Ficha · confiança medium
Tipo: empresa
Site: www.cantina.security
Acha gaps proativamente: sim
Angulo audit: concorrente
Atende enterprise: parcial
Autonomia: age-com-aprovacao
Categoria declarada: agentic security platform
Categoria real: pentest autônomo, AppSec, SecOps e segurança onchain
Comprador: ciso, cto, vp-eng, compliance
Entrega remediacao: sim
Entregavel: plataforma-saas, agente-autonomo, relatorio, servico-gerenciado
Expansao: Apex para Clarion, integrações, memória compartilhada, bounties e segurança onchain
Funding total: US$ 16,5M declarados pela empresa
Geografia: global
Icp: equipes de segurança e engenharia que precisam investigar, corrigir e verificar risco em código, runtime e operações
Investidores lead: Framework Ventures
Motion gtm: sales-led, forward-deployed
Nicho: ofensiva
Origem: pesquisa
Pricing publico: nao
Roda onde: código, repositório, aplicação em runtime e stack conectada de cloud, identidade, endpoint e SIEM
Tem entrada gratis: sim
Ultima rodada: US$ 8M de novo funding (30/07/2026)
Vertical: horizontal, financas
Wedge: Free Apex Pen Test financiado pela Cantina e sujeito a qualificação
Síntese
Cantina reúne linhas diferentes sob uma plataforma agentic: Apex, Clarion, Bounties e Onchain Security. (https://www.cantina.security/)
Apex investiga código e runtime, Clarion vai de alertas a correções verificadas, e a plataforma compartilha memória, políticas e audit trail.
A empresa declarou US$ 8 milhões em novo funding liderado pela Framework Ventures e US$ 16,5 milhões totais em 30/07/2026. (https://www.cantina.security/blog/the-next-chapter-of-cantina)
Preço, unidade comercial e capacidade paga não foram publicados nas fontes consultadas.
Posicionamento
Frase-âncora
Apex Find and fix exploitable risk.
Hero observado na home em 26/09/2026. (https://www.cantina.security/)
Agentic security platform é a categoria declarada no recorte atual.
A categoria real combina pentest autônomo, AppSec, operações de segurança, bounty e serviços especializados onchain.
Apex usa a frase Find what others miss e se define contra análise que não alcança lógica de negócio e cadeias exploráveis. (https://www.cantina.security/apex)
Clarion usa From alert to verified fix e se define contra o trabalho fragmentado entre alerta, investigação, correção e verificação. (https://www.cantina.security/clarion)
O JTBD é fechar o ciclo operacional do sinal ao resultado corrigido e verificável.
O why-now é o volume de mudanças, alertas e superfícies que equipes humanas isoladas não conseguem acompanhar.
A promessa é parcialmente falsificável por exploit path, patch e verificação; a superioridade geral depende dos benchmarks escolhidos pela empresa.
Entregável
Apex entrega finding, caminho de exploração, evidência, patch ou pull request e verificação. (https://www.cantina.security/solutions/agentic-pen-testing)
Clarion promete investigação, ação e verified fix sobre código, cloud, identidade e endpoint.
Bounties entregam findings adjudicados por pesquisadores.
Onchain Security entrega revisão especializada de protocolo, contrato e infraestrutura.
| O que o produto faz sozinho | O que exige aprovação humana | O que sobra pro cliente |
|---|---|---|
| Apex analisa código e runtime, constrói exploit paths e propõe correções | Scopes, policies e approvals governam ações consequenciais | Autorizar o alvo, fornecer contexto e adjudicar impacto |
| Clarion correlaciona sinais, investiga e propõe ou executa ações permitidas | Write scopes e decisões sensíveis dependem da política do cliente | Operar integrações, aceitar mudanças e responder exceções |
| A plataforma mantém memória, playbooks e audit trail | Especialistas e Solutions Engineer participam de onboarding, troubleshooting e remediação | Corrigir dependências, aprovar deploy e manter controles internos |
No dia 90, a expansão pode incluir mais workflows, integrações e agentes, mas a franquia comercial não foi publicada.
Oferta e pricing
| Linha | Objeto de entrada | Resultado | Preço ou unidade publicada |
|---|---|---|---|
| Apex | repo, PR, aplicação em runtime ou finding | exploração, patch e verificação | não encontrado |
| Clarion | sinais e stack conectada | investigação, ação e verified fix | não encontrado |
| Cantina Platform | contexto e políticas | memória, autonomia e audit trail | não encontrado |
| Bounties | programa e findings | finding adjudicado | não encontrado neste recorte |
| Onchain Security | protocolo ou projeto | revisão especializada | não encontrado neste recorte |
| Free Apex Pen Test | aplicação qualificada | pentest Apex gratuito | US$ 0 para qualificados |
Free Apex Pen Test é a porta de aquisição e depende de qualificação. (https://www.cantina.security/free-apex-pen-test)
A página não estava acessível ao leitor atual e não possui captura material local; a condição gratuita não revela a economia da oferta paga.
