La startup Cymphony, basée à New York et à Tel-Aviv, a levé 30 millions de dollars afin de développer des outils de sécurité destinés à surveiller les agents d’intelligence artificielle et les identités non humaines au sein des entreprises. Le financement comprend un tour de série A de 25 millions de dollars mené par Sequoia Capital et le SMBC Fin Atlas Beyond Fund, ce qui porte la valorisation post-money de l’entreprise à plus de 100 millions de dollars.
Ce tour intervient après un premier investissement de Sequoia qui n’avait pas été divulgué auparavant. L’entreprise, fondée il y a deux ans, avait levé des fonds avant d’arrêter son produit et le problème qu’elle souhaitait résoudre, selon des propos rapportés par TechCrunch auprès de ses partenaires et des fondateurs de Cymphony.
Une plateforme qui rassemble l’identité, les données et l’activité
Cymphony s’appuie sur ce qu’elle appelle une cartographie de la main-d’œuvre, un modèle qui rassemble les signaux liés à l’identité, aux données et à l’activité dans une vue unique pour les équipes de sécurité. Cela inclut les employés, les agents d’intelligence artificielle et les autres identités non humaines, ainsi que les systèmes et les données sensibles auxquels chacun d’eux peut accéder.
L’entreprise affirme que les agents d’intelligence artificielle ne sont pas toujours soumis aux mêmes contrôles d’accès et à la même gestion des identités que les employés, bien qu’ils interagissent avec plusieurs systèmes et de grandes quantités de données d’entreprise. Dans l’une des entreprises publiques américaines, Cymphony affirme avoir découvert qu’environ 85 000 fichiers étaient devenus accessibles à des outils et à des agents d’intelligence artificielle. Elle a ensuite contribué à mettre fin à cette exposition et vérifié que ces systèmes n’avaient pas accédé aux fichiers. Dans un autre cas, le directeur général Shay Dekel a déclaré qu’un collaborateur externe avait installé une version non autorisée de Claude et utilisé ses privilèges existants pour examiner des milliers de fichiers sensibles.
Qu’est-ce qui change concrètement ?
La plateforme ne se contente pas de détecter les risques : elle utilise des agents d’intelligence artificielle pour enquêter sur les incidents, hiérarchiser les mesures correctives et automatiser certaines actions, comme la correction des autorisations d’accès. Les clients peuvent l’exploiter avec un niveau élevé d’automatisation ou recourir à un service géré dans lequel les équipes de Cymphony interviennent dans les cas complexes.
L’importance de cette approche tient au fait qu’un agent peut emprunter différents chemins pour accomplir une tâche, acquérir de nouvelles capacités ou créer d’autres agents, ce qui le rend plus difficile à contrôler qu’un employé dont le rôle et les privilèges sont plus stables. Cela ne signifie toutefois pas que Cymphony remplace les outils actuels de gestion des identités : selon son investisseur, les clients l’utilisent actuellement comme une couche supplémentaire, avec la possibilité de remplacer à l’avenir certains outils spécialisés, notamment dans la prévention des fuites de données.
Un financement dans un marché encombré
Cymphony affirme avoir signé des contrats avec plusieurs clients entreprises et avoir réalisé des revenus annuels récurrents à sept chiffres au cours de sa première année de ventes. Parmi ses clients figurent KKR, Syngenta, Cass Information Systems et Athennian. Sequoia utilise également la plateforme en interne depuis les premiers stades. L’entreprise compte environ 30 employés à New York et à Tel-Aviv, tandis que la plupart de ses clients se trouvent actuellement en Amérique du Nord, avec une demande qui commence à apparaître en Europe, au Moyen-Orient et en Afrique.
L’entreprise fait face à la concurrence de sociétés telles que Microsoft, Okta, CyberArk, Wiz et Varonis, qui élargissent elles aussi leurs offres dans les domaines de l’identité, des données et de la sécurité de l’intelligence artificielle. La question reste donc de savoir si la sécurité des agents d’intelligence artificielle deviendra un marché indépendant ou si elle se transformera en une fonctionnalité intégrée aux plateformes de sécurité plus vastes. En outre, les exemples d’exposition cités par l’entreprise reposent toujours sur ses propres déclarations, ce qui fait de la vérification indépendante de l’ampleur des risques et des résultats des mesures correctives un élément important dans l’évaluation du produit.