Por Canuto  

La startup israelí Act Security salió de su fase de sigilo con USD $60 millones y una propuesta distinta: reducir las rutas de acceso que vuelven explotables las vulnerabilidades en la nube mientras la inteligencia artificial acelera su descubrimiento.
***

  • Act Security obtuvo USD $60 millones en rondas Seed y Serie A lideradas por Team8, Bessemer Venture Partners y Notable Capital.
  • La empresa sostiene que cerca del 97% de los accesos a la nube permanece inactivo o sin uso, lo que amplía la superficie de ataque.
  • Su plataforma no parchea fallas, sino que impone límites de acceso para humanos, cargas de trabajo y agentes de inteligencia artificial.

La carrera para corregir vulnerabilidades de software enfrenta una presión inédita. Los modelos de inteligencia artificial pueden descubrir fallas con mayor velocidad y ayudar a actores maliciosos a explotarlas antes de que los proveedores publiquen un parche.

En ese contexto, Act Security salió de su fase de sigilo con una propuesta centrada en la arquitectura de acceso a la nube. La startup, fundada en 2025 y con sede en Tel Aviv, Israel, asegura que las empresas deben reducir las condiciones que permiten explotar una vulnerabilidad, incluso antes de corregirla.

Una startup contra la avalancha de vulnerabilidades

Según SecurityWeek, Act Security acumuló USD $60 millones en financiamiento. El monto combina una ronda Seed de USD $20 millones y una Serie A de USD $40 millones.

Team8 y Bessemer Venture Partners lideraron la ronda Seed. Hetz Ventures y Claltech también participaron en esa operación, que aportó el primer tramo de capital conocido para la compañía.

Notable Capital lideró la Serie A de USD $40 millones. Startpoint Capital y SVCI participaron en la ronda, con lo que la empresa elevó su financiamiento total a USD $60 millones.

El problema que Act Security intenta abordar surge del crecimiento de las vulnerabilidades en entornos de nube existentes. La compañía sostiene que la expansión de permisos y accesos crea caminos que atacantes externos pueden utilizar para convertir una falla en una intrusión.

El Foro de Equipos de Respuesta a Incidentes y Seguridad, conocido como FIRST, proyecta aproximadamente 59.000 nuevos CVE durante 2026. Esa estimación equivale a cerca de 161 vulnerabilidades descubiertas cada día.

La inteligencia artificial cambia la carrera del parche

Un CVE identifica una vulnerabilidad divulgada en productos o componentes de tecnología. Las organizaciones deben evaluar su impacto, priorizarla, corregirla y comprobar que el parche no provoque nuevos problemas operativos.

La inteligencia artificial complica cada etapa de ese proceso. Los modelos de frontera pueden encontrar nuevas vulnerabilidades con rapidez, mientras que grupos maliciosos pueden emplear esas capacidades para desarrollar ataques antes de que llegue una actualización oficial.

Los proveedores de software ya enfrentan volúmenes extraordinarios de correcciones. Oracle anunció más de 1.400 vulnerabilidades reparadas en su Actualización Crítica de Parches de julio de 2026.

Microsoft, por su parte, anunció parches para un récord de 622 vulnerabilidades. En junio, Google promovió Chrome 149 al canal estable con correcciones para 429 vulnerabilidades, también un récord para una sola actualización del navegador.

Estos registros reflejan una presión simultánea sobre fabricantes y clientes. Los primeros deben investigar y publicar correcciones a gran escala, mientras que los segundos deben identificar qué sistemas están expuestos y aplicar los parches sin interrumpir sus operaciones.

La empresa considera que los equipos de seguridad no pueden resolver esta situación persiguiendo cada hallazgo de manera aislada. El aumento de vulnerabilidades puede superar la capacidad humana de análisis, validación y despliegue.

Reducir el acceso en lugar de perseguir cada hallazgo

Act Security no se presenta como una herramienta tradicional de gestión de vulnerabilidades. Su plataforma no parchea las fallas, sino que reduce o elimina la superficie de acceso que vuelve explotables las vulnerabilidades sin corregir.

La propuesta consiste en establecer límites deterministas sobre aquello a lo que pueden acceder los humanos, las cargas de trabajo y los agentes de inteligencia artificial. La compañía busca que cada entidad opere únicamente con los permisos que necesita.

La startup afirma que las empresas han acumulado una expansión considerable de acceso en sus infraestructuras de nube. En muchos casos, los permisos concedidos no resultan necesarios para las funciones actuales y permanecen sin utilizar.

Jonathan Langer, cofundador y director ejecutivo de Act Security, afirmó que cerca del 97% del acceso a la nube permanece inactivo y sin uso entre los clientes de la compañía. Según su explicación, los agentes de IA heredan permisos humanos antiguos y pueden ejecutarlos continuamente a velocidad de máquina.

