Act Security、行動中心型クラウド防御で6000万ドルを調達してローンチ

Google Newsの見出しは、Cormaが防御的サイバーセキュリティAIのために6000万ドルを調達してローンチしたと事実であるかのように伝えたが、それは誤りである。リンク先の報道が扱っているのは、ステルス状態から脱して6000万ドルを調達し、クラウドセキュリティプラットフォームを発表した別企業、Act Securityだ。

この違いは記事の意味を大きく変える。Cormaはパリを拠点に、ソフトウェアアクセス、IDガバナンス、ライセンス管理のツールを開発している。一方、Act Securityは、人間の攻撃者やAIエージェントに悪用される前に危険なクラウド権限を削減することに注力している。

この誤りは、読者、出版社、自動化された調査システムにとって、より大きな問題も浮き彫りにする。もっともらしい見出しは、誤った企業名と実在する資金調達イベントを組み合わせ、食い違いを明らかにする十分な文脈なしに集約フィードを通じて広まる可能性がある。

もっとも、Act Securityの元となった発表自体は重要だ。同社のプラットフォームは、脆弱性を見つけ、アラートを生成し、チームに結果の優先順位付けを求めるという既存のセキュリティモデルに挑戦する。Actは、そうした弱点を利用可能な攻撃経路へと変えてしまうアクセスパスを取り除こうとしている。

Google Newsの見出しが誤っていた点

資金調達イベントは実在するが、提示された見出しで社名として挙げられた企業は、資金を調達した企業ではない。

この見出しはCormaを、6000万ドルを調達してローンチした防御的サイバーセキュリティAIのスタートアップとして扱っていた。しかし、リンク先はSiliconANGLEの記事とされており、同社の検証済みの7月28日付レポートはAct Securityを取り上げている。

元記事によれば、Act Securityは2回のラウンドを通じて6000万ドルを調達した。その内訳は、これまで非公開だった2000万ドルのシード投資と、4000万ドルのシリーズAである。

シードラウンドはTeam8とBessemer Venture Partnersが主導し、CaltechとHetz Venturesが参加した。シリーズAはNotable Capitalが主導し、Startpoint CapitalとSVCIも参加している。

Act Securityは資金調達の開示と同時に公開ローンチした。同社は、自社製品を、人間のID、ソフトウェアサービス、自律型AIエージェントが存在する環境向けに設計された、行動中心型のクラウドセキュリティプラットフォームと説明している。

Cormaは別の欧州ソフトウェア企業だ。同社の製品ドキュメントによれば、ITチームによるSaaSアプリケーションの管理、アクセス申請の検証、ソフトウェア利用の監視、未使用ライセンスの回収を支援している。

同ドキュメントでは、Cormaの創業者をHéloïse Rozès、Samuel Bismut、Nikolai Fommとしている。フランスで2023年に設立され、2025年後半に420万ドルを調達したとしている。

これらの詳細は、提示された見出しと直接矛盾する。創業者、資金調達の経緯、製品、法人所在地のいずれも異なることを示している。

Cormaは、IDおよびアクセスガバナンス市場に近い領域で事業を展開している。同社のプラットフォームは、組織がアプリケーションを発見し、アクセスを見直し、不必要なソフトウェア露出を減らすのに役立つ。この重なりにより、完全に無関係な企業名への置き換えよりも、誤った見出しはもっともらしく見える。

しかし、隣接する市場にいるからといって両社を同一視できるわけではない。Cormaは組織全体のソフトウェアアクセスと利用状況を管理する。Act Securityは、クラウド環境内でIDやエージェントが使用できるインフラストラクチャの経路を分析・制限するとしている。

検証済みのCormaの発表には、同社が6000万ドルを調達した、あるいはSiliconANGLEが説明したプラットフォームをローンチしたという主張を裏付けるものはない。Cormaの公開資料は、むしろ同社をパリ拠点のアクセスおよびライセンスガバナンス企業として引き続き紹介している。

したがって、最も妥当な解釈は、メタデータ、集約、または上流でのラベリングにおける誤りだ。現時点で利用可能な証拠では、その誤りが流通経路のどこで入り込んだかを正確に確定できない。

