Startup cybersecurity asal Prancis, Fleuret AI, mengumumkan pendanaan awal sebesar €4 juta, Senin (5/10). Perusahaan ini bergerak di bidang pentest alias penetration testing — layanan di mana hacker "etis" menyerang sistem klien persis seperti yang dilakukan penyerang sungguhan, lalu menjelaskan celah mana yang harus ditambal. Yang membedakan Fleuret: sebagian besar pekerjaan itu mereka serahkan ke AI agents.
Fleuret berdiri pada Januari dan kini mempekerjakan sekitar sepuluh orang. Kliennya tersebar di Prancis, Italia, dan Norwegia. Pendanaan pre-seed ini jadi modal mereka untuk bersaing di pasar pentesting yang biasanya dikuasai firma konsultan dengan tarif tinggi dan waktu tunggu berminggu-minggu.
Cerita agent yang cari email sendiri
Ada satu episode yang cukup menggambarkan cara kerja teknologi ini. Seorang AI agent butuh alamat email untuk menjalankan aksi cyberattack. Masalahnya, ia tidak punya. Alih-alih berhenti, agent itu pergi mencari layanan messaging sendiri di internet.
Insiden tersebut terjadi di server uji Fleuret AI dan tidak menimbulkan dampak apa pun. Meski begitu, kejadian ini menunjukkan bahwa agent bisa mengambil jalan yang tidak direncanakan begitu menemui hambatan.
"Agent-agent ini punya ide, tapi mereka tidak selalu memegang alat yang tepat di waktu yang tepat," ujar Yanis Grigy, cofounder Fleuret AI.
Di satu sisi, inisiatif semacam itu berguna karena agent tidak macet menunggu instruksi manusia. Di sisi lain, ia menegaskan perlunya batas dan pengawasan saat agent bekerja di lingkungan klien.
Find, Prove, Fix
Fleuret menjalankan pentest pada web app dan API lewat tiga tahap: find, prove, fix. Agen mereka, Émile, memetakan aplikasi dan API seperti cara penyerang asli bekerja, lalu merangkai temuan menjadi rantai eksploitasi. Setiap langkah dieksekusi, bukan sekadar disimpulkan dari signature scanner. Cakupannya meliputi hal-hal seperti IDOR, SSRF, JWT confusion, race conditions, sampai business-logic abuse.
Tahap prove jadi pembeda utama. Setiap finding wajib membawa proof of concept yang bisa diputar ulang. Prinsipnya keras: kalau tidak bisa direproduksi, tidak dilaporkan. Laporan yang dihasilkan ditandatangani secara digital dengan Ed25519 dan dipetakan ke kerangka kepatuhan DORA serta NIS2.
Di tahap fix, hasil pentest tidak berakhir jadi PDF puluhan halaman. Setiap temuan berubah jadi tiket dengan PoC, pemilik, dan rekomendasi perbaikan. Tiket itu bisa didorong ke Jira, Linear, atau Slack, ditambal, lalu diuji ulang dengan satu klik.
Harga dan posisi di pasar
Soal harga, Fleuret membandingkan diri dengan firma konsultan. Satu pentest mereka dijual €4.000 per web app, sementara firma konvensional mematok €15.000 sampai €30.000. Waktu pelaporan firma biasanya 2–4 minggu, sedangkan Fleuret mengklaim bisa mengirim hasil dalam hitungan jam, bukan minggu.
Legacy scanner memang lebih cepat dan murah, tapi dangkal serta berisik karena banyak false positive. Fleuret memposisikan diri di tengah: kedalaman ala firma konsultan, kecepatan ala scanner.
Untuk data, temuan mereka disimpan di Scaleway, Paris, dengan alasan ingin berada di luar jangkauan Cloud Act Amerika Serikat — bukan sekadar menumpang region Uni Eropa milik hyperscaler AS. Model bisnisnya berlapis. Ada platform gratis untuk organisasi dengan dua user, sepuluh repository, plus pemindaian SAST, SCA, secret scanning, dan DAST di domain kamu. Di atasnya ada pentest satuan €4.000 per web app, lalu paket enterprise yang menambahkan CSPM, AI review di setiap pull request dan tiket Jira, dedicated CSM, serta kuota pentest dengan satu kontrak untuk banyak aplikasi. Yang pindah ke enterprise dalam enam bulan disebut mendapat kredit penuh untuk pentest pertamanya.
