Comp AI gọi vốn 34 triệu USD: đặt cược vào “continuous compliance” cho kỷ nguyên AI agent

Trong thế giới B2B SaaS, an ninh và tuân thủ không chỉ là “chi phí bắt buộc” mà ngày càng là điều kiện để mở khóa doanh thu. Lewis Carhart, CEO Comp AI, nói thẳng với TechCrunch: với nhiều công ty phần mềm, an ninh và tuân thủ gắn trực tiếp với doanh thu; khách hàng có thể yêu cầu báo cáo SOC 2 trước khi chốt hợp đồng. Trong bối cảnh doanh nghiệp đẩy nhanh thử nghiệm và triển khai AI, áp lực này càng tăng: hệ thống thay đổi liên tục, còn kiểm toán lại mang tính định kỳ.

Comp AI — một startup an ninh mạng và tuân thủ — vừa công bố huy động 34 triệu USD vòng Series A do Roo Capital và Grand Ventures đồng dẫn dắt, nâng tổng vốn huy động đến nay lên 37,5 triệu USD. Công ty nói sẽ dùng nguồn lực mới để mở rộng sản phẩm, với tham vọng xây một nền tảng “agentic” giúp xử lý các phần việc nhàm chán nhưng quyết định trong compliance và security.

Thương vụ Series A và câu chuyện “đi lên từ nỗi đau SOC 2”

Theo TechCrunch, Comp AI được thành lập vào tháng 1 năm ngoái bởi Lewis Carhart (CEO), Claudio Fuentes (COO) và Mariano Fuentes (CTO). Trước đó, nhóm từng xây LeapAI — một nền tảng workflow — vận hành khoảng hai năm và tăng lên hơn 1 triệu người dùng, nhưng sau cùng đóng lại vì không tìm thấy use case đủ “sticky” để tiếp tục đầu tư.

Kinh nghiệm từ LeapAI đem lại hai bài học quan trọng. Thứ nhất là năng lực “xây với LLM” và ý thức rằng phải chọn use case thật cụ thể. Thứ hai là một nỗi đau vận hành rất thực tế: quy trình SOC 2 thủ công cực kỳ tốn thời gian, đặc biệt khi muốn phục vụ khách hàng doanh nghiệp lớn. Claudio Fuentes mô tả SOC 2 là một quy trình “obscure”, có thể mất vài tháng làm bằng tay, và trong thời gian đó đội ngũ phải rời mắt khỏi việc xây sản phẩm.

Thực tế này giải thích vì sao “compliance automation” thường được nhìn như một khoản đầu tư tăng trưởng chứ không chỉ để giảm chi phí: nếu SOC 2 là “vé vào cửa” cho các deal enterprise, việc rút ngắn và chuẩn hóa quy trình có thể giảm ma sát bán hàng.

Comp AI đang xây gì: agentic platform cho compliance + security

Comp AI cho biết họ đang xây một nền tảng agentic để xử lý những công việc lặp lại trong an ninh và tuân thủ — ví dụ hỗ trợ viết chính sách bảo mật hoặc thu thập bằng chứng phục vụ kiểm toán bảo mật. Điểm đáng chú ý là nền tảng cũng “giám sát liên tục” việc doanh nghiệp có đang đáp ứng các control tuân thủ hay không.

Trong logic sản phẩm, đây là bước chuyển từ “làm xong hồ sơ để qua kỳ audit” sang “duy trì trạng thái tuân thủ như một quá trình liên tục”. Carhart nói Comp AI tự động hóa phần lớn công việc mà công ty truyền thống phải làm quanh quy trình SOC 2. Đồng thời, công ty nhấn mạnh phần mềm giúp đáp ứng và duy trì yêu cầu bảo mật nhưng không thay thế việc review kiểm toán độc lập.

Từ góc nhìn khách hàng doanh nghiệp, tuyên bố “không thay audit độc lập” là một tín hiệu quản trị rủi ro: nó đặt nền tảng vào vai trò hỗ trợ quy trình và tăng tính sẵn sàng bằng chứng, thay vì hứa hẹn “AI sẽ thay thế auditor” — điều vừa khó khả thi, vừa dễ vấp phản ứng tiêu cực trong môi trường compliance.

“Không thay con người”: rào chắn cần thiết khi agent ngày càng tự trị

Comp AI cũng nhấn mạnh nền tảng không thay thế con người. Theo Carhart, nhân sự vẫn tham gia onboarding AI, hỗ trợ controls và duy trì workflow agentic; chẳng hạn agent có thể soạn thảo policy nhưng con người sẽ review và phê duyệt.

Đáng chú ý hơn là quan điểm về an toàn theo cấp độ hệ quả (consequence). Carhart cho rằng khi agent thực hiện các hành động mang tính hệ quả lớn hơn theo thời gian, mức safeguards và phê duyệt của con người nên tăng tương ứng. Đây là một tuyên bố có tính “thiết kế hệ thống”: thay vì đặt cược vào tự trị hoàn toàn ngay từ đầu, nền tảng hướng tới cơ chế kiểm soát thích nghi — càng rủi ro, càng nhiều chốt chặn.

Trong môi trường B2B, đặc biệt các ngành nhạy cảm dữ liệu, “human-in-the-loop” không chỉ là yêu cầu đạo đức/tuân thủ mà còn là điều kiện để được mua và triển khai.

