Lorsque les agents d'IA affluent dans le réseau interne : le champ de bataille de la cybersécurité a changé

Rédaction : DaiDai, MSX Maitong

Éditeur : Frank, MSX Maitong

Au cours des deux dernières années, la Silicon Valley et le secteur technologique ont tout mis en œuvre pour rendre les grands modèles "plus intelligents".

Mais lorsque les modèles sortent de la boîte de dialogue, revêtent un badge et deviennent des agents, des sites AIP de Palantir aux déploiements internes des grandes entreprises, les CTO des entreprises réalisent soudainement que le quotient intellectuel n'est plus le principal problème, mais que des autorisations incontrôlées sont la source du désastre.

Attribuer un compte à un agent lui permet de lire instantanément SharePoint, d'exécuter des requêtes SQL, de modifier du code, voire de valider des paiements dans un ERP. Il n'est pas un employé, mais possède des certificats système ; il n'est pas un logiciel traditionnel, mais peut appeler des outils, accéder à des données et exécuter des tâches de manière proactive.

Au cours des vingt dernières années, le sous-texte de la cybersécurité des entreprises a été de "contrôler les personnes et les appareils, et de protéger son propre jardin", mais aujourd'hui, un agent légitime avec un jeton légitime, dans un flux de travail légitime, peut effectuer des opérations non autorisées imprévues en raison d'un dérangement logique ou d'une invite malveillante.

À ce moment-là, qui décide ?

C'est aussi ce qui distingue cette réévaluation de la cybersécurité des précédentes, l'IA a d'une part abaissé le seuil d'attaque, et d'autre part a créé de nouveaux objets de sécurité : modèles, agents, MCP, identités machines, données d'entreprise et Runtime.

En d'autres termes, le champ de contrôle de la cybersécurité se déplace irréversiblement des réseaux périphériques et des terminaux vers les identités, les données et le Runtime.

I. Pourquoi la cybersécurité est-elle soudainement redevenue la ligne principale de l'IA ?

Au cours des quinze dernières années, la cybersécurité des entreprises a généralement formé un ensemble de divisions stables.

Les pare-feu gèrent les points d'entrée réseau, l'EDR surveille les terminaux, l'IAM gère les identités et les connexions, la sécurité des données s'occupe des informations sensibles, et le SOC est responsable du traitement des alertes déjà survenues.

La logique sous-jacente de ce système est simple : elle tourne toujours autour des personnes et des appareils ------ l'opérateur est soit un employé, soit un intrus, donc tant qu'il est possible d'identifier qui est cette personne, si l'appareil est fiable et si la connexion réseau est sécurisée, la plupart des problèmes ont déjà des solutions relativement matures.

Un agent brise cette logique en mille morceaux.

Un agent, même avec une identité légitime et une connexion normale, peut toujours agir de manière inattendue en raison de droits excessifs, d'appels d'outils erronés, ou être influencé par des invites malveillantes et du contenu externe.

Par conséquent, la sécurité des entreprises doit maintenant répondre à une question qu'elle n'a jamais rencontrée auparavant : les actions qu'elle effectue correspondent-elles encore à l'objectif initial pour lequel elle a été autorisée ?

Si l'on suit la chaîne d'entrée réelle des agents dans les entreprises, les entreprises de cybersécurité peuvent en fait être divisées en trois catégories : celles qui construisent des plateformes, celles qui contrôlent les identités et les données, et celles qui protègent le réseau et les points d'accès.

II. De PANW, CRWD à SAIL, VRNS, qui est vraiment au cœur de la question ?

1. PANW, CRWD, S : géants de la plateforme, le chemin de monétisation le plus court

Palo Alto Networks (PANW) est toujours la plus avancée en matière de plateforme.

Elle ne dépend plus seulement des pare-feu traditionnels, mais regroupe la sécurité réseau, la sécurité cloud, le SOC, l'identité et la sécurité IA sur une seule plateforme. Prisma AIRS couvre désormais les modèles, les données, les applications IA et les agents, tout en intégrant des capacités telles que le pare-feu Runtime IA et le Red Teaming.

