Sécurité des agents IA : pourquoi 2026 fait exploser le marché des « identités machine »

En quelques jours de juillet 2026, la sécurité des agents IA est passée du statut de sujet d’experts à celui de véritable marché. Le 28 juillet, coup sur coup : le rachat d’une pépite israélienne pour un milliard de dollars et une levée de fonds de 30 millions, tous deux consacrés à un même problème encore mal connu du grand public — surveiller et encadrer des agents IA qui agissent seuls dans les systèmes des entreprises.

Un milliard de dollars pour sécuriser les « identités machine »

Le spécialiste de la cybersécurité Cyera a annoncé son intention de racheter Oasis Security pour environ 1 milliard de dollars. Oasis, fondée en 2022, s’est fait un nom sur un créneau très précis : la gestion des identités non-humaines (les fameuses non-human identities), c’est-à-dire les comptes, clés et jetons qui ne correspondent pas à un salarié mais à un logiciel — et désormais à un agent IA. Cyera, valorisée 12 milliards de dollars après une levée de 600 millions en juin 2026, veut combiner ses outils de protection des données avec la gestion des accès et des permissions accordées à ces agents.

Le même jour, la jeune pousse Hush Security bouclait un tour de table de 30 millions de dollars, avec l’équipementier réseau Akamai comme investisseur stratégique — portant son financement total à 41 millions. Son approche : enregistrer chaque agent, supprimer les identifiants permanents et n’accorder que des permissions « juste-à-temps », limitées à une tâche précise.

Pourquoi maintenant ? Des chiffres qui donnent le vertige

Ce soudain intérêt s’explique par une projection : selon le cabinet Gartner, une entreprise du Fortune 500 fera tourner en moyenne plus de 150 000 agents IA d’ici 2028, contre moins de quinze l’an dernier. Chaque agent est une porte d’entrée potentielle. Or, d’après le cabinet Omdia, 96 % des organisations s’appuient encore sur des cadres de gouvernance hérités, pensés pour des humains, incapables d’encadrer des logiciels autonomes qui décident et agissent en continu.

Autrement dit, les entreprises multiplient les agents bien plus vite qu’elles ne savent les surveiller. Cet écart est précisément ce que les investisseurs cherchent à financer.

Les géants s’organisent aussi

Le mouvement ne se limite pas aux start-up. Le 27 juillet, NVIDIA a lancé l’Open Secure AI Alliance, une coalition réunissant Microsoft, CrowdStrike, IBM, Cisco, Palo Alto Networks, Red Hat, Hugging Face ou encore la Linux Foundation. Objectif : partager des outils open source pour défendre les systèmes agentiques, avec un cadre baptisé NOOA publié sur GitHub. L’alliance a été en partie déclenchée par un incident survenu chez Hugging Face, où seuls des modèles ouverts ont permis d’analyser l’intrusion.

Ce que cela change concrètement

• Pour les entreprises : déployer un agent IA sans lui donner d’accès permanents devient une exigence, au même titre que la gestion des mots de passe salariés.
• Pour le marché : la « sécurité des identités non-humaines » s’impose comme une catégorie à part entière, avec ses rachats, ses levées et ses standards.
• Pour les utilisateurs : ces garde-fous conditionnent la confiance envers des agents amenés à réserver, payer ou déclencher des actions sensibles à notre place.

Reste une question de fond : la course à la sécurité suivra-t-elle le rythme du déploiement ? Pour approfondir, voyez notre dossier sur les cas d’usage des agents IA, notre comparatif d’outils et notre rubrique Entreprise.

Questions fréquentes

Qu’est-ce qu’une « identité non-humaine » ?

C’est un accès numérique (compte de service, clé d’API, jeton) attribué non pas à une personne mais à un logiciel. Un agent IA autonome en utilise pour se connecter aux applications de l’entreprise — d’où le besoin de les recenser et de les contrôler.

Pourquoi les agents IA posent-ils un risque de sécurité particulier ?

Contrairement à un logiciel classique, un agent prend des décisions et enchaîne des actions sans validation humaine à chaque étape. S’il dispose d’accès trop larges ou permanents, une erreur ou un détournement peut se propager très vite.

Que peut faire une entreprise dès aujourd’hui ?

Recenser ses agents, supprimer les identifiants permanents au profit de permissions temporaires et limitées à une tâche, et journaliser les actions. Ce sont les principes que défendent les acteurs qui viennent de lever des fonds.

Sources

• TechCrunch — Cyera / Oasis Security
• SecurityWeek — Hush Security lève 30 M$
• NVIDIA — Open Secure AI Alliance