2026年10月13日，一家叫Pluto Security的以色列-美国AI安全初创公司从隐身状态（stealth mode）走出，宣布完成4200万美元融资，并首次公开其产品架构、核心数据和商业进展。（来源：TechCrunch, 2026-10-13, https://techcrunch.com/2026/10/13/pluto-security-raises-42m-as-ai-gives-enterprise-security-teams-a-new-headache/）

这是一篇在表面上关于”又一家AI安全公司融资了”的故事，但实际上，它揭示了2026年企业AI安全领域最重要的结构性问题：我们正在建设的AI工具普及体系，正在以一种远超多数人预期的速度，把企业的核心数据暴露给潜在攻击者——而我们还没有足够的工具来看清楚这个暴露在哪里。如果你是一名企业CISO，或者是负责AI工具采购的IT负责人，这篇文章中的数字和案例，值得你花15分钟认真读完，然后认真问自己一个问题：如果我现在在我的企业里做一次Pluto Security风格的安全扫描，我会发现什么？

第一层：发生了什么

4200万美元的融资构成

Pluto Security的这轮融资，实际上由两轮组成：

种子轮（850万美元）：由TLV Partners领投，Armis（以色列物联网安全公司，后期估值超过10亿美元）的联合创始人以个人天使投资人身份参与。（来源：TechCrunch, 2026-10-13）

A轮（3400万美元）：由Jump Capital领投，Skinos（Check Point联合创始人Shlomo Kramer的家族办公室基金）、Ansa Capital参与跟投。（来源：TechCrunch, 2026-10-13）

两轮合计4200万美元。公司成立时间约为2025年下半年，2026年4月开始正式商业化销售，截至报道时（2026年10月）的年化经常性收入（ARR）超过200万美元，企业客户超过30家，包括Oscar Health、Workato、Sixt和AlphaSense。（来源：TechCrunch, 2026-10-13，含CEO Shahar Bahat直接访谈）

员工规模40人，分布在美国和以色列两地。

两个令人不安的数字

Pluto Security的CEO Shahar Bahat在接受TechCrunch采访时分享了两个来自其客户实际环境的数字：

2小时：一个新发布的AI工具，可能在发布后仅仅两小时内，就出现在企业的内部工作环境中，被员工安装使用，处理企业数据。（来源：TechCrunch/Bahat访谈，2026-10-13）

60%：在Pluto Security所有检测到的企业AI安全风险中，60%来自非开发人员用”vibe coding”（自然语言驱动的AI辅助编程）构建的内部应用。风险来源的部门排名中，财务部门第一，市场部门第二，法务部门第三，开发者第四。（来源：TechCrunch/Pluto Security客户数据，2026-10-13）

这两个数字，比Pluto的融资规模更能说明问题所在。它们揭示了一个令人不安的现实：企业AI安全的最大威胁来源，不是外部黑客，而是内部的善意员工——那些每天想要用AI工具让自己工作更高效的普通人。他们不了解SQL注入是什么，不知道访问控制的重要性，也不清楚把一个应用部署到互联网上意味着什么安全风险。他们只是在解决自己的工作问题，而这种”善意的无知”，正在以一种系统性的方式制造安全漏洞。这个认知，对企业制定AI安全策略的含义是深刻的：培训和意识教育固然重要，但它们无法根本解决这个问题——需要的是能够在这些善意行为触发安全风险时，自动发现并介入的技术工具。这正是Pluto试图填补的市场空白。

Bahat在同一采访中说的另一句话同样值得记录，也是这篇报道中最令人印象深刻的一段话：”在所有我们做过的概念验证（POC）中，没有一次没有发现恶意内容。有些公司在我们做POC的时候，就已经在发生真实的攻击了。”（来源：TechCrunch/Bahat访谈，原文直接引用，2026-10-13）这不是在夸大威胁来推销产品——从销售策略的角度看，如果这句话被证伪，对公司可信度的打击将是毁灭性的，因此我们有理由认为，这代表了Pluto在实际客户环境中观察到的真实情况。它传递的信息是：AI安全问题的严重性，不是一个”将来可能发生”的理论风险，而是一个”现在正在发生”的实际危机。