Ainsi, ce que PANW cherche à résoudre, c'est en fait l'ensemble de la chaîne, y compris quel modèle IA est utilisé, quelles données sont accessibles, quels outils sont appelés, et s'il y a des comportements anormaux après la mise en œuvre. Les revenus de la dernière période ont atteint 3,41 milliards de dollars, avec une croissance de 34 % par rapport à l'année précédente, bien que cela inclue des acquisitions, mais cela montre que lorsque de nouveaux budgets de sécurité apparaissent, les grandes plateformes ont généralement le chemin de monétisation le plus court.

Après tout, les clients sont déjà là, les contrats sont déjà en place, et les nouveaux produits peuvent être directement vendus en croisant avec les systèmes existants.

CrowdStrike (CRWD) a une approche différente, se concentrant davantage sur le niveau d'exécution.

Le raisonnement de l'agent peut se faire dans le cloud, mais les actions réelles ------ exécuter des scripts, écrire des fichiers temporaires, ajuster les processus système, se produisent finalement sur des serveurs, des conteneurs ou des terminaux d'employés, ce qui est précisément le domaine de confort de la plateforme Falcon, étendant logiquement la télémétrie des points d'extrémité (Telemetry) au Runtime. CRWD se trouve naturellement sur le terrain où les actions se produisent.

Ainsi, l'actif le plus essentiel de CRWD a toujours été la plateforme Falcon, ainsi que la télémétrie accumulée à partir d'un grand nombre de points d'extrémité et de charges de travail cloud. Les revenus du dernier trimestre ont augmenté de 26 % par rapport à l'année précédente, avec une croissance de 25 % de l'ARR, et la performance de l'ARR net nouvellement ajouté est encore plus forte, ce qui indique que CRWD s'étend des points d'extrémité vers l'identité, le cloud, le runtime et le SOC.

SentinelOne (S) suit également une direction similaire, mais à une échelle nettement plus petite.

Son ambition Purple AI est un peu plus audacieuse, préférant laisser l'agent de sécurité prendre en charge le flux de travail des analystes juniors, avançant vers des enquêtes automatiques, l'association d'événements et le déclenchement de réponses.

Si cette étape est réellement réussie, l'IA ne changera pas seulement les fonctionnalités des produits des entreprises de cybersécurité, mais aussi la manière dont les logiciels de sécurité sont utilisés et facturés.

2. OKTA, SAIL, VRNS : les nouvelles serrures de sécurité avec la plus haute pureté d'incrément

Si PANW et CRWD, en tant que plateformes, gagnent en taille, alors l'incrément natif apporté par les agents touche en premier l'identité et les données.

Okta (OKTA) et SailPoint (SAIL) se concentrent tous deux sur l'identité des agents, mais leurs avantages traditionnels diffèrent.

Okta est plus proche de l'authentification et de la gestion des accès, traitant des questions telles que "qui êtes-vous, pouvez-vous vous connecter, à quelle application pouvez-vous accéder" ; SailPoint est plus axé sur la gouvernance des identités, s'intéressant à la raison pour laquelle un droit existe, qui l'a approuvé, combien de temps il doit être conservé, et s'il doit être récupéré après la fin de la tâche.

Appliqué aux personnes, cette gouvernance est déjà très complexe, mais appliquée aux agents, la question devient sans aucun doute plus délicate. Parce que le cycle de vie d'un agent peut être très court, ou exister à long terme, et peut appeler plusieurs outils, hériter des droits des utilisateurs, voire générer de nouveaux agents.

C'est aussi l'une des parties les plus intéressantes des données récentes de SAIL, son ARR du dernier trimestre a augmenté de 25 % par rapport à l'année précédente, l'ARR SaaS a augmenté de 36 %, et plus important encore, l'entreprise a révélé que l'ARR piloté par l'IA a déjà dépassé 70 millions de dollars, les produits IA ayant contribué à plus de 30 % de l'ARR net nouvellement ajouté, prouvant que l'identité est déjà passée de l'histoire du produit à des contrats réels.

