Pluto Security, AI 업무 공간 보호를 위한 총 4,200만 달러 투자 유치로 스텔스 모드 종료

직원의 AI 비서는 이제 질문에 답하는 것 이상의 일을 할 수 있다. 회사 시스템에 연결하고, 확장 기능을 설치하고, 명령어를 실행하고, 애플리케이션을 만들 수 있다. 보안팀의 과제는 이러한 작업 중 무엇을 허용할지 결정하고, 상황이 바뀌었을 때 개입할 수 있는 능력을 유지하는 것이다.

Pluto Security는 이 문제를 해결하기 위해 총 4,200만 달러의 투자 유치를 공개하며 스텔스 모드에서 벗어났다. 회사는 Jump Capital이 주도한 약 3,400만 달러 규모의 최근 투자 라운드를 발표했다. 이에 앞서 TLV Partners가 시드 라운드를 주도했다. 이번 발표에는 최근 투자 라운드의 단계가 명시되지 않았다.

2025년에 설립된 Pluto는 수백만 달러 규모의 연간 반복 매출을 달성했고, 전 세계에서 100만 대가 넘는 엔드포인트를 보호하며, 40곳이 넘는 기업 고객에게 서비스를 제공한다고 밝혔다. 공개된 고객사로는 Oscar Health, Workato, Sixt, AlphaSense와 포춘 500대 기업이 있다. 이번에 확보한 자금은 제품 개발, 보안 연구 및 미국 시장 확장에 투입될 예정이다.

AI 업무 공간, 새로운 보안 경계로 부상

Pluto는 자사의 제품 분야를 AI 업무 공간 보안이라고 설명한다. 보호 범위에는 직원이 사용하는 AI 도구, 해당 도구에 연결된 구성 요소, 직원이 만드는 애플리케이션과 에이전트, 자동화 기능이 포함된다.

이러한 범위는 소프트웨어가 조직에 유입되는 방식의 변화를 반영한다. 직원은 기존의 개발 프로젝트를 거치지 않고 AI 비서, 커뮤니티 스킬, 비즈니스 데이터 연결 기능을 조합해 워크플로를 구성할 수 있다. 각 요소를 추가할 때마다 비서가 접근하거나 실행할 수 있는 범위가 달라질 수 있다.

모델 컨텍스트 프로토콜(Model Context Protocol, MCP)이 한 가지 사례다. MCP는 AI 애플리케이션이 도구와 데이터 소스에 연결할 수 있는 방법을 제공한다. 보안팀이 살펴봐야 할 문제는 AI 애플리케이션 자체의 승인 여부에 그치지 않는다. 애플리케이션이 사용하는 서버와 통합 기능의 권한 및 동작 방식도 파악해야 한다.

이는 AI 에이전트 거버넌스의 배경이 되는 광범위한 소프트웨어 공급망 문제의 일부다. 모델이나 비서를 따로 떼어 검토하면 동작에 영향을 주거나 접근 범위를 넓힐 수 있는 종속 요소를 놓치게 된다.

탐지, 위험 평가 및 런타임 제어

Pluto는 자사 플랫폼이 엔드포인트 가시성, 맥락을 고려한 위험 분석, 실시간 차단 기능을 결합한다고 설명한다. 목표는 보안팀이 위험한 작업을 제한하는 데 필요한 정보를 충분히 제공하되, 해당 작업을 수행하는 도구 전체를 자동으로 금지하지 않도록 하는 것이다.

웹사이트에서는 플랫폼을 네 가지 기능으로 나눈다. Explorer는 AI 활동을 탐지하고, Risk Radar는 위험 데이터베이스를 활용해 탐지된 항목을 평가하며, Space Shield는 보안 정책을 적용하고, Marketspace는 엄선된 AI 추가 기능 모음을 제공한다. 회사는 도구, 공급망 구성 요소, 런타임 동작, AI가 생성한 결과물까지 폭넓게 보호한다고 설명한다.

웹사이트에 소개된 사례로는 에이전트가 결제 API에 접근하기 전에 승인을 받도록 요구하는 것, 민감한 데이터에 대한 접근을 제한하는 것, 신뢰할 수 있는 MCP 서버는 허용하고 다른 서버는 격리하는 것이 있다. 이는 제품의 의도된 동작에 대한 설명이지, 독립적으로 검증된 보장은 아니다.

탐지와 차단의 차이는 중요하다. 자산 목록을 통해 보안팀은 특정 연결 기능이 존재한다는 사실을 알 수 있다. 효과적으로 제어하려면 해당 기능이 어디에 접근할 수 있는지 파악하고 관련 작업을 제한할 수 있어야 한다. 허용된 도구라도 안전하지 않은 확장 기능이나 과도한 권한이 부여된 인증 정보를 접할 수 있고, 사용자의 권한을 넘어서는 작업을 수행할 수도 있다.

