Opsin AI Agent Security 融资 2,100 万美元，智能体泛滥考验传统防御体系

随着企业难以识别在其系统中运行的自主软件，Opsin AI agent security 获得了 2,100 万美元融资。Opsin 于 2026 年 10 月 15 日宣布，本轮融资由 SYN Ventures 和 Race Capital 领投。

该公司并非只是承诺为聊天机器人对话再提供一个仪表盘。它希望绘制每个智能体的用途、身份、权限、工具、数据访问范围及行动。Opsin 表示，这些上下文应能帮助安全团队区分正常自动化与高风险行为。

这种区分构成了本轮融资背后的真正张力。传统防御工具可以记录登录、API 调用和数据传输，但它们并非为判断智能体行为是否仍符合其被赋予的业务用途而设计。

Opsin 现在必须证明，这种缺失的上下文能够支持可靠的安全决策。它还必须证明，企业需要一个独立的控制层，而不只是 Microsoft、OpenAI、Google 和 Anthropic 提供的平台专属控制措施。

Opsin AI Agent Security 获得 2,100 万美元支持

这笔融资将 Opsin 的智能体监控方法，转化为企业将如何治理自主软件的一场更大考验。

Opsin 是一家总部位于圣何塞的 AI 治理与安全初创公司。根据该公司的融资公告，其最新一轮融资由 SYN Ventures 和 Race Capital 领投。

该公司未披露估值，也未说明本轮融资的正式阶段。这些信息缺失值得关注，因为公告表明了投资者的支持，却未揭示与之相关的财务预期。

Opsin 表示，这笔资金将用于产品开发、招聘以及向受监管行业扩张。CEO 兼联合创始人 James Pham 告诉 Business Insider，公司还计划扩大销售和工程团队的能力。

根据原始报道，这家初创公司约有 20 名员工和近 20 家企业客户。已点名的客户包括 Culligan、Barry-Wehmiller、Wellstar Health System 和 UiPath。

Opsin 服务于医疗保健、制造业、金融服务及其他受监管领域的组织。这些行业有充分理由限制数据访问、记录控制措施并调查异常活动。

该公司此前于 2025 年 4 月完成了一轮由 Race Capital 领投的 700 万美元种子轮融资。当时，其公开宣传的重点是防止生成式 AI 向未经授权的员工暴露信息。

其最新定位更为广泛。Opsin 现在专注于能够使用工具、调用互联服务、检索公司数据并采取行动的智能体。

目标导向型智能体不同于传统聊天机器人，因为它能围绕指定目标执行一系列步骤。这种自由度可以节省员工时间，但也使监督更加复杂。

Opsin 表示，它能够发现员工在 Microsoft 365 Copilot、Copilot Studio、ChatGPT Enterprise、Claude Enterprise 和 Gemini 中构建的智能体，随后为这些智能体创建统一表示。

