La sicurezza degli agenti AI di Cymphony ottiene il sostegno di Sequoia, ma il prossimo banco di prova è la piattaforma
Cymphony ha raccolto 30 milioni di dollari mentre Sequoia Capital raddoppia la propria scommessa su un problema di sicurezza creato dagli agenti AI, il cui accesso ai dati aziendali è in espansione. La piattaforma di sicurezza per agenti AI di Cymphony promette una visione unificata di dipendenti, agenti, account macchina, sistemi e informazioni sensibili.
Il totale include un round Series A da 25 milioni di dollari co-guidato da Sequoia e SMBC Fin Atlas Beyond Fund. Secondo i dettagli del finanziamento riportati, l'investimento valuta la startup con sedi a New York e Tel Aviv oltre 100 milioni di dollari dopo il round.
Il denaro conta, ma conta di più la scommessa più ampia. Cymphony deve dimostrare che proteggere software autonomo costituisce una categoria enterprise distinta. Non può restare soltanto un'altra funzionalità all'interno di piattaforme per l'identità, la protezione dei dati o la sicurezza cloud.
Microsoft, Okta, CyberArk, Wiz e Varonis occupano già porzioni di questo territorio. Altre startup stanno sviluppando controlli per agenti, server model context protocol e identità non umane. Cymphony entra in una competizione su chi controllerà il contesto di sicurezza che circonda un lavoratore AI.
La risposta della startup è un “workforce graph”, che collega identità, dati, permessi e attività in un unico modello. Il concetto affronta una lacuna pratica. Un'azienda potrebbe sapere che un agente esiste e, separatamente, sapere che un file è sensibile, ma non cogliere comunque il percorso che li collega.
Questa visibilità diventa più importante quando gli agenti ereditano l'accesso da persone, applicazioni e account di servizio. A differenza di un dipendente con un ruolo definito, un agente può seguire percorsi variabili, utilizzare strumenti aggiuntivi e agire alla velocità delle macchine.
Sequoia ritiene che questa differenza crei una nuova opportunità per una piattaforma. La questione irrisolta è se gli acquirenti enterprise siano d'accordo, oppure se i fornitori incumbent assorbiranno le stesse funzioni nei prodotti che già vendono.
Cymphony emerge con 30 milioni di dollari e una scommessa specifica sulla sicurezza
Cymphony non vende un altro inventario di strumenti AI. Vende una mappa di ciò che ogni identità umana e non umana può effettivamente raggiungere.
L'azienda è stata lanciata formalmente il 9 settembre 2026, con 30 milioni di dollari di finanziamenti complessivi. Il suo Series A ammonta a 25 milioni di dollari, dopo un investimento seed precedentemente non divulgato, guidato da Sequoia oltre due anni prima.
Sequoia e SMBC Fin Atlas Beyond Fund hanno co-guidato il nuovo round. Il finanziamento attribuisce a Cymphony una valutazione post-investimento superiore a 100 milioni di dollari.
I cofondatori Shy Dekel, Idan Berkovits ed Edi Gotlieb hanno creato l'azienda tra New York e Tel Aviv. Tutti e tre hanno frequentato in precedenza Talpiot, un programma militare israeliano incentrato su tecnologia e leadership.
Cymphony impiega ora circa 30 persone. La maggior parte dei clienti si trova in Nord America, anche se l'azienda afferma che la domanda sta iniziando a emergere in Europa, Medio Oriente e Africa.
La startup ha dichiarato a TechCrunch di aver acquisito un numero a due cifre di clienti enterprise durante il suo primo anno di vendite. Ha inoltre riferito di aver raggiunto ricavi ricorrenti annuali a sette cifre nello stesso periodo.
Tra i clienti nominati figurano KKR, Syngenta, Cass Information Systems e Athennian. Sequoia utilizza inoltre il prodotto internamente fin dalle sue prime fasi di sviluppo.
Questi dati provengono da Cymphony e non hanno ricevuto una verifica finanziaria indipendente. Tuttavia, aiutano a spiegare perché Sequoia sia passata da una scommessa seed sui fondatori a un Series A trainato dal prodotto e dai clienti.
La piattaforma di Cymphony mappa continuamente dipendenti, agenti AI, identità di servizio, applicazioni, archivi dati e relazioni di accesso. Combina poi tali relazioni con l'attività osservata e la sensibilità dei dati disponibili.
