CodeWall Menggalang Pendanaan Pra-Seed US$4 Juta untuk Menghadirkan Agen Serangan Otonom bagi Keamanan Perusahaan

Tim keamanan dapat menambal kerentanan, tetapi tetap membiarkan penyerang memiliki jalur lain menuju data yang sama. Pertanyaan yang lebih sulit adalah apakah kelemahan di berbagai aplikasi, identitas, dan infrastruktur dapat dirangkai menjadi serangan yang berhasil.

CodeWall membangun bisnisnya dengan berfokus pada upaya menjawab pertanyaan itu secara berkelanjutan. Startup asal London ini keluar dari mode senyap dengan pendanaan pra-seed sebesar US$4 juta yang dipimpin oleh Osney Capital, dengan partisipasi dari InReach Ventures, Antler, dan para investor malaikat, menurut pengumumannya pada 14 Oktober.

Perusahaan ini mengembangkan agen serangan otonom yang menguji perusahaan dari luar, tanpa memerlukan kredensial, kode sumber, atau akses internal. Tujuannya adalah memberi tim pertahanan cara berkelanjutan untuk menemukan dan memverifikasi jalur yang dapat dieksploitasi sebelum digunakan oleh pelaku jahat.

Dari daftar kelemahan menuju bukti adanya jalur serangan

Visi teknis CodeWall berpusat pada penyesuaian investigasi seiring munculnya bukti baru. Perusahaan ini berpendapat bahwa terbatasnya tenaga ahli keamanan ofensif dan penilaian yang dilakukan secara berkala membuat organisasi kesulitan menguji lingkungan yang berubah di antara satu penugasan dan penugasan berikutnya.

Dalam pengumumannya, CodeWall menjelaskan bahwa agen-agen khusus melakukan investigasi secara paralel dan berbagi temuan melalui graf investigasi persisten. Temuan pada satu aplikasi dapat menjadi masukan bagi agen berikutnya saat memeriksa layanan, identitas, atau penyimpanan data yang terhubung. Hasil yang dituju adalah uraian tentang apa yang dapat disusupi, bagaimana jalur serangannya bekerja, dan bukti yang mendukung kesimpulan tersebut.

Dalam praktiknya, graf menggambarkan hubungan antartemuan, alih-alih memperlakukan setiap peringatan sebagai temuan yang berdiri sendiri. Hubungan antartemuan bisa jadi lebih penting daripada kelemahan masing-masing: celah pada satu batas keamanan dapat membuat kontrol kedua bisa dijangkau. Penjelasan ini menggambarkan gagasan arsitekturnya; dalam pengumuman tersebut, CodeWall belum mengungkapkan cukup banyak detail implementasi untuk menilai cara grafnya menyelesaikan temuan yang bertentangan atau memvalidasi setiap perpindahan antarbagian.

Situs web perusahaan menyebutkan bahwa platform ini memetakan hubungan kepercayaan di berbagai layanan, API, dan infrastruktur, menyesuaikan strateginya selama investigasi, serta menghasilkan bukti konsep yang dapat direproduksi. Semua itu merupakan klaim produk. Nilainya bagi perusahaan bergantung pada apakah temuan tersebut tetap dapat direproduksi dan relevan di lingkungan perusahaan itu.

Apa yang ditunjukkan oleh risetnya tentang McKinsey

CodeWall telah menerbitkan riset yang menguraikan kelemahan pada platform yang dioperasikan oleh sejumlah perusahaan konsultan besar. Laporan 9 Maret tentang pengujian platform AI Lilli milik McKinsey sangat relevan bagi perusahaan yang menghubungkan aplikasi AI dengan pengetahuan internal.

Menurut CodeWall, agennya memperoleh akses baca dan tulis ke basis data produksi dalam waktu kurang dari dua jam. Perusahaan tersebut menyebut antarmuka tanpa autentikasi dan masalah injeksi SQL terkait penanganan nama kolom permintaan sebagai titik masuknya. Hal yang signifikan adalah jangkauan akses ke data dan konfigurasi yang mendasari aplikasi, bukan kegagalan model bahasa itu sendiri.

Para peneliti juga membahas dampak dari akses tulis ke prompt sistem yang tersimpan: penyusupan ke infrastruktur aplikasi dapat membuka jalan untuk mengubah instruksi yang mengatur keluaran AI tepercaya. Laporan itu menyebutnya sebagai kemungkinan dampak, bukan sebagai bukti bahwa para konsultan menerima saran yang telah dimanipulasi.

