Les agents IA redéfinissent le paysage de la cybersécurité d'entreprise

De PANW et CRWD à SAIL et VRNS, le tournant du secteur de la cybersécurité est définitif.

Écrit par DaiDai, MSX MaiTong

Édité par : Frank, MSX Maetong

Au cours des deux dernières années, la Silicon Valley et le monde technologique se sont efforcés de rendre les grands modèles « plus intelligents ».

Mais lorsque le modèle quitte la boîte de dialogue, met une plaque d'identité et devient un Agent, passant des installations locales de Palantir AIP aux réseaux internes des grandes entreprises, les CTO découvrent soudainement que l'intelligence n'est plus le principal problème : les permissions hors contrôle sont la source du désastre.

Attribuez un compte à un agent capable de lire instantanément SharePoint, d'exécuter des requêtes SQL, de modifier du code et même de valider un paiement dans un système ERP. Ce n'est pas un employé, mais il possède des identifiants système ; ce n'est pas un logiciel traditionnel, mais il peut activer des outils, accéder aux données et exécuter des tâches de manière autonome.

Au cours des deux dernières décennies, le sous-entendu de la cybersécurité d'entreprise n'était autre que « contrôler les personnes et les appareils, protéger son propre jardin ». Mais aujourd'hui, un Agent légitime, muni d'un Token légitime, dans un flux d'affaires légitime, peut accomplir une action non autorisée inattendue en raison d'un décalage logique ou d'une prompt toxique.

Who’s in charge now?

C'est également la principale différence entre cette vague de réévaluation de la cybersécurité et les précédentes : l'IA réduit les barrières à l'entrée pour les attaques, tout en créant de nouveaux objets de sécurité : les modèles, les agents, les MCP, les identités machine, les données d'entreprise et les environnements d'exécution (Runtime).

En d'autres termes, la couche de contrôle de la cybersécurité est en train de se déplacer de manière irréversible des réseaux périphériques et des terminaux vers l'identité, les données et le Runtime.

Au cours des dernières décennies, la cybersécurité des entreprises a globalement établi une répartition des rôles stable.

Le pare-feu gère l'entrée réseau, l'EDR surveille les terminaux, l'IAM gère les identités et les connexions, la sécurité des données gère les informations sensibles, et le SOC traite les alertes déjà déclenchées.

La logique sous-jacente de ce système est simple : elle tourne toujours autour des personnes et des appareils — l'opérateur est soit un employé, soit un intrus ; dès lors qu'on peut identifier qui est cette personne, si l'appareil est digne de confiance et si la connexion réseau est sécurisée, la plupart des problèmes ont déjà des solutions éprouvées.

L'agent a complètement détruit cette logique.

Un agent, même avec une identité légale et une connexion normale, peut toujours commettre des actions inattendues en raison de permissions excessives, d'appels erronés d'outils, ou sous l'influence de prompts malveillants et de contenus externes.

Ainsi, la sécurité d'entreprise doit répondre à une question jamais rencontrée auparavant : les actions qu'elle entreprend aujourd'hui sont-elles toujours conformes à l'objectif pour lequel elle a été initialement autorisée ?

Si l'on examine la chaîne de valeur après l'adoption réelle des agents par les entreprises, les entreprises de cybersécurité actuelles peuvent être divisées en trois groupes : l'un se charge de construire des plateformes, l'autre contrôle l'identité et les données, et le troisième sécurise les réseaux et les points d'accès.

1. PANW, CRWD, S : géants de plateforme, chemin de monétisation le plus court

Palo Alto Networks (PANW) reste la plus profondément platformisée.

Il ne repose plus uniquement sur les pare-feu traditionnels, mais intègre progressivement Network Security, Cloud Security, SOC, Identity et AI Security sur une seule plateforme. Prisma AIRS couvre désormais les modèles, les données, les applications AI et les agents, tout en intégrant des fonctionnalités telles que l'AI Runtime Firewall et le Red Teaming.

