审查 AI 智能体所用技能的「AIR」融资 5000 万美元，公开技能中约 27% 被拦截

把公司里 AI 智能体要装的技能、插件和 MCP 服务器逐个检查一遍，不合格的一律不许加载。以色列 AI 安全公司 AIR 带着这样的产品结束隐身状态，宣布获得 5000 万美元（约 80 亿日元）融资。该公司称，在其评估过的互联网公开扩展组件中，约 27% 没能通过审查，被列为拦截对象。

※1 美元 = 160 日元（按 2026 年 9 月 1 日收盘价换算）

你让智能体装了什么

AI 智能体越深入企业系统，出问题的往往不是智能体本身，而是后来挂上去的那些部件。技能、插件、MCP 服务器以及各类附加组件，是智能体与外部世界打交道的接口，而如今任何人都能发布，任何人都能引入。

AIR 联合创始人兼 CEO Yair Saban 把这种状况比作 2000 年代初的设备驱动。当年的驱动无需签名就能安装，却直接把代码加载进内核。如今签名校验已是常识，但技能、插件和 MCP 服务器还没有对应的机制。他指出，做的事情和驱动一样，唯独教训没有被继承下来。

他更担心的是攻击者可能不再直接针对智能体。当智能体自主穿梭于数据库和内部系统，并主动读取外部信息时，只要在它读取的内容里做手脚就够了。从防守方看，这等于多了一条几乎不留痕迹的攻击路径。

发现、拦截、比对

AIR 的产品由三层构成。

第一层是可见性。它会梳理出环境中实际运行的智能体，同时识别出使用未经 IT 部门批准的 AI 工具、或用个人账号处理业务的员工。思路是先把台账上没有的东西找出来。

第二层是运行时拦截。AIR 直接挂钩到智能体上，在加载技能、从互联网抓取内容等动作发生的过程中将其截获并分析，不符合标准的交互当场终止。

第三层是用于比对的白名单。AIR 持续评估互联网上公开的技能与附加组件，追踪其变更和可疑行为。因为一个已经批准过的技能，可能因依赖包被替换或开发者账号被攻陷而变得危险。正是这套持续评估得出了 27% 这个数字，即该公司发现的扩展组件中约有这一比例不予放行。此外公司还提供一个只收录通过审查组件的市场。

Saban 认为，这种持续评估才是公司的护城河。终端侧的可见性迟早人人都能做，而不间断地盯住技能与插件的分发源头才是难点。领投的 Sequoia 合伙人 Bogomil Balkansky 也表示，这不是扫描问题而是反复重新验证的问题，对企业智能体接触到的每一个组件在每次变更后重新检查，与其说是安全课题，不如说首先是基础设施课题。

成立半年，拿到接近 B 轮的规模

本轮融资由两笔种子轮构成，间隔仅数周。先行的 1000 万美元（约 16 亿日元）由 Sequoia 领投，随后的 4000 万美元（约 64 亿日元）由 Greenoaks 领投。天使投资人包括 Cognition 总裁 Zach Frankel、Wiz 联合创始人 Yinon Costica、Eon 联合创始人 Ofir Ehrlich、Clay 联合创始人 Varun Anand 等。公司成立仅半年左右，这样的种子轮规模相当罕见。

两位创始人出身以色列国防军情报部门 8200 部队，此前从事进攻方向的网络安全工作。公司目前约 40 名员工，客户超过 20 家，其中约四分之一为大型企业。需求最旺盛的是监管严格的行业，尤其是金融服务和制药。

瞄准同一目标的公司不在少数

这一领域已相当拥挤。Noma Security 提供针对智能体、MCP 服务器和技能的发现、访问控制与运行时监控，Zenity 也在销售类似的安全与治理工具。Astrix Security 从身份平台切入智能体和 MCP 服务器的发现与管控，Operant AI 则在智能体防护之外提供 MCP 网关。

资金流向同样相似。Zenity 在 8 月完成 1.25 亿美元（约 200 亿日元）C 轮，Noma 去年完成 1 亿美元（约 160 亿日元）B 轮。在市场轮廓尚未清晰之前，大额资金已经提前入场。

另外，业界普遍预计 AI 厂商会自行内置过滤恶意技能与工具的能力。Saban 也承认这一点，但他认为企业仍会选择不绑定特定厂商的独立产品。本轮资金将用于招募研究人员，并扩充在美国和欧洲的销售体系。