この違いは重要だ。集約ラベルは、ニュースレター、監視ダッシュボード、自動化された記事パイプラインの入力となることが多い。誤った主体がこうしたシステムに入ると、後続の要約はリンク先の記事を確認しないままそれを繰り返す可能性がある。

したがって、検索結果は発見の手掛かりであり、最終的な証拠ではない。資金調達に関する主張が公開可能な事実となる前に、出版社のページ、企業の発表、識別可能な法人記録が一致していなければならない。

Act Securityが今、6000万ドルを調達した理由

Act Securityは、自律型エージェントが従来のクラウド権限を管理上の雑多な問題から、直ちに悪用可能なインフラへと変えると見ている。

Actは設立から約1年後の2026年7月28日、ステルス状態から脱した。資金調達の発表では、同社を行動中心型クラウドセキュリティの提供企業としている。

創業チームは以前、Clarotyに買収された医療機器セキュリティ企業Medigateを立ち上げた。この経歴はActの投資家に具体的な事業運営の実績を示すものだが、新プラットフォームの性能を独立して裏付けるものではない。

Actのタイミングは、AIエージェントの急速な導入を中心に据えている。AIエージェントとは、接続されたアプリケーション、クラウドサービス、プログラミングインターフェースを通じて、複数段階のアクションを計画・実行できるソフトウェアのことだ。

従来のアシスタントとは異なり、エージェントは人が確認するためのテキストを生成するだけではない。付与された認可を用いて、ツールの呼び出し、データ取得、ファイル変更、インフラ作成、ワークフローの実行が可能だ。

この能力は価値を生む一方、過剰なアクセス権がもたらす結果も変える。人間の従業員は、未使用の権限を数か月間まったく使わないことがある。自律的なプロセスなら、同じ権限を単一のワークフロー中に発見し、行使できる。

Actの最高経営責任者Jonathan LangerはSiliconANGLEに対し、AIエージェントは古い人間の権限を継承しながら、継続的かつ機械の速度で稼働すると語った。同社は、この組み合わせによって露出から悪用までの時間が短縮されると主張している。

このスタートアップによれば、クラウド権限のおよそ97%は休眠状態にある。この数値は企業側の主張であり、ここで引用した報道によって独立に確認された調査結果ではない。

この正確な割合を受け入れなくとも、根底にあるアクセスの問題はよく知られている。組織では、従業員の役割変更、契約社員の業務完了、サービスの再構成、アプリケーションへの新たな統合追加に伴い、権限が蓄積することが常態化している。

クラウドプラットフォームには、人間以外のIDも存在する。これには、サービスアカウント、ワークロードID、自動化トークン、デプロイメントシステム、アプリケーションプログラミングインターフェースの認証情報が含まれる。

こうしたIDは、チームがデプロイ時に信頼性の高い運用を優先するため、広範な権限を持つことがある。後からアクセスを削除するには、本番サービスが停止しないという確信が必要になる。

AIエージェントは、この過密な環境にさらに別のIDクラスを加える。人間の認証情報、専用サービスアカウント、委任された認可、あるいはエージェントプラットフォームが提供する接続を利用する場合がある。

それぞれのパターンは、異なる監査証跡と障害モードを生む。とはいえ、いずれも組織が、エージェントに必要な操作と、決して実行させてはならない操作を把握していることに依存する。

これが、Actの資金調達が単なる防御的AIに関する新たな発表以上の意味を持つ理由だ。同社は、認証情報や脆弱性が利用可能になった後に、自動化されたアクションが成功するかどうかを決める認可レイヤーを狙っている。

同社の論点は、既存のセキュリティガイダンスとも整合する。NISTのゼロトラストフレームワークは、ネットワーク上の場所だけに基づく暗黙の信頼を退け、リソースに焦点を当てたアクセス判断を重視している。

最小権限はこのアプローチの中核だ。これは、各人、アプリケーション、プロセスに対し、割り当てられたタスクに必要な認可だけを与えることを意味する。

Actはこの原則を、2026年特有の懸念に結び付けている。すなわち、エージェントは継承した従業員の権限よりも速く、広範に行動できるという点だ。投資家は、企業がエージェントの導入を拡大する前に新たな制御を必要とする可能性に資金を投じている。