Tarifa, crédito, limite de repo, aplicação, target, runtime, concorrência, SLA e reteste contratado não foram encontrados.
Os objetos aceitos por Apex não devem ser tratados como unidades faturáveis sem proposta ou order form.
Mercado e ICP
O portfólio aponta para times de segurança, AppSec, SecOps e engenharia em empresas de tecnologia, finanças e saúde.
Onchain Security e Bounties mantêm a origem e a distribuição no ecossistema Web3.
CISO, CTO, VP Engineering e compliance são personas compatíveis com as linhas, embora o budget owner não esteja nomeado nas fontes.
A página de banking reforça um movimento vertical para instituições financeiras, sem publicar clientes ou contrato. (https://www.cantina.security/solutions/banking)
Cliente enterprise nomeado com valor de contrato: não encontrado.
Quem a empresa explicitamente não atende: não encontrado.
Geografia contratual, sede e fundação: não encontrado.
GTM e distribuição
O movimento primário é sales-led, com contato, qualificação e implantação assistida. (https://www.cantina.security/contact)
Free Apex Pen Test reduz a fricção de aquisição para aplicações qualificadas.
A vaga Forward Deployed Security Engineer descreve scoping, onboarding, primeiro scan, acesso ao repo, integrações e workshops. (https://cantina.app.loxo.co/job/NDQ1MDItaDVtcmR4ZzgyMHd5ZzQwcA==)
O destino do ATS intitula a mesma posição como Solutions Engineer, preservando uma divergência temporal ou editorial.
Integrações conectam o produto ao workflow existente, mas logos não provam profundidade nem inclusão contratual. (https://www.cantina.security/integrations)
Marketplace, canal MSP e revenda formal não foram encontrados nas fontes selecionadas.
Conteúdo técnico, disclosures e benchmarks próprios também funcionam como distribuição e prova de competência. (https://www.cantina.security/blog)
Como o produto funciona
Apex recebe código, aplicação em execução, PR ou finding e investiga caminhos exploráveis. (https://www.cantina.security/apex)
O workflow declarado combina análise de código, runtime, exploração, patch e verificação.
Clarion conecta cloud, identidade, endpoint, código e SIEM a uma memória compartilhada. (https://www.cantina.security/clarion)
Skills têm escopos; ações consequenciais recebem approvals; playbooks e ações ficam em audit trail. (https://www.cantina.security/trust)
O cliente pode começar em read-only e ampliar permissões conforme a política.
A Platform organiza contexto, agentes e ações, mas /platform e /clarion preservam uma mudança de naming ao longo do tempo. (https://www.cantina.security/platform)
Bounties usam pesquisadores e adjudicação humana em uma unidade operacional distinta.
Arquitetura interna, modelos, cloud, isolamento e garantias de execução não foram publicados no recorte canônico.
Time fundador
Founders nomeados: não encontrado nas fontes selecionadas.
Sede e ano de fundação: não encontrado.
Headcount: não encontrado.
A carreira oficial listava três vagas nomeadas em 26/09/2026. (https://www.cantina.security/careers)
Security Researcher pede Solidity/EVM, DeFi, MEV, bridges, ZK, Move, Cairo, Rust, Foundry, Echidna e Slither. (https://cantina.app.loxo.co/job/NDQ1MDIta2hwNHBtbzM5bTNoZjlobg==)
Forward Deployed Security Engineer ou Solutions Engineer pede Python, JavaScript, Bash, troubleshooting de código, logs, APIs e autenticação.
Video / Short Form Content Creator é a terceira vaga nomeada. (https://cantina.app.loxo.co/job/NDQ1MDItazQyYmYxZjJ0NGs3cXRnNQ==)
General Application fica fora da contagem de cargos nomeados. (https://cantina.app.loxo.co/job/NDQ1MDItcW12Y3A3Z2tmdGQxc2h1cw==)
Staff Security Product Engineer está como status_incerto, pois a URL Ashby ainda é indexada e a carreira oficial atual não a vincula. (https://jobs.ashbyhq.com/cantina.security/1cea4c50-2689-44d9-8c0b-4df53dd0736e/)
Funding
| Data | Estágio | Valor | Valuation | Lead | Participantes | Fonte |
|---|---|---|---|---|---|---|
| 30/07/2026 | novo funding, estágio não informado | US$ 8M | não encontrado | Framework Ventures | não encontrado | anúncio da empresa (https://www.cantina.security/blog/the-next-chapter-of-cantina) |
A empresa declarou US$ 16,5 milhões acumulados na mesma publicação: autodeclarado.
As rodadas anteriores, participantes, termos e valuation não foram reconciliados neste recorte.
Tração
-
4.032 findings com CVSS em 612 targets de produção: autodeclarado no Apex Field Report. (https://www.cantina.security/resources/apex-field-report)
-
702 findings high ou critical e 124 critical no mesmo recorte: autodeclarado.
