Pluto Security verlässt den Stealth-Modus und verfügt über insgesamt 42 Millionen US-Dollar zur Absicherung von KI-Arbeitsumgebungen

Der KI-Assistent eines Mitarbeiters kann inzwischen mehr, als nur Fragen zu beantworten. Er kann sich mit Unternehmenssystemen verbinden, Erweiterungen installieren, Befehle ausführen und Anwendungen erstellen. Für Sicherheitsteams besteht die Herausforderung darin, zu entscheiden, welche dieser Aktionen erlaubt sein sollten – und eingreifen zu können, wenn sich der Kontext ändert.

Pluto Security verlässt den Stealth-Modus und verfügt über insgesamt 42 Millionen US-Dollar an Finanzmitteln, um dieses Problem anzugehen. Das Unternehmen gab eine jüngste Finanzierungsrunde über rund 34 Millionen US-Dollar bekannt, die von Jump Capital angeführt wurde. Zuvor hatte TLV Partners eine Seed-Runde angeführt. In der Mitteilung wird die Phase der jüngsten Runde nicht genannt.

Pluto wurde 2025 gegründet und gibt an, einen jährlich wiederkehrenden Umsatz in Millionenhöhe erzielt zu haben, weltweit mehr als 1 Million Endgeräte abzusichern und über 40 Unternehmenskunden zu bedienen. Zu den namentlich genannten Kunden zählen Oscar Health, Workato, Sixt und AlphaSense sowie Unternehmen aus dem Fortune-500-Kreis. Mit dem neuen Kapital sollen die Produktentwicklung, die Sicherheitsforschung und die Expansion in den USA finanziert werden.

Der KI-Arbeitsbereich wird zur Sicherheitsgrenze

Pluto bezeichnet sein Marktsegment als Sicherheit für KI-Arbeitsbereiche. Dazu gehören die von Mitarbeitern verwendeten KI-Tools, die mit diesen Tools verbundenen Komponenten sowie die Anwendungen, Agenten und Automatisierungen, die Mitarbeiter erstellen.

Dieser Umfang spiegelt einen Wandel darin wider, wie Software in Unternehmen Einzug hält. Mitarbeiter können einen Arbeitsablauf aus einem KI-Assistenten, einer Community-Funktion und einer Verbindung zu Unternehmensdaten zusammenstellen, ohne ein herkömmliches Entwicklungsprojekt durchlaufen zu müssen. Jede Ergänzung kann verändern, worauf der Assistent zugreifen oder was er ausführen kann.

Das Model Context Protocol, kurz MCP, ist ein Beispiel dafür. Es ermöglicht KI-Anwendungen, sich mit Tools und Datenquellen zu verbinden. Die Sicherheitsfrage beschränkt sich nicht darauf, ob die KI-Anwendung selbst zugelassen ist: Teams müssen auch die Berechtigungen und das Verhalten der von ihr genutzten Server und Integrationen verstehen.

Dies ist Teil der umfassenderen Herausforderung der Software-Lieferkette im Zusammenhang mit der Governance von KI-Agenten. Wer ein Modell oder einen Assistenten isoliert prüft, lässt Abhängigkeiten außer Acht, die dessen Verhalten beeinflussen oder seine Reichweite vergrößern können.

Erkennung, Risikobewertung und Laufzeitkontrolle

Pluto zufolge vereint seine Plattform die Transparenz über Endgeräte, kontextbezogene Risikoanalysen und die Durchsetzung von Richtlinien in Echtzeit. Ziel ist es, Sicherheitsteams genügend Informationen an die Hand zu geben, um eine gefährliche Aktion einzuschränken, ohne automatisch das gesamte Tool zu verbieten, mit dem sie ausgeführt wird.

Auf seiner Website gliedert das Unternehmen die Plattform in vier Funktionen: Explorer erkennt KI-Aktivitäten; Risk Radar bewertet die erkannten Aktivitäten anhand der eigenen Risikodatenbank; Space Shield setzt Richtlinien durch; und Marketspace bietet eine kuratierte Auswahl an KI-Erweiterungen. Das Unternehmen gibt an, Tools, Komponenten der Lieferkette, Verhalten zur Laufzeit und KI-generierte Artefakte abzudecken.

Als Beispiele nennt die Website, dass vor dem Zugriff eines Agenten auf eine Zahlungs-API eine Genehmigung erforderlich ist, der Zugriff auf sensible Daten eingeschränkt wird und vertrauenswürdige MCP-Server zugelassen werden, während andere unter Quarantäne gestellt werden. Dabei handelt es sich um Beschreibungen des vorgesehenen Produktverhaltens und nicht um unabhängig geprüfte Garantien.

Die Unterscheidung zwischen Erkennung und Durchsetzung ist wichtig. Ein Inventar kann einem Sicherheitsteam mitteilen, dass ein Konnektor vorhanden ist. Wirksame Kontrolle setzt außerdem voraus, dass bekannt ist, worauf er zugreifen kann und wie sich die betreffende Aktion einschränken lässt. Auch bei einem zugelassenen Tool kann eine unsichere Erweiterung, ein übermäßig privilegiertes Zugangstoken oder eine Aufgabe auftreten, die die Befugnisse des Nutzers überschreitet.

