Escapes KI tritt als Angreifer auf, um APIs kontinuierlich zu scannen – beginnend mit GraphQL

Ein französisches Cybersicherheits-Startup, dessen agentenloses Produkt APIs dynamisch auf Sicherheitslücken scannt und Behebungen vorschlägt, integriert in CI/CD.

Dass API-Sicherheit kontinuierlich in der Entwicklungspipeline laufen sollte – KI-simulierte Angriffe, die Schwachstellen erkennen, sobald sie auftreten, nicht erst beim jährlichen Pentest

3,9 Mio. US-Dollar (3,6 Mio. Euro) Runde; frühere Pre-Seed unter Führung von Frst

Gegründet von Tristan Kalos und Antoine Carossio, durchlief Escape die Winter-2023-Kohorte von Y Combinator und sammelte anschließend 3,9 Mio. US-Dollar ein, angeführt von Iris mit Frst und Angel-Investoren wie Roxanne Varza. Das Team umfasste 10 Personen.

Das Produkt integriert sich direkt in die Entwicklungspipeline: Jeder Commit löst Escape über den CI/CD-Ablauf aus. Ein maßgeschneiderter KI-Algorithmus simuliert Cyberangriffe – er erkennt fehlende Ratenbegrenzungen, die große Datenmengen preisgeben könnten, oder nicht blockierte ungültige Aktionen – mithilfe von Reinforcement Learning, einer Mischung aus Deep Learning und Heuristiken, und speist die Ergebnisse in Snyk ein.

Pentests finden ein- oder zweimal im Jahr statt und enden in Berichten; Escape erkennt Schwachstellen zum Zeitpunkt des Commits, wenn der verantwortliche Entwickler nur eine Slack-Nachricht entfernt ist.

Das Testen der laufenden API statt des Quellcodes erfasst Angriffe auf die Geschäftslogik, die statische Tools übersehen.

Der GraphQL-First-Fokus verband ein unterversorgtes Format mit hochwertigen Nutzern, bevor die Erweiterung auf REST erfolgte.

Reinforcement Learning lässt den Scanner wie einen Angreifer agieren – er sondiert Interaktionen, statt Signaturen per Musterabgleich zu prüfen.

Konkurriere nicht mit dem jährlichen Pentest – automatisiere die 364 Tage dazwischen, und beginne mit dem Nischen-API-Format, in dem du der Standard sein kannst.

Stand 5. Juni 2023 hatte Escape rund 20 Kunden, darunter Sorare, Shine und Neo4J, rollte REST-API-Unterstützung neben GraphQL aus und zielte auf Banken und Finanzdienstleistungsunternehmen mit Verträgen im Wert von mehreren zehntausend Euro pro Jahr.