このタイミングは、セキュリティアラートの量に対する不満も反映している。クラウドセキュリティ製品は、露出したサービス、危険な設定、脆弱なソフトウェア、過剰な権限を特定できる。それでもセキュリティチームは、何に即時対応すべきかを判断しなければならない。

Actは、自社プラットフォームが、孤立した弱点をすべて列挙するのではなく、到達可能な経路に対処することで、その意思決定の負担を減らせると主張する。実用的な価値は、正当な業務を妨げずにそうした経路を除去できるかにかかっている。

Google Newsは自動公開における検証の問題を示している

この見出しの誤りは、集約レイヤーが、主張を実際の対象から切り離しながらも権威性の外観を保ち得ることを示している。

Google Newsは読者が多くの出版社の報道を見つけるのに役立つが、情報源の連鎖にGoogle Newsが含まれていても、すべての見出しフィールドを独立に確認することにはならない。Google Newsは、最終的には出版社のページと機械可読なメタデータに依存する素材を整理し、案内する。

この違いはRSSワークフローでは見落とされやすい。フィード項目には、見出し、出版社ラベル、日付、エンコードされた遷移先URLが含まれることが多い。自動化システムは、これらのフィールドを完全なイベント記録として扱う可能性がある。

ここでは、それによって説得力はあるが誤った記録が生成される。金額、業界、ローンチという枠組み、出版社はいずれも実在する記事に結び付いている。誤っているのは企業のIDだけだが、それこそが記事全体を組み立てる中心的な事実である。

この誤りは、複数の処理段階を通過し得る。トピック生成ツールはCormaのスラッグを作るかもしれない。キーワードシステムはCorma関連のフレーズを選ぶかもしれない。その後、執筆者がActの実在する資金調達の詳細と、Cormaの正規のアクセス管理製品を混ぜ合わせる可能性がある。

その結果は、多くの真実の文を含みながら、誤ったイベントを伝えるものになる。これは、明らかに捏造された企業や、あり得ない資金調達額よりも見つけにくい失敗だ。

その防御策となるのがエンティティ解決である。エンティティ解決とは、異なる情報源からの名前や記録が、同じ現実世界の組織を指しているかどうかを判断するプロセスだ。

信頼できる確認では、企業名、公式ドメイン、創業者、本社所在地、製品カテゴリ、資金調達ステージ、投資家、発表日を比較する。属性が1つ一致するだけでは不十分だ。

提示されたイベントは、この比較にすぐ失敗する。Cormaの公式ドメインは、Rozès、Bismut、Fommが設立したフランス企業を説明している。Actの発表は、元Medigateチームが設立した別のセキュリティ企業を説明している。

製品に関する表現も異なる。CormaはSaaS管理、IDガバナンス、アクセスレビュー、ソフトウェアの発見、ライセンス効率を重視する。Actはクラウドインフラ、アクセス経路、決定論的な境界、エージェント権限を重視する。

リンクをたどる人間の編集者なら、おそらくこの置き換えに気付くだろう。フィードのタイトルだけを要約するシステムは、気付かないかもしれない。

これは、AIを使ってテクノロジーニュースを監視するチームに直接的な教訓を与える。パイプラインが各主張からその裏付けとなる情報源への連鎖を維持できないなら、取得速度に大きな価値はない。

検索可能な技術ナレッジベースは、チームがソース文書を保持し、主張を比較する助けになる。しかし、保存だけで取り込み時のエンティティ確認に取って代わることはできない。

システムは資金調達に関する主張を、構造化された記録として扱うべきだ。企業名、金額、ラウンド、主要投資家、発表日、ソースURLは、それぞれ別のフィールドとして保持する必要がある。

これらのフィールドは、掲載先ページと公式発表を照合できる。企業名が一致しない場合、その項目は自動的に進めず、レビューキューに入れるべきだ。

同じルールは、公開後に見出しが変更された場合にも適用される。アグリゲーターには以前のタイトルが残る一方、掲載先の記事では更新後のタイトルが表示されていることがある。編集者が差異を理解するには、収集時のタイトルと現在の出版社側タイトルの両方が必要になる。

これはGoogle Newsの結果にとりわけ重要だ。同プラットフォームに掲載されていることは、二次的な裏付けのように見える場合がある。だが実際には、表示された複数の記事が、単一の発表または誤ったメタデータ記録にたどり着く可能性がある。

