NeuraLegion est devenu Bright Security après que son premier produit fut trop performant pour être utilisé

Lorsque NeuraLegion a été lancé en 2018, son produit était un fuzzer alimenté par l'IA destiné à aider les développeurs à détecter et atténuer les failles de sécurité dans leur code. Le problème, comme l'a expliqué le PDG Gadi Bashvitz, était qu'il était presque trop performant : il traque les zero-days et les trouve, « sème le chaos » et « fait planter toute cible contre laquelle il est exécuté » — si bien que l'exécuter à proximité de la production exigeait de l'entreprise qu'elle recrée cette cible encore et encore, une coordination que la plupart des grandes organisations ne pouvaient pas gérer.

Au moment où l'équipe a levé son tour d'amorçage de 4,7 millions de dollars en 2020, elle s'était déjà tournée vers les tests de sécurité dynamique des applications — détecter les vulnérabilités des applications web et des API en simulant des attaques externes. Cela est resté le cœur d'activité : les outils s'intègrent aux pipelines CI/CD, analysent les applications web et les API REST, SOAP et GraphQL, et se targuent d'éviter les faux positifs qui envoient les développeurs dans des impasses chronophages. Bashvitz a déclaré que l'entreprise n'avait pas l'intention de s'étendre aux tests de sécurité statique des applications.

En mars 2022, l'entreprise a couronné cette évolution par un changement de nom en Bright Security et un tour de table de série A de 20 millions de dollars mené par Evolution Equity Partners, avec la participation des investisseurs précédents DNX Ventures, J-Ventures, Fusion Fund et Incubate Fund. Bashvitz a indiqué que de nombreuses entreprises portaient des noms similaires, et que « Bright » représentait mieux la mission — « apporter de la lumière à toutes ces équipes », à la fois une visibilité sur les vulnérabilités et un phare pour bien pratiquer le DAST.

L'entreprise a déclaré que plus de 4 000 organisations utilisaient désormais ses produits. Karthik Subramanian, associé chez Evolution Equity, qui rejoint le conseil d'administration, a formulé la thèse : les outils conçus exclusivement pour l'équipe AppSec « sont déjà obsolètes s'ils ne sont pas utilisables par les développeurs et l'équipe DevOps » — la sécurité devait devenir une mission conjointe avec des responsabilités partagées.

Un tour de table de série A de 20 M$ mené par Evolution Equity Partners, et plus de 4 000 organisations utilisant ses produits de tests de sécurité dynamique des applications.

Le produit d'origine a échoué non pas sur la capacité mais sur l'opérabilité — un fuzzer qui détruit sa cible exige une infrastructure que les clients n'avaient pas.

Le pivot a échangé une démonstration spectaculaire contre un produit que les équipes pouvaient réellement exécuter, et une base de 4 000 organisations a suivi.

Le changement de nom a clos un nom qui ne correspondait plus à l'entreprise — et à un espace encombré de startups « Neura ».

Un produit peut être trop performant pour être utilisé : si les clients ne peuvent pas le mettre en œuvre en toute sécurité, pivoter vers la version qu'ils peuvent exécuter n'est pas un recul.

Au moment de l'annonce de mars 2022, Bright Security était en activité avec plus de 4 000 organisations, fraîchement capitalisée à hauteur de 20 M$, et restait délibérément concentrée sur le DAST plutôt que de s'étendre à des catégories de tests adjacentes.