أعلنت شركة Pluto Security الإسرائيلية في 13 أكتوبر 2026 خروجها من مرحلة العمل غير المعلن، مع وصول إجمالي تمويلها إلى 42 مليون دولار. وتستهدف مشكلة عملية: يستخدم الموظفون الذكاء الاصطناعي لبناء التطبيقات وربط الخدمات وتشغيل الأتمتة، بينما تحتاج فرق الأمن إلى معرفة ما يُسمح للأداة بفعله، لا مجرد معرفة الأداة المثبتة. وتعد الشركة بإتاحة هذا العمل مع التدخل في الإجراءات الخطرة، بدلاً من إيقاف الاستخدام كله.
هذا إعلان تمويل وإطلاق لشركة، وليس إشعاراً باختراق أو دليلاً على أن أداة معينة غير آمنة. وبالنسبة إلى مديري تقنية المعلومات وأصحاب الأعمال، تتمثل الأسئلة المفيدة في الصلاحيات والروابط الموجودة بالفعل، والمسؤول عنها، وكيفية إيقاف إجراء خاطئ من دون تعطيل العمل المشروع.
ما الذي أُعلن، وما معنى الأرقام؟
وفق Pluto Security، يمثل مبلغ 42 مليون دولار التمويل التراكمي، وليس جولة واحدة. وتؤكد Jump Capital أنها قادت الجولة A للشركة. والتمييز مهم: الرقم التراكمي يصف التمويل عبر الزمن، وليس بالضرورة أموالاً جديدة وصلت في يوم واحد. كما أن تاريخ الإعلان لا يساوي بالضرورة موعد تحويل جميع الأموال.
وتقول الشركة إن لديها فرقاً في إسرائيل والولايات المتحدة. وذكرت The Jerusalem Post أنها تأسست في 2025 على يد Shahar Bahat وTal Ofer Regev وGil Maman، وأن الأموال مخصصة للتطوير والبحث والتوسع في الولايات المتحدة. يوضح حجم التمويل الموارد التي تعتزم الشركة توظيفها لتنفيذ خطتها، لكنه ليس مقياساً مستقلاً لجودة الحماية أو معدلات الكشف أو الملاءمة لنشاط بعينه.
وينبغي أيضاً الفصل بين التمويل وقرار الشراء. على المؤسسة التي تقيّم نظاماً أمنياً أن تطلب عرضاً في بيئة مشابهة لبيئتها، وتعريفاً دقيقاً للتغطية، وشروط خدمة واضحة. أسماء المستثمرين ومبالغ الاستثمار لا تغني عن فحص ما يراه النظام فعلاً وما يظل خارج نطاقه.
بيئة العمل أوسع من نافذة المحادثة
تصف Pluto Security موظفين يدمجون الوكلاء وأدوات التطوير وروابط MCP وإضافات المتصفح في أعمالهم اليومية. وMCP بروتوكول يصل أدوات الذكاء الاصطناعي بمصادر المعلومات والإجراءات في أنظمة أخرى. استخدامه بحد ذاته لا يعني وجود خلل. المهم هو النظام المتصل، والهوية المستخدمة، والبيانات والإجراءات المسموح بالوصول إليها.
لنتصور مثالاً بسيطاً: يطلب موظف من وكيل إعداد تقرير عن استفسارات العملاء. قد يحتاج إلى قراءة نظام الخدمة، لكن ليس بالضرورة حذف الاستفسارات أو تعديل سجلات العملاء أو إرسال التقرير إلى جهة خارجية. هذا مثال على قرار صلاحيات، وليس حادثة منسوبة إلى عميل للشركة. والخطوة العملية هي البدء بصلاحية القراءة فقط، ثم توسيعها عندما تتطلب مهمة محددة ذلك.
ويظل التمييز مهماً حتى عندما تبدو النتيجة جيدة. التقرير الصحيح لا يثبت أن مسار إعداده كان مناسباً؛ ربما مُنح وصول أوسع من اللازم. لذلك ينبغي فحص جودة الإجابة وحدود الإجراء بصورة منفصلة. نجاح المهمة التجارية لا يبرر تجاوز الفحص الثاني، خصوصاً عندما تنتقل الأتمتة من التجربة إلى التشغيل المعتاد.