고객 기록을 요약해 달라는 요청을 받은 비서를 생각해 보자. 허용된 기록을 읽는 것과 고객 데이터베이스 전체를 내보내는 것은 서로 다른 작업이다. 둘 다 동일하게 승인된 애플리케이션에서 시작되더라도 마찬가지다. 맥락을 고려한 정책은 이러한 상황을 구분하기 위해 마련된 것이다. 실제 효과는 관측의 정확성과 차단 기능의 신뢰성에 달려 있다.

에이전트 주변 구성 요소를 살펴보는 Plutonium

Pluto 접근 방식의 핵심 요소는 Plutonium이다. 발표에 따르면 회사의 독점 위험 데이터베이스인 RisksDB를 기반으로 하는 무료 AI 공급망 보안 카탈로그다. 이 카탈로그는 실무자가 스킬, 확장 기능, MCP 서버 등의 구성 요소를 도입하기 전에 평가할 수 있도록 돕는다.

공개 허브는 게시자 정보, 호환성 매핑, 소스 검토, 코드 스캔을 결합하는 에이전트형 위험 엔진을 소개한다. 평가 항목에는 명령어 실행, 지속성 있는 액세스 토큰, 제3자와의 데이터 공유, 데이터 수정 및 삭제가 포함된다. MCP 검사기와 안전한 사용을 위한 지침도 제공한다.

이러한 평가 항목은 ‘추가 기능이 안전한가?’라는 포괄적인 질문을 기능과 접근 권한에 관한 구체적인 질문으로 바꾼다. 문서를 읽을 수 있는 연결 기능은 기록을 수정하거나 명령어를 실행할 수 있는 기능과는 위험 노출 수준이 다르다. 같은 기능이라도 한 비즈니스 워크플로에서는 적절할 수 있지만 다른 워크플로에서는 과도할 수 있다.

카탈로그 평가는 런타임 보호와는 문제의 서로 다른 측면을 다룬다. 검토 결과는 도입 여부를 결정하는 데 도움이 될 수 있지만, 지속적인 제어는 구성 요소가 실제로 어떻게 사용되는지를 고려해야 한다. 어느 쪽도 앞으로 발생할 모든 작업이 무해하다는 증거로 여겨서는 안 된다.

초기 상업적 성과를 거뒀지만, 성과 측정은 아직

Pluto가 공개한 고객 및 매출 수치는 이 분야에 대한 초기 수요가 있음을 시사한다. 회사는 보안 연구와 무료 자료, 실무자 참여를 바탕으로 도입을 확대해 왔으며, 수천 명의 전문가가 Plutonium을 사용하고 관련 콘텐츠를 제공하고 있다고 밝혔다.

이러한 도입 수치는 회사가 공개한 것이다. 이번 발표에는 탐지 범위, 오탐, 정책 적용 지연 시간 또는 공격 차단에 관한 독립적인 측정 결과가 제시되지 않았다. 100만 대가 넘는 엔드포인트를 보호한다는 것은 보고된 배포 규모를 나타낼 뿐, 해당 기기에서 이뤄지는 모든 가능한 AI 워크플로가 보호된다는 점을 입증하지는 않는다.

기업 구매자가 확인해야 할 운영상의 질문은 구체적이다. 어떤 도구와 실행 경로를 확인할 수 있는지, 어떤 작업을 차단할 수 있는지, 예외 승인은 어떻게 이뤄지는지, 정책이 개입할 때 어떤 증거가 보존되는지 등을 살펴봐야 한다. 위험한 활동을 막더라도 정당한 업무를 일상적으로 방해하는 시스템은 기업에 또 다른 문제를 일으킨다.

사용자 의도를 중심으로 구축되는 보안 팀

CEO 겸 공동 창업자인 Shahar Bahat는 Tal Ofer Regev, Gil Maman과 함께 Pluto를 설립했다. Bahat는 이전에 Microsoft와 Palo Alto Networks에서 사이버 보안 분야의 리더십 역할을 맡았다. Regev는 앞서 Palo Alto Networks에서 연구개발 부문 부사장을 지냈으며, Maman은 이스라엘 군 정보부에서 기술 리더십 역할을 맡아 6년 넘게 근무했다. Pluto는 현재 미국과 이스라엘에 걸쳐 직원 50명 이상을 두고 있다고 밝혔다.

Bahat는 사용자가 무엇을 이루려 하는지 이해하고, 보안 팀에 맥락을 제공해 그 업무를 안전하게 지원하도록 하는 데 회사의 접근 방식이 초점을 둔다고 설명한다. 제품이 해결해야 할 과제는 직원들이 새로운 도구를 도입하고 새로운 워크플로를 구성하는 과정에서 이러한 철학을 정확하고 신뢰할 수 있는 통제로 구현하는 것이다.

이번 투자 발표로 Pluto는 기업 시스템에서 실제 작업을 수행하는 AI를 보호하기 위한 경쟁이 심화되는 가운데 자리하게 됐다. 다음 과제는 탐색, 구성 요소 평가, 런타임 통제를 함께 작동시켜 이미 초기 고객 기반이 보여 주는 규모를 감당할 수 있음을 입증하는 것이다.