Ossprey lève 2,65 M$ pour analyser les paquets open source à la recherche de code malveillant avant qu'il n'atteigne la production

Ossprey, une startup britannique de cybersécurité fondée en 2024 par Nate Dunning (PDG) et David Read, a levé un tour de pré-amorçage sursouscrit de 2,65 M$ / 2,41 M€ mené par Episode 1 Ventures, avec la participation d'Osney Capital et d'Octopus Ventures. La société développe une technologie de scan continu des paquets open source, conçue pour détecter le code malveillant avant qu'il n'atteigne les environnements de production.

Le tour a clôturé sursouscrit — une position inhabituelle pour un pré-amorçage — signalant une demande investisseur en avance sur un problème de marché qui a rapidement évolué de préoccupation spécialisée à risque de niveau direction. La sursouscription est un indicateur de conviction des investisseurs, pas une preuve de traction produit ; Ossprey en est encore au stade de la construction et de la démonstration de sa technologie de détection.

La surface d'attaque de la chaîne d'approvisionnement

Environ 90 % des logiciels d'entreprise aujourd'hui sont construits sur des paquets open source — bibliothèques, frameworks et utilitaires que les développeurs tirent de registres publics. Cette dépendance constitue aussi la surface d'attaque. Les attaques sur la chaîne d'approvisionnement fonctionnent en compromettant ou en usurpant l'identité de paquets légitimes, de sorte que les équipes consommatrices intègrent du code malveillant dans leurs builds sans s'en rendre compte. Le schéma a produit certains des incidents de sécurité les plus dommageables de ces dernières années : attaques par confusion de dépendances, typosquatting, et injection de portes dérobées dans des paquets largement utilisés, parfois des semaines ou des mois avant leur découverte.

Les outils de sécurité actuels répondent à une ère antérieure du développement logiciel : ils ont été conçus pour une cadence où un humain examine une dépendance avant sa mise en production, où les mises à jour de dépendances s'effectuent en cycles délibérés, et où le pipeline de build est assez lent pour ajouter une porte de sécurité sans perturber le flux des développeurs. Le développement assisté par IA a changé chacune de ces hypothèses. Les pull requests avancent plus vite, les mises à jour de dépendances sont plus fréquentes, et la fenêtre de revue s'est réduite à presque zéro. Un outil de sécurité qui nécessite une revue humaine à chaque étape ne correspond pas à la vitesse à laquelle les équipes d'ingénierie opèrent aujourd'hui.

« Nous avons fondé Ossprey parce que les approches existantes n'étaient pas conçues pour la cadence à laquelle les équipes d'ingénierie modernes opèrent aujourd'hui », a déclaré Nate Dunning, PDG. « Les organisations ne devraient pas avoir à choisir entre livrer rapidement et construire en toute sécurité. Cet investissement nous permet de continuer à développer une technologie qui aide les organisations à construire en sécurité à la vitesse de l'IA, tout en élargissant notre portée à l'international. »

Ce qu'Episode 1 a financé

Le chef de file Episode 1 Ventures reflète le positionnement constant de cette firme dans l'infrastructure de cybersécurité pour les workflows développeurs et d'ingénierie — un domaine où la combinaison du développement accéléré par l'IA et de la menace sur la chaîne d'approvisionnement a créé un vide produit visible. Osney Capital et Octopus Ventures complètent un syndicat qui couvre l'investissement spécialisé en sécurité et le venture plus large.

Le pré-amorçage de 2,65 M$ finance la poursuite du développement de la technologie de scan centrale d'Ossprey et l'expansion internationale. Les deux tests auxquels le capital doit répondre : si le scan automatisé en continu détecte des paquets malveillants nouveaux que les outils actuels manquent, et s'il s'intègre dans les pipelines de développement rapides sans ajouter de friction qui pousserait les équipes d'ingénierie à le contourner. La précision de détection et l'adoption par les développeurs sont toutes deux nécessaires ; l'une sans l'autre ne comble pas l'écart que la société a été fondée pour adresser.