主張単位での重複排除も重要だ。同じプレスリリースを繰り返す3つのページがあっても、独立した3件の確認にはならない。

この事案では、出版社の報道とActの発表は、企業名、資金調達総額、ローンチ日、製品の位置づけで一致している。Corma自身の資料は、提供された見出しにある企業帰属と矛盾している。

この証拠は、事象の主体を訂正するには十分だ。ただし、Google、出版社のフィード、または別の上流コンポーネントのどれが、当初誤ったタイトルを生成したのかを判断するには不十分である。

Actの真の競合はアラート先行型クラウドセキュリティ

Actが主に対抗しているのはCormaではない。リスクを可視化しても、対応を過負荷状態のチームに委ねるセキュリティシステムに挑んでいる。

従来のクラウドセキュリティツールは、多くの場合、可視化から始まる。資産を棚卸しし、設定をスキャンし、脆弱なコンポーネントを特定し、アイデンティティをマッピングし、検出事項に優先順位を付ける。

こうした機能は依然として必要だ。セキュリティチームは、識別できないリソースを保護できない。また、基盤となるマップが不完全な場合、自動修復は危険になり得る。

問題は検知後に生じる。大企業は、開発、アイデンティティ、インフラ、コンプライアンスの各システムにまたがって、数千件の検出事項を受け取る可能性がある。

各検出事項には文脈が必要だ。チームは、資産が公開されているか、攻撃者が到達できるか、その権限が使われているか、変更によって本番環境が混乱しないかを把握する必要がある。

Actは、アイデンティティ、ネットワーク、リソースを結ぶアクション経路から着手すると説明する。そして、攻撃者やエージェントが環境内を移動できる条件を取り除こうとする。

たとえば、修理のために一時的にデータベースアクセスを付与された請負業者を考えてみよう。後のワークフローを壊すリスクを誰も負いたくないため、業務終了後もアカウントが有効なまま残ることがある。

アラート先行型の製品は、その権限にフラグを立てられる。アクション中心の製品は、そのアクセスを安全に取り消し、または制限できるかを判断したうえで、その制限が徐々に緩まないよう維持しなければならない。

本番環境は絶えず変化するため、後者の課題はより難しい。インフラコードは更新され、サービスは再デプロイされ、チームは統合を追加し、緊急時の権限は恒久化する。

Actは、自社プラットフォームがアクセス境界を継続的に検証するとしている。また、開発から本番環境へコード変更を移す継続的インテグレーションおよびデプロイメントのパイプラインとも統合する。

この統合により、設定が稼働中の環境に到達する前に、セキュリティポリシーが介入できる。同社は、確立されたアクセス境界に違反する変更をブロックできると主張している。

このアプローチは、インフラポリシーの強制、アイデンティティガバナンス、ネットワークセグメンテーション、クラウドポスチャ管理に似ている。Actの差別化は、個別の検出事項を提示するのではなく、到達可能なアクションを中心にこれらの機能を統合できるかにかかっている。

このスタートアップは、アイデンティティ、ネットワーク、AIアクセスをまとめて評価するとしている。到達可能なサービスが別の認証情報やネットワーク経路を提供する場合、一見限定的な権限でも危険になり得るため、これは重要だ。

1つのコンポーネントを侵害した攻撃者は、しばしば横方向の移動を試みる。横方向の移動とは、最初の足がかりを利用し、環境内の追加システムに到達することを意味する。

Actは、侵入が起こる前にこうした経路を制限したい考えだ。攻撃者が1つのワークロードを侵害しても、権限が厳密に制限されていれば、そのワークロードが次にアクセスできる範囲を減らせるはずだ。

AIエージェントは、悪意がなくても偶発的な横方向の移動を引き起こし得るため、このモデルの緊急性を高めている。エージェントが誤ったリソースを選択したり、指示を広く解釈しすぎたり、過剰な認可の下で統合機能を呼び出したりする可能性がある。

同プラットフォームの中核的な約束は、構造的な制限による予防だ。ただし、アラート先行型とアクション中心型のセキュリティは、相互排他的ではない。

Actも、アイデンティティ、依存関係、意図された挙動を理解するために可視性を必要とする。不完全なモデルに基づく修復エンジンは、必要なアクセスを削除したり、隠れた経路を見逃したりする可能性がある。

