Y Combinator 日本語図鑑

事業概要

プロダクト

• 顧客のクラウドとウェブ資産の接続情報を登録する。
• AWS、Azure、GCPの構成情報を読み取り、公開面を棚卸しする。
• 複数の脆弱性を連結し、実際に到達できる攻撃経路を検証する。
• 検証済み経路と再現手順を一覧で返す。
• 各経路に対する修正案を提示する。
• 攻撃の実行ログを証跡として保存する。

技術アーキテクチャ（推定）

• 顧客が付与した権限を通じ、各クラウドの構成情報をAPIで取得するとみられる。
• 公開ウェブとAPIの仕様は外部から収集し、攻撃面を推定する。
• 検出した設定不備や脆弱性を名寄せし、依存関係で連結する。
• 到達可否を実試行で確かめ、経路ごとにスコアを付けるとみられる。
• 結果はテナント単位で保存し、修正案とともに画面で返す。
• 生成AIが攻撃手順の立案と修正文の作成を担うとみられる。

収益モデル

• 企業のセキュリティ部門が年間契約で支払う形態と推定。
• 課金単位は資産数か検査回数の従量制とみられる。価格は非公開。
• 導入支援や再診断を案件単位で課金する可能性がある。

差別化

• 攻撃の成否ログが蓄積し、経路検証の精度が上がる。
• 複数クラウドを跨ぐ連結検証は単体診断ツールと工程が異なる。
• 修正まで一貫して提示し、顧客の運用に組み込まれる。
• 創業間もなく導入実績は未確認。

日本展開時のリスク

• 顧客環境への攻撃行為には事前の許可と契約上の範囲確定が要る。
• クラウド事業者の規約と脆弱性診断の届出ルールの確認が要る。
• 国内は大手診断会社への発注慣行が強く、製品導入の稟議が重い。
• 攻撃ログに機密が含まれるため保管場所と監査の設計が要る。
• 価格が非公開で、国内の相場との妥当性は未確認。

日本での競合

• 国内のセキュリティ診断は人手の案件型が中心である。
• ラックなど診断専業の大手が顧客基盤を持つ。
• 自動スキャン製品はあるが、経路の連鎖検証は空白に近い。
• クラウド設定の検査は各社の管理画面側でも提供される。
• 直接の同型製品は公開情報では確認できない。
• 導入には許可取得と社内調整の工程が壁になる。

主要プレイヤー

• ラック — セキュリティ監視と診断。
• FFRI — セキュリティ研究と製品。
• トレンドマイクロ — セキュリティソフト。