Pluto Security 融资 4200 万美元：每次企业 AI 审计都查出攻击

Pluto Security 周二在 TechCrunch Disrupt 2026 上结束隐身模式亮相，带着 4200 万美元融资和一个让企业安全从业者愣住的披露：自 4 月开始销售以来，公司做过的每一次概念验证（POC）审计，都在客户的 AI 工具栈里发现了已经激活的恶意组件。有几次发现的不是休眠的残留物，而是正在进行的实时攻击。「没有一次 POC 是我们进去之后没发现恶意东西的，」CEO Shahar Bahat 对 TechCrunch 说。

公司完成了由 TLV Partners 领投的 850 万美元种子轮，企业安全公司 Armis 的联合创始人也参与投资。Jump Capital 领投了 3400 万美元的 A 轮，Shlomo Kramer 的 Skinos 和 Ansa Capital 跟投。Pluto 称已有 30 多家企业客户 —— 包括 Oscar Health、Workato、Sixt 和 AlphaSense —— 并在大约六个月的销售中跨过了 200 万美元年度经常性收入。公司在美国和以色列共有 40 名员工。

看不见的一层：传统安全工具为什么盯不住 AI 智能体

Pluto 要解决的根本问题是架构层面的，不只是流程层面的。企业部署一个 AI 智能体时 —— 无论是跑在 Claude 或 GPT-4 上的专门系统，还是员工在午休时搭出来的无代码自动化 —— 这个智能体运行在模型的推理循环之内。它读取数据、调用外部 API、写文件、发消息、申请权限，这一切都是语言模型的输出，而不是执行着可追踪系统调用的程序。现有的端点检测与响应工具、网络安全监控和 SIEM 平台都是为盯人类用户和确定性软件而造的。它们没有任何机制去判断一个模型的输出是无害任务还是进行中的攻击。

Pluto 的做法用两层架构来填这个缺口。公司通过现有的端点安全和设备管理集成部署轻量传感器，从每台设备收集提示词、运行中的进程、权限和此前的用户行为。关键在于，它直接在端点上运行一个轻量机器学习模型 —— 而不是把原始数据送到云端推理服务 —— 实时判别智能体的意图。当一个智能体开始申请超出其任务所需的权限，或者其行为模式偏离此前用户活动所建立的上下文时，Pluto 可以在任务中途介入：要么完全叫停该动作，要么注入一段提示，让智能体暂停并向人确认。

设备端推理意味着介入决策发生在智能体做出决定与付诸行动之间的几毫秒里，没有云端往返的延迟。

延伸阅读：英伟达把 AI 智能体关进硬件边界里

「氛围编程」应用制造的风险比开发者写的智能体还多

Pluto 部署数据里最反直觉的发现，或许是企业 AI 风险到底从哪儿来。公司报告称，它在客户环境中检测到的安全风险约有 60% 来自并非工程团队所建的工具 —— 财务人员、市场人员和法务人员用无代码构建器和 AI 辅助开发环境给自己的工作流做的自动化。

在 Pluto 的客户数据里，开发者作为 AI 风险来源只排第四。

机制很直白：一位财务分析师用 Claude 或某个无代码自动化平台搭了一个客户管理应用，用公司凭证把它接通，然后不加任何认证就暴露在互联网上。Pluto 在一家财富 500 强公司里记录到的正是这种情况 —— 一名财务员工「氛围编程」出来、连着客户数据的应用就放在公开网络上，现有安全栈毫无察觉。

Bahat 把这看作安全治理对象的根本转移：「我们正在从用户行为转向智能体行为。」传统安全边界假设的是，与系统交互的人可以通过监控其登录、文件访问和网络连接来盯住。代表人类自主行动的 AI 智能体 —— 以及员工几分钟就搭好、未经任何安全评审的应用 —— 让这个假设不再成立。

独立研究印证了问题的规模。Noma Security 的一项分析发现，一个典型的企业环境给其 AI 智能体接入了远超 100 个高风险工具。另一个结构性漏洞关乎 MCP（模型上下文协议）服务器与 AI Skills 的差别：MCP 服务器暴露的是确定性的、可记录日志的函数调用，防守方可以监控；而 Skills —— 直接加载进模型推理上下文的指令文本 —— 一旦加载就几乎不透明，形成研究者所称的「可观测性缺口」。由于一些广泛使用的 MCP 服务器固定在 @latest，它们可能在每次智能体加载时悄悄拉取新的包版本，制造出一条不需要攻击者采取任何动作的供应链攻击路径。

拥挤的赛道，只有一个区分变量

Pluto 进入的这个市场在 2026 年前九个月吸引了4.35 亿美元的已披露投资。Zenity 完成了 Norwest 领投、软银愿景基金二期参投的 1.25 亿美元 C 轮；Alice（前身为 ActiveFence）融资 1.4 亿美元，年度经常性收入正逼近 1 亿美元。WitnessAI 拿到 5800 万美元，AIR 融资 5000 万美元，专注于在智能体部署前对其使用的技能和插件做运行前审查。

Pluto 的定位与这个赛道里多数公司的区别，在于明确聚焦氛围编程这一风险向量。多数竞争者瞄准的是企业自建的智能体或特定协议层；像 AIR 这样的平台专注于智能体运行之前发生的事，而 Zenity 聚焦于监控部署后的企业智能体。Pluto 覆盖的是非正式的、员工自建的 AI 应用层 —— 非技术员工昨天刚搭好、连上生产数据的那个应用 —— 这是多数企业安全团队尚未正式纳入范围的攻击面，部分原因是此前根本没有工具能覆盖它。

公司自 4 月起提供的免费工具 Plutonium —— 一个 MCP 扫描器和经验证组件目录 —— 给了 Pluto 一条兼作获客漏斗的社区开发渠道：Bahat 称有数千名安全专业人士在用它，由此产生的主动询盘占公司当前销售机会的 70%。

Pluto 创始团队的履历在企业安全采购中颇有分量。公司由以色列信号情报部门 8200 部队的老兵以及微软和 Palo Alto Networks 的前员工创立。它还拿到了 AWS、CrowdStrike 和英伟达加速器项目的合作关系。

一个要求安全回应的审计数字

Pluto 的公告让人难以忽视的，是 100% 的 POC 恶意检出率。公司报告的不是在部分受审环境里发现了恶意组件，也不是某个令人担忧的百分比。它在所有环境里都发现了 —— 包括正在进行的实时攻击，而不只是休眠的风险残留。即便考虑到选择偏差（愿意接触安全厂商的企业可能更容易存在可检测的问题），这一发现也表明企业 AI 部署已经在系统层面跑在了企业安全准备的前面，而缺失的控制不是边缘情况的保险，而是基础性的。

Gartner 曾预测，到 2027 年底将有超过 40% 的智能体 AI 项目被取消，风险控制不足被列为主要原因之一。这个结果究竟反映的是审慎的主动选择，还是在现有工具无法应对的威胁环境面前被迫撤退，可能很大程度上取决于 Pluto 所代表的这个品类成熟得有多快。手握 4200 万美元、并且已有客户环境中嵌着真实攻击的证据，公司现在面对的是更难的问题：安全团队能否堵上一个比任何单一厂商都扩张得更快的可观测性缺口。