Il workforce graph risultante è concepito per rispondere a più domande contemporaneamente. I team di sicurezza possono esaminare chi o cosa dispone di accesso, quale percorso lo concede e se il comportamento genera un rischio su cui intervenire.
Cymphony utilizza agenti anche all'interno del proprio prodotto. Questi agenti indagano sulle segnalazioni, assegnano priorità alle correzioni, coordinano le attività con i dipendenti interessati e correggono automaticamente alcuni permessi.
I clienti possono utilizzare il software in larga misura autonomamente. Possono inoltre scegliere un servizio gestito che coinvolge gli specialisti della sicurezza di Cymphony nei casi più complessi.
La dichiarazione di lancio dell'azienda inquadra il problema come un passaggio dall'identificazione delle esposizioni al completamento del lavoro di sicurezza. Questa distinzione è centrale nella sua proposta.
Molti prodotti di sicurezza generano avvisi senza risolvere il percorso di accesso sottostante. Cymphony afferma che il suo sistema può collegare l'identità rischiosa, l'informazione esposta, l'azione osservata e il flusso di correzione.
Il lancio crea quindi la tensione centrale dell'articolo. Le aziende hanno chiaramente bisogno di un controllo migliore sugli accessi degli agenti, ma il solo bisogno non dimostra l'esistenza di un mercato autonomo.
Perché la sicurezza degli agenti AI di Cymphony combina identità e dati
Un record di identità non può misurare il rischio di un agente senza il contesto dei dati, mentre un'etichetta dei dati non può rivelare quale agente possa sfruttare un percorso di accesso.
La sicurezza enterprise tradizionale divide queste domande tra diverse categorie di prodotto. I sistemi di identità gestiscono account, autenticazione, ruoli e permessi. I prodotti di sicurezza dei dati classificano le informazioni, ne monitorano la circolazione e identificano esposizioni inappropriate.
Questa separazione era gestibile quando le persone svolgevano la maggior parte delle attività aziendali. I dipendenti avevano ruoli relativamente stabili, orari di lavoro prevedibili e schemi di accesso riconoscibili.
Gli agenti AI indeboliscono queste assunzioni. Un agente può agire per conto di un dipendente, un'applicazione, un reparto o un processo automatizzato. I suoi permessi effettivi possono derivare contemporaneamente da varie di queste fonti.
Un agente può inoltre utilizzare autorizzazioni OAuth, application programming interfaces, sessioni browser, connettori e permessi ereditati sui file. Ogni percorso può sembrare legittimo se esaminato separatamente.
Il rischio emerge dalla loro combinazione. Un agente approvato potrebbe ereditare l'accesso di un dipendente a documenti condivisi eccessivamente anni prima. Può quindi cercare in quei documenti più velocemente di quanto avrebbe mai potuto fare il dipendente.
Il workforce graph di Cymphony tenta di ricostruire questo contesto combinato. Collega l'attore, l'identità delegata, il sistema raggiungibile, i dati sensibili e l'attività risultante.
Questo non sostituisce l'autenticazione. Aggiunge un livello che spiega cosa possono fare le identità autenticate tra sistemi che mantengono registri separati.
Si consideri un dipendente che collega un assistente AI a SharePoint. Il dipendente dispone di credenziali valide, mentre l'assistente riceve un'autorizzazione valida. SharePoint contiene inoltre file con accesso permissivo ereditato da un vecchio progetto.
Nessun singolo componente appare necessariamente guasto. Il fallimento della sicurezza risiede nel modo in cui i componenti interagiscono.
Cymphony afferma di aver trovato circa 85.000 file accessibili a strumenti e agenti AI presso una società statunitense quotata in borsa. La startup afferma di aver contribuito a chiudere l'esposizione e di aver verificato che tali sistemi non avessero avuto accesso ai file.
Il cliente non è stato identificato, quindi gli esterni non possono valutare in modo indipendente l'indagine. L'esempio resta utile perché illustra l'unità di analisi prevista dal prodotto: un percorso di accesso sfruttabile, non un avviso isolato.
In un altro caso, un collaboratore esterno avrebbe installato un'istanza non autorizzata di Claude di Anthropic. L'istanza ha utilizzato l'accesso esistente del collaboratore per analizzare migliaia di file sensibili.