既存ベンダーも、既存プラットフォームに権限分析と自動修復を追加できる。新興ベンダーが構築しなければならない顧客関係、導入データ、統合機能をすでに持っている場合もある。

Actの資金調達は、専用アーキテクチャがより良い成果を生むことを証明する時間を与える。しかし、アクション中心のセキュリティが独立した製品カテゴリーになることを保証するものではない。

同社は測定上の問題にも直面している。アラートは数えやすい一方、防止されたインシデントは本質的に観測が難しい。

有用な顧客証拠には、恒常的な権限の削減、到達可能な攻撃経路の減少、修復時間の短縮、業務中断率の低さが含まれる。公開された事例研究は、こうした成果を広範な規模ではまだ確立していない。

6000万ドルの発表が証明しないこと

このローンチは投資家の関心を裏付けるが、複雑な本番環境におけるActのカバレッジ、精度、安全性を裏付けるものではない。

現在のプラットフォームに関する主張は、主にActとその投資家から発信されている。これらの当事者は製品を理解しているが、市場機会を有利に見せることから利益も得る。

Team8のマネージングパートナーであるLiran Grinbergは、Actを、クラウドリスクを単に特定するのではなく除去するプラットフォームだと説明した。この発言は投資の論拠を明らかにするものであり、独立した比較試験ではない。

Actの創業者らも、エージェントは数カ月ではなく数分でエクスポージャーを悪用できると主張している。機械速度の自動化は迅速な行動をもっともらしくするが、悪用までの時間は環境、モデル、ツール、権限、攻撃者に左右される。

したがって同社は、複数の性能層を証明しなければならない。まず、クラウドアカウント、アイデンティティ、ネットワーク、サービス、デプロイメントパイプライン、AIシステム全体にわたる幅広い発見能力が必要だ。

見落とされたアイデンティティは、アクセスマップの信頼性を損ない得る。未知のサービスアカウントや管理されていない統合が、プラットフォームが閉鎖済みと見なす経路を残す可能性がある。

次に、Actは正当なアクセスを正確に推定しなければならない。利用履歴はどの権限が行使されたかを示せるが、未使用が常に不要を意味するわけではない。

災害復旧用の権限は、緊急時まで休眠状態であるかもしれない。四半期ごとの財務プロセスは、ほとんどの観測期間では非アクティブに見える可能性がある。

第三に、同社は障害を引き起こさずにアクセスを制限しなければならない。クラウド認可ポリシーは相互依存しており、一見安全な変更でもバックグラウンドサービスを中断させることがある。

管理者が正しく定義すれば、決定論的な境界はそのリスクを抑えられる。しかし、ポリシー設計、環境の発見、依存関係のマッピングにおける誤りをなくすことはできない。

第四に、Actにはエージェントアイデンティティに対する意味のある制御が必要だ。エージェントが従業員の認証情報、共有トークン、サービスアカウントを切り替えて使用する場合、組織はそのエージェントを一貫して管理できない。

セキュリティ購入者は、プラットフォームが各エージェントを個別に識別し、委任された権限を記録し、すべてのアクションを説明責任を負う所有者に結び付けているかを確認すべきだ。緊急時のオーバーライドがどのように機能するかも検証する必要がある。

第五に、同社は自社へのアクセス集中に対する保護を必要とする。クラウド権限のマッピングや変更が可能なセキュリティプラットフォームは、機微なコンポーネントとなる。

顧客は、分離、監査ログ、管理制御、データ処理、インシデント対応、Actの導入モデルのセキュリティに関する証拠を必要とする。

資金調達の発表は、これらの疑問に対する独立した回答を提供していない。顧客数、測定された攻撃経路の削減、偽陽性率、本番環境での障害率も開示していない。

ステルス状態を脱した企業としては、この欠落は通常のことだ。それでも、購入者やジャーナリストがこのローンチから導くべき結論には限界がある。

最小権限というより広範な概念は、十分に確立されている。NISTの実装ガイダンスには、ゼロトラスト導入の構成要素として、アイデンティティガバナンス、マイクロセグメンテーション、アクセス管理が含まれている。

