Pluto Security、AIワークスペース保護に向け総額4,200万ドルを調達し、ステルスを脱却

従業員が使うAIアシスタントは、質問に答えるだけのものではなくなっています。社内システムに接続し、拡張機能をインストールし、コマンドを実行し、アプリケーションを構築することもできます。セキュリティチームにとっての課題は、こうした操作のうち何を許可するかを判断し、状況が変わったときに介入できる状態を保つことです。

Pluto Securityは、この課題に取り組むため、総額4,200万ドルの資金調達を発表し、ステルス状態を脱しました。同社は、Jump Capitalが主導する約3,400万ドルの最新の資金調達ラウンドを発表しました。これは、TLV Partnersが主導した初期のシードラウンドに続くものです。今回の発表では、最新ラウンドの段階は明らかにされていません。

2025年に創業したPlutoによると、年間経常収益は数百万ドルに達し、世界で100万台を超えるエンドポイントを保護し、40社を超える企業顧客にサービスを提供しています。顧客として名前が挙がっているのは、Oscar Health、Workato、Sixt、AlphaSenseのほか、フォーチュン500企業です。今回の資金は、製品開発、セキュリティ研究、米国での事業拡大に充てられます。

AIワークスペースがセキュリティ境界に

Plutoは、自社の事業領域をAIワークスペースセキュリティと位置付けています。対象には、従業員が利用するAIツール、それらのツールに接続されるコンポーネント、そして従業員が作成するアプリケーション、エージェント、自動化機能が含まれます。

この対象範囲は、組織にソフトウェアが導入される方法の変化を反映しています。従業員は、従来型の開発プロジェクトを経ずに、AIアシスタント、コミュニティで共有されるスキル、業務データへのコネクターを組み合わせてワークフローを構築できます。追加するものによって、アシスタントがアクセスまたは実行できる内容が変わる可能性があります。

その一例が、Model Context Protocol（MCP）です。これは、AIアプリケーションがツールやデータソースに接続するための仕組みを提供します。セキュリティ上の論点は、AIアプリケーション自体が承認されているかどうかにとどまりません。チームは、そのアプリケーションが利用するサーバーや連携機能の権限と挙動も把握する必要があります。

これは、AIエージェントのガバナンスをめぐるソフトウェアサプライチェーン全体の課題の一部です。モデルやアシスタントだけを個別に評価しても、その挙動に影響を与えたり、アクセス範囲を広げたりする依存関係は見落とされます。

検出、リスク評価、実行時制御

Plutoによると、同社のプラットフォームは、エンドポイントの可視化、コンテキストに基づくリスク分析、リアルタイムの適用制御を組み合わせています。セキュリティチームに十分な情報を提供し、危険な操作を制限しながら、その操作を行うツール全体を自動的に禁止せずに済むようにすることが狙いです。

同社のウェブサイトでは、プラットフォームを4つの機能に分けて紹介しています。ExplorerはAIの活動を検出し、Risk Radarは独自のリスクデータベースを使って検出結果を評価し、Space Shieldは適用ポリシーを実施し、Marketspaceは厳選されたAIアドオンを提供します。同社は、ツール、サプライチェーンの構成要素、実行時の挙動、AIが生成した成果物までをカバーすると説明しています。

ウェブサイトに掲載されている例には、エージェントが決済APIにアクセスする前に承認を必須とすること、機密データへのアクセスを制限すること、信頼できるMCPサーバーは許可し、それ以外は隔離することが含まれます。これらは、製品が意図する挙動についての説明であり、独立した検証を経た保証ではありません。

検出と適用制御の違いは重要です。インベントリがあれば、コネクターの存在をセキュリティチームが確認できます。効果的に制御するには、そのコネクターが何にアクセスできるかを把握し、該当する操作を制限できることも必要です。許可されたツールであっても、安全でない拡張機能、過剰な権限を持つ認証情報、あるいはユーザーの権限を超えるタスクに遭遇する可能性があります。