Questo scenario è più difficile che bloccare un'applicazione non approvata. Il collaboratore possedeva già un accesso legittimo, mentre il sistema AI ha aumentato enormemente la scala delle possibili scoperte.
Cymphony ha inoltre descritto un cliente in cui il collegamento di ChatGPT a SharePoint ha esposto documenti sensibili relativi a contenziosi a stagisti. La causa sottostante sarebbe stato un errore accidentale nei permessi.
Questi esempi indicano lo stesso meccanismo. L'AI non deve aggirare un controllo di accesso quando un permesso esistente apre già la porta.
La tesi sulla sicurezza degli agenti AI di Cymphony è che le aziende abbiano bisogno di una correlazione continua tra identità, dati e comportamento. Revisioni occasionali dei permessi non possono tenere il passo con agenti che cambiano attività o capacità durante il funzionamento.
Sequoia presenta la stessa argomentazione nella propria tesi di investimento. Afferma che sicurezza dell'identità e dei dati non sono più separabili quando sistemi autonomi iniziano ad agire per i dipendenti.
Questa posizione è plausibile, ma resta l'argomentazione di un investitore. Cymphony deve dimostrare che il suo graph rimanga accurato tra applicazioni, connettori, account e modelli di permesso in evoluzione.
Un'integrazione mancante può nascondere un percorso di accesso. Dati obsoleti possono far apparire attivo un problema già corretto, oppure far sembrare sicura una nuova esposizione.
Il graph non è quindi prezioso semplicemente perché raccoglie più informazioni. Il suo valore dipende dal fatto che ricostruisca relazioni attuali e significative meglio dei sistemi di sicurezza esistenti.
Gli agenti AI trasformano vecchi errori nei permessi in rischi attivi
Gli agenti AI rendono più rilevanti i tradizionali fallimenti nel controllo degli accessi perché possono cercare, combinare e agire sulle informazioni esposte senza i limiti della consultazione umana.
File condivisi eccessivamente, account amministratore dimenticati e permessi applicativi eccessivi non sono novità. I team di sicurezza gestiscono questi problemi da anni attraverso strumenti di governance delle identità, prevenzione della perdita di dati e accesso cloud.
Gli agenti modificano le condizioni operative attorno a queste debolezze. Possono ispezionare più sistemi, eseguire più passaggi e ripetere attività in modo continuativo.
Un dipendente potrebbe non scoprire mai una cartella sensibile sepolta in un repository di documenti. Un assistente AI progettato per raccogliere informazioni può trovarla durante una richiesta di routine.
Un dipendente potrebbe accorgersi che un'azione richiesta sembra insolita. Un agente può procedere perché il suo flusso di lavoro interpreta l'accesso valido come autorizzazione sufficiente.
È qui che capacità e rischio diventano strettamente collegati. Le funzionalità che rendono prezioso un agente ampliano anche le conseguenze di un permesso errato.
Gli agenti possono chiamare strumenti, recuperare documenti, aggiornare record, scrivere codice e attivare processi aziendali. Ogni capacità introduce un ulteriore percorso tra identità e dati aziendali.
La delega crea un'altra complicazione. Un agente può agire tramite l'account di un dipendente, un'identità di servizio condivisa o la propria credenziale macchina. I record di audit possono rendere poco chiaro quale richiesta umana abbia prodotto l'azione finale.
Alcuni sistemi consentono inoltre agli agenti di invocare altri agenti o acquisire strumenti durante un'attività. La catena risultante può attraversare diversi confini di sicurezza prima di raggiungere una risorsa finale.
Un modello convenzionale basato sui ruoli presuppone che gli amministratori possano definire un insieme stabile di permessi per un ruolo stabile. Il comportamento degli agenti può variare in base a prompt, contesto, strumenti disponibili e risultati intermedi.
Questo non significa che ogni agente agisca in modo imprevedibile. Significa che il solo permesso fornisce una descrizione incompleta del suo rischio effettivo.
I team di sicurezza affrontano anche uno squilibrio di velocità. Un revisore umano potrebbe impiegare ore per indagare su un modello di accesso insolito. Un sistema automatizzato può elaborare migliaia di record nello stesso periodo.