这种标准化很重要，因为每个平台对项目、助手、连接器和权限的描述方式都不同。否则，安全团队将收到多个字段和控制措施互不兼容的局部清单。

该公司的产品试图回答四个相互关联的问题：该智能体是为做什么而创建的、谁拥有它、它能够访问什么，以及它实际上在做什么？

这些问题让智能体治理超越了获批准应用程序的清单。即使是获准平台，也可能包含权限过高或配置不当的智能体。

Business Insider 报道称，一名客户发现其首席财务官创建了一个智能体。该智能体无意中让其他员工获得了对财务信息的高级访问权限。

报道未透露该客户身份，也未独立核实该事件。不过，它仍说明了 Opsin 希望买家认识到的一类故障。

因此，这笔融资支持的是一个明确论点：即使底层平台已通过采购审查，企业 AI 安全仍将需要在单个智能体层面进行监督。

这一论点将 Opsin 置于安全团队与主要 AI 平台之间。当组织使用多个平台、且无法通过一个管理界面比较其智能体时，Opsin 的机会就会增加。

新资金让 Opsin 有空间追逐这一机会。但它并未解决一个独立的智能体控制层是否会成为持久安全类别的问题。

智能体泛滥将访问问题变成身份问题

智能体泛滥之所以重要，是因为每个新增智能体都可能像拥有委托权限、却缺乏完整监督的软件身份一样行动。

员工不再需要软件工程团队来创建基础智能体。低代码构建工具和企业 AI 产品可以将指令与公司文件、数据库、通信工具和业务应用连接起来。

这种可及性改变了风险单元。安全团队过去重点关注账户、笔记本电脑、服务器、应用程序和网络连接。智能体增加了另一类能够跨越其中多个边界的行动主体。

员工可能创建一个智能体来汇总销售记录。同一个智能体可能继承客户备注、合同细节或内部预测的访问权限，而其既定任务从未需要这些内容。

另一个智能体可能通过互联业务系统准备例行报告。一次配置错误就可能让它编辑记录，而原本只读访问已足够。

当员工复制项目、修改指令、添加连接器或离开组织时，问题会更加棘手。即使原始用途变得不清晰，智能体仍可能持续存在。

Opsin 将这种状况称为智能体泛滥。该术语描述了一种环境：组织积累智能体的速度，快于安全团队对其进行盘点、分类和审查的速度。

规模并非唯一担忧。智能体还可以在追求一个目标的过程中执行许多操作，使人工审查不如面对单个提示词时那样实际可行。

Business Insider 对这种变化作出了鲜明表述，报道称在一些技术密集型工作场所，智能体正开始多于人员。这一说法并不代表每家公司，但它反映了 Opsin 的投资者所押注的方向。

相关的安全问题并不是一个组织是否拥有比员工更多的智能体，而是该组织是否知道存在多少智能体，以及每一个智能体拥有什么权限。

Opsin 表示，其平台会在获批准的 AI 系统中生成持续更新的清单。随后，它将智能体与其所有者、声明用途、连接工具、可访问数据和观察到的行为关联起来。

这一模型将智能体部分视为非人类身份。然而，与传统服务账户相比，智能体可能带来更复杂的问题。

服务账户通常为明确的应用程序执行可预测的操作。智能体则可以解释指令、选择工具，并随情况变化调整其行动顺序。

其权限在技术上可能有效，但其行为在上下文中可能并不恰当。一个财务智能体可能被授权读取文档，却没有正当理由将其暴露给另一部门。

这一差异解释了为何仅靠访问控制无法提供完整答案。权限展示的是一个身份能做什么，而不是某个具体行动是否符合其被赋予的角色。

组织还需要对智能体能够检索的知识建立明确边界。良好的知识库设计可以通过分离个人、团队和公司信息，减少意外暴露。

然而，内容组织无法取代运行时监督。智能体可以组合来自多个获准来源的数据，并生成带来新披露风险的输出。

所有者也可能在不了解后果的情况下修改智能体指令。当有人将其连接到电子邮件、财务或工单系统后，一个无害的摘要工具可能变成操作型工具。

这正是为什么智能体泛滥成为身份问题，而不仅是简单的软件清单问题。组织必须将每个智能体与可追责的所有权和适当权限联系起来。

它还必须随着智能体的变化重新审视这一决策。一次性批准无法涵盖新的连接器、更宽泛的共享设置或被修改的指令。

对于安全团队而言，这会带来压力：必须在采用进一步领先之前建立治理机制。阻止所有智能体会牺牲有用的自动化，而仅批准平台又会留下重要缺口。

Opsin 押注企业将选择持续监督。这个市场将取决于这种监督能否保持准确，而不会成为另一种告警疲劳来源。

传统安全为何忽视智能体意图

传统工具看到的是技术事件，而 Opsin 的核心主张是，智能体风险取决于将这些事件连接起来的用途。

现有安全产品已经收集了大量相关信息。身份系统记录身份验证，数据平台记录访问，云工具监控配置变更。

端点和网络产品能够检测可疑执行或流量。数据丢失防护系统可以在敏感信息通过受控渠道流动时应用策略。

这些信号仍然很有价值。Opsin 并不主张企业应抛弃它们。它主张的是，孤立的信号无法解释智能体的行为是否符合其被赋予的职责。

设想一个读取客户数据库并发送内部消息的智能体。每一项操作都可能被允许、经过身份验证并被记录。

如果消息传递给客户账户团队以外的员工，整个工作流就会变得有风险。判断这一风险需要了解智能体的用途、受众和数据背景。

当存在明确规则时，传统控制措施可以标记策略违规。但对于每个单独行动都被允许、整体顺序却与业务意图冲突的情况，它们往往难以应对。

这一缺口构成了本文的主要冲突。既有安全模型关注获授权的访问，而以智能体为中心的监控关注获授权的用途。

Opsin 的创始人在网络安全和企业数据领域工作后形成了这一立场。Pham 和联合创始人 Oz Wasserman 此前曾在 Abnormal Security 共事。

