Comp AIの資金調達額は3,400万ドルに到達、だが継続的セキュリティの実現はより難しい賭け

Comp AIはシリーズAで3,400万ドルを調達し、若いコンプライアンススタートアップとして、より大きなサイバーセキュリティ領域を担うための新たな資金を得た。今回のComp AIの資金調達ラウンドは、監査準備から継続的な監視、統制の検証、セキュリティテストへと事業を拡大する取り組みを支える。

この転換は、資金調達そのもの以上に重要だ。従来のコンプライアンスプラットフォームは、証跡を収集し、統制を追跡し、組織が定期的な評価に備えられるようにする。Comp AIは、自社のエージェントに基礎となる業務の一部を実行させ、リスクの変化に応じて対応させたい考えだ。

この構想により、同社はVantaやDrataといった既存のコンプライアンスプラットフォームと競合することになる。同時に、自動化された実行と、信頼できるセキュリティ判断に必要な人間の判断との間で、より難しい競争も生まれる。

このラウンドは2026年9月17日に発表された。同社の資金調達発表によると、Roo CapitalとGrand Venturesが主導した。Comp AIは累計で3,750万ドルを調達したとしているが、一部報道では累計額を3,660万ドルと計算している。

この差異は、過去の資金調達をどう扱うかの違いを反映している可能性が高い。だが、中心となるストーリーは変わらない。投資家は、コンプライアンスソフトウェアを常時稼働するセキュリティレイヤーへ変えようとするComp AIの試みに賭けている。

Comp AIの資金調達は監査準備を超える動きを後押し

3,400万ドルのラウンドは、単にComp AIの現行コンプライアンスサービスを拡大するためではなく、製品拡張のための資金だ。

Comp AIは、Lewis Carhart、Claudio Fuentes、Mariano Fuentesによって2025年1月に設立された。Carhartは最高経営責任者、Claudio Fuentesは最高執行責任者、Mariano Fuentesは最高技術責任者を務める。

創業者たちは以前、100万人以上のユーザーに到達したと報じられるAIワークフロー製品LeapAIで共に働いていた。最終的には、十分に持続性のあるユースケースを見つけられなかったため、同事業を終了した。

より大規模な顧客の獲得を目指した経験から、彼らは別の問題にも直面した。エンタープライズの購入者は、契約締結前にセキュリティ文書を要求することが多いが、その審査準備には数か月にわたる注意と労力が必要になり得る。

Comp AIは、そのプロセスの一部を自動化することから始めた。同社のソフトウェアは顧客のシステムや文書に接続し、証跡を収集し、ポリシーを作成し、リスク登録簿を構築し、コンプライアンス統制を監視する。

一般にGRCと呼ばれるガバナンス、リスク、コンプライアンスソフトウェアは、組織が要件を文書化し、監査に向けた証跡を管理するのを支援する。Comp AIは、従業員やコンサルタントが以前は手作業で担っていた業務に、言語モデルとソフトウェアエージェントを適用している。

このプラットフォームは、SOC 2やISO 27001を含むフレームワークをサポートする。SOC 2は、セキュリティ、可用性、機密性などの領域に関する統制を独立して評価するものだ。

同社によると、製品は顧客オンボーディング、ベンダーのセキュリティ評価、ポリシー生成にも対応する。これらの機能は監査に付随する事務作業を短縮できるが、監査そのものを不要にするものではない。

Carhartはテクノロジー報道に対し、このプラットフォームは独立したレビューを置き換えるものではないと語った。人間は引き続きポリシーを承認し、統制を支援し、自動化されたワークフローを監督する。

この制約は重要だ。コンプライアンスの証跡には、速度以上のものが求められる。組織がどのように運営され、統制が説明どおりに機能しているかを正確に表さなければならない。

Comp AIは、現在1,000社超の顧客にサービスを提供しているとしている。また、年間経常収益は前年比15倍に成長したと報告している。これらの数値は同社によるものであり、公開の場で独立監査を受けたものではない。

報告されている顧客にはDub、OpenCode、Corgi、Inference、Primerが含まれる。同社はまた、医療、金融サービス、高等教育、専門サービスの組織とも取引しているとしている。

これらの業界では、義務、データリスク、承認要件がそれぞれ異なる。対応するには、標準的なポリシーを生成したり、証跡をチェックリストに照合したりするだけでは不十分だ。

新たな資金は、エンジニアリング、プロダクト、オペレーション、営業、マーケティング、カスタマーサクセス全体での採用を支える。Comp AIはマイアミ地域とニューヨークにオフィスを構える。

