Pluto Security annonce une levée de fonds de 42 millions de dollars pour développer ses outils de sécurité destinés aux usages de l’intelligence artificielle en entreprise. La startup, qui sort de sa période de stealth, veut répondre à un problème décrit par sa cofondatrice et directrice générale Shahar Bahat : les salariés adoptent rapidement de nouveaux outils d’IA, parfois sans que les équipes de sécurité disposent d’une visibilité suffisante sur leurs usages.
Une levée composée d’un seed et d’une série A
Le financement annoncé par Pluto Security comprend un tour seed de 8,5 millions de dollars mené par TLV Partners. Les fondateurs de l’entreprise de cybersécurité Armis ont également participé à cette opération.
La startup indique avoir ensuite réalisé une série A de 34 millions de dollars, menée par Jump Capital. Skinos, la société de capital-risque du cofondateur de Check Point Shlomo Kramer, ainsi que Ansa Capital et d’autres investisseurs individuels ont participé à ce tour.
Pluto prévoit d’utiliser ce nouveau capital pour développer son produit, renforcer ses activités de recherche en sécurité et accroître sa présence aux États-Unis. L’entreprise compte 40 employés répartis entre les États-Unis et Israël.
Le risque vient aussi des outils créés en interne
Selon Shahar Bahat, un nouvel outil d’IA peut apparaître dans l’environnement d’une entreprise moins de deux heures après sa publication. La dirigeante affirme que 60 % des risques détectés par Pluto chez ses clients concernent des outils créés avec des méthodes de développement accessibles aux non-développeurs, souvent désignées par le terme « vibe coding ».
Les services financiers représenteraient la principale source de ces risques, devant le marketing et les équipes juridiques. Les développeurs arriveraient en quatrième position, toujours selon Bahat. La startup cite le cas d’une application créée par un employé d’un groupe du Fortune 500 pour gérer des informations clients et le taux de désabonnement. Cette application aurait été laissée accessible depuis Internet.
Ces éléments sont rapportés par Pluto Security et sa dirigeante. Ils décrivent les observations revendiquées par l’entreprise auprès de ses clients, et non une mesure générale de l’ensemble des usages professionnels de l’IA.
Surveiller les agents, leurs composants et leurs actions
La plateforme de Pluto Security surveille les outils d’IA utilisés par les salariés, mais aussi les compétences, extensions, serveurs MCP et autres composants auxquels ces outils recourent. Elle suit également les applications et les agents créés par les employés.
L’entreprise affirme pouvoir identifier des composants risqués, repérer des activités potentiellement dangereuses et appliquer des politiques de sécurité sans empêcher les utilisateurs de se servir des outils d’IA ou d’en créer. Son approche vise donc à compléter le suivi du comportement des utilisateurs par une observation du comportement des agents logiciels.
Pour fonctionner, le service se connecte aux systèmes de sécurité des terminaux et de gestion des appareils. Il peut déployer ses propres capteurs par leur intermédiaire ou directement sur les appareils. Les informations collectées peuvent inclure les invites, les commandes, les processus en cours, les autorisations et l’activité antérieure des utilisateurs. Pluto indique utiliser des modèles légers sur les terminaux pour contribuer à évaluer ce qu’un agent tente de faire.
Une intervention possible pendant l’exécution
La startup affirme que son système peut intervenir pendant qu’un agent travaille. Si celui-ci tente d’obtenir des autorisations dépassant l’intention de l’utilisateur, Pluto peut bloquer l’action ou ajouter des instructions à la session afin de demander une confirmation.
Cette capacité est présentée par Bahat comme un moyen d’ajouter du contexte à la session et de modifier le comportement de l’agent en cours d’exécution. La source ne fournit pas de détail indépendant sur les conditions techniques de ces interventions, ni sur leur taux de réussite.
Bahat affirme également que chaque preuve de concept menée par Pluto a permis de trouver des éléments malveillants. Elle cite notamment des extensions et des compétences, dont certaines auraient été impliquées dans des attaques actives pendant ces évaluations. Là encore, il s’agit d’une déclaration de la dirigeante, sans données détaillées permettant d’en mesurer la portée globale.
Plutonium sert de point d’entrée
En avril, Pluto a lancé Plutonium, une plateforme gratuite permettant de vérifier les risques associés à des compétences, connecteurs et modules complémentaires d’IA accessibles publiquement. Le service comprend aussi un scanner MCP et un catalogue de composants vérifiés.
Shahar Bahat affirme que des milliers de professionnels de la sécurité utilisent Plutonium. Selon elle, cette communauté fournit des retours importants et contribue à faire émerger des prospects. Elle indique que 70 % du pipeline commercial de Pluto provient désormais de demandes entrantes, sans préciser quelle part vient directement de Plutonium.
Une traction commerciale déjà revendiquée
Pluto Security affirme avoir commencé à vendre sa technologie en avril. La startup déclare avoir dépassé 2 millions de dollars de revenus récurrents annuels et compter plus de 30 clients entreprises, parmi lesquels Oscar Health, Workato, Sixt et AlphaSense.
La levée intervient dans un contexte où de nouvelles sociétés cherchent à sécuriser les agents d’IA, leurs connecteurs et leurs extensions. Pour Pluto, la conséquence concrète est l’accélération du développement d’un contrôle en temps réel des usages de l’IA. Pour les entreprises clientes, l’enjeu sera de disposer d’une visibilité sur les composants utilisés, les autorisations demandées et les actions réalisées, sans transformer ces contrôles en blocage systématique des usages.
Source : Pluto Security raises $42M as AI gives enterprise security teams a new headache