Pluto的产品定位

Pluto Security将自己定位为”AI代理时代的端点安全工具”。其产品的核心能力，是在代理的运行时层面提供可见性和干预能力，而不只是静态的安全策略配置。

具体来说，Pluto的系统在员工设备上部署轻量级传感器，追踪：员工使用的AI工具、这些工具依赖的扩展（extensions）/技能（skills）/MCP（Model Context Protocol）服务器、以及员工构建和部署的AI应用和代理。更关键的是，系统可以在代理试图获取超出用户预期权限的操作时进行实时拦截，或向代理的活跃会话注入上下文，要求用户确认。（来源：TechCrunch/Pluto Security产品介绍，2026-10-13）

公司同步推出了名为”Plutonium”的免费社区工具，让任何人都可以检查公开AI技能、连接器和插件的安全风险，以及一个MCP扫描器。70%的销售漏斗来自入站兴趣，其中Plutonium社区是重要来源。（来源：同上）

第二层：为什么重要

AI工具普及带来的「影子IT 2.0」问题

理解Pluto Security的战略价值，需要先理解企业AI安全面临的核心挑战，以及为什么传统安全工具无法解决这个挑战。

传统意义上的”影子IT”（Shadow IT），是指员工在未经IT部门审批的情况下，擅自使用SaaS工具处理工作事务。企业安全团队对这个问题已经有了相对成熟的应对手段——云访问安全代理（CASB）、统一端点管理（UEM）等工具，可以发现和管理未经批准的SaaS应用使用。

AI工具带来的是一个更难管理的变体：不只是员工擅自使用工具，而是员工擅自用AI构建工具。

这个区别至关重要。当一个财务团队成员使用未经批准的Dropbox时，他在做的事情是文件存储——风险是数据分类管理问题。但当同一个财务团队成员，用自然语言向GitHub Copilot Workspace描述需求，让AI帮他写出一个处理客户付款数据的应用，然后直接部署在公司的内网环境时——他在做的是「制造一个没有经过任何安全审查的、可以处理高度敏感数据的、暴露在潜在攻击面上的应用程序」。

这个”vibe coding”应用，不在IT资产台账上。安全团队不知道它的存在。即使知道，现有的安全工具也没有专门针对这类”员工自建AI应用”的检测和管理能力。

Bahat描述的那个实际案例完整说明了这一点：一家《财富》500强企业的财务员工，用AI辅助编程构建了一个管理客户信息和客户流失数据的内部应用，并将其部署到公开互联网上——没有访问控制，没有身份验证，任何知道URL的人都可以直接访问包含高度敏感客户数据的系统。（来源：TechCrunch/Bahat访谈，2026-10-13）创建这个应用的财务员工不是出于恶意，他甚至可能不知道自己做了什么危险的事。

为什么传统安全工具不够用

现有的企业安全体系，主要关注以下几个维度：网络层的入侵检测与防御、端点的恶意软件检测、身份和访问管理（IAM）、以及数据分类和防泄漏（DLP）。

这些工具的共同预设，是可以清晰界定”正常”和”异常”行为。用户登录了不应该访问的系统，触发异常告警；流量包含了SQL注入特征，触发检测规则；数据传输规模异常大，触发DLP策略。

但AI代理的行为本质上是非确定性的：同一个提示词，在不同时间、不同上下文中，可能触发完全不同的工具调用序列和操作结果。”正常的代理行为”没有固定的基线——代理天然地在被明确告知的边界范围内，做出系统设计者也无法完全预料的决策。

更根本的挑战是，AI代理是主动的行动者，而不是被动的工具。它会主动尝试调用API、访问文件、建立新的服务连接——而这些主动行为，在传统安全体系的视角中，既不能完全归类为”攻击流量”，也不能直接套用”用户行为异常”的检测逻辑。传统安全工具没有一个认知框架来处理”AI代理的主动行为”，因为这是一个在这类工具被设计和部署时根本不存在的威胁类型。

