Lunedì 3 agosto Horizon3.ai ha annunciato un round di finanziamento da 250 milioni di dollari che porta la valutazione della società oltre i 2 miliardi — circa il triplo dei 650 milioni stimati appena quattordici mesi prima. In un mercato della cybersicurezza che si sta riorganizzando attorno all'intelligenza artificiale, l'azienda californiana vende un'idea tanto semplice quanto inquietante: se gli attaccanti usano l'IA, la difesa deve schierare un'IA che attacca per prima.
Chi è Horizon3.ai e cosa fa NodeZero
La piattaforma di punta si chiama NodeZero ed esegue quello che in gergo si chiama penetration test autonomo: invece di aspettare l'audit annuale condotto da consulenti umani, il sistema prova in continuazione a violare l'infrastruttura del cliente come farebbe un vero aggressore, individua le catene di attacco sfruttabili e indica cosa correggere per primo. L'azienda rivendica di aver coniato il concetto di «hacker IA» e di aver eseguito 310.000 test in ambienti di produzione.
Secondo i dati diffusi dalla società — non certificati da terzi, quindi da leggere come dichiarazioni aziendali — i ricavi ricorrenti annui (ARR) sono cresciuti del 120% nell'ultimo anno, avvicinandosi ai 100 milioni di dollari, con oltre 7.000 organizzazioni protette, tra cui quattro aziende della classifica Fortune 10, banche multinazionali, grandi reti sanitarie e agenzie federali statunitensi come NSA e CISA.
Chi ha messo i soldi e perché la valutazione è triplicata
Il round di Serie E, descritto come sovrascritto (cioè con richieste superiori all'offerta), è stato guidato dagli investitori già presenti NightDragon e NEA. Sono entrati sette nuovi soci — tra cui Acrew Capital, PSG, SAIC, Sapphire Ventures e il fondo statale di Singapore EDBI — mentre ne hanno confermato altri cinque, da Craft Ventures a Qualcomm Ventures. Nel consiglio di amministrazione entra Dave DeWalt, fondatore di NightDragon e già amministratore delegato di FireEye e McAfee, uno dei nomi più noti dell'industria della sicurezza.
La ragione della corsa alla valutazione è il contesto: gli attacchi informatici stanno diventando più veloci e automatizzati proprio grazie all'IA generativa. In queste stesse settimane si è discusso di malware capaci di adattarsi da soli e di modelli usati per orchestrare intrusioni. Se l'offensiva accelera, le verifiche di sicurezza «a campione» una volta l'anno non bastano più: serve un controllo continuo, ed è esattamente ciò che promette il pentest autonomo.
La corsa alla sicurezza «IA contro IA»
L'amministratore delegato Snehal Antani ha inquadrato l'operazione attorno all'idea di guidare l'era della sicurezza «IA contro IA», rivendicando un vantaggio competitivo fondato su un enorme patrimonio di dati raccolti dai test. È una narrazione efficace, ma il campo si sta affollando: startup come XBOW e RunSybil spingono sull'attacco automatizzato, mentre operatori più consolidati come Pentera, Rapid7 e Tenable presidiano il testing e la gestione della superficie d'attacco. La differenza, sostiene Horizon3, la fa la scala: più test esegui, più il sistema impara a trovare percorsi di attacco che un umano non vedrebbe.
Cosa significa per le aziende (anche italiane)
Il round di Horizon3 è un termometro: dice che gli investitori scommettono forte sulla sicurezza offensiva automatizzata come categoria in rapida crescita. Per un responsabile della sicurezza informatica in Italia, il messaggio pratico è che la logica del «test continuo» sta diventando lo standard atteso, spinta anche dalle normative europee — dalla direttiva NIS2 al Regolamento DORA per il settore finanziario — che chiedono verifiche periodiche e resilienza dimostrabile.
Restano però due avvertenze. La prima: i numeri di crescita e di ARR sono dichiarati dall'azienda e non verificati in modo indipendente, quindi vanno presi con la cautela d'obbligo per ogni comunicato di raccolta fondi. La seconda: automatizzare l'attacco non elimina il fattore umano, ma lo sposta più in alto, verso l'interpretazione dei risultati e le decisioni su cosa correggere. L'IA trova le falle più in fretta; decidere le priorità e sistemare i sistemi resta, per ora, un lavoro da persone. La valutazione da due miliardi racconta però quanto il mercato creda che quella prima parte — trovare le falle — stia passando alle macchine.