后来，他们与工程领导者 Jeremy Mailen 一起创办 Opsin。创始人表示，与数百人的交流显示，敏感数据暴露是企业采用 AI 的核心障碍。

Pham 将智能体监督比作通过可观察行为评估人类员工。管理者无法检查一个人的想法，但可以根据其角色和预期职责评估行动。

这一类比很有用，但并不完整。员工理解政策、面临后果，也能解释模糊选择。智能体通过指令和模型行为运行，可能无法提供同等程度的问责能力。

Opsin 试图通过同时记录预期用途和实际活动来弥合这一差距。其系统随后可以将代理应执行的任务与其实际采取的行动进行比较。

这种方法类似于网络安全领域其他场景中使用的行为监控。不同之处在于，它增加了代理专属的上下文，包括指令、工具、连接器、所有权和共享范围。

平台多样性强化了 Opsin 的论点。一家企业可能使用 Microsoft Copilot 处理办公任务，使用 ChatGPT Enterprise 进行分析，使用 Claude 开展研究，并使用 Gemini 支持其他工作流。

每家供应商都可以为自身环境提供控制功能。而跨平台产品则可以为安全团队提供统一模型，用于比较这四个平台上的代理。

但平台多样性也可能削弱独立层的价值。大型供应商控制着底层接口、遥测数据、权限和执行节点。

如果这些供应商提供更完善的原生资产盘点和策略工具，客户可能会质疑是否还需要另一款产品。因此，Opsin 必须提供平台控制台整体无法匹敌的上下文与执行能力。

竞争同样来自其他 AI 安全初创公司。例如，WitnessAI 已筹集大量资金，用于监控企业 AI 系统如何使用和流转数据。

WitnessAI 更广泛的平台覆盖用户、代理、应用程序和模型之间的交互。根据一份行业融资报告，其融资反映出投资者对以代理为重点的网络安全领域日益浓厚的兴趣。

竞争格局并非单纯是公司之间的较量。买方必须在整合成熟供应商的控制措施与采用专门构建的代理安全层之间做出选择。

Opsin 的优势在于能够关联各平台之间的信号。其劣势则在于，必须依赖这些平台获得可见性和执行能力。

这笔融资为 Opsin 赢得了时间，以证明代理意图是一项站得住脚的安全输入。接下来的挑战，是将这一概念转化为客户能够信赖的决策。

风险图谱的押注：用上下文取代孤立告警

只有将零散的代理活动转化为更少、更优质的安全决策，Opsin 的 Risk Graph 才能成功。

Opsin 将其核心上下文模型称为 Risk Graph。图谱可连接代理、所有者、工具、权限、数据源、操作和预期用途等相关实体。

该模型旨在揭示传统事件列表可能掩盖的关系。一项 API 调用看似无害，但一旦它连接起代理、敏感文件和未经授权的接收者，风险便会显现。

Opsin 表示，它首先会在支持的企业平台之间建立统一的代理模型。即使不同供应商使用不同术语，这一步也能为安全团队提供一致的资产清单。

随后，平台会检查代理的安全态势。态势包括连接器、可用工具调用、共享范围和权限，这些因素共同定义了代理可能具备的能力。

运行时行为则补充代理实际执行的操作。Opsin 举例称，例如访问超出角色范围的信息，或向不匹配的用户返回敏感数据。

Risk Graph 将这些层面与身份和意图结合。Opsin 表示，由此形成的上下文有助于识别新出现的风险，并确定值得关注的事件优先级。

当代理跨越策略边界时，据称该平台可以隔离代理、阻止操作或通知其所有者。可用响应将取决于已连接的平台及其执行接口。

Opsin 表示，客户可通过 API 连接产品，无需进行专门的模型训练。该公司还称，初步评估可在 24 小时内识别已获批准平台上的代理。

这些是公司声明，而非经过独立基准测试的性能结果。买方需要在自身环境中评估覆盖范围、部署工作量和检测准确性。

不过，这一机制确实回应了现实的运营约束。安全团队收到的告警已多到难以逐一调查，因此原始可见性本身价值有限。

如果一款代理监控产品标记每一项异常操作，只会让问题更加严重。当任务、数据集或业务条件发生变化时，代理的行为可能合理地随之改变。

因此，Opsin 必须区分有意义的偏离与无害的变化。它还需要提供足够的证据，解释某一行为为何获得特定风险等级。

可解释性之所以重要，是因为执行措施可能中断工作。隔离错误的代理，可能延误发票处理、客户回复、合规流程或运营决策。

一条有用的告警应识别代理、所有者、预期用途、受影响的信息、相关操作和被违反的策略。它还应展示连接这些要素的证据。

这些证据可以支持安全团队与业务所有者之间的沟通。安全团队了解风险暴露，而所有者则了解该行为是否服务于正当业务需求。