Pluto的技术路径，是在代理的运行时语义层建立新的检测和干预能力，而不是在现有安全工具的基础上打补丁。具体而言，这意味着：不只是在网络层检测”有没有可疑的API调用”，而是在代理执行层理解”这个API调用是否超出了用户的真实意图范围”；不只是记录”代理访问了什么文件”，而是评估”这个访问对于代理被委派的任务来说是否合理”；不只是事后分析日志，而是在代理运行过程中实时介入。这种”语义层的安全理解”，需要一套与传统安全工具完全不同的技术体系，因为它的判断基准不是”已知的攻击特征”，而是”与任务意图的偏离程度”。这是一个需要从零开始设计的技术挑战，也是为什么Pluto这类专注AI原生安全的新公司，能够在这个赛道建立差异化优势的根本原因——他们不需要背负”让旧产品兼容新场景”的历史包袱，可以从一开始就为AI代理时代设计正确的架构。

投资方背书的战略含义

这轮融资的投资者构成，释放了几个值得细读的信号。

TLV Partners和Jump Capital是领投方，均为专注以色列科技生态的成熟风险投资机构。更值得关注的是两个战略性背书：

Armis联合创始人的天使投资，意味着企业物联网安全领域最成功的创业者之一，在Pluto的早期阶段就认可了其技术方向和团队能力。Armis解决的是”企业里有大量没有被纳入IT管理的设备（IoT/OT），带来了安全盲区”这个问题；Pluto解决的是”企业里有大量没有被纳入IT管理的AI工具和AI应用，带来了安全盲区”这个问题。两个问题在结构上高度相似，这可能是Armis创始人认可这笔投资的核心逻辑。

Skinos（Check Point联合创始人Shlomo Kramer的基金）的参与，则是一个行业元老级别的背书。Check Point是防火墙和网络安全的创始者之一，Kramer的判断在企业安全采购领域有重要的参考价值。对于面向大型企业客户销售、需要建立安全领域公信力的Pluto来说，这种背书能够显著降低企业采购决策的阻力。

需要说明的是，上述关于投资者背书战略含义的分析，是基于行业通行逻辑的推断，不代表这些投资者公开表达的投资理由。实际投资决策可能基于更多我们不了解的内部评估因素。

第三层：大多数人没有看到什么

真正的战场不是”安全威胁检测”，而是”AI治理的基础设施层”

几乎所有关于Pluto Security的报道，都将其定位为”AI安全威胁检测”工具——它能发现员工使用了哪些未经批准的AI工具，能检测AI代理的异常行为。

但这个理解，只看到了问题的表面。更深层的洞察是：Pluto实际上在做的是AI治理基础设施层的早期建设者。

这个区别很重要。威胁检测是一种反应性能力——先有问题，再发现问题。治理基础设施是一种预防性能力——在问题发生之前，建立可见性、定义边界、执行策略。

随着企业AI工具的渗透率持续上升，企业需要的将不只是”检测谁在用什么”，而是一套系统性的AI治理框架：定义哪些AI工具被允许在什么场景下用于什么数据；为AI代理设置明确的权限边界和操作范围；建立AI相关操作的审计轨迹以满足合规要求；以及在AI监管法规（如欧盟AI法案）正式执行后，提供合规证明所需的技术文档。

这些需求，比”检测已经发生的安全事件”价值更高，定价能力更强，客户黏性也更大。

如果Pluto能够在这个方向上演进，它的长期市场空间远不只是”AI安全威胁检测”，而是成为企业AI治理基础设施的核心组件。对标的历史案例，不是传统的端点安全公司（CrowdStrike、SentinelOne），而是Okta（身份治理）或Varonis（数据治理）——这两家公司都通过成为某类企业合规基础设施的标准组件，建立起了持久的市场领导地位。具体来说：Okta在2013-2015年间的关键转折，是它从”SSO登录工具”演进为”企业身份治理平台”，后者的定价能力和客户黏性远高于前者；Varonis的类似转折，是从”文件访问日志工具”演进为”数据治理和内部威胁检测平台”。如果Pluto能够走出一条类似的演进路径——从”AI代理可见性工具”演进为”企业AI治理合规平台”——它将进入一个价值数十亿美元的持久市场，而不是在日益拥挤的AI安全点工具市场中竞争。但这个演进需要时间、需要深度的企业关系积累，以及需要监管框架的持续推进来制造合规需求——这三个条件缺一不可。

这个判断基于当前企业AI治理需求的趋势推断，以及Pluto产品路线图的公开信息。但Pluto的实际演进方向和最终市场定位，仍高度不确定，且完全可能走向不同的路径。

