一个安全团队熟悉的噩梦时长，现在是两小时。Pluto Security 的 CEO Shahar Bahat 在采访里给了一个数：一款新 AI 工具发布后，最快两小时就能出现在企业内网。等安全团队做完评估、走完采购，业务部门的员工可能已经用它搭好了智能体、连上了内部数据。这家 10 月 13 日走出隐身模式的公司，盯的就是这个窗口里长出来的东西。
4200 万美元的构成
Pluto 的融资分两段：850 万美元种子轮，TLV Partners 领投，网络安全公司 Armis 的创始人跟投；3400 万美元 A 轮，Jump Capital 领投，Check Point 联合创始人 Shlomo Kramer 旗下的 Skinos、Ansa Capital 及若干天使跟投。公司 2026 年 4 月开卖，眼下 40 名员工，分布在美国与以色列。官方口径：年化经常性收入已过 200 万美元，30 多家企业客户，名单里有 Oscar Health、Workato、Sixt 和 AlphaSense。
风险画像：主力军不是开发者
Pluto 客户数据里最扎眼的一条：约六成检出风险，落在非开发者用氛围编程工具鼓捣出来的东西里。按部门排，财务是头号来源，市场第二，法务第三，开发者只排第四。案例也很有画面感：一家财富 500 强的财务员工自建应用管理客户与流失数据，直接暴露在公网上——全程没有开发者、没有安全评审、没有采购流程参与。Bahat 还有句话适合裱起来：「我们进过的 POC，没有一个没查出恶意组件，扩展包或技能里都有，个别还有正在进行的活跃攻击。」——这话要连着样本偏差一起读：POC 本来就开在有嫌疑的地方，它证明问题存在，证明不了比例。
产品：监控面与两种干预
监控面铺在四类对象上：员工在用的 AI 工具、这些工具依赖的技能与扩展、MCP 服务器、以及员工自建的智能体。采集项包括提示词、命令、运行进程、权限与历史行为；部署借道端点安全与设备管理系统的既有管道，也可以直接落传感器；意图判断由端点上的轻量模型完成，不把流量拽回云端。干预分两档：硬拦停——智能体想拿超出用户本意的权限，直接停掉这个动作；软劝退——往会话里注入一段上下文，让智能体主动找人确认，不禁用工具、不打断使用，只把边界提示塞回现场。
这个「软干预」的姿势，和本周其他厂商的分级处置遥相呼应：ServiceNow 的护照漂移后引导回正、AWS 的时间性策略随会话调整权限——三家产品、同一个直觉：治理不是非黑即白的闸刀，而是可调档位的方向盘。
Plutonium：社区即情报源
另有个值得记一笔的打法：今年 4 月上线的 Plutonium 免费平台，任何人可以查公开 AI 技能、连接器与加载项的风险，附带 MCP 扫描器和一份经验证组件目录。Bahat 称有数千安全专业人士在用；更实在的数字是，Pluto 七成销售管道来自 inbound——社区既是情报源，也是获客漏斗。安全公司的 PLG 化，这条路 Noma 们走过，智能体安全版正在重演。
放进台谱里看
同赛道的邻居要认清楚：1733 的 Rein Security 把边车挂在执行点，看每次动作的资源触碰；Pluto 的传感器在端点，看的是部件库存加行为现场，多一层「员工自建」的可见性。1112 的 Mind 做 DLP 出身，1417 的 Ox Security 从 MCP 治理切入，角度各异。真正把 Pluto 和邻居们区分开的，是它把「智能体行为」而不是「用户行为」设为监控对象——UEBA 那一套二十年修炼，正在换对象重练。
冷水三盆照旧：ARR、客户数、管道占比全是自报，没有第三方核数；「每个 POC 都有发现」的样本偏向已在上面说过；端点采集提示词与命令，和企业隐私预期之间的张力，论文没有、通稿里也不会有答案。赛道还在变挤，但「智能体行为监控」这个类目本身，这周是被真金白银认下了。