Checkmarx Adquire Tromzo para Fortalecer as Capacidades de Automação de Segurança com IA

A Checkmarx adquiriu uma startup de segurança de inteligência artificial fundada pelo ex-chefe de segurança da Medallia, com o objetivo de acelerar seu roteiro de produtos de segurança de aplicações autônoma impulsionado por IA.

A empresa de segurança de aplicações (AppSec), sediada na área de Nova York, disse que a aquisição da startup do Vale do Silício, Tromzo, reduzirá significativamente o trabalho manual e aumentará a eficiência do desenvolvimento de software seguro. O CEO da Checkmarx, Sandeep Johri, observou que o acordo fortalecerá ainda mais a visão central da Checkmarx: capacitar os desenvolvedores, automatizar a correção de vulnerabilidades para as equipes de AppSec e lidar com as novas vulnerabilidades causadas por aplicações de IA e agentes inteligentes.

"Para as empresas, não se trata simplesmente de construir um invólucro GPT, sobrepor um modelo de linguagem grande (LLM) na funcionalidade básica e esperar que ele funcione", disse o cofundador da Tromzo, Harshil Parikh, ao Information Security Media Group. "As empresas precisam resolver os principais problemas em cenários complexos. Com a ajuda da tecnologia de IA, nossa arquitetura pode integrar profundamente as informações de contexto de negócios de todo o domínio corporativo para superar esses desafios de forma eficiente."

A Tromzo foi fundada em 2021, tem 10 funcionários e arrecadou US$ 11,1 milhões em financiamento – a rodada mais recente foi uma rodada "seed" de US$ 8 milhões em agosto de 2023, liderada pela Venture Guides, Alumni Ventures e Uncorrelated Ventures. A empresa tem sido liderada por Harshil Parikh desde sua fundação. Ele trabalhou na empresa de software de gerenciamento de experiência do cliente Medallia por seis anos e meio, eventualmente ascendendo ao cargo de diretor sênior de segurança.

Tecnologia de IA de Agentes Inteligentes: Qual é a Vantagem Competitiva da Tromzo?

A Checkmarx já havia planejado de forma proativa um futuro de segurança de aplicações "AI-first" e formulado um plano de pesquisa e desenvolvimento para agentes inteligentes autônomos. Mas Johri disse que a Tromzo acumulou 18 meses de vantagem inicial no campo de soluções maduras de agentes inteligentes, o que ajudará a Checkmarx a acelerar significativamente o processo de lançamento do produto. A Checkmarx já havia realizado validação de valor para a Tromzo e outros parceiros ou potenciais alvos de aquisição, e a Tromzo acabou se destacando como a primeira escolha clara.

"Nos deparamos com a Tromzo e aprendemos sobre a tecnologia que eles estavam desenvolvendo e implantando, que estava altamente alinhada com nossos planos", disse Johri ao ISMG. "Nossa principal motivação é acelerar o lançamento do produto e absorver uma equipe com as principais capacidades de tecnologia de IA – eles estão trabalhando nessa área há 18 meses, enquanto nossa pesquisa e desenvolvimento relacionados começou apenas alguns meses atrás."

Parikh apontou que a vantagem competitiva da Tromzo reside na profunda integração de IA com uma arquitetura de dados projetada especificamente para o gerenciamento da postura de segurança de aplicações (AppSec Posture Management), o que permite obter informações de contexto de negócios necessárias para tomadas de decisão precisas. Ele enfatizou que essa característica permite que os agentes inteligentes da Tromzo não apenas identifiquem vulnerabilidades, mas também tomem medidas substanciais, como escrever código seguro automaticamente e enviar pull requests do GitHub.

"No campo da IA, os modelos usados pelas empresas são semelhantes", disse Parikh. "Portanto, a verdadeira diferença está em quanta informação de contexto e dados de alta qualidade você pode inserir no modelo para guiá-lo a obter os resultados corretos."