Ainsi, ce que PANW cherche à résoudre, c’est l’ensemble de la chaîne, y compris quel modèle d’IA est utilisé, quelles données sont accessibles, quels outils sont appelés, et si des comportements anormaux se produisent une fois le système en marche. Les revenus de l’entreprise pour le dernier trimestre ont atteint 3,41 milliards de dollars, en hausse de 34 % par rapport à l’année précédente ; bien que cela inclue une croissance due à des acquisitions, cela montre néanmoins que, lorsqu’un nouveau budget sécurité est alloué, les grandes plateformes disposent généralement du chemin de commercialisation le plus court.

Après tout, les clients sont déjà là, les contrats sont déjà en place, et les nouveaux produits peuvent être proposés en croisement direct dans le système existant.

CrowdStrike (CRWD) a une approche différente, plus axée sur la couche d'exécution.

Les raisonnements de l'agent peuvent se produire dans le cloud, mais les actions concrètes — exécuter des scripts, écrire des fichiers temporaires, appeler des processus système — se déroulent finalement sur les serveurs, les conteneurs ou les terminaux des employés, ce qui correspond parfaitement à la zone de confort de la plateforme Falcon, étendant naturellement la télémétrie des points d'extrémité au Runtime ; CRWD se trouve naturellement sur le terrain où les actions ont lieu.

Ainsi, l'actif le plus central de CRWD a toujours été la plateforme Falcon et les télemétries accumulées à partir d'un grand nombre d'Endpoint et de Cloud Workload. Le revenu du dernier trimestre a augmenté de 26 % en glissement annuel, l'ARR a augmenté de 25 % en glissement annuel, et la performance des nouveaux ARR nets est encore plus forte, ce qui indique que CRWD s'étend actuellement de l'Endpoint vers l'Identity, le Cloud, le Runtime et le SOC.

SentinelOne (S) suit également une direction similaire, mais à une échelle nettement plus petite.

Son ambition avec Purple AI est un peu plus ambitieuse : au lieu de se limiter à un outil d'assistance, elle vise à ce que Security Agent prenne en charge les flux de travail des analystes juniors, en allant encore plus loin vers l'investigation automatisée, la corrélation d'événements et le déclenchement de réponses.

Si cette étape est véritablement mise en œuvre, l'IA ne changera pas seulement les fonctionnalités des produits des entreprises de cybersécurité, mais aussi la manière d'utiliser et de facturer les logiciels de sécurité.

2. OKTA, SAIL, VRNS : les nouveaux verrous de sécurité avec la pureté d'augmentation la plus élevée

Si des plateformes comme PANW et CRWD gagnent en force grâce à leur taille, l'increment natif apporté par les agents touche d'abord l'identité et les données.

Okta (OKTA) et SailPoint (SAIL) s'étendent toutes deux vers l'identité des agents, mais leurs avantages traditionnels diffèrent.

Okta est plus axé sur l'authentification et la gestion des accès, en traitant les questions « Qui êtes-vous ? Pouvez-vous vous connecter ? Quelles applications pouvez-vous consulter ? » ; SailPoint se concentre davantage sur la gouvernance des identités, en se demandant pourquoi une autorisation existe, qui l'a approuvée, combien de temps elle doit être conservée, et si elle doit être révoquée une fois la tâche terminée.

Appliquée à une personne, cette gouvernance est déjà complexe ; appliquée à un Agent, le problème devient indéniablement plus délicat, car un Agent peut avoir une durée de vie courte ou prolongée, appeler plusieurs outils, hériter des permissions de l'utilisateur, voire générer de nouveaux Agents.

Cela fait également partie des éléments les plus intéressants des données récentes de SAIL : son ARR trimestriel annuel a augmenté de 25 %, l'ARR SaaS de 36 %, et surtout, l'entreprise a révélé que son ARR piloté par l'IA dépasse désormais 70 millions de dollars, les produits IA ayant contribué à plus de 30 % du nouveau ARR net, prouvant que Identity est passé d'une histoire produit à des contrats réels.