إيقاف إجراء معين لا الأداة بأكملها
تصف Jump Capital نهج Pluto Security بأنه رقابة على الأداة ومكوناتها المحيطة وما يُبنى بواسطتها. ووفق المستثمر، يُفترض أن يقيّم النظام المخاطر في سياق الإجراء، كأن يقيّد الوصول إلى معلومات أو بيانات اعتماد مع استمرار نشاط آخر. هذا وصف من مستثمر في المنتج، وليس نتيجة اختبار مقارن مستقل.
من الأفضل للمؤسسة المهتمة تحديد حالات اختبار مسبقاً. هل يميز النظام قراءة مستند مصرح بها عن نقله إلى الخارج؟ هل يمكن اشتراط موافقة بشرية قبل تغيير مهم؟ هل يتلقى الموظف تفسيراً مفهوماً عند إيقاف الإجراء، وهل توجد آلية واضحة للاعتراض على الحجب الخاطئ؟ هذه أسئلة للشراء والتجربة المنضبطة، وليست تأكيدات على قدرات لم تثبت.
وينبغي أيضاً فحص ما يحدث عند تعذر الاتصال بنظام الرقابة. قرار متابعة الإجراء أو إيقافه يجب أن يناسب حساسية المعلومات واحتياجات العمل. وتتيح تجربة صغيرة ببيانات اصطناعية وصلاحيات محدودة تحديد السلوك المطلوب قبل إتاحة بيانات حقيقية أو عملية أساسية للخدمة.
خريطة الصلاحيات قبل قائمة المنتجات
لا يشترط أن تكون البداية عملية شراء. يمكن للنشاط إعداد قائمة بأدوات الذكاء الاصطناعي المستخدمة والموظفين المسؤولين والحسابات المتصلة وأنواع المعلومات المتاحة. وبجانب كل رابط، يُسجل من وافق عليه ومتى روجع أخيراً وكيف يُلغى. من دون مسؤول محدد، قد تبقى حتى القائمة المرتبة وثيقة لا يتابعها أحد.
بعد ذلك، يمكن فصل القراءة عن الإجراءات التي تعدل المعلومات أو ترسلها. وفي المهام الحساسة، يُستحسن النظر في الموافقة البشرية والحساب المخصص والصلاحيات الضيقة. وعند مغادرة موظف أو انتهاء تجربة، ينبغي مراجعة الروابط التي نشأت خلالها أيضاً. حذف المحادثة لا يعوض إلغاء التفويض في النظام الذي اتصلت به الأداة.
ويثير نظام الأمن نفسه أسئلة خصوصية. قبل التثبيت، ينبغي الاستفسار عما يجمعه ومن يستطيع رؤيته ومدة الاحتفاظ به وإمكانية تقليل الجمع. يجب أن يعرف الموظفون ما يخضع للمراقبة وإلى من يتوجهون عند حدوث مشكلة. الرقابة الجيدة تبدأ بهدف ومسؤولية واضحين، لا بجمع غير محدود لكل ما يمكن جمعه.
ما الذي يعنيه ذلك للمؤسسات في إسرائيل؟
البعد الإسرائيلي هو شركة محلية تعمل في سوق أمن الذكاء الاصطناعي للمؤسسات. لا يبرر إعلان التمويل افتراض دعم كل رابط مؤسسي أو توافر واجهة بالعبرية أو توافق الخدمة تلقائياً مع جميع المتطلبات المحلية. ينبغي للمؤسسات في إسرائيل فحص دعم خدماتها ومواقع معالجة المعلومات وساعات الدعم وشروط التعاقد كل على حدة.
ويمكن للنشاط الصغير البدء من دون فريق سيبراني كبير: تعيين مسؤول عن أدوات الذكاء الاصطناعي، واعتماد قائمة خدمات، وتقليص الصلاحيات، وتوثيق الاستثناءات. أما الفريق الأكبر فيستحسن أن يضيف تجربة بمعايير نجاح: ما الإجراءات المكتشفة، وكم عملية حجب كانت مبررة، وكم عطلت العمل المشروع؟ ينبغي أن تقيس المؤشرات النتيجة للنشاط، لا عدد التنبيهات على الشاشة فقط.
يسلط ظهور Pluto Security الضوء على سؤال سيرافق اعتماد الوكلاء: من يتحقق من أن الإجراء مسموح عند تنفيذه؟ قد تتضمن الإجابة منتجاً جديداً، لكنها تتطلب أيضاً قواعد وصلاحيات ومسؤولية واضحة. ويمكن ترتيب هذه العناصر الـ3 قبل اختيار المورد، ثم استخدامها لتقييم ما إذا كان وعده يقدم منفعة عملية بالفعل.