-
1.610 production runs comparadas a pentests humanos em oito codebases: autodeclarado em benchmark próprio. (https://www.cantina.security/blog/ai-vs-human-penetration-test-benchmark)
-
35 URLs individuais de disclosure no sitemap em 26/09/2026: observado tecnicamente, sem equivalência garantida com 35 descobertas únicas. (https://www.cantina.security/sitemap.xml)
-
Três vagas nomeadas atuais na carreira em 26/09/2026: observado.
-
US$ 16,5 milhões totais declarados em 30/07/2026: autodeclarado. (https://www.cantina.security/blog/the-next-chapter-of-cantina)
Número de clientes, ARR, retenção, uso pago e resultados auditados não foram encontrados.
Concorrência e consolidação
A empresa se define contra scanners superficiais, backlog de alertas e separação entre descoberta e correção.
Concorrentes corporativos nomeados não foram encontrados nas fontes canônicas.
Apex compete com pentest, AppSec e plataformas de teste autônomo.
Clarion compete por workflows de SecOps, investigação e resposta assistida.
Bounties e Onchain Security possuem conjuntos competitivos distintos que não devem ser fundidos ao pricing de Apex.
Aquisições e valores de consolidação não foram encontrados no corpus selecionado.
A evolução de Platform para Clarion indica expansão de categoria, sem provar substituição completa de ferramentas existentes.
Enterprise, descoberta proativa e remediação
Atende enterprise: parcial. A plataforma publica SSO-like governance, scopes, approvals, integrações e uma linha para banking, mas não há cliente enterprise nomeado nem valor de contrato na fonte canônica. (https://www.cantina.security/trust)
Acha gaps proativamente: sim. Apex investiga código e runtime e Clarion opera continuamente sobre sinais conectados, em vez de depender apenas de finding entregue pelo cliente. (https://www.cantina.security/apex)
Entrega remediação: sim. Agentic Pen Testing declara patch PR, revisão humana e verificação posterior; Clarion promete verified fix. (https://www.cantina.security/solutions/agentic-pen-testing)
O cliente mantém políticas, approvals, aceite de correção e responsabilidade pelo ambiente.
Defensibilidade e riscos
Os ativos observáveis são a combinação de pesquisa, marketplace de pesquisadores, memória compartilhada, integrações e workflows de patch e verificação.
O componente humano aparece em pesquisa, bounties, forward deployment, onboarding e troubleshooting.
Essa assistência pode aumentar confiança e custo de entrega sem uma unidade pública de capacidade.
O risco de plataforma é a absorção das funções por AppSec, SIEM, cloud security ou fornecedores de pentest autônomo.
O risco de métrica vem de benchmarks e reports desenhados pela empresa.
O risco comercial é prometer uma força de trabalho ampla sem publicar preço, franquia, SLA ou limite de ações.
Leitura de mercado
Cantina mostra uma expansão por workflow: exploit, patch, verified fix, contexto compartilhado e ação governada.
O preço pode ficar privado mesmo quando o objeto técnico e o mecanismo são descritos em detalhe.
A vaga de Solutions Engineer mostra que onboarding, primeiro scan, integração e remediação continuam consumindo trabalho humano.
Para a BlackArrow, a consequência é separar a promessa simples da capacidade real reservada no contrato.
A tese seria contrariada se Clarion permanecesse apenas como narrativa e não gerasse adoção além de Apex e serviços especializados.
Ângulo de audit
Cantina é concorrente em pentest agentic, remediação e validação contínua.
Também é referência de produto para políticas de autonomia, approvals e audit trail, mas a ausência de pricing impede comparação econômica direta.
O que NÃO se sabe
- preço e unidade paga de Apex, Clarion e Platform;
- regra comercial de aplicação, target, repo, PR e finding;
- capacidade, frequência, concorrência e SLA;
- janela e quantidade de retestes;
- economics de Bounties e Onchain Security;
- duração e capacidade do Free Apex Pen Test;
- founders, sede, ano de fundação e headcount;
- clientes, ARR, churn e retenção;
- status definitivo da vaga Staff;
- validação independente do Field Report e do benchmark.
Fontes nucleares: home (https://www.cantina.security/), Apex (https://www.cantina.security/apex), Clarion (https://www.cantina.security/clarion), Platform (https://www.cantina.security/platform), Agentic Pen Testing (https://www.cantina.security/solutions/agentic-pen-testing), integrações (https://www.cantina.security/integrations), trust (https://www.cantina.security/trust), careers (https://www.cantina.security/careers), Free Apex (https://www.cantina.security/free-apex-pen-test), Field Report (https://www.cantina.security/resources/apex-field-report), benchmark (https://www.cantina.security/blog/ai-vs-human-penetration-test-benchmark) e funding (https://www.cantina.security/blog/the-next-chapter-of-cantina).