En comparaison, le revenu du dernier trimestre d'OKTA a augmenté d'environ 11 %, avec une amélioration continue du flux de trésorerie et des marges, mais son taux de croissance global est nettement inférieur à celui des principales plateformes de cybersécurité ; la prochaine étape consiste donc à démontrer à quel moment ces nouveaux produits pourront à nouveau influencer la courbe de croissance globale.

VRNS s'appuie sur une autre logique d'agent très directe, à savoir les données, et a longtemps été axé sur la détection de données sensibles, l'analyse des autorisations, la classification des données et la détection de menaces ; il intègre désormais l'AI Governance et l'AI Runtime au sein du même système.

Après tout, plus un agent est puissant, plus l'entreprise doit d'abord clarifier un point : qu'est-ce que cet agent peut voir ? Le revenu total de VRNS pour le dernier trimestre a augmenté d'environ 18 % en glissement annuel, et le SaaS ARR a augmenté de 52 % en glissement annuel ; bien sûr, ce 52 % inclut un fort impact dû à la migration de nombreux clients traditionnels vers le SaaS ; si l'on élimine les conversions, la croissance du SaaS ARR est d'environ 25 %.

Ainsi, ce qui mérite vraiment d’être observé avec VRNS actuellement, c’est si la sécurité des données par l’IA pourra reprendre la croissance une fois l’effet de la transition vers le SaaS atténué.

Si l'Agent entre véritablement dans un environnement de production d'entreprise, les droits d'accès aux données ne seront probablement pas un « module de sécurité facultatif », mais un problème à résoudre avant tout déploiement.

3. FTNT, ZS, NET : Le sujet du réseau a changé, mais le canal reste le même

Les changements apportés par l'agent n'impliquent pas que la cybersécurité traditionnelle perde de sa valeur, mais que l'accès aux applications d'entreprise et à Internet ne sera plus limité aux employés et aux appareils.

Zero Trust de Zscaler (ZS) a principalement géré Employee → Application, mais il s'étendra progressivement à Employee + Workload + Agent → Application ; plus il y a d'agents, plus le nombre d'accès à des machines nécessitant authentification, autorisation et isolation augmentera.

Ainsi, dès que le trafic accédé par la machine explose de façon exponentielle, le point de facturation de la passerelle Zero Trust est déclenché.

Les revenus et l'ARR du dernier trimestre ont tous deux augmenté d'environ 25 %, mais après exclusion de l'impact de l'acquisition de Red Canary, ces deux taux de croissance se rapprochent davantage de 20 %. De ce point de vue, ce que ZS doit véritablement démontrer à l'avenir, c'est si la nouvelle demande liée à Agent-to-App pourra relancer l'accélération de l'ARR ajouté.

Fortinet (FTNT) son logique IA est plus axée sur l'infrastructure et bénéficie des avantages du déploiement privé.

Ce n'est pas une entreprise typique d'agent de sécurité, mais si de plus en plus d'entreprises financières, médicales, d'entreprises de grande taille et de projets gouvernementaux construisent leurs propres clusters GPU, cloud privé et usines AI, la demande pour l'isolement réseau, le trafic est-ouest, les pare-feux, le SASE et les opérations de sécurité augmentera naturellement.

Ce sont précisément les compétences que Fortinet a accumulées sur le long terme ; en d'autres termes, elle mise sur le besoin essentiel des infrastructures traditionnelles dans le nouveau cycle de calcul, ainsi que sur la possibilité que l'IA privée déclenche un nouveau cycle d'achat de réseaux et de sécurité pour les entreprises.

Cloudflare est encore plus particulier : il a le plus grand appétit et la valorisation la plus élevée (lecture complémentaire : GPT, Claude, Grok hors ligne en même temps : pourquoi tous doutent de Cloudflare ?).

NET ne peut pas être simplement classé comme une entreprise de cybersécurité. Le CDN, le WAF, la protection contre les DDoS, le Zero Trust, les Workers et le réseau Edge mondial placent NET simultanément à l'intersection de l'infrastructure Internet, du cloud et de la sécurité. Après la généralisation des agents, la structure même du trafic Internet pourrait changer.

