EscapeのAIが攻撃者役となりAPIを継続的にスキャン、まずはGraphQLから

エージェントレス製品でAPIのセキュリティ上の欠陥を動的にスキャンし、修正案を提示するフランスのサイバーセキュリティスタートアップ。CI/CDに統合されている。

APIセキュリティは開発パイプライン内で継続的に実行されるべきだという考え。AIがシミュレートする攻撃により、欠陥が最初に現れた時点で捕捉するのであり、年次のペネトレーションテストの時ではない。

390万ドル(360万ユーロ)のラウンド。それ以前にFrstが主導したプレシード調達もあった。

Tristan KalosとAntoine Carossioが創業したEscapeは、Y Combinatorの2023年冬コホートを経て、Irisが主導しFrstとRoxanne Varzaを含むエンジェル投資家が参加した390万ドルの調達を行った。チームは10人だった。

製品は開発パイプラインに直接統合され、コミットのたびにCI/CDフローを通じてEscapeが起動する。独自のAIアルゴリズムがサイバー攻撃をシミュレートする。たとえば大量のデータ漏えいにつながりかねないレート制限の欠如や、ブロックされていない不正なアクションを発見する。強化学習、深層学習とヒューリスティックスの組み合わせを用い、検出結果をSnykに送り込む。

ペネトレーションテストは年に1回か2回行われ、報告書で終わる。Escapeはコミット時に欠陥を捕捉する。その時点では、責任ある開発者にSlackで一言連絡するだけで済む。

ソースコードではなく稼働中のAPIをテストすることで、静的ツールが見逃すビジネスロジック攻撃を捕捉できる。

GraphQLを優先する方針は、手薄な形式と価値の高いユーザーを結びつけた。その後RESTへ拡大した。

強化学習により、スキャナーは署名のパターンマッチングではなく、やり取りを探る形で攻撃者のように振る舞う。

年次のペネトレーションテストと競合するのではなく、その間の364日を自動化し、デフォルトの選択肢になれるニッチなAPI形式から始めること。

2023年6月5日時点で、EscapeはSorare、Shine、Neo4Jを含む約20社の顧客を抱え、GraphQLと並行してREST APIのサポートを展開中だった。年間数万ユーロ相当の契約で銀行や金融サービス企業を狙っていた。