Plutonium的PLG策略：安全领域罕见的产品驱动增长

Pluto的70%入站销售漏斗，背后有一个在B2B企业安全领域相当罕见的策略：用Plutonium（免费的AI技能/连接器/MCP安全风险检查工具）建立社区驱动的销售漏斗。

企业安全产品的传统销售逻辑，是高度依赖外向型销售（outbound）的：安全产品通常不面向大众消费者，功能演示需要专业背景，采购周期长且涉及多方利益相关者。这使得大多数企业安全公司的新客户获取成本（CAC）极高，销售团队的规模通常比产品团队还大。

Plutonium颠覆了这个逻辑的第一步：通过提供一个免费的、面向安全从业者的AI风险扫描工具，Pluto让企业的安全团队可以自发地体验到”AI安全盲区”的真实存在——用自己公司的真实数据，在Plutonium上跑一遍扫描，然后亲眼看到那些他们之前不知道存在的风险点。这种”自我发现”的体验，比任何销售演示都更有说服力，也自然地将有购买意向的用户导入了付费转化漏斗。

这个策略本质上是将Pluto的产品演示成本，转移给了用户自己——用户的工作量在做Pluto本来需要花销售资源才能完成的”问题展示”工作。这使得Pluto能够在40人的规模下，以相对有限的销售团队支持30家以上的企业客户，这个比例在B2B安全领域是不寻常的高效。

不过，PLG模式在进入大型企业客户时通常遭遇的挑战是：大型企业的采购决策需要更多的人际关系建立和定制化演示，这与PLG模式的规模化效率形成矛盾。Pluto的30家客户中，大客户（如《财富》500强）所占比例和这些客户的ACV（年合同价值）规模，将决定PLG策略是否能够支撑公司持续扩张到企业市场头部。

监管时机的结构性顺风

Pluto的创业时机，与AI监管的全球加速存在一个不易察觉的战略共鸣。

欧盟AI法案（EU AI Act）在2026年进入正式执行准备期，将在2027年开始对高风险AI系统适用强制性合规要求，其中包括可记录的AI风险评估、AI系统的监控和日志记录、以及用于审计的技术文档。美国在联邦层面虽然采取了较为保守的监管立场（更偏向自愿协议），但多个州（纽约、加利福尼亚、伊利诺伊）正在推进针对企业AI使用的独立立法，其中至少部分条款将创造新的企业合规技术需求。

这意味着Pluto所处的AI代理可见性和治理市场，存在监管驱动的结构性顺风：即使市场教育本身速度较慢，监管要求的出现也会强制推动企业购买相关工具，以满足日志记录、审计轨迹和合规证明的需求。

但这把双刃剑：监管框架的明确，同时也意味着大型企业安全平台（Palo Alto Networks、CrowdStrike、Microsoft Defender等）将有更强的动力整合AI治理能力进入其现有产品线——这是Pluto最终将面临的主要竞争威胁来源。

目前欧盟AI法案的具体执行细则仍在制定中，相关法规对”AI系统监控和日志记录”的具体技术要求尚未最终确定。上述关于监管顺风的判断，基于法案已公布的框架文本，而非最终执行细则。实际监管影响可能与预期存在出入。

一个可以测试的预判（非引用数据，编者分析）

基于Pluto的当前轨迹，以下三个方向将是判断其12-24个月内战略演进的关键指标：

指标一：产品是否扩展到”主动策略执行”而非只是”被动可见性”。如果Pluto 2027年的产品能够主动阻止员工安装未经审批的AI工具（而不只是报告这件事发生了），它就从安全可见性工具演进成了AI治理基础设施。这个演进会显著提高定价能力和客户黏性。

指标二：是否有大型企业安全平台的整合邀约或收购要约。监管加速推动大型安全平台整合AI治理能力，这类收购通常发生在3-5年内，以$100M-$500M的金额范围居多。如果Pluto在2027-2028年收到此类邀约，说明市场对其技术路径的验证已经完成。

指标三：ARR能否在2026年底前突破500万美元。6个月内从200万到500万ARR，在B2B安全领域是极高增速，但不是没有先例（SentinelOne在其早期增长期的ARR增速曾超过300%）。如果Pluto能实现这一增速，它将具备以合理估值完成B轮融资的条件，进入持续扩张轨道。

