有・伝達していることが明らかになりました。

バルカンスキー氏は、すでに多数の企業が AI やエージェントセキュリティ対策に注力していることを認めつつも、Cymphony の特徴はアイデンティティとデータセキュリティを別々の問題として扱うのではなく、同一課題の一部として捉えている点にあると強調しました。

この違いは、企業が業務の各所に AI エージェントをより多く導入するにつれて、重要性を増しています。比較的安定した役割と権限を持つ人間従業員とは異なり、エージェントはタスク完了のために異なる経路を選択したり、新たな機能を獲得したり、場合によっては他のエージェントを生成したりするため、人間中心に設計されたセキュリティシステムではそのアクセスを管理することが困難になっています。

「エージェントは非常に異なる存在です」とバルカンスキー氏は語り、既存のアイデンティティ管理ツールが、実行時に振る舞いや機能を変化させる可能性のあるエージェントのために設計されていないと指摘しました。

Cymphony はまた、Microsoft、Okta、CyberArk、Wiz、Varonis といった確立されたセキュリティ企業がアイデンティティ、データ、AI を巡って提供範囲を拡大する中での競争にも臨んでいます。

デケル氏は TechCrunch の取材に対し、Cymphony はすでに顧客の一部で既存のセキュリティ製品を置き換えていると明かしました。ある大企業では（詳細は伏せて）、同社が 2 つの既存ツールを統合し、3 つ目のツールの購入が必要なくなったと述べています。

しかしバルカンスキー氏は、少なくとも現時点では Cymphony の役割は代替ではなく補完的なものだと捉えています。「誰も Okta を手放すわけではありません」と彼は語り、顧客は現在、Cymphony を追加のレイヤーとして主に導入していると付け加えました。その一方で、長期的にはスタートアップが一部の専用ソリューションを置き換える可能性もあると TechCrunch に語っており、特にデータ損失防止（DLP）などの領域でそれが進むと考えられます。

Cymphony は現在、テルアビブとニューヨークに約 30 名の従業員を抱えています。顧客の多くは北米に集中していますが、Dekel 氏は TechCrunch の取材に対し、同スタートアップが欧州、中東、アフリカからの企業需要を徐々に受け始めていることを明かしました。

Cymphony がシリーズ A ラウンドを完了し、大企業向け市場への展開を進める中で、今後は「AI エージェントのセキュリティ」が大手セキュリティプラットフォームの機能の一つではなく、独立した市場として成立するものであることを証明する必要があります。Balkansky 氏は、企業が AI エージェントの活用をさらに進めるにつれて、この分野への投資は拡大していくと予測しています。

「企業側がエージェントセキュリティにお金を投じないのであれば、今後 5〜10 年の間に何にお金を使うのか、私にはわかりません」と同氏は語っています。

*当記事内のリンクを通じてご購入いただいた場合、私たちは少額のコミッションを受け取る可能性があります。ただし、これは当社の編集の独立性には影響しません。*