相同的上下文也可以指导更有针对性的修复。组织不必禁用整个平​​台，而可能只需降低某个代理的权限或移除一个连接器。

这是 Opsin 代理监控模型中最具前景的部分。它将治理定义为精准纠正，而非在无限制采用与全面禁止之间二选一。

不过，图谱的完整性取决于其输入。缺失的遥测数据、未记录的集成或过时的所有权信息，都可能削弱其结论。

意图同样难以捕捉。员工写下的简短描述，可能无法涵盖代理执行每项正当操作所需的全部内容。

详细描述会带来另一种问题。它们要求用户投入时间、维护和判断，而用户采用低代码代理的部分原因，正是为了避免复杂的管理工作。

Opsin 可以通过发现能力和行为基线减轻这一负担。但它无法消除组织界定责任和可接受使用方式的需求。

安全团队还需要决定何时应对偏离行为实施自动阻止。检测比执行更容易容忍不确定性，因为错误拦截会立即带来业务成本。

因此，Risk Graph 不仅是一种技术架构。它押注于能够捕捉到足够的组织上下文，从而支持适度的干预措施。

这一主张使 Opsin 区别于那些只记录提示词、响应或 API 追踪信息的工具。它也构成了评估该公司的标准。

Opsin 的数据无法证明什么

早期数据识别出了危险配置，但尚未证明这些配置会多频繁地引发真实安全事件。

Opsin 报告称，93% 与代理相连且存在失配的工具，对其连接系统拥有不受限制的访问权限。该公司还表示，每 200 个代理中只有一个在执行操作前需要人工批准。

这些发现出现在公司发布的代理风险公告中，源自对 Opsin 企业客户活动的分析。

这些数字之所以令人担忧，是因为它们将行为失配与广泛权限结合在一起。当代理超出预期角色行事时，如果它还能自由使用已连接系统，威胁就会更大。

然而，该公司尚未公开足够的方法论细节，无法将这些比例视为广泛适用的行业基准。客户样本来自主动选择代理安全产品的组织。

这种选择可能使观察到的人群偏向那些已经担忧访问控制、过度共享或不受控部署的公司。它未必代表所有使用代理的企业。

“失配”一词同样需要谨慎解读。它可能指从意外但无害的操作，到造成实质性安全事件的行为等各种情况。

不受限制的访问并不能证明代理滥用了该权限。它识别的是一种危险状况，会增加错误或受损情况下的潜在影响。

人工审批比例同样需要谨慎看待。强制审查可以降低自主性，但如果为每项操作都增加审批，代理的大部分实际价值也将被抹去。

相关衡量指标并非尽可能低的自主性，而是高影响操作是否根据数据敏感性、可逆性和业务上下文接受了适当审查。

Opsin 也有商业动机去强调问题的规模。其融资公告及配套数据应被视为公司提供的证据进行评估。

这并不意味着这些证据无关紧要。它意味着客户应要求获取定义、样本特征、误报率，以及经确认的风险降低案例。

独立评估仍然困难，因为代理安全仍是一个正在发展的类别。不同组织部署了不同的模型、平台、连接器和内部策略。

一项有用的基准测试应将 Opsin 的发现与原生平台控制措施及现有安全产品进行比较。它应衡量检测覆盖范围和运营负担。

漏报尤其值得关注。如果代理通过不受支持的工具或自定义集成运行，不完整的资产清单会造成一种误导性的控制感。

误报则会造成另一种失败。过多低价值发现可能导致团队忽视告警，或关闭执行功能。

安全产品本身也会成为敏感系统。代理治理平台可能会收集有关身份、业务流程、数据源和运营行为的详细记录。

客户应评估这些信息如何存储、隔离、保留和访问。他们还应审查该产品能够在已连接平台内采取哪些操作。

另一项不确定性涉及对抗性行为。监控意外的过度共享，并不等同于检测被攻破的代理，或蓄意操纵指令的攻击者。

提示词注入、恶意工具、被盗身份和投毒数据，都可能产生看似正当工作的行为。上下文图谱可能有所帮助，但无法消除其中的根本模糊性。

诸如 AI 风险框架等行业指导强调持续测量、治理和风险管理。这种更广泛的纪律无法外包给单一监控产品。

企业仍需要明确的所有权、数据分类、事件响应、变更管理和最小访问权限策略。Opsin 可以支持这些控制措施，但无法为每位客户界定它们。

该公司近 20 家客户证明了早期需求，而非一个已成熟市场的证据。部署深度比单纯的客户数量更重要。

客户可能进行有限评估、监控一个业务部门，或在整个代理环境中执行控制措施。这些情况意味着截然不同的采用程度。

最有力的证明将来自有记录的成果。例如，发现此前未知的代理、移除过度权限、防止信息暴露以及缩短调查时间。

公开的客户案例研究还可以显示，随着部署规模扩大，Opsin 的告警是否仍然有用。该平台必须在组织拥有数以千计、不断变化的代理时仍能发挥作用，而不仅是在初步评估期间。