さらに重要なのは、同社がアプリケーションとインフラ全体で継続的な監視と統制検証を構築する計画だ。また、エージェントにセキュリティテストを実施させ、リスクの変化への対応を支援させることも目指している。

この製品の方向性により、Comp AIの資金調達ストーリーは対象範囲の試金石となる。監査準備は構造化され、文書中心の業務だ。一方、継続的なサイバーセキュリティは、変化するシステム、曖昧なシグナル、本番環境に影響を与え得る行動を扱う。

この飛躍が魅力的なのは、コンプライアンスがすでに顧客システムへの入口を提供しているためだ。接続されれば、プラットフォームは統制、権限、証跡、運用上の変更を観察できる。

しかし、アクセスがあっても、信頼できるセキュリティ判断が自動的に生まれるわけではない。Comp AIは、自社エージェントが過剰なアラートや危険な行動を生まずに、こうした変更を解釈できることを証明しなければならない。

今回の資金調達は、同社にその証明を追求するための時間と人員を与える。ただし、証明そのものを与えるわけではない。

一時点のコンプライアンスに圧力がかかる理由

Comp AIの最も強い主張は、完了済みの監査では、その後に起きるすべてのシステム変更を説明できないという点にある。

コンプライアンス監査は、定められた期間における統制を評価する。作成された報告書は、営業、調達、リスクレビュー、顧客保証を支援できる。

しかし、監査人が作業を終えた後も、ソフトウェア環境は変化し続ける。チームはコードをデプロイし、ベンダーを追加し、権限を変更し、新たなデータフローを導入する。

AIエージェントは、その変化の速度を加速させる。エージェントは、顧客情報にアクセスし、内部ツールを呼び出し、記録を更新し、複数のシステムにまたがってコードを生成できる。

Carhartは明確な例を挙げた。ある企業がSOC 2監査を完了し、その2週間後に新たなAIエージェントをデプロイする場合がある。このエージェントは顧客データへのアクセスを付与されたり、内部権限を変更したりする可能性がある。

監査が直ちに無効になるわけではない。単に、その後に起きるすべての変更をリアルタイムで報告するようには設計されていないのだ。

この隔たりが、Comp AIの資金調達ラウンドの背景にある機会を生む。Comp AIは、監査対応を季節的なプロジェクトとして扱うのではなく、正式な評価の合間にも環境を監視したい考えだ。

継続的コンプライアンスとは一般に、年間を通じて証跡を収集し、統制を確認することを意味する。継続的セキュリティはさらに進み、防御策が依然として機能するかをテストし、新たなリスクに対応する。

Comp AIは、エージェント型AIによってこの第2段階がより実用的になるとしている。エージェント型システムは、タスクを計画し、接続されたツールを利用し、定められた境界内で行動できる。

監視エージェントは、重要な従業員アカウントで多要素認証が失われたことに気付くかもしれない。別のエージェントは、未承認のクラウドリソースや古くなった証跡を検出できる可能性がある。

より高度なシステムであれば、テストを開始し、裏付けとなる証跡を集め、対応を推奨できる。修復タスクを起票したり、人間の承認を求めたりすることもあるだろう。

このアプローチは、コンプライアンス記録と運用上の現実との結び付きをより緊密にすることを約束する。顧客は、監査時点で統制が存在したかを問う代わりに、それが今も機能しているかを問えるようになる。

Claudio Fuentesは、歴史的なコンプライアンスをセキュリティの近似値と表現した。作業の多くが手作業かつ定期的に行われていたためだ。同社の主張は、エージェントがその時間的制約の一部を取り除くというものだ。

この主張は、チェックボックス中心のコンプライアンスに認識されている弱点に対応している。監査に合格しても、組織があらゆる攻撃を防止、検知、封じ込めできる保証にはならない。

適切に維持されたコンプライアンスプログラムは、それでもセキュリティ規律を改善できる。責任の所在、証跡、再現可能な手順、外部レビューの機会を生み出すためだ。

問題は、認証が検証手段の一つではなく到達点になるときに生じる。チームは証跡の作成に集中する一方、収集後も統制が有効であり続けるかを見落とす可能性がある。

Comp AIが提案するシステムは、その証跡をリアルタイムの状況と結び付け続けようとするものだ。この方向性は、コンプライアンス自動化、クラウドセキュリティ、アプリケーションセキュリティ製品のより広範な収束も反映している。

