Vor drei Jahren, als das amerikanische Start-up HiddenLayer in seiner ersten ernsthaften Finanzierungsrunde 50 Millionen Dollar einsammelte, fragte man in der Branche offen, ob der Markt, in den die Firma verkauft, überhaupt existiert. Sie bot Schutz für KI-Modelle vor Angriffen - und in jenem Moment war es schwer, auch nur einen echten, dokumentierten Angriff auf KI größeren Ausmaßes zu benennen. Das Unternehmen verkaufte ein Heilmittel für eine Krankheit, die noch niemand gesehen hatte.

Diese Woche sammelte HiddenLayer weitere 100 Millionen Dollar in einer zweiten Runde unter Führung von Delta-v Capital, mit Beteiligung von Ten Eleven Ventures, Morgan Stanley, Microsofts Fonds M12 und Booz Allen Hamilton. Der Markt hat sich also eingestellt.

Die aussagekräftigste Zahl kommt nicht vom Start-up, sondern vom Analysehaus Gartner: Unternehmen werden dieses Jahr 2,83 Milliarden Dollar für Werkzeuge zur Absicherung ihrer künstlichen Intelligenz ausgeben - 83 Prozent mehr als im Vorjahr, für das kommende Jahr lautet die Schätzung fast 4,78 Milliarden. Das ist klassische Boom-Dynamik: Dieselbe Branche, die die Systeme baut, verkauft auch den Schutz vor ihnen, sodass beide Seiten der Transaktion gemeinsam wachsen.

Mitgründer und Geschäftsführer Chris Sestito sagt, der jährlich wiederkehrende Umsatz der Firma sei binnen zwölf Monaten um mehr als das Zehnfache gestiegen. Eine genaue Zahl nennt er nicht - nur, dass sie „im zweistelligen Millionenbereich“ liegt und über 90 Prozent des Wachstums von völlig neuen Kunden kam. Die größten Käufer sind Finanzinstitute und große Technologiefirmen, unter den Verträgen sind auch solche mit dem US-Verteidigungsministerium und der Nachrichtendienstgemeinschaft.

Ein Kunde wird nur als „führender Anbieter fortgeschrittener Modelle“ mit „mehr als 700 Millionen wöchentlichen Nutzern“ beschrieben - eine Beschreibung, die die Liste auf zwei, drei Namen verengt und keinen davon nennt. Das ist der Kern des Geschäfts: Die Firmen, die am lautesten behaupten, ihre Modelle seien sicher, kaufen still Schutz bei Dritten.

Sestito besteht darauf, dass die Firma nicht umgeschwenkt sei, sondern nur ihren Umfang erweitert habe. „Absichern bleibt Absichern. Ob bei einem klassischen Modell für maschinelles Lernen, bei generativer KI oder bei einem agentischen Arbeitsablauf - ein großer Teil unserer Technologie gilt weiterhin“, sagt er. Aus den neuen Produkten hebt er das Scannen von Modellen mit offenen Gewichten hervor: „Wir prüfen und scannen rund 50 verschiedene Formate. Wir suchen Modelle, die sich als das eine ausgeben und etwas anderes sind - versteckte Modelle in Modellen.“

Das ist der Teil, der am wenigsten nach Marketing klingt. Offene Modelle werden millionenfach heruntergeladen, direkt in Produkte eingebaut, und niemand prüft unterwegs, was genau in der Datei steckt. Wer je eine Bibliothek installiert hat, ohne in ihren Code zu schauen, weiß, wie diese Geschichte endet - nur wiegt die Datei diesmal mehrere Gigabyte, und niemand kann sie lesen.

Mit dem neuen Geld will die Firma nach Europa. Und dort wartet die schwerere Arbeit: Die großen Player der Cybersicherheit - Cisco, Palo Alto Networks, Check Point - kaufen solche Technologie historisch lieber, als sie zu bauen, und die Konkurrenten Noma und Zenity haben je über 100 Millionen für überlappende Bereiche eingesammelt. Sestito räumt selbst ein, ein Teil dessen, was er verkauft, könnte eines Tages in den Plattformen von Microsoft, OpenAI und AWS eingebaut sein.

Mit anderen Worten: Die Firma sammelte 100 Millionen, um einer Branche voranzulaufen, die hinter ihr herläuft. Gelingt es, wird sie teuer gekauft. Gelingt es nicht, wird die Funktion zur kostenlosen Beigabe in einem fremden Produkt. Ein drittes Szenario wird vorerst nicht angeboten.