Cymphony vuole colmare questo divario con indagini e correzioni automatizzate. L'azienda afferma che i suoi agenti possono tracciare gli accessi, classificare le esposizioni e contribuire a correggere i permessi.
Questa progettazione introduce un compromesso significativo. Le imprese potrebbero usare un gruppo di agenti per controllarne un altro, ottenendo velocità ma creando al contempo un nuovo livello di automazione privilegiata.
Un agente di remediation necessita dell'autorizzazione per modificare account o policy di accesso. Errori all'interno di quel sistema potrebbero interrompere attività legittime o rimuovere l'accesso a servizi critici.
Le organizzazioni avranno quindi bisogno di confini di approvazione, procedure di rollback e registri di audit chiari. La remediation automatizzata dovrebbe rimanere spiegabile alle persone responsabili di ciascun sistema interessato.
Questa sfida rientra nel più ampio framework sui rischi dell'AI sviluppato dal National Institute of Standards and Technology degli Stati Uniti. Controlli efficaci richiedono misurazione e gestione continue, non una singola decisione di implementazione.
Per gli acquirenti enterprise, la pressione immediata ricade sui responsabili della sicurezza delle informazioni e sui team che gestiscono le identità. Le unità aziendali vogliono agenti connessi a dati interni utili, mentre i team di sicurezza restano responsabili delle conseguenze.
Rifiutare ogni connessione rallenta l'adozione. Approvare connessioni senza contesto crea un'esposizione che le dashboard esistenti potrebbero non rilevare.
La proposta di Cymphony presenta la sicurezza come il meccanismo che consente alle aziende di implementare più agenti. Questa impostazione è commercialmente attraente perché collega la spesa per i controlli all'adozione dell'AI.
La questione più difficile è se Cymphony possa distinguere con coerenza l'attività utile degli agenti da una portata dannosa. Un percorso di accesso può essere ampio senza essere inappropriato, a seconda dell'attività e del contesto aziendale.
Il contesto specifico del cliente conta. Un analista finanziario, un consulente legale, un agente software e un assistente di supporto possono interagire con sistemi simili per ragioni molto diverse.
Un punteggio di rischio accurato richiede più della connettività tecnica. Richiede anche informazioni affidabili su proprietà, finalità, sensibilità e comportamento atteso.
L'approccio basato sul grafo dell'azienda le offre un modo coerente per combinare questi segnali. L'implementazione enterprise determinerà se il grafo contiene contesto sufficiente a supportare decisioni reali.
Il Mercato È Già Affollato Attorno allo Stesso Punto di Controllo
Cymphony corre per definire una categoria mentre vendor affermati e altre startup si espandono verso lo stesso confine tra identità, dati e sicurezza degli agenti.
Microsoft controlla già prodotti di identità, produttività, cloud e sicurezza all'interno di molte grandi aziende. Questa distribuzione le offre diversi punti in cui aggiungere il monitoraggio degli accessi specifico per gli agenti.
Okta e CyberArk occupano posizioni solide nell'identità e nell'accesso privilegiato. Wiz connette risorse cloud, configurazioni, identità e dati tramite un grafo di sicurezza.
Varonis è specializzata nell'accesso ai dati e nella relativa esposizione. Ogni azienda affronta il problema partendo da una base installata differente, ma nessuna deve iniziare da zero.
Cymphony sostiene che queste categorie lascino lacune perché trattano separatamente identità e informazioni sensibili. La sua piattaforma mira a rendere centrale la loro relazione.
Un incumbent può rispondere diversamente. Un grande vendor può aggiungere identità degli agenti, segnali comportamentali e contesto dei dati a una piattaforma già utilizzata dai clienti.
Questa risposta renderebbe gli acquisti più semplici. Le imprese preferiscono evitare un'altra console, un progetto di integrazione, una revisione della sicurezza e un contratto quando un fornitore esistente offre una copertura adeguata.
Cymphony ha quindi bisogno di più di una visualizzazione migliore. Deve individuare rischi che gli incumbent non rilevano, produrre meno avvisi di scarso valore e abbreviare il percorso dal rilevamento alla remediation.
La startup deve affrontare anche specialisti emergenti. Astrix Security si è concentrata sulle identità non umane e sulle connessioni tra applicazioni. Operant AI ha sviluppato controlli runtime per agenti e traffico model context protocol.
