「セキュリティツールがCTOの仕事を難しくした」、Aikidoは4つのスキャナを1画面に束ねて$1B評価へ

Aikido Securityは、コードの脆弱性、クラウド設定の誤り、実行時の攻撃を1つのキューにまとめるアプリケーションセキュリティ基盤です。

SAST、SCA、シークレット検出、コンテナ、CSPMといったツールを個別に契約する代わりに、1つの画面で優先順位を付けます。出典

Willem Delbareは「Software security tools have made my life as a CTO harder」と語り、当時のセキュリティ製品が開発者ではなく調達部門のために作られていると指摘しました。

CTOとして何本ものスキャナを契約しても、誤検知の通知が増えるだけで、開発チームの判断は速くならなかったのです。出典

ノイズを減らすという逆張り

2022年、Willem Delbare、Roeland Delrue、Felix Garriau、Madeline LawrenceらはベルギーのゲントでAikido Securityを立ち上げます。

狙いは検出器を増やすことではなく、コード・クラウド・実行時の所見を1つの優先順位に畳むことでした。出典

4人目の創業者と最初の資金

2023年1月、Showpad創業者やSyndicate OneらエンジェルからEUR 2Mのプレシードを調達します。

当時はアルファ版を初期顧客と検証している段階で、資金はプロダクトを機能完成へ近づけるために使われました。出典

6か月おきに上がったラウンド

2023年11月、Notion CapitalとConnect Venturesが共同リードするシードで$5.3Mを調達。

Vanta CEOのChristina Cacioppoも参加しました。出典

その6か月後の2024年5月、SingularがリードするSeries Aで$17Mを調達します。

この時点で3,000組織、6,000人の開発者が使っていました。出典

3年目に届いた$1B

2026年1月、DST GlobalのTom Staffordがリードし、PSG Equity、Singular、Notion Capitalが参加するSeries Bで$60Mを調達、企業価値は$1Bに達しました。

公式ブログは「欧州で最も速くユニコーンになったサイバーセキュリティ企業」と表現しています。出典

同じ2026年、AikidoはNoon Securityを発表し、守る対象をソフトウェアから働く人へ広げました。

開発者の道具から始まった会社が、次に組織全体の防御を名乗る段階に入っています。出典

Aikidoが刺さるのは、SaaS企業で「開発者はセキュリティ担当ではない」状態のまま、SOC 2やISO 27001対応を迫られているチームです。

ベンダーごとに分かれたスキャナを4つ5つ契約すると、誤検知の山と重複アラートが積み上がり、誰もキューを見なくなります。

Aikidoは検出器を増やすのではなく、コード・クラウド・実行時の所見を1つの優先順位に畳むことで、修正までの距離を縮めます。出典

価格もPMFの一部です。

Freeプランで10リポジトリを試せて、Basicが月$350、Proが月$700という価格帯は、専任のセキュリティ担当がいない10〜50人規模の開発組織でも意思決定できる水準です。出典

結果として、150,000以上の組織が使い、開発者300,000人規模に届いています。出典

参入障壁は、コード・クラウド・実行時の文脈を同じデータモデルで持つ点にあります。

所見を1つの優先順位に並べるには、リポジトリ、クラウド資産、実行時イベントを横断して紐付ける必要があり、後から機能を足すだけでは追いつきにくい構造です。出典

ネットワーク効果は弱めです。

ユーザーが増えても検出精度が直接上がるわけではなく、価値は統合と自動化の完成度に依存します。

一方で、オープンソースのSafe ChainやZen firewallのSDKは開発者の接点を増やし、導入の入口として間接的に効きます。出典

主対象は、従業員10〜200人規模で顧客にSOC 2やISO 27001を求められているSaaS企業の開発チームです。

専任のセキュリティエンジニアが1人いるかいないかで、複数ツールの運用は回りません。

加えて、規制産業や公共調達を狙う企業にはFedRAMP対応が効きます。出典

1つ目はプロダクトの畳み方です。

SAST、SCA、シークレット、IaC、コンテナ、CSPMを別製品ではなく1つのキューにまとめ、重複アラートを構造的に減らしました。出典

2つ目は無料プランと自動修正の組み合わせです。

10リポジトリまで無料で試せ、AI AutoFixで修正案まで出すため、導入前に価値が確認できます。出典

3つ目はコンプライアンス対応を プロダクトの一部にしたことです。

ISO 27001、SOC 2 Type II、FedRAMP Moderateまで取り、中小SaaSがエンタープライズ取引で必要とする書類を用意しました。出典

統合型を掲げるほど、個々のスキャナの検出精度は専業ベンダーとの比較に晒されます。

SnykやOrca Securityのような専業製品と機能単位で比べられ、深いカスタムルールや大規模エンタープライズの要件では物足りないという指摘が残ります。出典

成長の速度もリスクです。

3年で350人規模まで増えた組織は、プロダクトの統合範囲を広げるほど保守対象が増えます。

Noon Securityのように扱う領域を人へ広げると、検出器の品質だけでなく運用負荷も比例して増えます。出典

ARRや顧客単価は非公開で、$1B評価が現在の収益で裏付けられているかは外部から確認できません。

成長は無料プランから始まるセルフサーブと、コンテンツ経由の流入が主軸です。

公式ブログは脆弱性速報や比較記事を大量に発行し、検索から開発者とセキュリティ担当の両方を拾います。出典

その上に、AWSとAzureのマーケットプレイス経由の購買、VantaやDrataへの同期といった連携が乗ります。出典

大企業向けにはFedRAMP Moderate対応と年次ペンテストを用意し、単価の高い層へ段階的に上げる構造です。出典

主要チャネル: content_seo, open_source, freemium, cloud_marketplace, partnerships

セキュリティ製品の改善点は検出率より「誰がキューを見るか」にあります。

AikidoはCTO自身の苛立ちを起点に、買う人と使う人が違う構造を前提として、1画面・1優先順位という形に落としました。

機能を足す前に、顧客のワークフローを何個減らせるかを数えるほうが、統合型プロダクトの価値は説明しやすくなります。

日本では、SOC 2やISO 27001の取得を目指す中小SaaSと、ISMS運用を開発チームへ移したい企業に余地があります。

日本語の脆弱性情報と社内規程のひも付け、ベンダー診断書のテンプレート整備を組み合わせれば、単なるスキャナ導入より導入理由を作りやすいと考えます。

これは市場への仮説です。