この収束は、既存のGRCベンダーへの圧力を高める。顧客は、プラットフォームに単に統制の状態を記録するだけでなく、統制を検証することを期待し始めるかもしれない。

VantaとDrataはすでに、自動化された証跡収集と継続的監視の機能を提供している。また、より大きな導入基盤、確立された監査人との関係、成熟した統合機能も持つ。

したがってComp AIは、継続的監視が完全に新しいものだと主張するだけでは勝てない。同社の差別化は、自社エージェントがどれだけ安全に業務を実行できるかにかかっている。

投資家は、タイミングがこのアプローチに有利だと考えている。Roo CapitalのプリンシパルであるVarun Sridharは、AIがセキュリティ環境を急速に変化させるなか、企業はコンプライアンスを年次の取り組みとして扱うことはできないと論じた。

Grand VenturesのゼネラルパートナーであるNathan Owenは、他のコンプライアンスプラットフォームからComp AIへ移行した投資先企業を挙げた。この発言は投資家による支持表明であり、独立した市場調査ではない。

それでも、実際的な需要源を示している。小規模企業は大規模な社内チームを構築せずにコンプライアンス支援を求める一方、大規模な買い手はより深い運用上の証明を期待している。

この緊張関係が、チェックリストの維持以上を担うソフトウェア市場を生む。同時に、自動化の誤りがもたらす影響も大きくする。

Comp AIと記録システムとしてのコンプライアンス製品

主な競争は、コンプライアンス業務を実行するエージェントと、主に人のために証跡を整理するプラットフォームとの間にある。

第1世代のコンプライアンス自動化は、スプレッドシート、共有フォルダー、繰り返される証跡要求への依存を減らした。ビジネスシステムを標準化された統制フレームワークに接続したのである。

このモデルにより、コンプライアンス管理は容易になった。しかし、解釈、修復、承認の業務の大部分は、依然として従業員やコンサルタントが担っていた。

Comp AIは、エージェントがそのループをより多く閉じられるとしている。このシステムは、組織の文脈を理解し、必要な作業を特定し、制約されたタスクを実行し、結果を検証するよう設計されている。

組織の文脈には、企業のシステム、ポリシー、従業員、ベンダー、リスクプロファイルが含まれる。これがなければ、エージェントは実際の運用に合わない汎用的な文書を生成する可能性がある。

Comp AIによると、同社は接続されたシステムと既存の資料を読み取り、この文脈を構築する。その上で、顧客環境を反映したポリシーやリスク記録を作成できる。

この仕組みは、AI搭載コンプライアンスソフトウェアが注目される理由の一端を説明する。言語モデルは、文書、質問票、統制の説明、非構造化された証跡を横断して扱える。

また、技術的な変更をコンプライアンスの言葉へ翻訳することもできる。たとえば、新たなクラウド権限は、異なるフレームワークにまたがる複数の統制に影響する可能性がある。

従来のルールは変更された権限を検出できる。AIシステムなら、その重要性を説明し、ポリシーに対応付け、レビュー用の対応策を準備できる可能性がある。

同社のオープンソースコアは、さらに別の側面を加える。オープンソースソフトウェアは、プロジェクトのライセンスとアーキテクチャに応じて、技術的な購入者がコードを検査し、コンポーネントをホストし、変更に貢献することを可能にする。

Comp AIの対外的な位置づけは、VantaおよびDrataに代わる選択肢というものだ。Enterprise coverageでも、これらの企業が最も目立つ競合として挙げられている。

オープンソースのアプローチは、より高い透明性や導入の柔軟性を求めるセキュリティチームに訴求し得る。また、開発者がより広範な導入を決める前に統合機能を評価する助けにもなる。

ただし、コードが公開されているからといって、サービス全体が透明になるわけではない。顧客には依然として、ホスト型モデル、データ保持、プロンプト、アクセス制御、運用上の安全策に関する情報が必要だ。

エージェント型コンプライアンスプラットフォームには、広範な統合機能も求められる。企業システムのごく一部しか見えていなければ、現状を評価することはできない。

既存ベンダーは、こうした接続に多額の投資をしてきた。監査人やコンサルタントとの関係も、正式な評価の際の摩擦を減らし得る。

そのためComp AIは、二種類の信頼を築かなければならない。セキュリティチームからの技術的な信頼と、監査人、経営幹部、エンタープライズの購買担当者からの手続き上の信頼だ。