AIR ha raccolto finanziamenti per aiutare le imprese a valutare le skill e gli add-on utilizzati dagli agenti. Il suo approccio considera i componenti degli agenti come una supply chain software che richiede una verifica continua.
Il recente finanziamento di AIR dimostra che gli investitori stanno sostenendo diversi punti di controllo attorno all'implementazione degli agenti. Il mercato non si è ancora stabilizzato su un'unica architettura.
Alcune aziende daranno priorità all'applicazione dei controlli runtime. Altre si concentreranno sulla gestione del ciclo di vita delle identità, sull'approvazione degli strumenti, sull'accesso ai dati, sulla scoperta degli agenti o sull'auditabilità.
Cymphony scommette che un grafo di contesto unificato possa connettere queste esigenze. Potrà così diventare il livello in cui i team di sicurezza valutano il rischio e coordinano le azioni.
Il partner di Sequoia Bogomil Balkansky descrive oggi Cymphony come complementare ai principali prodotti di identità. Ha dichiarato a TechCrunch che è improbabile che i clienti rimuovano Okta solo perché implementano Cymphony.
Questa ammissione chiarisce l'attuale posizionamento dell'azienda. Cymphony è principalmente un ulteriore livello di controllo, anche quando consolida prodotti puntuali selezionati.
Dekel afferma che la piattaforma ha già sostituito alcuni strumenti presso i clienti. In una grande impresa non nominata, Cymphony avrebbe consolidato due prodotti ed evitato l'acquisto di un terzo.
L'affermazione non offre dettagli sufficienti per confrontare copertura, costi di implementazione o risultati operativi. Tuttavia, delinea il percorso di espansione che il management vuole sottoporre a investitori e clienti.
Cymphony può iniziare come strumento di visibilità degli accessi AI. Può poi passare all'igiene delle identità, alla gestione dell'esposizione dei dati, alla remediation automatizzata e a funzioni selezionate di prevenzione della perdita di dati.
Questo percorso aumenta anche la pressione competitiva. Ogni funzione adiacente avvicina la startup a un vendor ben finanziato con integrazioni e relazioni con i clienti già esistenti.
La sfida centrale non è Cymphony contro una singola azienda nominata. È un livello di contesto autonomo contro suite di sicurezza che assorbono i controlli degli agenti.
Cymphony vince questa sfida se il comportamento degli agenti crea relazioni che i vendor di suite non riescono a modellare con precisione. Perde se gli acquirenti accettano il supporto agli agenti come un'altra casella da spuntare nelle piattaforme esistenti.
La fase successiva dipenderà dalle evidenze di implementazione. L'espansione presso i clienti, la riduzione misurabile del rischio e la sostituzione della spesa esistente contano più del numero di identità rilevate.
Un mercato affollato non invalida il bisogno. Alza il livello richiesto per dimostrare che tale esigenza supporta un'azienda indipendente.
Il Secondo Investimento di Sequoia Aumenta l'Onere della Prova
Il rinnovato sostegno di Sequoia convalida i progressi di Cymphony, ma la convinzione degli investitori non può dimostrare l'accuratezza del prodotto né l'esistenza di una categoria enterprise duratura.
La società di venture capital aveva guidato il seed round di Cymphony prima che la startup avesse un prodotto o una direzione definita. Balkansky ha affermato che la decisione originaria si basava in larga misura sui fondatori.
Alla Series A, Sequoia disponeva di maggiori evidenze. Cymphony aveva sviluppato software, acquisito clienti enterprise, generato ricavi ricorrenti ed esteso l'utilizzo negli account esistenti.
Sequoia è diventata anche cliente. Questo offre all'investitore un'esperienza diretta del prodotto, sebbene non sostituisca una valutazione indipendente in ambienti più grandi e complessi.
Il rapporto crea un contrasto utile. L'investimento seed era principalmente una scommessa sul team, mentre la Series A riflette l'esecuzione commerciale iniziale.
Aumenta anche le aspettative. Una valutazione superiore a 100 milioni di dollari presuppone che Cymphony possa crescere oltre un piccolo gruppo di design partner e primi adottanti.
Le grandi imprese introducono condizioni di integrazione difficili. Utilizzano più provider di identità, unità aziendali acquisite, directory legacy, applicazioni personalizzate e controlli regionali sui dati.