Stellen Sie sich vor, ein Assistent soll einen Kundendatensatz zusammenfassen. Einen freigegebenen Datensatz zu lesen und eine vollständige Kundendatenbank zu exportieren, sind unterschiedliche Aktionen – selbst wenn beide von derselben zugelassenen Anwendung ausgehen. Kontextbezogene Richtlinien sollen solche Situationen voneinander unterscheiden. Ihr praktischer Nutzen hängt davon ab, wie präzise die Beobachtungen sind und wie zuverlässig die Richtlinien durchgesetzt werden.

Plutonium untersucht die Komponenten rund um den Agenten

Ein zentraler Bestandteil von Plutos Ansatz ist Plutonium, ein kostenloser Katalog zur Sicherheit von KI-Lieferketten, der laut Mitteilung auf der proprietären RisksDB des Unternehmens basiert. Er unterstützt Fachleute dabei, Komponenten wie Skills, Erweiterungen und MCP-Server vor ihrer Einführung zu bewerten.

Der öffentliche Hub beschreibt eine auf Agenten ausgerichtete Risiko-Engine, die Informationen zu Herausgebern, Kompatibilitätszuordnungen, Quellenprüfungen und Code-Scans kombiniert. Zu den Bewertungskategorien gehören die Ausführung von Befehlen, dauerhafte Zugriffstoken, die Weitergabe von Daten an Dritte, die Änderung und Löschung von Daten. Außerdem bietet er einen MCP Inspector und Hinweise zur sicheren Nutzung.

Diese Kategorien machen aus der allgemeinen Frage, ob eine Erweiterung sicher ist, konkretere Fragen zu ihren Funktionen und Zugriffsrechten. Ein Konnektor, der Dokumente lesen kann, birgt ein anderes Risiko als einer, der Datensätze ändern oder Befehle ausführen kann. Dieselbe Funktion kann für einen geschäftlichen Arbeitsablauf angemessen sein, für einen anderen jedoch zu weit gehen.

Die Bewertung eines Katalogeintrags und der Schutz zur Laufzeit decken unterschiedliche Teile des Problems ab. Eine Prüfung kann Entscheidungen über die Einführung unterstützen; laufende Kontrollen müssen berücksichtigen, wie eine Komponente tatsächlich genutzt wird. Keines von beidem sollte als Beleg dafür missverstanden werden, dass jede künftige Aktion harmlos sein wird.

Frühe kommerzielle Erfolge, deren Wirkung noch gemessen werden muss

Die von Pluto gemeldeten Kunden- und Umsatzzahlen deuten auf eine frühe Nachfrage in dieser Kategorie hin. Das Unternehmen gibt an, seine Verbreitung auf Sicherheitsforschung, kostenlose Ressourcen und die Beteiligung von Praktikern gestützt zu haben. Tausende Fachleute nutzen Plutonium und tragen dazu bei.

Diese Angaben zur Verbreitung stammen vom Unternehmen. Die Mitteilung enthält keine unabhängigen Messungen zur Erkennungsabdeckung, zu Falschalarmen, zur Durchsetzungslatenz oder zur Verhinderung von Angriffen. Die Absicherung von mehr als 1 Million Endgeräten beschreibt den gemeldeten Umfang der Bereitstellung; sie belegt nicht, dass alle denkbaren KI-Workflows auf diesen Geräten abgedeckt sind.

Für Unternehmenskunden sind die operativen Fragen konkret: Welche Tools und Ausführungspfade sind sichtbar, welche Aktionen lassen sich blockieren, wie werden Ausnahmen genehmigt und welche Nachweise bleiben erhalten, wenn eine Richtlinie greift? Ein System, das riskante Aktivitäten unterbindet, aber regelmäßig legitime Arbeit unterbricht, schafft für das Unternehmen ein anderes Problem.

Ein Sicherheitsteam, das sich an den Absichten der Nutzer orientiert

CEO und Mitgründer Shahar Bahat gründete Pluto gemeinsam mit Tal Ofer Regev und Gil Maman. Zuvor hatte Bahat leitende Positionen im Bereich Cybersicherheit bei Microsoft und Palo Alto Networks inne. Regev war zuvor VP für Forschung und Entwicklung bei Palo Alto Networks, während Maman mehr als sechs Jahre in technischen Führungspositionen beim israelischen Militärgeheimdienst tätig war. Pluto zufolge beschäftigt das Unternehmen inzwischen mehr als 50 Mitarbeiter in den Vereinigten Staaten und Israel.

Bahat beschreibt den Ansatz des Unternehmens als Bestreben, zu verstehen, was Nutzer erreichen wollen, und Sicherheitsteams den nötigen Kontext zu geben, damit sie diese Arbeit sicher ermöglichen können. Die Herausforderung besteht darin, diese Philosophie in präzise und verlässliche Kontrollmechanismen umzusetzen, während Mitarbeiter neue Tools einführen und neue Workflows zusammenstellen.

Die Finanzierungsankündigung positioniert Pluto in einem wachsenden Wettbewerb um die Absicherung von KI, wenn diese auf Unternehmenssystemen agiert. Als Nächstes muss das Unternehmen zeigen, dass sich Erkennung, Komponentenbewertung und Durchsetzung zur Laufzeit in dem Umfang miteinander verbinden lassen, den der frühe Kundenstamm bereits repräsentiert.