Cerberus Tech: ИИ ищет дыры в банковской защите за $8

Основатель уже продавал аудит безопасности до этого стартапа. Это редкость на рынке, где половина AI-компаний продаёт идею, а не опыт.

Обычно, когда основатель называет свой продукт «ИИ, который взламывает вас раньше хакеров», это повод закрыть вкладку. Но у Cerberus Tech в подписи под этим лозунгом стоит человек с работающим бизнесом за плечами, а не третьекурсник с питчем на 12 слайдов. Разбираем, почему это меняет дело.

Что продают

Cerberus Tech из Ташкента строит платформу автономного AI-пентеста: система сама ищет уязвимости в корпоративных приложениях и системах — без человека с ноутбуком, который вручную дёргает эндпоинты три недели. Проверка одного приложения стоит около $8 и занимает несколько часов вместо стандартных для рынка $3 000–15 000 и недели-двух ожидания отчёта от классического security-агентства. Корпоративная лицензия с постоянным техническим сопровождением начинается от $60 000 в год — и это тот самый момент, где становится видно, что компания метит не в стартапы с одним сервером, а в банки, у которых есть комплаенс-отдел и бюджет на security line item.

Почему это не очередной «GPT-обёртка над nmap»

Разница между Cerberus и десятком похожих проектов на GitHub — в одной конкретной инженерной детали: команда написала собственный язык программирования, который жёстко ограничивает, что именно AI-агент имеет право делать в рамках задачи. Это не промпт с инструкцией «веди себя хорошо» — это архитектурное ограничение на уровне рантайма, физически не позволяющее модели выйти за периметр сканирования и, условно, начать удалять таблицы или трогать продакшен-данные банка. Для клиента это ровно тот аргумент, который снимает главный страх — «а что если ваш ИИ сам станет уязвимостью».

Насколько прочна эта конструкция на практике, публично никто не аудировал — компания не раскрывала независимую верификацию своего языка ограничений. Доверие здесь пока держится на репутации команды, а не на опубликованном разборе кода.

Азиз Ахмедходжаев — это не «стартапер с идеей»

Основатель, Азиз Ахмедходжаев, до Cerberus уже построил C7 Cybersecurity — работающую аудиторскую компанию по информационной безопасности, не пет-проект. В 17 лет он сделал теоретический прорыв в вопросах безопасности языков программирования, а в 18 стал самым молодым участником Scottish Programming Languages and Verification Summer School — специализированной летней школы, куда не берут по фото профиля в LinkedIn. Это редкий для регионального AI-стартапа профиль: основатель, который уже один раз продавал security enterprise-клиентам и знает, чем реальный аудит отличается от чек-листа из блога.

Cerberus прошёл через акселератор 500 Global и зарегистрировал юрлицо в США — стандартный ход для команды, которая с первого дня целится не в локальный рынок, а в США, Европу и Великобританию, куда компания планирует выйти до конца года.

Пилоты в банках — это ещё не контракт

Несколько узбекских банков сейчас проходят трёхмесячный пилот. Звучит солидно, и это действительно солидно — банк не пускает к своей инфраструктуре кого попало, значит комплаенс уже дал предварительное добро. Но пилот — это стадия «проверяем, не сломает ли это нам ничего», а не «подписали годовой контракт на $60 000». Между пилотом и продлением лицензии проходит обычно один болезненный вопрос: что покажет первый настоящий отчёт о найденных уязвимостях и как быстро security-команда банка сможет его переварить, не утонув в false positive.

А что если просто нанять живого пентестера

Логичный вопрос от финансового директора банка: зачем платить $60 000 в год за подписку, если можно один раз нанять security-агентство за разовые $5 000–10 000? Ответ в частоте, а не в разовой цене. Классический аудит — это фотография системы на один день: через месяц после деплоя нового релиза защита может выглядеть иначе, а следующий аудит закажут в лучшем случае через полгода. При $8 за прогон банк технически может гонять проверку после каждого значимого релиза, а не раз в квартал по календарю комплаенса. Это меняет саму модель — не «поймали дыру, пока не поздно» раз в год, а непрерывный мониторинг, который в теории должен ловить проблему до того, как её найдёт кто-то менее дружелюбный. В теории — потому что на практике это работает только если банк действительно встроит проверки в CI/CD, а не купит лицензию и забудет про неё до продления.

Вердикт AISOLUTION

Это самая сильная заявка из трёх стартапов, которые мы разбираем в этой подборке материалов. Основатель с реальным прошлым бизнесом в той же нише, конкретные проверяемые цены (а не «по запросу», за которым обычно прячется отсутствие прайса вообще), инженерное решение, которое отвечает на самый очевидный страх клиента, и уже подтверждённый интерес enterprise-сегмента через пилоты. Это редкое сочетание для рынка Центральной Азии.

Риск ровно там, где обычно и бывает риск у молодой security-компании: доверие к собственной технологии ограничения AI держится на слове команды, а банковские пилоты остаются пилотами до момента продления. Мы будем следить, закроются ли эти пилоты платными контрактами — именно это, а не красивая архитектура, ответит на вопрос, реальный это бизнес или хорошо упакованная демо-версия.

Источник: THE TECH