報告されている顧客数の伸びは初期需要を示唆するが、顧客数だけでは導入の深さは分からない。小規模な監査準備向けアカウントと、大規模な継続的セキュリティ導入は別物だ。

売上高が15倍に成長したという数値についても、起点は開示されていない。企業が小さな売上基盤から始めた場合、急速な百分率成長はよく見られる。

だからといって、この結果が重要でないわけではない。読者はこれを、市場での地位を完全に測る指標ではなく、方向性を示す企業指標として捉えるべきだ。

Comp AIがセキュリティテストへと事業を広げていることも、比較をさらに複雑にしている。テストアプリケーションやインフラには、監査証跡を収集するのとは異なる専門性が必要となる。

セキュリティテストでは、誤検知を管理し、システムへの影響を避け、理論上の脆弱性と実際に悪用可能なリスクを区別しなければならない。顧客はまた、自動化されたすべての操作について明確な記録を期待するだろう。

Carhartによれば、Comp AIはAIを活用したペネトレーションテストを提供している。ペネトレーションテストは、悪意ある行為者に悪用される前に弱点を特定するため、攻撃を模擬するものだ。

この作業の一部を自動化すれば、小規模組織にも利用の裾野を広げられる可能性がある。従来の年1回の契約を超えて、テスト頻度を高めることも可能になる。

それでも、自律的なテストには権限と封じ込めに関する懸念が伴う。システムは、どの資産をテストできるのか、どの手法が承認されているのか、いつ停止すべきかを把握していなければならない。

ここで、実行と記録管理の競争が具体化する。記録システムは本番環境を変更せずに問題を記録できる。一方、エージェントは影響を受ける環境と相互作用する可能性がある。

顧客がそのエージェントを評価する基準は、タスクを完了できるかどうかだけではない。その判断が説明可能で、可逆的で、適切に承認されているかを検証する。

既存企業は、既存プラットフォームに類似のエージェント型機能を追加することで対応できる。顧客データ、確立されたワークフロー、新たな機能を開発または買収するための資源を持っている。

Comp AIの強みは焦点の明確さにある。そのアーキテクチャと製品戦略は、古いワークフローの前提にエージェントを追加するのではなく、エージェントを起点としている。

弱みは、新しいシステムが広範なアクセスに値することを証明しなければならない負担だ。同社は、すでに調達プロセスに組み込まれているベンダーと競争しながら、その信頼を得る必要がある。

3400万ドルのラウンドは、競争に向けた同社の能力を高める。同時に、信頼性を損なうことなく監査の高速化を超えて進めるという期待も高める。

エージェント型コンプライアンスの主張が証明していないこと

コンプライアンスタスクの自動化は有用だが、自律的なセキュリティ判断には、より強い証拠、統制、説明責任が求められる。

中心的な不確実性は、言語モデルがポリシーを起草できるかどうかではない。構造化された指示と会社文書から、それらしいポリシーテキストを生成することはすでに可能だ。

より難しい問いは、証拠が不完全または矛盾している場合でも、エージェントが統制が機能していると判断できるかどうかである。

生成されたポリシーは専門的に見えても、実際の慣行を誤って表している可能性がある。自動収集された証拠も、最新ではあっても、検証対象となる統制そのものとは無関係かもしれない。

人間のレビュー担当者は、インタビュー、サンプリング、専門的判断を通じて、こうした不一致をしばしば見つける。自動化システムは、洗練された出力の陰に不確実性を隠すのではなく、それを明示しなければならない。

Comp AIは監督の必要性を認めている。Carhartは、エージェントがより重大な行動を取るにつれて安全策を強化しつつ、人間が起草されたポリシーをレビューし承認すると述べた。

この立場は、直ちに完全自律を約束するよりも信頼性が高い。同時に、主要な製品上のトレードオフも示している。

人間の承認を求めれば、安全でない行動のリスクは下がる。しかし承認要求が多すぎれば、自動化によって減らすはずだった作業負荷を再現しかねない。

成功するプラットフォームは、人間のレビューを意味のある判断ポイントに配置しなければならない。定型的な証拠更新のたびに承認を求めたり、影響の大きい変更を黙って自動化したりすべきではない。

権限も別の課題を生む。継続的な監視には、クラウドサービス、IDシステム、ソースコード、チケット管理ツール、事業文書へのアクセスが必要だ。

こうした接続はプラットフォームの価値を高め得る。一方で、セキュリティおよびプライバシーリスクが集中する敏感な地点にもなる。

顧客には、各エージェントのアクセスを必要最小限に制限する最小権限の統制が必要だ。また、エージェントが何を観測し、何を変更したかを示す改ざん耐性のあるログも必要となる。

