Echo、AIでクラウドの脆弱性に対処するために3,500万ドルを確保

Argon Securityの元CEOが率いるセキュアなソフトウェア基盤スタートアップが、クラウドコンピューティングのためのセキュア・バイ・デザインの基盤を構築するために3,500万ドルを調達した。

N47が主導したシリーズAの資金調達により、ニューヨーク拠点のEchoは、クラウドアプリの基盤コンポーネントとして企業向けに提供している「脆弱性のないコンテナイメージ」から、仮想マシンやオープンソースライブラリまで対象を拡大できるようになると、共同創業者兼CEOのエイロン・エルハダドは述べた。Echoは、デプロイ後にパッチを当てるのではなく、脆弱性を発生源で排除することに注力しているという。

「現時点では、私たちはセキュアで、コンテナOSを提供していますが、将来的には仮想マシンやライブラリ、そして基本的にクラウド上のあらゆるリソースへと拡大したいと考えています」とエルハダドはInformation Security Media Groupに語った。「そのためには、ソリューションをプラットフォームへ拡張するためのエンジニアがさらに必要で、クラウド上で動くものはすべてEchoの上で動くようになります。」

Echoは2025年に設立され、従業員は37人、調達総額は5,000万ドル。直近では7月にNotable CapitalとHyperwise Venturesが主導する1,500万ドルのシードラウンドを完了している。同社は創業以来、エルハダドが率いており、ソフトウェアサプライチェーンセキュリティ企業Argonを立ち上げ、約1億ドルでAqua Securityに売却した。彼はイスラエル軍情報部隊のUnit 8200で7年間勤務した（参照: クラウドネイティブアプリにサプライチェーンセキュリティが必要な理由：Aqua CEO）。

コンテナを超えてEchoの製品プラットフォームを拡大

エルハダドによれば、同社のシリーズA資金は主にエンジニアリングの取り組みを拡大し、コンテナにとどまらずVMやサードパーティライブラリといった新たなクラウドリソース種別をサポートすることで、製品プラットフォームを広げるために使われるという。リード投資家のN47は、資金力だけでなく、価値観の共有と長期ビジョンの一致を理由に選定したと述べた。

「全体として、何をし、どう資金を投下するかについての大枠の計画はありました」とエルハダドは語った。「また、2度目の創業者として言えるのは、その一部は需要に基づいているということです。より多くの資金を調達できれば、その分スピードを上げられます。私たちが計画していたことと、多くのインバウンドの関心を得られたことが組み合わさって、比較的大きなシリーズAを実施することになりました。」

オープンソースのコンテナイメージには、既知の脆弱性が数百から数千含まれていることが多い。エルハダドによれば、企業はこれらの安全でないイメージにパッチを当てて更新し続けるためだけに、脆弱性管理プログラムに数百万ドルを費やすことが多く、その過程にはスキャンやトリアージのためのリソース集約的で遅い社内プロセスが含まれるという。

「以前はLinuxを使っていて、そこにRed HatのようなエンタープライズLinuxが登場しました」とエルハダドは語った。「私たちはコンテナで同じことをやっています。」

同社のコンテナOSはソースコードから構築され、従来のコンテナイメージとは異なり、脆弱性のない状態で提供される。エルハダドによれば、Echoは脆弱性がそもそも持ち込まれないようにすることで、組織が後追いでコンテナイメージの脆弱性をスキャンし、パッチを当て、トリアージする必要をなくすという。

「現在、Echoはクラウドアプリケーション向けのAIネイティブOSを提供しています」とエルハダドは語った。「そのアイデアは、主にコンテナに焦点を当てることです。つまり、脆弱性のないクリーンなコンテナイメージを提供します。市場は非常に大きく、セキュア・バイ・デザインと呼べることを実現する機会があると感じています。」

仮想マシンの保護はコンテナ防御とどう異なるのか

コンテナでは顧客がホストOSを管理しないのに対し、仮想マシンではホスト自体を含めてOSに組み込み、保護する必要があるため、VMはより複雑になるとエルハダドは述べた。さらに、オープンソースライブラリはアプリケーション層に直接組み込まれることが多く、標準的なスキャンツールでは必ずしも表面化しない脆弱性を抱えている。

「彼らは異なるインフラ上で動いていて、含める必要があるものも異なります」とエルハダドは語った。「両者には多くの違いがあります。WindowsとLinuxがあるようなもので、サポートすべきOSの種類が2つあるのと同じです。」

新しいCVEが特定されると、EchoのシステムはAI駆動のパイプラインを起動し、どのイメージが影響を受けるかを判定し、オープンソースの調査を行い、パッチを適用し、互換性テストを実行し、人間のレビュー用にプルリクエストを作成する。この仕組みにより、Echoは数百のコンテナイメージにわたる脆弱性修正をスケールでき、従来なら大規模で高コストなエンジニアリングチームが必要だった作業を可能にする。

「まず、影響を受けるイメージを特定します」とエルハダドは語った。「その後、非構造化データの情報源を探す必要があります。というのも、CVEの明確な修正方法が存在しないことが多いからです。パッチを入手できたら、エージェントがパッチを適用し、包括的な互換性テストを実行し、プルリクエストを作成し、その後に人間がレビューします。」

EchoのOSはDebianおよびUbuntuと完全互換であり、企業はリファクタリングや書き換えを行うことなくワークロードをEchoへ移行できるとエルハダドは述べた。カスタムOSは時間のかかる移行やアプリケーションレベルの変更を必要とすることが多いとも付け加えた。

「私たちは市場の主要なLinuxディストリビューションすべてと完全互換です」とエルハダドは語った。「一方、市場にある代替製品はすべてカスタムOS上に構築されています。つまり、顧客が私たちのOSへ移行するのは摩擦ゼロで簡単ですが、他社では何年もかかる可能性があります。」