Vì sao “continuous” trở thành luận điểm trung tâm trong kỷ nguyên AI agent

Carhart lập luận rằng việc doanh nghiệp nhanh chóng áp dụng và thử nghiệm AI đang tạo ra nhu cầu cho các nền tảng an ninh & tuân thủ liên tục — thậm chí có thể tự trị. Lý do là khoảng trống thời gian: audit theo đợt có thể không phản ánh thay đổi sau đó.

Ông đưa ra kịch bản: doanh nghiệp hoàn tất audit SOC 2, rồi hai tuần sau triển khai một AI agent mới có khả năng truy cập dữ liệu khách hàng, thay đổi phân quyền hoặc tạo lỗ hổng qua triển khai code. Audit không “invalid”, nhưng đơn giản là nó không được thiết kế để nói cho bạn theo thời gian thực rằng sau audit đã có gì đổi.

Mariano Fuentes bổ sung một lớp nhu cầu mới: khi công ty dùng AI nhiều hơn, họ cần chứng minh agent đã truy cập gì, đã cố làm gì và có ở trong ranh giới được cấp hay không. Comp AI nói họ bắt đầu từ permissions và accountability, và hướng tới một “lớp bảo mật” có thể giám sát/validate rủi ro liên tục khi các hệ thống này tiến hóa.

Nếu nhìn theo hướng thị trường, đây là sự dịch chuyển từ compliance dựa trên tài liệu (policy, checklist, evidence thủ công) sang compliance gắn với vận hành thực (quyền truy cập, hành vi hệ thống, thay đổi cấu hình). Khi AI agent trở thành “người dùng” đặc biệt (có thể đọc/ghi dữ liệu, gọi công cụ, tự thay đổi workflow), câu hỏi không còn là “có policy không” mà là “policy có đang được thực thi không, và ai/điều gì đang vi phạm”.

Mở rộng sang penetration testing: tăng độ “dính” và giá trị hợp đồng

Ngoài compliance workflow, Comp AI cho biết họ cũng cung cấp kiểm thử xâm nhập (penetration testing) dùng AI, với mục tiêu chủ động kiểm tra codebase và hạ tầng để tìm lỗ hổng. Nếu compliance là “cửa vào doanh thu” thì security testing có thể là “bảo hiểm cho doanh thu”: giảm xác suất sự cố có thể làm chậm bán hàng, gây tổn thất uy tín hoặc phát sinh yêu cầu khắc phục từ khách enterprise.

Từ góc nhìn sản phẩm, bổ sung năng lực pentest có thể giúp Comp AI mở rộng từ “chuẩn bị audit” sang “giảm thiểu rủi ro kỹ thuật” — qua đó tăng cơ hội upsell/cross-sell trong cùng tài khoản. Tuy nhiên, TechCrunch không cung cấp chi tiết kỹ thuật, mức hiệu quả, hay kết quả kiểm định độc lập cho năng lực pentest này.

Hàm ý thực tiễn cho doanh nghiệp và nhà đầu tư

1) Doanh nghiệp phần mềm B2B: compliance là một phần của pipeline bán hàng

Nếu khách hàng yêu cầu SOC 2 trước khi ký, việc tự động hóa thu thập bằng chứng và soạn thảo/chỉnh sửa policy có thể giúp giảm thời gian đội ngũ sản phẩm và kỹ thuật bị kéo khỏi roadmap chính. Carhart nhấn mạnh mối liên hệ trực tiếp giữa security/compliance và doanh thu — một cách diễn giải mà các đội GTM (sales/CS) có thể dùng để biện minh ngân sách.

2) Đội security/compliance: chuyển từ “đạt audit” sang “duy trì trạng thái”

Tính năng giám sát liên tục controls có thể hữu ích trong bối cảnh hệ thống thay đổi nhanh (thêm agent, đổi quyền, cập nhật hạ tầng). Kịch bản “hai tuần sau audit đã khác” mà Carhart nêu ra phản ánh một thực tế vận hành: rủi ro nằm ở khoảng trống giữa các mốc kiểm toán.

3) Nhà đầu tư: đặt cược vào lớp hạ tầng trust cho agentic enterprise

Vòng Series A 34 triệu USD do Roo Capital và Grand Ventures đồng dẫn dắt cho thấy niềm tin rằng “continuous security/compliance” sẽ trở thành hạ tầng cần thiết khi AI agents được triển khai rộng. Dù vậy, bài viết không cung cấp dữ liệu về doanh thu/ARR, số lượng khách hàng hay các chỉ số tăng trưởng, nên việc thẩm định cần dựa thêm vào dữ liệu vận hành, tỷ lệ chuyển đổi khách hàng, mức độ tích hợp vào hệ thống hiện hữu và khả năng phòng thủ cạnh tranh.

Hạn chế của thông tin hiện có

• Nguồn TechCrunch không cung cấp định giá, doanh thu/ARR, số lượng khách hàng, tốc độ tăng trưởng hay unit economics.
• Mô tả sản phẩm ở mức khái quát; chưa có thông tin kỹ thuật về kiến trúc agent, cơ chế kiểm soát sai lệch, tiêu chuẩn tích hợp, hoặc kết quả đánh giá độc lập.
• Nhiều nhận định về nhu cầu “continuous/possibly autonomous” đến từ phát biểu của nhà sáng lập; bài viết không kèm dữ liệu định lượng để đối chiếu.

Nguồn tham khảo

• TechCrunch (2026-09-17): Comp AI sets eyes on a continuously agentic future for security and compliance — https://techcrunch.com/2026/09/17/comp-ai-sets-eyes-on-a-continiously-agentic-future-for-security-and-complaince/