Opsin 的融资反映出市场相信企业会为这一层级付费。其下一阶段必须以可衡量的安全成果取代类别层面的紧迫感。

三项信号将决定 Opsin 的押注是否奏效

Opsin 的未来取决于覆盖范围、执行质量，以及客户是否会在初步代理评估之外扩大采用规模的证据。

第一个信号是更广泛的平台与集成覆盖。企业需要了解获批 AI 套件、自定义代理、连接器，以及这些代理所使用系统的全貌。

对 Microsoft、OpenAI、Anthropic 和 Google 的支持构成了重要起点。更严峻的考验在于通过内部开发工具和专业业务平台构建的代理。

如果 Opsin 能在不失去其统一代理模型的前提下扩大覆盖范围，其独立定位将更加强大。碎片化的支持将迫使客户管理多个不完整的资产清单。

第二个信号是可靠的执行能力。发现能够引起兴趣，但买家最终会期待该产品能够阻止或遏制有害行为。

Opsin 表示，当策略被触发时，它能够阻止操作、隔离代理并通知所有者。客户将需要证据证明，这些控制措施能在所有受支持环境中持续有效地运作。

自动干预也必须保持适度。一个会阻断安全工作的系统，将面临员工和业务领导者的抵触。

关注围绕告警质量、调查时间、策略违规和误报率发布的数据。这些结果比又一个已发现代理数量更能说明问题。

如果客户允许 Opsin 从评估进入主动控制阶段，将支持其关于上下文监控受到信任的主张。如果客户仍将其保留在观察模式，执行能力这一论点仍未得到验证。

第三个信号是在现有客户内部的扩张。Opsin 表示其服务于近 20 家企业，但这些关系的深度将决定其商业模式的持久性。

从一个部门扩展到多个业务单元，将表明代理风险正成为全组织范围内的预算优先事项。续约和更长期的部署也将提供类似证据。

具名案例研究应记录部署后发生的变化。有价值的细节包括权限缩减、共享设置修正、操作得到遏制，以及调查时间缩短。

竞争对手的动向同样重要，但它只是辅助背景，而非核心检验。WitnessAI 和其他初创公司正争夺重叠的预算，而大型平台则可以加强原生控制能力。

更多竞争将验证需求，同时也会让差异化变得更难。Opsin 必须证明，其跨平台上下文能够带来单独供应商控制台无法提供的决策能力。

这笔融资本身带来了时间、人才和市场准入。它并未赋予 Opsin 对这一类别的所有权。

如果代理数量继续以快于安全团队盘点速度的节奏增长，该公司的论点将更加有力。如果原生控制能力围绕共享治理模型趋于一致，这一论点则会被削弱。

对于企业买家而言，眼下的教训并非在未经评估的情况下购买某个特定产品，而是不再将获批 AI 平台等同于获批代理行为。

安全团队应先建立一份清单，识别代理、所有者、用途、权限、连接器及受影响的数据。随后，他们应根据影响程度和可逆性对操作进行排序。

在启用自动遏制之前，他们还应要求提供证据。被阻断的代理可能扰乱工作，就像失控的代理可能泄露信息一样。

Opsin AI 代理安全正进入最重要的验证期。该公司拥有融资、早期客户，以及一个明确待解决的问题。

现在，它必须证明代理意图能够成为可靠的安全控制手段，而不是另一个不确定的数据点。

对于部署代理的团队而言，实际的下一步很直接。询问每个活跃代理是否都有明确负责的所有者、定义清晰的用途，以及仅限于该用途的访问权限。然后检查是否有人能够发现其行为何时发生变化。如果这些问题的答案并不明确，代理采用已经走在治理之前。未来几个月，请关注 Opsin 的客户扩张、执行成果和平台覆盖范围。这些信号将表明，其上下文方法能否成为企业安全中持久的一层，还是仅仅是对快速变化风险的早期回应。