Cymphony levanta US$30M con Sequoia para asegurar agentes de IA

Cymphony levanta US$30M para construir la capa de seguridad de los agentes de IA

La startup Cymphony, con operaciones en Tel Aviv y Nueva York, anunció una ronda total de US$30 millones que incluye una Serie A de US$25 millones copatrocinada por Sequoia Capital y SMBC Fin Atlas Beyond Fund, con una valoración posterior a la inversión superior a US$100 millones. La operación, reportada el 9 de septiembre de 2026, suma una inversión semilla de Sequoia que no había sido divulgada y que ocurrió más de dos años atrás, cuando la compañía aún no tenía producto ni un rumbo definido, según contó a TechCrunch el socio de Sequoia Bogomil Balkansky.

La apuesta es clara: a medida que las empresas despliegan agentes de inteligencia artificial que acceden a datos sensibles y sistemas críticos a velocidad de máquina, las plataformas de identidad y ciberseguridad tradicionales —diseñadas para empleados humanos— se quedan cortas. Cymphony quiere llenar ese hueco con lo que denomina un workforce graph (grafo de fuerza laboral), que combina señales de identidad, SaaS, datos y actividad para dar a los equipos de seguridad una vista única de quién —persona, agente de IA u otra identidad no humana— puede acceder a qué recurso.

Por qué los agentes de IA rompen los modelos de seguridad actuales

El CEO y cofundador Shy Dekel lo resume así, en entrevista con TechCrunch: "la seguridad empresarial fue diseñada para empleados humanos. Cada vez más, empiezan a sumarse entidades independientes que en la práctica se incorporan a la fuerza laboral, pero ya no son personas". La diferencia no es retórica: un empleado tiene un rol relativamente estable, credenciales revisadas y permisos auditables. Un agente puede tomar rutas distintas para cumplir una tarea, usar múltiples herramientas, manejar grandes volúmenes de información en segundos y, en ciertos casos, adquirir nuevas capacidades durante su ejecución o crear otros agentes para subtareas.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Esa volatilidad es lo que las herramientas de identidad tradicionales no están preparadas para gobernar. Balkansky lo plantea como el problema central que ve Sequoia: "los agentes son actores muy diferentes; las herramientas de identidad existentes no fueron diseñadas para actores que pueden modificar su comportamiento y sus capacidades en tiempo de ejecución".

Qué encontró Cymphony dentro de empresas grandes

La compañía asegura que el problema ya es tangible en producción, no teórico. En una empresa pública de Estados Unidos, Cymphony afirma haber identificado alrededor de 85.000 archivos que se habían vuelto accesibles para herramientas y agentes de IA; según la startup, ayudó a cerrar la exposición y verificó que esos archivos no habían sido consultados a través de los sistemas de IA. En otro caso, un colaborador externo instaló una instancia no autorizada de Claude (la IA de Anthropic) y usó los permisos que ya tenía para escanear miles de archivos sensibles — un ejemplo de cómo el riesgo no depende solo de una vulnerabilidad técnica, sino de la combinación entre accesos legítimos, herramientas no aprobadas y supervisión insuficiente.

La plataforma no se queda en el descubrimiento: usa sus propios agentes de IA para investigar incidentes, priorizar riesgos y automatizar remediaciones, incluida la modificación de permisos. Para los casos más complejos, ofrece un servicio gestionado que incorpora a especialistas de Cymphony en el flujo.

Quiénes están detrás y por qué Sequoia dobló la apuesta

Cymphony fue fundada hace unos dos años por Shy Dekel (CEO), Idan Berkovits (CPO) y Edi Gotlieb (CTO), los tres egresados del programa Talpiot, el programa selectivo de tecnología y liderazgo del ejército israelí. Dekel pasó casi seis años en la Unidad 8200 y llegó a dirigir su Departamento Cibernético; Berkovits fue gerente de grupo de investigación en la Oficina del Primer Ministro, y Gotlieb, ingeniero eléctrico, trabajó en Apple y luego en el Ministerio de Defensa de Israel. Sequoia ya conocía Talpiot por inversiones previas en ciberseguridad, entre ellas Wiz, según Balkansky.

La firma de capital de riesgo, sin embargo, no invirtió solo por el pedigree. Antes de la Serie A, Cymphony había construido producto, firmado un número de dos dígitos de clientes empresariales y alcanzado ingresos recurrentes anuales de siete cifras durante su primer año de ventas, reportó TechCrunch. Entre sus clientes están KKR, Syngenta, Cass Information Systems y Athennian, y la propia Sequoia utiliza la plataforma desde las primeras etapas de desarrollo, lo que Balkansky señaló como una de las razones para redoblar la apuesta.