Par le passé, c’était principalement Human-to-Web ; à l’avenir, on verra de plus en plus d’Agent-to-API et d’Agent-to-Agent. Les agents accéderont eux-mêmes aux sites web, appelleront des modèles, exécuteront du code et même effectueront des paiements automatisés. En définitive, ce sur quoi Cloudflare mise vraiment, ce n’est pas seulement la sécurité IA, mais un changement plus vaste :

Si une part croissante du trafic Internet est générée activement par des machines, NET peut-il devenir une entrée importante pour cette couche d’Internet Agent ? C’est aussi ce qui le distingue le plus des autres entreprises de cybersécurité — l’espace d’imagination est plus vaste, mais les attentes anticipées sont également plus fortement reflétées dans son évaluation.

Rétablissez la logique industrielle sur les fondamentaux et l'évaluation ; le marché a déjà donné un vote très honnête avec ses pieds :

• Groupe à forte prime (CRWD, NET) : des attentes de croissance maintenues à 20 % ou plus, voire plus élevées ; le marché valorise leur potentiel d'élargissement du TAM grâce à l'IA, avec des EV/Sales toujours dans la tranche la plus élevée ;
• Équipe de défense de qualité (PANW, FTNT) : la croissance n’est pas aussi explosive, mais elle est soutenue par la profondeur de la plateforme, les caractéristiques d’infrastructure réseau et un flux de trésorerie libre extrêmement solide ;
• Équipe de preuve d'élasticité (SAIL, VRNS, ZS, OKTA) : le centre de valorisation est relativement modéré, mais cela signifie également des opportunités ; dès qu'une entreprise parviendra à démontrer que ses produits Agent stimulent réellement la croissance nette du ARR, elle pourra facilement connaître une réévaluation de sa valorisation ;

Jusqu'à présent, le récit IA en cybersécurité a dépassé la phase où l'on disait : « Les hackers utilisent aussi l'IA, donc toute l'industrie en bénéficie ».

Parce que cette logique est trop générale, presque toutes les entreprises de cybersécurité peuvent l'aborder, publier des solutions Copilot, Agent, Runtime Security ou Agent Identity, et expliquer pourquoi l'IA élargit son TAM.

Ce qui se divise véritablement maintenant, c’est que les entreprises commencent elles-mêmes à utiliser l’IA à grande échelle, ce qui oblige à repenser les architectures de sécurité existantes ; il s’agit de savoir qui pourra intégrer clairement ces nouveaux besoins dans ses états financiers et relancer ainsi la croissance globale des revenus.

C’est la raison pour laquelle PANW, CRWD, SAIL, VRNS, ZS, FTNT et NET peuvent être discutés ensemble ; on peut prévoir que leurs différences s’accentueront encore davantage.

Les entreprises de plateforme se mesurent à l'efficacité de leur distribution, les entreprises d'identité et de données à la capacité de commercialiser rapidement de nouveaux points de contrôle, tandis que les entreprises de réseau et d'infrastructure doivent démontrer que les agents et l'IA privée généreront finalement de nouveaux flux et des cycles d'achat.

Ainsi, pour la suite de cette vague de marché, ce qui mérite le plus d’attention, c’est qui pourra prouver en premier que les agents modifient leur courbe de croissance.

C’est pourquoi les revenus récurrents annuels (ARR) pilotés par l’IA, récemment divulgués par SAIL, méritent plus d’attention qu’un simple lancement de produit Agent. Dès lors que les produits IA trouvent vraiment des acheteurs, que les nouveaux ARR commencent à apparaître, que la croissance globale reprend de la vigueur, et que ces revenus se traduisent finalement en bénéfices et en liquidités, les marchés financiers voteront naturellement avec leurs pieds.

Du point de vue de la sécurité informatique, ce n'est pas une nouvelle trame apparue soudainement en dehors de la ligne directrice de l'IA.

Plus l'IA est compétente, plus les entreprises craignent la perte de contrôle, et les gagnants de cette vague de croissance en cybersécurité seront ceux qui pourront convertir cette peur en flux de trésorerie réel et tangible dans leurs états financiers trimestriels.