何が起きたか
AIRは、数週間の間隔で相次いで完了した2回のシードラウンドで合計5,000万ドルを調達し、ステルスから姿を現しました。1回目はSequoiaがリードした1,000万ドル、2回目はGreenoaksがリードした4,000万ドルです。SwishやNetzのほか、Cognition社長のZach Frankel氏、Wiz共同創業者のYinon Costica氏、Eon共同創業者のOfir Ehrlich氏、Anne Neuberger氏、Omer Adam氏、Clay共同創業者のVarun Anand氏らエンジェルも参加しています。創業者はCEOのYair Saban氏とCTOのNiv Hoffman氏。いずれもイスラエル軍の情報部隊Unit 8200出身で、攻撃側のサイバーセキュリティに従事していた経歴を持ちます。
製品は大きく2層です。ひとつは可視化で、社内環境で稼働しているエージェントを洗い出し、情報システム部門の承認を経ていないAIツールの利用や、個人アカウントでの利用をしている従業員を特定します。もうひとつは強制の層で、エージェントにフックして「スキルを読み込む」「インターネットから情報を取得する」といった動作を都度インターセプトし、解析します。エージェントが使おうとしているツールやアドオンは、AIRが維持するホワイトリストと突き合わせられ、基準を満たさないものは遮断されます。同社は検証済みアドオン／スキルのマーケットプレイスも提供しています。
なぜ重要か
企業がエージェントに社内システムへのアクセス権を与えるほど、スキル、プラグイン、MCPサーバー、アドオンといった「エージェントが外界とやり取りするための部品」を中心に、新しいソフトウェアサプライチェーンが形成されていきます。AIRの主張は、企業全体でのエージェント利用はもはやOSに近い存在なのに、その上で動く部品にはドライバーやアプリケーションに課されてきた統制がまったく効いていない、というものです。
Saban氏はドライバー署名を引き合いに出しています。2000年代初頭にはドライバーは署名なしでインストールできたが、カーネルにコードをロードする以上、今日では誰が署名したかが表示されるようになった。「スキルやプラグイン、MCPにはそれがない。同じ仕組み、同じ教訓なのに、我々は学んでいない」——ここが同社の出発点です。
論点は「スキャン」ではなく「再検証」
重要なのは、この問題が一度きりの検査で終わらない点です。一度承認したスキルでも、依存パッケージが更新されたり、開発者のアカウントが乗っ取られたりすれば、翌日には危険物に変わり得ます。だからAIRはネット上に公開されたスキルやアドオンを継続的に評価し、変更と悪意ある挙動を追い続けます。現時点で見つけたものの約27%をふるい落としているという数字は、この市場の衛生状態を示す指標として読めます。
SequoiaのパートナーBogomil Balkansky氏は「これはスキャンの問題ではなく、継続的な再検証の問題だ」と述べ、企業のエージェント群が触れるすべてのスキル・プラグイン・MCPサーバー・サブエージェントを、変更のたびにリアルタイムで再検査することは「セキュリティ問題である前にインフラの問題」であり、AIRは過去1年をそのパイプライン構築に費やした、より優れたスキャナーを書いても追いつけない、と評価しています。
Saban氏が最大のリスクとして挙げるのは、エージェントへの直接攻撃ではありません。エージェントがデータベースや業務システムを自律的に横断し、インターネットにも接続する以上、攻撃者はエージェントが読み込むコンテンツそのものを汚染すればよい、という構図です。攻撃対象がエージェント本体から「エージェントの食べ物」へ移る、という理解が要点になります。
競合と、この市場の温度感
領域はすでに混み合っています。エージェントやMCPサーバー、スキルの発見・アクセス制御・ランタイム監視を手がけるNoma Security、セキュリティとガバナンスのツールを提供するZenity、エージェントとMCPサーバーの発見・制御を担うアイデンティティ基盤のAstrix Security、エージェント保護とMCPゲートウェイのOperant AIなどが並びます。資金面でもZenityが8月に1億2,500万ドルのシリーズC、Nomaが昨年1億ドルのシリーズBを実施済みです。
Saban氏は、エンドポイントの可視化は簡単で誰もがやるため堀にならず、スキルとアドオンのエコシステムを継続検証し続けることこそが自社の堀だと位置づけます。将来的にAIラボやプロバイダー側がセキュリティチェックやポリシーを内蔵してくることは認めた上で、それでも企業はベンダーをまたいで機能する独立した製品を求めるはずだ、という見立てです。
顧客は20社超で、うち約4分の1が大企業。需要が最も強いのは規制の厳しい業種、とりわけ金融サービスと製薬です。従業員は約40人で、調達資金��主にリサーチャーの採用と、米国・欧州での市場開拓に充てられます。
💼 事業会社視点：これは自社にどう効くか
日本企業の役員がまず自問すべきは「自社で何体のエージェントが動いているか答えられるか」です。AIRの可視化製品が最初に見つけるのは、情シス未承認のAIツール利用と個人アカウント利用でした。日本の事業会社でも、現場が業務効率化のためにMCPサーバーやスキルを勝手に足す動きはすでに起きているはずで、これは10年前のシャドーITの再演です。しかも今回は、認証情報を持ったまま自律的に動く主体が対象です。
打ち手は三段階で考えられます。第一に棚卸し。どの部門のどのエージェントが、どの社内システムとインターネットに接続しているかを一覧にする。第二に、追加できる部品の許可制。スキルやアドオンは「一度承認したら永続的に安全」ではなく、パッケージ更新や開発者アカウント乗っ取りで劣化する——AIRが約27%を弾いている事実は、無審査導入の危うさを裏づけます。第三に、契約とSLAの見直しです。
業種別に見ると、日本の金融・製薬は海外と同じ理由でこの統制が真っ先に要求される側です。SaaS事業者は、自社がMCPサーバーやスキルを提供する側になる以上、審査を通る品質と署名・更新履歴の説明責任が受注条件になっていきます。受託開発企業にとっては、顧客先のエージェント棚卸しとガードレール構築が新しい案件テーマになり得ます。ECなど外部コンテンツを大量に読ませる事業では、Saban氏が指摘する「エージェントが読む情報の汚染」が直接の脅威です。ベンダー選定を急ぐ前に、まず自社の接続点を数えるところから始めるのが現実的です。