I loro registri di accesso possono contenere identità duplicate, account abbandonati, gruppi annidati e dati di proprietà in conflitto. Costruire un grafo affidabile in questo ambiente richiede una riconciliazione costante.
La scoperta degli agenti crea un'altra sfida. Gli agenti autorizzati possono risiedere in piattaforme approvate, mentre i sistemi non autorizzati arrivano tramite strumenti browser, account di consulenti e connessioni individuali alle applicazioni.
La visibilità non sarà mai perfetta. Cymphony deve dimostrare che anche una copertura incompleta produce decisioni che migliorano la sicurezza.
I falsi positivi possono compromettere questo obiettivo. I team di sicurezza gestiscono già grandi volumi di avvisi e un ulteriore flusso di percorsi di accesso teorici può trasformarsi in rumore di fondo.
I falsi negativi creano il problema opposto. Una piattaforma che dichiara visibilità unificata può generare una fiducia mal riposta se sistemi importanti restano fuori dalle sue integrazioni.
La remediation automatizzata aumenta entrambi i rischi. Rimuovere rapidamente accessi inappropriati può ridurre l'esposizione, ma una modifica errata può interrompere un processo aziendale.
L'azienda deve quindi dimostrare in modo indipendente diversi elementi. Ha bisogno di un matching accurato delle identità, di una classificazione dei dati aggiornata, di un contesto comportamentale significativo e di controlli di remediation sicuri.
Deve inoltre dimostrare che i clienti continuano a usare il prodotto dopo il progetto iniziale di sicurezza AI. L'espansione tra i clienti attuali è incoraggiante, ma la fidelizzazione lungo diversi cicli di rinnovo offrirà una verifica più solida.
Gli esempi pubblici di Cymphony restano case study riportati dall'azienda stessa. Le organizzazioni non nominate e i dettagli tecnici limitati rendono difficile una valutazione indipendente.
Questa limitazione è normale per un'azienda di sicurezza agli inizi che protegge la riservatezza dei clienti. Gli acquirenti dovrebbero comunque richiedere revisioni architetturali, chiamate con referenze, prove circoscritte e criteri di successo misurabili.
Una valutazione utile confronterebbe le esposizioni rilevate con gli strumenti esistenti. Misurerebbe inoltre il tempo di indagine, la riduzione del rischio confermata, l'accuratezza della remediation e la copertura delle applicazioni.
L'approccio di Cymphony alla sicurezza degli agenti AI non dovrebbe ricevere uno standard probatorio inferiore perché gli agenti sono nuovi. La novità della minaccia aumenta la necessità di una validazione accurata.
Il coinvolgimento di Sequoia aiuta Cymphony ad assumere personale, integrarsi ed entrare negli account enterprise. Non stabilisce se la startup diventerà un sistema di riferimento o un overlay temporaneo.
L'argomento più forte dell'azienda è operativo. Gli strumenti per identità e dati spesso lasciano agli analisti di sicurezza la responsabilità di ricostruire il contesto attraverso sistemi separati.
Se Cymphony completa in modo affidabile questa ricostruzione e coordina la remediation, può diventare proprietaria di un workflow di valore. Se si limita principalmente ad aggregare segnali, gli incumbent possono riprodurre gran parte dell'esperienza.
Questo è il vero onere creato dal nuovo finanziamento. Cymphony deve trasformare un'intuitiva preoccupazione per la sicurezza in risultati per i clienti ripetibili e difendibili.
Tre Segnali Mostreranno se Cymphony Diventerà una Piattaforma
L'espansione presso i clienti, le risposte degli incumbent e una riduzione del rischio dimostrata in modo indipendente determineranno se Cymphony dominerà una categoria o fornirà una funzionalità temporanea.
Il primo segnale è l'espansione presso clienti enterprise nominati. Cymphony ha dichiarato di avere un numero di clienti a doppia cifra e ricavi ricorrenti annuali a sette cifre nel suo primo anno di vendite.
Si tratta di traguardi credibili per una fase iniziale, ma rivelano poco sulla profondità dell'implementazione. La domanda più importante è se i clienti connettano sistemi, identità, archivi dati e piattaforme per agenti aggiuntivi.
Implementazioni più ampie rafforzerebbero il grafo di Cymphony. Indicherebbero inoltre che i clienti affidano alla piattaforma visibilità privilegiata e workflow di remediation.