如果以上三个指标均未在36个月内实现，需要重新评估Pluto的市场潜力判断。这不代表Pluto会失败——有很多公司走过了不同的路径同样建立了成功的业务。但上述三个指标，是Pluto当前叙事路径（「成为AI治理基础设施的核心组件」）是否成立的关键检验节点。

参考资料

  1. TechCrunch文章: “Pluto Security raises $42M as AI gives enterprise security teams a new headache”（AI给企业安全团队带来新难题，Pluto Security获4200万美元融资） (https://techcrunch.com/2026/10/13/pluto-security-raises-42m-as-ai-gives-enterprise-security-teams-a-new-headache/, 2026-10-13) — 核心来源，含CEO Shahar Bahat直接访谈、融资详情、产品介绍和客户数据
  2. TechCrunch: “Air raises $50M to help companies vet the skills and add-ons AI agents use” (https://techcrunch.com/2026/09/01/air-raises-50m/, 2026-09-01) — 赛道竞品融资，AI代理技能审查方向
  3. TechCrunch: “InsightFinder raises $15M to help companies figure out where AI agents go wrong” (https://techcrunch.com/2026/04/16/insightfinder-15m/, 2026-04-16) — 赛道竞品融资，AI代理错误追踪方向
  4. TechCrunch: “Sequoia doubles down on Cymphony as AI agents create new enterprise security risks” (https://techcrunch.com/2026/09/09/sequoia-cymphony/, 2026-09-09) — 赛道投资背景
  5. Armis Official Announcements (armis.com) — Armis公司背景，用于理解种子轮投资者背景
  6. European Parliament: “EU AI Act Official Text and Timeline” (europarl.europa.eu, 2024/2026 updates) — 欧盟AI法案执行时间线参考

补充视角：Pluto不一定是这个故事的主角

最后，有一个反直觉的视角值得提出，尽管它并不那么乐观：Pluto Security融资的最重要意义，可能不在于Pluto本身，而在于它所揭示的市场现实。

一家六个月ARR仅超过200万美元的初创公司，获得了4200万美元的融资——这个比例（融资额/ARR约20倍）在当前市场并不罕见，但仍然高于一般的企业安全公司早期估值。这个高溢价，折射出投资者对这个品类未来3-5年规模潜力的预判。

但真正的问题是：谁会最终赢得这个市场？

在企业安全领域，历史一再表明，最终占据领导地位的往往不是品类的第一批创新者，而是那些同时做到了以下几点的公司：首先，有能力在大型企业中建立长期深度信任关系的公司——企业安全采购本质上是信任的采购，而信任需要时间积累；其次，能够将AI治理能力整合进企业现有安全基础设施（而不是要求企业部署另一个独立工具）的公司——减少摩擦是大规模采购的必要条件；第三，能够随着监管框架的明确，快速适应新的合规要求的公司——因为合规往往是企业安全工具采购的最终驱动力。

Pluto目前是这个赛道的早期领跑者，有真实的客户验证，有独特的社区飞轮，有行业大佬的背书。但在这个赛道，”第一批”和”最终赢家”之间的距离，可能比预想的更远。这不是对Pluto的否定，而是对这个品类演化路径的如实描述——AI安全治理基础设施的最终赢家，可能是今天还没有出现的公司，或者是今天看起来最不可能的竞争者。

对于关注这个赛道的读者，最重要的不是判断Pluto能否成功，而是认清一个结构性事实：企业AI安全的治理缺口是真实存在的，它正在快速扩大，而我们为它提供的解决方案还远远落后于问题本身的增长速度。Pluto的4200万美元，是市场承认这个缺口存在的一个明确信号，而不是这个问题已经得到解决的声明。

最后的话：如果只有一件事要记住

如果这篇文章只有一件事值得记住，那应该是Pluto的CEO说的那句话：

“在所有我们做过的概念验证（POC）中，没有一次没有发现恶意内容。有些公司在我们做POC的时候，就已经在发生真实的攻击了。”

无论Pluto最终命运如何，这句话描述的问题——企业的AI安全防御已经落后于攻击者的实际利用速度——是所有企业今天都必须认真对待的现实，而不是一个可以等到下轮融资周期、或者等到监管机构发出第一张罚单之后再关注的未来风险。