Fleuret AI pozyskał 4 mln euro na pentesty z agentami AI

Kto zainwestował w Fleuret AI

Rundę opisały 5 października 2026 roku EU-Startups, Tech Funding News i Startup Rise, a sama spółka potwierdza ją na swojej stronie. Fleuret AI pozyskał 4 mln euro, co po średnim kursie NBP z 2 października 2026 roku (1 EUR = 4,3745 zł) daje około 17,5 mln zł. Inwestorem prowadzącym jest RAISE Ventures, fundusz związany z francuską grupą RAISE.

W rundzie wzięli udział także Auriga Cyber Ventures, Wind Capital i Better Angle oraz aniołowie biznesu z francuskiej branży bezpieczeństwa: Jules Veyrat i Alexandre Andreini ze Stoïka, Eric Fourrier z GitGuardian, Georges Lotigier, współzałożyciel Vade, a także Olivier Pantaleo i Jean-François Aliotti, założyciele Almond. Spółkę założyli w 2026 roku Yanis Grigy (prezes) i Augustin Ponsin (dyrektor technologiczny).

Jak działa pentest prowadzony przez agentów AI

Test penetracyjny, czyli pentest, to kontrolowany atak na własny system wykonany za zgodą jego właściciela, aby znaleźć luki przed przestępcami. Zwykle wykonuje go zespół specjalistów przez kilka tygodni, raz lub dwa razy w roku. Fleuret chce zamienić jednorazowy audyt w proces ciągły, w którym agenci AI samodzielnie mapują powierzchnię ataku i próbują łączyć drobne słabości w skuteczny atak.

Wyróżnikiem ma być zasada, że raport zawiera tylko luki potwierdzone dowodem, który da się powtórzyć. Firma opisuje to hasłem, że nie zgłasza tego, czego nie potrafi odtworzyć. To odpowiedź na częsty problem automatycznych skanerów, które generują dużo fałszywych alarmów. Platforma opiera się na pięciu etapach:

1. rozpoznanie systemów wystawionych do internetu,
2. wykrycie podatności,
3. udowodnienie, że podatność da się wykorzystać,
4. pomoc w naprawie, w tym zgłoszenia w Jira, Linear lub Slacku,
5. ponowny test potwierdzający, że luka została usunięta.

Ile kosztuje i dla kogo jest przeznaczony

Cennik ma trzy poziomy. Darmowy obejmuje skanery kodu i zależności (SAST, SCA, wykrywanie sekretów i DAST) bez pentestu. Pentest jednej aplikacji webowej kosztuje 4 tys. euro jednorazowo, czyli około 17,5 tys. zł, a oferta dla firm z wieloma aplikacjami jest wyceniana indywidualnie. Fleuret porównuje to z kwotą 15-30 tys. euro (około 65,6-131,2 tys. zł) za klasyczny pentest firmy doradczej. To porównanie spółki, a nie niezależne badanie rynku.

Oferta celuje w firmy, które muszą regularnie testować bezpieczeństwo, ale nie mają budżetu na kilka pełnych audytów rocznie. Raporty są podpisywane cyfrowo i przypisane do wymagań DORA oraz NIS2, co ma ułatwić dokumentowanie zgodności przed audytorem lub nadzorem.

Co to oznacza dla firm w Polsce

Fleuret nie ogłosił planów dotyczących Polski, a usługa jest sprzedawana zdalnie z cenami w euro. Popyt na regularne testy rośnie z powodu regulacji. Rozporządzenie DORA obowiązuje sektor finansowy w UE od 17 stycznia 2025 roku i wymaga regularnego testowania odporności cyfrowej. Dyrektywę NIS2 Polska wdraża nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która obejmuje obowiązkami znacznie więcej firm i instytucji niż dotąd.

W naszej ocenie automatyczny pentest może obniżyć koszt testów aplikacji między pełnymi audytami, ale nie zastąpi wszystkich wymogów. Testy TLPT, czyli testy penetracyjne prowadzone w oparciu o analizę zagrożeń, wymagane przez DORA od wybranych instytucji, mają szczegółowe wymogi co do zakresu i testerów. Przed zakupem warto ustalić z działem zgodności, który obowiązek dane narzędzie realnie pokrywa. Podobną tendencję widać w większej skali: amerykański Armadin zebrał na agentów symulujących ataki 255,5 mln USD.

Ograniczenia i niewiadome

Wszystkie dane o skuteczności, czasie testu i różnicy w cenie pochodzą od spółki. Nie ma niezależnych porównań wyników agentów Fleuret z pracą doświadczonego pentestera. Zakres oferty obejmuje aplikacje webowe i API, a nie sieć wewnętrzną, infrastrukturę fizyczną czy socjotechnikę, które są częścią wielu pełnych testów.

Firma działa od kilku miesięcy, więc nie ma jeszcze długiej historii wdrożeń. Część klientów wymienionych na stronie jest powiązana z inwestorami, co nie musi oznaczać problemu, ale ogranicza wartość tych referencji. Każdy test, także automatyczny, wymaga pisemnej zgody właściciela systemu i jasno określonego zakresu.