“No podemos salir de todo solo parcheando, no importa cuánto intentemos”, afirmó Langer. El ejecutivo añadió que las herramientas de visibilidad muestran miles de hallazgos y dejan a los equipos clasificando síntomas uno por uno, mientras la arquitectura de acceso permanece sin abordar.

La estrategia busca cambiar el foco desde la cantidad de vulnerabilidades hacia las condiciones que permiten explotarlas. Al limitar caminos expuestos, una organización puede reducir el alcance potencial de una falla mientras espera una corrección del proveedor.

Agentes de IA bajo límites deterministas

El crecimiento de los agentes de inteligencia artificial introduce un riesgo adicional para la gestión de permisos. Estas herramientas pueden ejecutar tareas, consultar sistemas y actuar sobre datos con una velocidad superior a la de un operador humano.

Cuando un agente recibe permisos amplios, una vulnerabilidad o una instrucción maliciosa puede darle acceso a recursos que no necesita. El riesgo aumenta si la organización reutiliza perfiles creados originalmente para empleados o aplicaciones con otras funciones.

Act Security pretende que las empresas desplieguen sus propios agentes con controles alrededor de sus cargas de trabajo. Esos límites deben restringir las acciones del agente a los recursos indispensables para completar una tarea.

La compañía también plantea eliminar las rutas expuestas que los atacantes emplean para desplazarse dentro de una infraestructura. El objetivo no consiste únicamente en detectar una intrusión, sino en impedir que una falla aislada abra una cadena de accesos.

Este enfoque puede resultar relevante para organizaciones que no pueden instalar un parche de inmediato. Sin embargo, la reducción de permisos no reemplaza la corrección del software, porque la vulnerabilidad continúa existiendo hasta que el proveedor la repara.

La propuesta ofrece una capa de contención frente a una carrera cada vez más rápida. Para que funcione, los equipos deben conocer las dependencias entre usuarios, aplicaciones, cargas de trabajo y servicios de nube.

Cumplimiento y experiencia del equipo fundador

La plataforma de Act Security también busca apoyar las tareas de cumplimiento. La empresa asegura que puede mapear directamente sus controles con requisitos de NIST 800-53, PCI DSS, HIPAA y otros marcos.

NIST 800-53 reúne controles de seguridad y privacidad utilizados por organizaciones para gestionar riesgos tecnológicos. PCI DSS se relaciona con la protección de datos de tarjetas de pago, mientras HIPAA establece obligaciones sobre información médica en Estados Unidos.

El mapeo directo puede ayudar a conectar las decisiones técnicas con las obligaciones regulatorias. También puede facilitar la documentación de por qué una organización limitó determinados accesos en sus entornos de nube.

Act Security fue fundada por Jonathan Langer, Stephan Goldberg, Itay Kirshenbaum e Ilai Fallach. Langer ocupa el cargo de director ejecutivo, Goldberg es director de producto, Kirshenbaum es director de tecnología y Fallach dirige investigación y desarrollo.

El grupo fundador ya había creado Medigate en 2017. Claroty adquirió esa empresa por USD $400 millones en enero de 2022.

La experiencia previa aporta conocimiento sobre la creación y venta de compañías de seguridad. No obstante, el nuevo proyecto se enfoca en un problema diferente, relacionado con los permisos de nube, la explotación de vulnerabilidades y el comportamiento de agentes de IA.

Una batalla que no termina con el parche

El lanzamiento de Act Security no implica que las actualizaciones de seguridad hayan perdido valor. Los parches siguen siendo necesarios para corregir el código vulnerable y eliminar la causa técnica de una falla.

La tesis de la startup es que las empresas necesitan una defensa adicional durante el periodo que separa el descubrimiento de una vulnerabilidad de su corrección. En ese intervalo, los accesos excesivos pueden transformar un defecto conocido o desconocido en una oportunidad de ataque.

La presión puede crecer a medida que la inteligencia artificial acelera el descubrimiento y la explotación. Una organización que dependa exclusivamente de revisar listas de hallazgos podría enfrentar más alertas de las que puede priorizar.

La reducción de la superficie de ataque ofrece una forma de concentrar los esfuerzos. En lugar de tratar cada permiso como permanente, las empresas pueden limitarlo según la necesidad concreta de cada usuario, carga de trabajo o agente.

El desafío será aplicar esos controles sin bloquear operaciones legítimas. Una política demasiado restrictiva puede afectar aplicaciones críticas, mientras una política demasiado amplia conserva los mismos caminos que Act Security busca eliminar.

La startup emerge así en un momento de creciente inquietud por la seguridad de la nube y los agentes autónomos. Su financiamiento de USD $60 millones refleja el interés inversor en herramientas que intentan contener el riesgo antes de que la avalancha de parches alcance a los equipos empresariales.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados