Shadow AI: startup levanta US$ 42M, 60% dos riscos vêm de áreas não técnicas

A Pluto Security anunciou em 13 de outubro uma captação de US$ 42 milhões em duas rodadas, de acordo com reportagem do TechCrunch assinada por Ram Iyer. São US$ 8,5 milhões em rodada seed liderada pela TLV Partners, com participação dos fundadores da Armis, e US$ 34 milhões em Série A liderada pela Jump Capital, com Skinos, Ansa Capital e investidores anjo. A empresa vende software para monitorar e controlar como funcionários usam ferramentas de inteligência artificial dentro das companhias.

A tese por trás da rodada não é o volume de incidentes causados por desenvolvedores. É o deslocamento do problema para áreas que nunca tiveram processo de homologação de software.

O que a empresa mostra de operação

Os números operacionais foram informados pela própria companhia: as vendas começaram em abril de 2026, a receita recorrente anual está em US$ 2 milhões e a base passa de 30 clientes corporativos, entre eles Oscar Health, Workato, Sixt e AlphaSense. A equipe tem 40 pessoas, distribuídas entre Estados Unidos e Israel.

Em abril a empresa também lançou o Plutonium, plataforma gratuita que permite a qualquer pessoa verificar riscos associados a skills, conectores e extensões de IA disponíveis publicamente, com um scanner de servidores MCP e um catálogo de componentes verificados. O Model Context Protocol, ou MCP, é o padrão que conecta modelos de IA a ferramentas e fontes de dados externas — e, justamente por isso, um ponto onde permissões amplas são concedidas com pouca cerimônia. Segundo a empresa, 70% do funil de vendas vem de procura espontânea.

A alegação central, e de quem ela é

Shahar Bahat, CEO e cofundadora da Pluto, afirmou ao TechCrunch que uma ferramenta de IA recém-anunciada aparece dentro do ambiente das empresas em até duas horas após o lançamento. Ela diz ainda que cerca de 60% dos riscos detectados pela empresa na base de clientes estão em ferramentas construídas por quem não é desenvolvedor — feitas por vibe coding, a prática de gerar software descrevendo em linguagem natural o que se quer, sem escrever o código.

Na ordem apresentada por ela, as áreas de finanças são a maior origem desse tipo de risco, seguidas de marketing e jurídico. Desenvolvedores aparecem em quarto lugar.

O exemplo concreto que ela deu: as ferramentas da startup encontraram, em uma empresa da Fortune 500, um aplicativo criado por vibe coding por um funcionário da área financeira para gerenciar informação de cliente e churn. O aplicativo estava exposto à internet.

Questionada sobre onde vê os maiores riscos, Bahat afirmou que não houve uma única prova de conceito em que a empresa entrou e não encontrou, nas palavras dela, coisa maliciosa.

Nenhuma dessas três afirmações — a janela de duas horas, os 60% e o resultado das provas de conceito — tem medição independente. Todas vêm da empresa que vende a solução para o problema que descreve, em contexto de anúncio de captação.

Por que duas horas é o número que importa

Se a janela de duas horas estiver correta, ela inverte a premissa de qualquer política de ferramenta. Nenhum ciclo tradicional de aprovação de software opera nesse prazo: avaliação de contrato, revisão de tratamento de dado pessoal e teste de segurança levam dias ou semanas, quando existem de maneira formal.

A consequência mais plausível é que a política de IA da empresa passe a ser definida, na prática, pela primeira área que adotou a ferramenta. Em finanças, marketing e jurídico, essa adoção costuma acontecer sem leitura de cláusula contratual e sem avaliação de onde o dado vai parar — o tipo de verificação que, no Brasil, a Lei Geral de Proteção de Dados atribui ao controlador, independentemente de quem na empresa escolheu a ferramenta.

O que o produto faz

A empresa afirma que consegue identificar componentes de risco, detectar atividade potencialmente perigosa de agentes e aplicar políticas de segurança sem impedir que funcionários usem ou criem ferramentas de IA.

O ponto técnico destacado pela reportagem é a intervenção durante a execução. Segundo Bahat, se um agente tenta obter permissões além do que o usuário pretendia, o sistema pode interromper a ação ou inserir instruções na própria sessão para que o agente peça confirmação. "Podemos injetar contexto de volta na sessão, e assim consigo mudar como o agente está trabalhando", explicou ela.

Essa escolha de arquitetura é o que separa a proposta de um bloqueio de rede. Bloquear ferramenta de IA no perímetro empurra o uso para o celular pessoal e para a conta particular, onde não sobra registro nenhum para a empresa.

O que a rodada ainda não prova

US$ 2 milhões de receita recorrente contra US$ 42 milhões captados indicam aposta em tese de mercado, não validação de demanda consolidada. Seis meses de vendas e pouco mais de 30 clientes são tração inicial, não evidência de que o problema tem o tamanho que o discurso comercial sugere.

O espaço também já está povoado. A reportagem cita AIR, Zenity, InsightFinder, LayerX Security e Cymphony atuando sobre o mesmo problema — sinal de categoria em formação, com várias apostas simultâneas, e não de um fornecedor isolado diante de uma descoberta própria.

Para quem decide, o dado aproveitável da rodada não é o número de risco do fornecedor. É a pergunta que ele obriga a fazer: quanto tempo leva, hoje, para um funcionário de finanças conseguir aprovação para usar uma ferramenta nova, e quanto tempo leva para ele contornar esse processo. Enquanto a segunda resposta for menor que a primeira, o inventário de IA da empresa vai continuar sendo escrito por quem nunca foi consultado.