操作によって稼働中のシステムが変更される場合、ロールバック手順が重要になる。プラットフォームは推奨と承認済みの是正措置を区別し、各段階を誰が承認したかを記録すべきだ。

モデルの挙動も不確実性を加える。言語モデルは類似した入力から異なる回答を出すことがあり、組織的な文脈を誤解したり、弱い証拠に過度の確信を与えたりする可能性がある。

コンプライアンスの出力には一貫性も必要だ。繰り返される評価で同一の証拠を異なる形で対応付けるシステムは、監査人や顧客から疑問視される可能性がある。

継続的監視があらゆる設定変更を緊急と扱えば、アラート疲れを引き起こす可能性がある。セキュリティチームはすでに、クラウドツールや脆弱性ツールからの大量の検出結果を管理している。

優先順位付けが不十分な警告の流れをもう一つ加えるだけでは、価値提案は弱まる。Comp AIは、組織的な文脈が既存アラートの周囲に説明を加えるだけでなく、優先順位付けを改善することを示す必要がある。

同社のセキュリティテストへの展開には、さらに大きな運用リスクが伴う。自動テストは承認済みの境界内にとどまり、機密情報の露出や損傷を避けなければならない。

こうした懸念は製品の方向性を否定するものではない。有用なアシスタントと信頼されるセキュリティ運用者を分ける要件を定義するものだ。

もう一つの未解決の問いは、独立した検証に関するものだ。Comp AIは顧客成長とコンプライアンス達成の高速化を報告しているが、公開されている報道には第三者による性能データが限られている。

企業が数四半期ではなく数日でコンプライアンスに到達できるという主張は、その出発条件に左右される。十分に準備されたソフトウェア企業と、文書化されていないシステムを抱える複雑なエンタープライズは異なる。

認証のタイムラインには監査人も関与する。プラットフォームは証拠準備を加速できるが、独立した評価のスケジュールや結論を保証することはできない。

セキュリティの購買担当者は、より具体的な指標を求めるべきだ。有用な証拠には、統制ごとの削減時間、誤検知率、是正措置の受容率、人間の介入を必要とする操作の割合などが含まれる。

また、自動化された検出結果が監査人のレビューをどの程度通過するかも確認すべきだ。レビュー担当者が却下したり繰り返し修正したりするなら、大量の生成証拠にはほとんど価値がない。

顧客維持率も別のシグナルとなる。初期導入は好奇心や既存ベンダーへの不満を反映している可能性がある一方、更新はワークフローが有用であり続けるかを示す。

Comp AIの資金調達発表には、こうした指標は含まれていない。これは非公開企業の資金調達開示としては通常のことだが、外部の人々が導ける結論を制限する。

同社は投資家の関心を示し、急速な導入を報告している。しかし、エージェント主導の継続的セキュリティが、多くの複雑な環境で確実に機能することを公にはまだ示していない。

業界報道では、このラウンドをAIセキュリティおよびコンプライアンスのスタートアップが拡大する分野の一部として位置付けている。Security coverageでも、エージェント認証、脆弱性管理、エージェント型GRCに取り組む企業の最近の資金調達が指摘されている。

この混み合った分野は需要を裏付ける一方で、競争を激化させる可能性がある。また、若いベンダーに機密性の高いアクセスを与えることについて、顧客を慎重にさせる可能性もある。

Comp AIの課題は、レビューを弱めずに作業を減らせることを証明することだ。成功すれば、コンプライアンスプラットフォームはセキュリティ運用により能動的に参加する存在になる。

失敗すれば、購買者は起草やトリアージにはエージェント型機能を残しつつ、検証と是正は人間による直接管理下に置くかもしれない。

Comp AIの次の段階を決める三つのシグナル

次の試練は、Comp AIが資金、顧客に関する主張、製品の野心を測定可能なセキュリティ成果へ転換できるかどうかだ。

第一のシグナルは、実際の顧客環境で継続的な統制検証を提供することだ。Comp AIは、この機能を新たな資金の主要な到達点として説明している。

購買者は、広範なエージェント型という表現ではなく、具体的なリリースを注視すべきだ。有用な詳細には、対応システム、監視する統制の種類、承認の境界、操作ログが含まれる。