Parikh disse que, ao contrário das ferramentas leves que dependem de integração superficial ou simplesmente envolvem modelos de linguagem, a Tromzo construiu uma arquitetura densa em dados e sensível ao contexto com o gerenciamento da postura de segurança de aplicações no centro. Desde o início, a plataforma foi projetada para integrar o contexto de negócios e aplicá-lo ao gerenciamento de vulnerabilidades, permitindo tomadas de decisão mais inteligentes e direcionadas.

"A maioria das ferramentas similares carece de tecnologia central real, e mesmo que tenham as chamadas 'funções de IA', elas não foram aplicadas em escala corporativa", disse Parikh. "A razão pela qual a Tromzo conseguiu se destacar é que ela tem a tecnologia implantada mais madura, que também é a chave para chegarmos a um acordo."

Como os Agentes Inteligentes Ajudam em Todo o Processo do Ciclo de Vida de Desenvolvimento de Software (SDLC)?

As grandes empresas geralmente enfrentam um acúmulo de milhares de vulnerabilidades. Parikh disse que classificar e priorizar essas vulnerabilidades é um trabalho manual demorado que sobrecarrega as equipes de segurança e os desenvolvedores. Os agentes inteligentes da Tromzo, que agora estão integrados ao ecossistema Checkmarx, podem filtrar automaticamente falsos positivos, priorizar vulnerabilidades críticas e até mesmo corrigir problemas automaticamente, gerando soluções de correção de código.

"Agora, o agente inteligente pode analisar profundamente as outras informações de configuração da empresa – como arquivos de implantação, processos de integração contínua/implantação contínua (CI/CD), arquitetura de ambiente de produção – e determinar 'esta vulnerabilidade é real, aquela é um falso positivo'", explicou Parikh. "Se for confirmado que é uma vulnerabilidade real, o agente escreverá automaticamente o código de correção para a empresa no GitHub e criará um pull request. Este processo reduz o ciclo de correção de vulnerabilidades, que originalmente levava meses, para ser concluído em minutos."

Parikh descreveu uma visão de futuro: os agentes inteligentes cobrirão cada estágio do ciclo de vida de desenvolvimento de software (SDLC) – desde o design da arquitetura, desenvolvimento de código até o ambiente de tempo de execução, realizando proteção de segurança contínua sem depender da intervenção manual em cada etapa. Johri disse que a Checkmarx espera usar essa tecnologia para garantir que o código gerado por IA seja seguro desde o início, otimizar a priorização do tratamento de backlogs de vulnerabilidades, realizar correções automáticas e lidar com novas superfícies de ataque.

"Dividimos o impacto de agentes inteligentes e IA na segurança de aplicações (AppSec) em três dimensões", disse Johri, "A primeira é para os desenvolvedores: como garantir que o novo código que eles geram usando IA seja seguro desde o início? A segunda é para as equipes de segurança de aplicações: esses agentes inteligentes podem priorizar e corrigir vulnerabilidades, às vezes até mesmo de forma totalmente automática. A terceira é proteger a segurança do próprio ambiente de IA – porque agentes inteligentes e modelos de linguagem grandes (LLM) se tornaram novas superfícies de ataque."

Nos últimos anos, a Checkmarx tem sido relativamente discreta no campo de fusões e aquisições. O foco estratégico anterior de Johri era melhorar a lucratividade, melhorar a maturidade da plataforma de nuvem e consolidar a liderança de mercado. Hoje, com uma margem de lucro saudável antes de juros, impostos, depreciação e amortização (EBITDA) e 75% dos clientes migrados para a plataforma nativa da nuvem, a Checkmarx está pronta para retornar ao mercado de fusões e aquisições e está avaliando mais alvos potenciais – especialmente aqueles que podem aumentar a vantagem inovadora da empresa no grande mercado corporativo.

"Tromzo é um deles, e haverá mais ações de fusões e aquisições no futuro", disse Johri. "Nosso foco principal é no campo da segurança de aplicações, mas ainda existem muitas tecnologias e capacidades complementares neste campo. Portanto, sempre mantemos uma atitude aberta e esperamos anunciar mais casos de aquisição até o final do ano."