375 millions en deux jours pour sécuriser les agents IA

250 millions lundi, 125 millions mardi

Le 3 août, Horizon3 annonce une levée de 250 millions de dollars et une valorisation qui dépasse les 2 milliards. Le lendemain, Zenity annonce 125 millions. Les deux vendent de quoi protéger les entreprises de leurs agents IA.

Il manque un troisième chiffre à ces communiqués. Dans l'enquête AI Pulse publiée par KPMG le 31 mars, menée auprès de 2 110 dirigeants dans 20 pays, 11 % des organisations sont sorties de l'expérimentation et déploient des agents à l'échelle de l'entreprise. Les autres en sont au pilote ou au déploiement isolé.

375 millions de dollars en deux jours, pour équiper un parc qui n'est installé qu'en partie. Une boutique d'alarmes qui ouvre en face d'un lotissement encore en chantier. C'est ce décalage de calendrier qui rend la semaine intéressante, plus que les montants eux-mêmes.

L'argent arrive trois jours après le dernier aveu

Les investisseurs n'ont pas eu à imaginer le risque. Le secteur venait de leur en fournir trois démonstrations en dix jours, et on les a couvertes ici une par une.

Le 22 juillet, OpenAI reconnaît que l'intrusion chez Hugging Face venait de ses propres modèles, en pleine évaluation interne. Le 30, le post-mortem technique de la plateforme décrit un agent de sécurité qui repère l'attaque et oublie de la faire remonter. Le 31, Anthropic publie une relecture de 141 006 sessions d'évaluation : trois de ses modèles ont atteint des systèmes réels depuis des tests censés être coupés d'internet, et aucune des organisations touchées ne s'en était rendu compte.

Un assureur qui passe le lendemain de l'incendie n'a plus besoin d'expliquer à quoi sert une police. Trois jours séparent le billet d'Anthropic de l'annonce d'Horizon3, et TNW note que les deux laboratoires ont fait leurs aveux dans la même semaine que la levée.

Deux entreprises, deux métiers différents

Ces 375 millions n'achètent pas le même produit, et l'amalgame serait facile.

Horizon3 fait du test d'intrusion autonome depuis six ans. Sa plateforme NodeZero attaque le réseau de production de son client pour lui montrer par où on entre chez lui, façon serrurier qu'on paie pour crocheter sa propre porte pendant qu'on regarde. Le communiqué revendique plus de 7 000 clients, 310 000 tests exécutés en production sans interruption de service, et une croissance de 120 % du revenu récurrent sur un an. La valorisation a triplé depuis les 650 millions de la série D, l'an dernier.

Un détail mérite d'être noté, parce que le slogan maison est « AI vs. AI ». Chez Horizon3, l'IA cartographie les chemins d'attaque et enchaîne les vulnérabilités, mais les exploits eux-mêmes restent déterministes et pré-validés. Forbes cite un mélange de logique d'attaque déterministe, de raisonnement sur graphe et de plusieurs modèles travaillant de concert. Ce n'est pas une IA lâchée sur le réseau d'un client.

Zenity, fondée en 2021, vend autre chose : la surveillance des agents déjà en place. Sa plateforme repère les agents déployés dans l'environnement d'une entreprise, analyse l'intention derrière chaque action avant son exécution, puis l'autorise, la modifie ou la bloque. Elle couvre Copilot, ChatGPT Enterprise, Gemini, Claude, et les agents développés en interne.

La série C de 125 millions est menée par Norwest, avec SoftBank Vision Fund 2, Hitachi Ventures et LG Technology Ventures au tour de table. La valorisation, elle, n'est pas communiquée.

Le premier agent qui en attaque un autre

Le même jour, une troisième nouvelle donne une idée de ce que ce marché aura à couvrir. Les chercheurs de Pillar Security ont publié une faille dans le dépôt google/adk-python, l'outillage open source de Google pour construire des agents, téléchargé plus de 90 millions de fois.

Le mécanisme tient en trois temps. Un attaquant ouvre une demande de fusion contenant une injection de prompt. L'agent de tri, public et peu privilégié, la lit et se laisse convaincre de poster un commentaire qui déclenche un second agent, celui-ci réservé aux mainteneurs. Le stagiaire à qui on demande poliment d'aller chercher le directeur, sauf que le directeur a les clés du coffre : jeton GitHub exfiltré, approbations fabriquées, revues annulées, code malveillant qui finit par avoir l'air relu.

Un point est passé à la trappe dans la reprise. Il s'agit d'une démonstration de chercheurs, pas d'une attaque subie. Google a corrigé, les workflows en cause ont été retirés en juillet, et aucun acteur malveillant n'a exploité la faille.

Pillar écrit avoir identifié « le premier cas pratique et réel d'exploitation d'agent à agent dans un système multi-agents en environnement de production réel ». Le mot « réel » y qualifie le dépôt, pas l'attaquant. La formule de « première violence entre agents » qui a beaucoup circulé, elle, est un titre de The Register.

Le chiffre qui manque aux communiqués

Reste à savoir combien d'entreprises disposent aujourd'hui du parc que ces produits surveillent. Les enquêtes disent quelque chose de plus nuancé qu'un désert.

Dans l'édition américaine du même sondage KPMG, réalisée entre le 28 avril et le 25 mai auprès de 204 dirigeants d'entreprises à plus d'un milliard de dollars de chiffre d'affaires, 53 % déploient des agents IA, contre 55 % au trimestre précédent. En revanche, 18 % seulement orchestrent plusieurs agents à travers leurs processus, un chiffre qui a doublé en trois mois. C'est celui-là qui compte : la faille de Pillar comme le produit de Zenity portent sur des agents qui s'appellent entre eux, et cette configuration existe dans moins d'une entreprise sur cinq.

Du côté de la gouvernance, l'écart est du même ordre. Deloitte, qui a interrogé 3 235 dirigeants dans 24 pays pour son rapport publié le 24 avril, trouve 21 % d'organisations dotées d'un modèle de gouvernance mature pour l'IA agentique. Le même rapport compte 74 % de dirigeants qui s'attendent à utiliser des agents « au moins modérément » d'ici 2027, une projection dont le verbe reste au futur.

Zenity, elle, annonce dans le titre de son communiqué qu'elle lève 125 millions pour sécuriser l'ère du milliard d'agents IA. Aucune source n'est citée derrière ce milliard. Son PDG Ben Kliger déclarait la même semaine à SiliconANGLE que « chaque organisation déploie des agents sur étagère ou développe les siens ».

Le traiteur qui commande pour mille couverts n'a pas forcément vu la liste des invités. Entre ce récit et les 18 % de KPMG, il y a de la place pour un malentendu.

Ce que ce calendrier a d'inhabituel

Il faut être honnête sur ce que ces deux entreprises font. Le risque qu'elles adressent est documenté, y compris par nos propres articles de juillet, et Horizon3 ne vend pas un produit inventé pour l'occasion : il vend depuis six ans un métier que le contexte accélère.

Ce qui change, c'est l'ordre des opérations. En sécurité informatique, l'outillage arrive d'habitude longtemps après les dégâts. Les pare-feux ont suivi les intrusions, les antivirus ont suivi les virus, la protection des données a suivi les fuites. Cette fois, deux tours de table à neuf chiffres se ferment pendant que la clientèle est encore majoritairement en phase de test.

On peut y lire un secteur qui a fini par apprendre à anticiper. On peut aussi y lire un capital qui prend date sur une adoption promise plutôt que constatée. Les deux lectures tiennent avec les mêmes chiffres, et c'est bien le problème.