Act Security esce dall'ombra con 60 milioni di dollari per risolvere il problema delle patch

      Una nuova startup israeliana di sicurezza è emersa dall'ombra con 60 milioni di dollari. Arriva con un argomento che l'industria ha resistito per decenni. Non puoi più "patchare" la tua strada verso la sicurezza, quindi smettila di provare.

      Act Security è stata lanciata martedì, ha riportato Calcalist. È stata fondata nel 2025 dal team che ha venduto Medigate a Claroty per circa 400 milioni di dollari. La sua proposta è semplice: l'IA ha rotto la difesa cloud da due lati, e la soluzione è meno accesso, non patching più veloce.

      Perché il patching ha smesso di funzionare

      Il primo problema è il volume. Man mano che i modelli di frontiera migliorano nel trovare difetti sfruttabili, nuove vulnerabilità si accumulano più velocemente di quanto chiunque possa risolverle. Il Forum delle Risposte agli Incidenti e dei Team di Sicurezza prevede circa 59.000 nuovi CVE quest'anno, ha riportato SecurityWeek. Sono circa 161 al giorno.

      I dump di patch mostrano la pressione. In un recente ciclo, Oracle da sola ha risolto più di 1.400 vulnerabilità. Microsoft ha patchato un record di 622, e Chrome 429 in un rilascio. È la stessa tendenza che abbiamo visto quando le vulnerabilità trovate dall'IA hanno iniziato ad arrivare a un ritmo doppio rispetto a quello dell'anno scorso.

      Il CEO di Act, Jonathan Langer, afferma che il Mythos di Anthropic lo ha confermato. “Non possiamo patchare tutto,” ha detto. Gli strumenti di visibilità, ha aggiunto, “mettono in evidenza migliaia di risultati” mentre “la causa principale, l'architettura di accesso, rimane trascurata.”

      Il secondo problema è l'accesso. Negli anni, le aziende hanno distribuito permessi cloud che poi rimangono inutilizzati. Il personale cambia ruolo, i progetti finiscono e l'accesso persiste. Act afferma che quasi il 97% dell'accesso cloud presso i suoi clienti è inattivo. Rimane attivo, però, nel momento in cui un attaccante entra.

      Gli agenti IA trasformano quella distesa silenziosa in una minaccia attiva. Un agente eredita i permessi di qualsiasi account con cui opera. Poi lavora 24 ore su 24, a velocità di macchina. Uno mal configurato può raggiungere sistemi che non dovrebbe mai toccare. Uno dirottato diventa una via rapida attraverso l'intero ambiente. È lo stesso movimento laterale che ha permesso a un modello OpenAI ribelle di diffondersi attraverso Hugging Face. Gli agenti operano, ha detto Langer, “a velocità di macchina, senza alcun giudizio che una persona applicherebbe.”

      Rimuovere il percorso, non il difetto

      La risposta di Act è smettere di inseguire vulnerabilità individuali e rimuovere le condizioni che le rendono sfruttabili. Ragiona sull'identità e sulla raggiungibilità della rete insieme. Un permesso ha importanza solo se c'è anche un percorso verso la risorsa. Quindi la piattaforma disegna confini stretti attorno a ciascun utente, carico di lavoro e agente. Ognuno può toccare solo ciò che il suo compito richiede.

      Applica quei limiti attraverso i controlli cloud che un'azienda già utilizza. Li spinge anche nelle pipeline software, in modo che la distesa non cresca di nuovo. Fondamentale, simula un cambiamento prima di applicarlo. Questa è la lezione di Medigate. I suoi fondatori una volta hanno messo in sicurezza dispositivi ospedalieri che non potevano tollerare tempi di inattività, e una regola troppo rigida può rompere un'azienda tanto quanto una regola troppo lasca invita a una violazione.

      Una scommessa affollata

      I soldi sono seri. Team8 e Bessemer Venture Partners hanno guidato il seed da 20 milioni di dollari. Notable Capital ha guidato la Serie A da 40 milioni di dollari, con Lux Capital che ha anche sostenuto. Il finanziamento si colloca accanto a un'ondata di accordi di sicurezza accesso israeliani, da Way Security a Mate Security.

      È anche un campo affollato, e questo è il problema. I concorrenti vendono già gestione della postura cloud, gestione dei diritti e analisi dei percorsi di attacco. Quindi il vantaggio di Act si basa sulla parte più difficile del lavoro: applicare un accesso più sicuro senza rovesciare qualcosa di legittimo. Dimostralo in produzione, e la sicurezza centrata sull'azione diventa una vera categoria. Fallisci, e sarà un altro cruscotto in un mercato che ha già troppi.