Actは、過剰な権限が危険であることを証明する必要はない。既存ツールや社内エンジニアリングプロセスよりも迅速かつ安全に権限を削減できることを証明する必要がある。

Cormaは、自社市場において関連するがより限定的な検証課題に直面している。アクセスレビューとソフトウェア発見は不要なSaaSアカウントを特定できるが、組織には依然として信頼できるコネクターと正確な所有権記録が必要だ。

したがって両社は、異なるレイヤーから同じガバナンス原則に触れている。この概念的な重なりが、誤った見出しのもっともらしさに寄与した可能性が高い。

しかし、それは両社の主張を統合する根拠にはならない。資金調達、製品性能、顧客成果は、実際にそれらを報告した企業に結び付けたままにしなければならない。

CormaとGoogle Newsの取り違え後に注目すべき点

この出来事がアグリゲーション上の脚注にとどまるのか、それとも信頼できる新たなクラウドセキュリティカテゴリーの始まりとなるのかは、3つのシグナルで判断できる。

第1のシグナルは、Act Securityの顧客による独立した証拠だ。実名で公表される導入事例では、恒常的な権限、到達可能な攻撃経路、修復時間が測定可能な形で削減されたことが報告されるべきだ。

最も強い証拠は、運用コストも開示するだろう。危険なアクセスを削除しても頻繁に障害を引き起こすプラットフォームは、セキュリティ上の問題を信頼性の問題と引き換えにしていることになる。

独立した顧客成果は、アクション中心の制御がアラート先行型ワークフローを改善するというActの主張を強める。経営陣の発言に依存し続けるなら、その主張は大部分が検証されないままとなる。

第2のシグナルは統合の深さだ。Actは、デプロイメントパイプラインを通じて制御を強制しながら、アイデンティティ、ネットワーク、AIアクセスを評価するとしている。

購入者は、どのクラウドプラットフォーム、アイデンティティシステム、エージェントフレームワーク、開発ツールが本番環境向けのサポートを受けるかを注視すべきだ。デモ環境全体でのカバレッジと、多国籍企業全体でのカバレッジは異なる。

エージェント固有の制御には、特に注意を払うべきだ。個別のアイデンティティ、狭く委任されたツール、アクションログ、承認ゲート、取り消し可能な認証情報は、製品がエージェントを直接扱っていることを示すだろう。

Actが主に従来型のサービスアカウントを管理するだけでも、製品は依然として有用になり得る。ただし、AI時代における差別化は弱まる。

第3のシグナルは、既存のクラウドセキュリティおよびアイデンティティベンダーの対応だ。これらのベンダーはすでに、権限と到達可能な資産をマッピングするために必要なデータの多くを収集している。

これらのベンダーが信頼できるアクション経路の削減機能を追加すれば、Actは技術面または運用面での優位性を証明する圧力に直面する。提携や買収は、市場がアクション中心の強制を戦略的に重要と見ていることを示すだろう。

編集者と自動公開チームは、別のシグナルも注視すべきだ。不正確なCormaの見出しが派生記事に引き続き表示されるかどうかである。繰り返し表示されれば、訂正された事実がシンジケーションシステムを通じて伝わるまでの遅さが示される。

即時の編集対応は明快です。企業名をAct Securityに訂正し、出所の記録として元の見出しを残したうえで、今後の重複排除に備えてこの不一致を記録します。

Google Newsを利用する読者も、高額な資金調達など重要な主張には同じ姿勢で臨むべきです。リンク先を開き、企業の正体を確認し、公式発表が中心的な事実を裏付けているかを確かめてください。

セキュリティ製品の購入担当者にとって、より大きな問いは、アクセス制御が自律型ソフトウェアの進化に追いつけるかどうかです。Actのカテゴリーに関する主張を受け入れる前に、顧客による実証、エージェント連携、修復措置の安全性を追跡してください。

ナレッジワーカーにとっても、教訓は同じく実用的です。見出しだけでなく、その裏にある情報源を保存し、主張をその根拠と結び付けておきましょう。

本当の話は、Cormaが6000万ドルを調達したということではありません。入手可能な証拠に基づけば、それは事実ではありません。本当の話は、Act Securityがその資金を調達し、次のアラートがキューに届く前に危険な操作を排除すべきかどうか、クラウド防御のあり方を検証しようとしていることです。