El equipo ronda las 30 personas entre Tel Aviv y Nueva York (Calcalist reporta unos 23 al cierre de la ronda) y la mayoría de los clientes están en Norteamérica, aunque Dekel dijo a TechCrunch que ya observa demanda creciente en Europa, Medio Oriente y África. Una parte del capital nuevo se destinará a expandir ventas y abrir oficina en EE. UU., adonde se trasladará el propio CEO.

Un mercado en disputa con gigantes y startups

Cymphony no está sola en la categoría. Compite con plataformas establecidas como Microsoft, Okta, CyberArk, Wiz y Varonis, que también están ampliando sus ofertas de identidad, datos e IA. La propia Okta reportó en su último trimestre haber cerrado "docenas de deals relacionados con IA", incluido uno donde detectó 50 instancias de un agente Claude en un cliente y, semanas después, la cifra había crecido a 1.500, según reportó CNBC. Su CEO, Todd McKinnon, presentó la identidad como "el plano de control principal para asegurar la IA".

El contexto macro lo refuerza Gartner, que en su 2026 Hype Cycle for Agentic AI identifica gobernanza y seguridad como unas de las mayores barreras para la adopción empresarial de IA, y proyecta que el 40% de las empresas degradará o dará de baja agentes autónomos de IA hacia 2027 cuando aparezcan brechas de gobernanza en producción, según recogió Calcalist. CrowdStrike fue más gráfico en su earnings call: su CEO George Kurtz estimó que cada persona podría llegar a tener alrededor de 90 agentes, lo que amplía la superficie de ataque de forma exponencial. La acción de CrowdStrike subió 20% el día de sus resultados; Okta, 29-30%, según 24/7 Wall St.

En paralelo, el mercado ya ve movimientos grandes en identidad: Carrick Capital cerró el 31 de agosto un vehículo de continuación de US$600M para Saviynt, comprometiendo US$255M como nueva inversión en el marco de la Serie B de la compañía (liderada por KKR en diciembre de 2025 a una valoración cercana a US$3.000M), y Saviynt lanzó en julio Zuma, una plataforma de identidad para IA y agentes no humanos, según Unite.AI.

Balkansky reconoció que "decenas de empresas" ya intentan posicionarse en seguridad de IA, pero la diferencia de Cymphony, según Sequoia, está en tratar la seguridad de identidad y la seguridad de datos como un mismo problema, en lugar de separar la actividad del agente de los recursos corporativos que puede consultar. Dekel afirmó a TechCrunch que Cymphony ya sustituyó algunas herramientas puntuales en ciertos clientes: en un caso, ayudó a consolidar dos productos de seguridad existentes y eliminó la necesidad de comprar un tercero. Aún así, Balkansky ve a Cymphony, por ahora, como una capa complementaria más que un reemplazo de plataformas como Okta: "nadie va a deshacerse de su Okta", dijo. Con el tiempo, sí podría empezar a desplazar soluciones puntuales, sobre todo en prevención de pérdida de datos.

Qué significa esto para tu startup

Más allá del monto, la ronda de Cymphony es una señal de que la seguridad de agentes de IA empieza a consolidarse como categoría de gasto y no como un feature que Okta o Microsoft pueden añadir gratis. Si tu startup ya desplegó (o está por desplegar) agentes internos, copilotos o automatizaciones con acceso a datos de clientes, esta nota te deja tres cosas concretas:

Mapea hoy quién puede acceder a qué, incluyendo lo no humano. No esperes a una Serie A para tener un inventario de agentes, cuentas de servicio, integraciones con Claude, ChatGPT, Cursor o n8n, y los permisos que arrastran. El caso del colaborador con una instancia no autorizada de Claude escaneando archivos sensibles no es un escenario hipotético: ya ocurrió dentro de un cliente de Cymphony.
Asume que el identity provider por sí solo no alcanza. Si usas Okta, Auth0, WorkOS o un equivalente, recuerda que esas plataformas gobiernan identidades humanas; para agentes que crean sub-agentes o cambian de capacidades en runtime necesitas una capa adicional que conecte identidad, datos y actividad. Presupuesta esa capa antes de que el incidente la haga urgente.
Piensa en insider risk con IA desde el diseño del producto. Si vendes SaaS B2B, este vector empieza a aparecer en cuestionarios de seguridad y RFPs enterprise. Ofrecer logs auditables de qué agente hizo qué, sobre qué dato y con qué permiso, puede convertirse en un diferenciador comercial — y en una línea de防御 frente a competidores que todavía lo tratan como un tema de IT interno.

El propio Balkansky lo puso en una frase que resume el thesis de Sequoia: "si las empresas no están gastando dinero en seguridad de agentes, no sé en qué más van a gastar en los próximos cinco a diez años". Cymphony tendrá que demostrar que esa predicción se traduce en crecimiento, retención de clientes y resultados verificables — pero la apuesta ya está sobre la mesa.