顧客レコードの要約をアシスタントに依頼する場面を考えてみましょう。許可されたレコードを読み取ることと、顧客データベース全体をエクスポートすることは、どちらも同じ承認済みアプリケーションから始まるとしても、異なる操作です。コンテキストに応じたポリシーは、こうした状況を区別することを目的としています。その実用性は、観測の正確性と適用制御の信頼性に左右されます。

Plutoniumがエージェントを取り巻く構成要素を調査

Plutoのアプローチの中核を担うのが、Plutoniumです。発表によると、同社独自のRisksDBを基盤とする、無料のAIサプライチェーンセキュリティカタログです。スキル、拡張機能、MCPサーバーなどのコンポーネントを導入する前に、実務担当者が評価するのに役立ちます。

公開ハブでは、提供元の情報、互換性のマッピング、ソースコードのレビュー、コードスキャンを組み合わせたエージェント型リスクエンジンを紹介しています。評価項目には、コマンド実行、永続的なアクセストークン、第三者とのデータ共有、データの変更と削除が含まれます。また、MCP Inspectorと安全な利用のためのガイダンスも提供しています。

こうした評価項目によって、「アドオンは安全か」という漠然とした問いを、機能やアクセス権に関する、より具体的な問いに置き換えられます。文書を読み取れるコネクターと、記録を変更したりコマンドを実行したりできるコネクターとでは、リスクの性質が異なります。また、同じ機能でも、ある業務ワークフローには適切で、別のワークフローには過剰な場合があります。

カタログによる評価と実行時の保護は、課題の異なる側面に対処します。検査は導入判断の参考になりますが、継続的な制御では、コンポーネントが実際にどのように使われているかを考慮する必要があります。どちらも、将来のあらゆる操作が無害であることの証明と見なすべきではありません。

初期の商業的な手応え、成果の測定はこれから

Plutoが公表した顧客数と売上高は、この分野に対する初期の需要を示唆している。同社によると、セキュリティ研究、無料のリソース、実務者の参加を軸に利用を広げており、数千人の専門家がPlutoniumを利用し、貢献している。

こうした利用状況の数値は、同社が公表したものだ。今回の発表には、検知範囲、誤検知、ポリシー適用までの遅延、攻撃の阻止に関する独立した測定結果は示されていない。100万台を超えるエンドポイントを保護しているという数字は、公表された導入規模を示すものであり、それらの端末上で実行されるあらゆるAIワークフローが保護対象になっていることを意味するものではない。

企業の導入担当者が確認すべき運用上の問いは具体的だ。どのツールや実行経路を可視化できるのか、どの操作をブロックできるのか、例外はどのように承認されるのか、ポリシーが介入した際にどのような証拠が保持されるのか。リスクのある活動を阻止できても、正当な業務をたびたび中断させるシステムは、企業に別の問題をもたらす。

ユーザーの意図を軸に構築するセキュリティチーム

CEO兼共同創業者のShahar Bahatは、Tal Ofer RegevおよびGil MamanとともにPlutoを創業した。Bahatは以前、MicrosoftとPalo Alto Networksでサイバーセキュリティ分野の幹部職を務めていた。Regevは以前、Palo Alto Networksで研究開発担当副社長を務め、Mamanはイスラエル軍情報部で技術分野の指導的役割を担い、6年以上勤務した。Plutoによると、現在、米国とイスラエルで50人を超える従業員を擁している。

Bahatは、ユーザーが何を達成しようとしているのかを理解し、セキュリティチームがその業務を安全に進めるための文脈を得られるようにすることを、同社のアプローチの軸に据えている。従業員が新しいツールを導入し、新たなワークフローを組み立てるなかで、この考え方を正確で信頼できる制御に落とし込むことが、製品開発上の課題だ。

今回の資金調達の発表により、Plutoは、AIが企業システム上で動作する場面のセキュリティをめぐる競争が激しさを増すなかで、その一角を占めることになった。次の課題は、検出、コンポーネントの評価、実行時の制御を連携させ、すでに初期顧客が示している規模に対応できることを実証することだ。