I rinnovi conteranno man mano che i contratti matureranno. Un'espansione continua sosterrebbe l'affermazione secondo cui l'accesso degli agenti richiede un livello di controllo persistente, non una valutazione di sicurezza una tantum.
Il secondo segnale è il modo in cui rispondono i vendor incumbent. Microsoft, Okta, CyberArk, Wiz e Varonis hanno tutti percorsi plausibili per entrare in questo mercato.
Nuovi oggetti di identità specifici per gli agenti, grafi di accesso multipiattaforma o funzioni di remediation automatizzata convaliderebbero il problema, aumentando al contempo la pressione competitiva.
Se gli acquirenti ricevono controlli sufficienti attraverso i contratti esistenti, la posizione autonoma di Cymphony si indebolisce. Se tali controlli restano frammentati, il suo modello unificato diventa più attraente.
Le acquisizioni offrirebbero un altro indizio. I fornitori più grandi potrebbero acquistare specialisti per accelerare le proprie capacità, mentre i clienti potrebbero rinviare le decisioni di acquisto durante il consolidamento.
Il terzo segnale è una performance di sicurezza verificabile in modo indipendente. Le scoperte riportate da Cymphony illustrano un potenziale valore, ma il mercato ha bisogno di prove ripetibili.
Gli acquirenti dovrebbero cercare riduzioni documentate degli accessi eccessivi, dei tempi di indagine, delle segnalazioni irrisolte e della durata dell'esposizione. Dovrebbero inoltre esaminare i falsi positivi e le revoche delle correzioni.
La copertura merita altrettanta attenzione. Un grafo che mappa solo applicazioni selezionate non può supportare una visione completa, indipendentemente dalla chiarezza con cui presenta dati connessi.
Cymphony deve inoltre dimostrare come gestisce agenti in rapida evoluzione. Un'identità può acquisire un nuovo strumento, ricevere autorità delegata o operare nel contesto di un dipendente diverso.
La rivalutazione continua è essenziale perché un'autorizzazione sicura può diventare rischiosa dopo la modifica di un'altra autorizzazione, applicazione o fonte dati.
La direzione di prodotto dell'azienda corrisponde a un autentico problema aziendale. Le organizzazioni stanno concedendo maggiore autorità al software mentre i controlli esistenti restano organizzati attorno alle persone e a categorie tecnologiche separate.
Tuttavia, un problema reale non garantisce un unico modello di prodotto vincente. Gateway runtime, piattaforme di identità, strumenti di sicurezza dei dati e grafi di contesto possono tutti conquistare una parte del budget.
Per i responsabili della sicurezza, la risposta pratica è testare i percorsi di accesso anziché accettare le rivendicazioni di categoria. Iniziate dagli agenti connessi a repository sensibili e sistemi aziendali.
Identificate quale identità umana autorizza ciascun agente. Tracciate ogni credenziale delegata, set di dati raggiungibile, strumento disponibile e azione che l'agente può eseguire.
Poi stabilite se i prodotti esistenti possono unire questi fatti in un'unica indagine utile. Quel divario, se persiste, definisce l'opportunità che Cymphony intende conquistare.
Per sviluppatori e knowledge worker, la questione è altrettanto diretta. L'utilità di un agente dipende dal contesto, ma ogni fonte aggiuntiva amplia ciò che l'agente può esporre o utilizzare impropriamente.
I team dovrebbero considerare l'accesso degli agenti come autorità delegata, non come una comoda impostazione di integrazione. I responsabili devono capire a cosa un agente può accedere prima di fare affidamento su ciò che produce.
I prossimi mesi mostreranno se Cymphony trasformerà lo slancio del lancio in un utilizzo più profondo in produzione. L'espansione dei clienti rafforzerebbe la tesi di piattaforma di Sequoia.
Le funzionalità integrate degli operatori storici indebolirebbero il caso per una soluzione autonoma. Prove indipendenti di una correzione più rapida e sicura offrirebbero il supporto più chiaro per la sicurezza degli agenti AI di Cymphony.
La domanda per gli acquirenti aziendali non è più se gli agenti AI necessitino di controlli. È se Cymphony possa diventare la mappa affidabile che collega ogni agente, identità, sistema e file sensibile.