CodeWall menyatakan bahwa mereka mengungkapkan temuan tersebut kepada McKinsey, membatasi akses untuk keperluan verifikasi, dan memastikan perbaikannya telah dilakukan sebelum publikasi. Rincian ini berasal dari laporan riset vendor; hal tersebut tidak boleh ditafsirkan sebagai bukti adanya kerentanan yang masih berlangsung atau tolok ukur umum yang membuktikan bahwa agen mereka mengungguli penguji manusia.

Pengujian berkelanjutan mengubah tantangan operasional

CodeWall menyatakan bahwa platformnya kembali menguji sistem saat aplikasi berubah, aset baru muncul, atau perbaikan diterapkan, dengan tetap beroperasi dalam lingkup yang telah mendapat izin. Hal ini dapat menciptakan siklus umpan balik yang berguna: menemukan jalur serangan, mengatasi kelemahan yang berkontribusi terhadapnya, lalu menguji apakah jalur tersebut masih berfungsi.

Pengujian ulang penting karena penutupan tiket tertentu belum tentu memastikan bahwa risiko bisnis awal telah hilang. Perbaikan mungkin menutup satu jalur, tetapi membiarkan jalur lain tetap terbuka, atau penerapan berikutnya dapat membatalkan perbaikan sebelumnya.

Liputan Unite.AI sebelumnya tentang pengujian penetrasi dan remediasi otonom membahas pergeseran serupa menuju validasi berulang. CodeWall menekankan pendekatan dari luar dan investigasi terkoordinasi terhadap sistem yang saling terhubung. Kesamaan tujuan komersial tidak berarti arsitektur agen atau kontrol pelaksanaannya identik.

Pengujian yang lebih sering juga meningkatkan pentingnya batasan operasional. Perusahaan yang mengevaluasi platform semacam ini sebaiknya menetapkan target dan tindakan yang diizinkan, aturan penanganan bukti, prosedur eskalasi, serta kemampuan untuk menghentikan investigasi. Hal-hal tersebut merupakan kriteria evaluasi, bukan kapabilitas yang telah dibuktikan oleh pengumuman pendanaan CodeWall.

Apa yang akan dikembangkan dengan pendanaan tersebut

Pendiri sekaligus CEO Paul Price memosisikan perusahaan ini sebagai cara untuk menjadikan pengujian ofensif sebagai kemampuan pertahanan yang permanen. CodeWall mengatakan bahwa perusahaan ini telah membantu bank dan lembaga keuangan mengidentifikasi serta memverifikasi jalur serangan yang dapat dieksploitasi, meskipun pengumuman tersebut tidak menyebutkan nama pelanggan di sektor keuangan ataupun menyajikan pengukuran kinerja independen.

Pendanaan ini akan mendukung perluasan lingkungan yang dapat diselidiki oleh agen-agen CodeWall, serta pengujian, verifikasi, dan alur kerja remediasi yang berkelanjutan. Perusahaan ini juga berencana memperbesar tim keamanan ofensif, rekayasa, kesuksesan pelanggan, dan pengembangan pasar di London.

Bagi calon pelanggan, hal penting yang perlu diperjelas adalah sejauh mana alur kerja remediasi tersebut mencakup tindakan lanjutan. Menyajikan bukti dan merekomendasikan perbaikan berbeda dengan secara otomatis melakukan perubahan di lingkungan produksi. Pengumuman tersebut tidak memastikan bahwa CodeWall menerapkan perbaikan secara mandiri, sehingga perusahaan perlu memperjelas siapa yang memberikan persetujuan dan melaksanakan perbaikan.

Ukuran kemajuan yang paling kuat adalah kualitas keputusan keamanan yang dihasilkan: jalur yang dapat direproduksi, dampak bisnis yang jelas, penanganan bukti sensitif yang tepat, serta konfirmasi bahwa remediasi menutup celah keamanan. Putaran pendanaan pra-seed CodeWall memberinya sumber daya untuk mewujudkan model operasional tersebut. Kini, tugasnya adalah menjadikan pengujian adversarial berkelanjutan cukup andal untuk menjadi pekerjaan rutin di perusahaan.