信頼できるリリースは、プラットフォームが変更をどのように特定し、それを統制に結び付け、影響を検証し、対応を振り分けるかを示すだろう。

また、システムがいつ停止して人間の判断を求めるかも説明すべきだ。明確な境界は、エージェントが安全に作業できるという同社の主張を強める。

曖昧な製品拡張は、その主張を弱める。既存の証拠収集を継続的セキュリティとして再ブランド化しても、意味のある技術的差異は確立されない。

第二のシグナルは、監査人と成熟したセキュリティチームによる独立した受容だ。Comp AIのエージェントは証拠を生成できるが、その証拠が評価を裏付けるかどうかを決めるのは外部のレビュー担当者である。

公開される顧客事例は、具体的な成果を報告すべきだ。手作業による証拠要求の削減、是正の迅速化、自動的に組み立てられた資料の受容率向上などが考えられる。

Regional reportingによると、Comp AIはより複雑なセキュリティニーズを持つ大規模組織へと進出している。この展開は、スタートアップの監査準備を超えた製品の実力を試すことになる。

大規模組織では、所有権が分断され、レガシーシステムや複数のクラウド環境、正式な変更統制が存在する。また、詳細なベンダーリスク評価も求められる。

そこでの導入成功は、Comp AIの組織的文脈アプローチを支持する根拠を強めるだろう。手厚いサービスへの継続的な依存は、エージェントが依然として広範な人間の支援を必要としていることを示唆する。

第三のシグナルは、Vanta、Drata、および隣接するセキュリティプラットフォームからの競争上の反応だ。これらのベンダーは、Comp AIの優位性を狭めるために、すべての機能をコピーする必要はない。

既存の証拠ワークフローにエージェントを追加し、自動是正を拡張し、セキュリティテスト提供者との提携を深めることができる。

導入済みの顧客基盤は、流通面での優位性をもたらす。Comp AIは、ガバナンスを弱めることなく、有用な機能を迅速にリリースしなければならない。

競合の反応は、継続的なエージェント型コンプライアンスが標準的な製品カテゴリーになりつつあるかも明らかにする。既存企業が類似した実行機能を強調すれば、Comp AIの論点は裏付けられる。

ただし、カテゴリーでの検証がスタートアップとしての主導権を保証するわけではない。広く利用可能なモデルや一般的なエンタープライズ統合に依存する機能は、急速に収斂しうる。

Comp AIには、モデルへのアクセスを超えた差別化が必要だ。オープンソースの中核、ワークフロー設計、組織的なコンテキスト、顧客体験は、持続的な優位性の源泉となり得る。

最終的な判断基準であり続けるのは、セキュリティ上の成果だ。購買担当者は、この製品が意味のあるリスクを特定できるか、反復的な作業を減らせるか、説明責任を維持できるかを重視するだろう。

今回の資金調達により、Comp AIはその基準を追求するための資源を得た。報じられている成長は、同社にテストと改善のための顧客基盤をもたらしている。

ただし、どちらの要素も中心的なトレードオフを解消するものではない。セキュリティチームは、より迅速で継続的な検証を求めている一方、不透明な自動化に責任を委ねることはできない。

この点で、Comp AIの事業拡大は、より広範なエージェント型ソフトウェア市場にとって有用な試金石となる。多くのベンダーは、単に質問に答えるのではなく、実際に業務を遂行するエージェントを約束している。

コンプライアンスは、あらゆる行動に証拠、権限、レビューが求められるため、厳しい実証の場となる。誤りは監査、契約、機密データ、実稼働システムに影響を及ぼしかねない。

最良の結果は、最大限の自律性ではない。統制上の失敗をより早く可視化し、意思決定を適切な人々に振り分ける、慎重に範囲を限定した自動化だ。

したがって、Comp AIの資金調達に関する報道を評価する読者は、資金調達という見出しだけでなく、製品に関する証拠を追うべきだ。エージェントがどの程度の頻度で行動するか、人間がどの程度の頻度で介入するか、そして監査担当者が結果を受け入れるかに注目したい。

Comp AIが信頼できる回答を示せれば、コンプライアンス自動化から継続的なセキュリティへと進出する動きは正当化されるだろう。回答が曖昧なままであれば、同社はより大きな野心を抱く、より高速な監査準備プラットフォームにとどまる可能性がある。

今後数カ月で、どちらの姿が現れつつあるのかが明らかになるはずだ。セキュリティ責任者は、エージェントの権限を拡大する前に、文書化された境界、独立した検証、実際の運用指標をベンダーに求めるべきである。