Sécurité des agents IA : la carte des rachats se dessine

Les agents IA, nouvelle classe d'identités en entreprise

Les agents d'intelligence artificielle s'intègrent rapidement aux systèmes des entreprises. Ils naviguent sur le web, écrivent du code, accèdent à des fichiers, déclenchent des API et interagissent avec des outils internes. Ce potentiel de productivité s'accompagne d'un problème de sécurité inédit : il ne s'agit plus seulement de protéger les utilisateurs, les appareils et les applications, mais aussi des logiciels capables d'agir au nom de l'entreprise.

Un agent peut consulter des documents d'entreprise, interroger des bases de données, envoyer des courriels ou exécuter du code. Dès lors qu'il dispose de tels accès, il faut lui attribuer des permissions, le surveiller et l'encadrer. Les organisations doivent pouvoir déterminer quel agent a consulté quelle information, à quels systèmes il s'est connecté et si ses actions étaient autorisées. À mesure que les entreprises passent de quelques agents expérimentaux à des centaines de déploiements, l'identité des agents s'impose comme une couche supplémentaire de la cybersécurité.

La difficulté tient à la nature de ces identités. Un agent se déplace entre les systèmes, appelle des outils et prend des décisions. Son contrôle est donc plus complexe que celui d'un utilisateur classique ou d'un compte de service.

Des points de contrôle plutôt qu'une catégorie unique

Ce marché ne devrait pas se structurer autour d'une vaste catégorie baptisée « sécurité de l'IA ». Les opportunités se situeront sur des points de contrôle précis. Une entreprise pourra protéger l'identité des agents, une autre encadrer les données auxquelles ils accèdent, d'autres encore se concentrer sur les prompts, les serveurs MCP, les plug-ins, le trafic ou l'auditabilité.

Les mouvements observés vont déjà dans ce sens. Kiteworks a racheté la jeune pousse israélienne Bonfy.AI, spécialisée dans la classification des données en temps réel et l'application de politiques. De son côté, la startup israélienne de cybersécurité Huskeys a levé un tour de série A de 27 M$ mené par Blackstone, pour comprendre et sécuriser un trafic internet de plus en plus complexe, y compris celui généré par des systèmes autonomes. Ces acteurs traitent des problèmes distincts, mais leur coexistence montre comment le marché pourrait se diviser en couches de sécurité séparées.

Une nouvelle carte de fusions-acquisitions

Ces points de contrôle dessinent une carte de fusions-acquisitions inédite. Les fournisseurs d'identité pourraient étendre leur gouvernance aux agents autonomes. Les acteurs de la sécurité des données devront sans doute contrôler les informations accessibles aux agents. Les plateformes de cybersécurité, les entreprises du cloud et les éditeurs de logiciels d'entreprise pourraient, à terme, intégrer directement des capacités de sécurité des agents dans leurs produits.

Pour les entrepreneurs, la conséquence est claire : se positionner sur la « sécurité de l'IA » est probablement trop large. La question déterminante devient ce que l'entreprise contrôle précisément.

Itay Sagie est conseiller stratégique auprès d'entreprises technologiques, d'investisseurs, de dirigeants et de conseils d'administration, spécialisé dans la stratégie, la croissance et les fusions-acquisitions. Il est contributeur invité de Crunchbase News et enseigne la stratégie, la finance et l'entrepreneuriat à l'université.