En revanche, les revenus d'OKTA ont augmenté d'environ 11 % au dernier trimestre, avec un flux de trésorerie et une marge bénéficiaire en amélioration continue, mais la croissance globale est clairement inférieure à celle des grandes plateformes de cybersécurité, donc la prochaine étape qui doit vraiment être prouvée est quand ces nouveaux produits pourront à nouveau influencer la courbe de croissance globale.

VRNS se concentre sur une logique d'agent très directe, à savoir les données, et ce qu'elle fait depuis longtemps est la découverte de données sensibles, l'analyse des droits, la classification des données et la détection des menaces, et elle commence maintenant à intégrer la gouvernance IA et le runtime IA dans le même système.

Après tout, plus un agent est puissant, plus une entreprise doit d'abord clarifier une chose : que peut voir cet agent. Les revenus totaux de VRNS au dernier trimestre ont augmenté d'environ 18 % par rapport à l'année précédente, l'ARR SaaS ayant augmenté de 52 %, bien sûr, ce 52 % inclut l'impact de nombreux clients traditionnels migrés vers le SaaS, si l'on exclut la conversion, la croissance de l'ARR SaaS est d'environ 25 %.

Ainsi, ce qui mérite vraiment d'être observé pour VRNS, c'est si, après que l'effet de transformation SaaS s'estompe progressivement, la sécurité des données IA peut prendre le relais de la croissance.

Si les agents entrent réellement dans l'environnement de production des entreprises, alors les droits d'accès aux données ne seront probablement pas un "module de sécurité optionnel", mais deviendront un problème qui doit être résolu avant le déploiement.

3. FTNT, ZS, NET : le sujet du réseau a changé, mais le pipeline reste le même

Les changements apportés par les agents ne signifient pas que la cybersécurité traditionnelle perdra de sa valeur, mais à l'avenir, l'accès aux applications d'entreprise et à Internet ne sera plus seulement réservé aux employés et aux appareils.

Zscaler (ZS) a principalement géré le passage de l'employé à l'application, mais à l'avenir, cela s'étendra progressivement à l'employé + charge de travail + agent → application, ce qui signifie que plus il y a d'agents, plus il y aura de machines à authentifier, autoriser et isoler.

Ainsi, tant que le trafic d'accès des machines explose de manière exponentielle, le point de facturation du portail Zero Trust sera là.

Les revenus et l'ARR de ZS ont tous deux augmenté d'environ 25 % au dernier trimestre, mais après avoir exclu l'impact de l'acquisition de Red Canary, les deux taux de croissance se rapprochent de 20 %. Dans cette optique, ce que ZS doit vraiment valider à l'avenir, c'est si cette nouvelle demande agent-à-application peut relancer l'accélération de l'ARR nouvellement ajouté.

La logique IA de Fortinet (FTNT) est davantage axée sur l'infrastructure, profitant des avantages du déploiement privé.

Ce n'est pas une entreprise de sécurité typique des agents, mais si de plus en plus d'entreprises financières, médicales, grandes entreprises et projets gouvernementaux construisent leurs propres clusters GPU, Cloud privé et usines IA, la demande pour l'isolation réseau, le trafic est-ouest, les pare-feu, SASE et les opérations de sécurité augmentera naturellement.

Ce sont là des capacités que Fortinet a accumulées au fil du temps. En d'autres termes, elle parie sur le besoin inéluctable d'infrastructure traditionnelle dans le nouveau cycle de puissance de calcul, et si l'IA privée ouvrira un nouveau cycle d'achats de réseaux et de sécurité d'entreprise.

Cloudflare est encore plus particulier, avec les plus grandes ambitions et la valorisation la plus élevée.

NET ne peut pas simplement être classé comme une entreprise de cybersécurité. CDN, WAF, DDoS, Zero Trust, Workers et le réseau Edge mondial la placent à la croisée des infrastructures Internet, du cloud et de la sécurité. Après la généralisation des agents, la structure du trafic Internet elle-même pourrait également changer.

Auparavant, il s'agissait principalement de l'humain au web, mais à l'avenir, il y aura de plus en plus d'agents à API, d'agents à agents. Les agents accéderont eux-mêmes aux sites Web, appelleront des modèles, exécuteront du code, voire effectueront des paiements automatiques. En fin de compte, Cloudflare ne parie pas seulement sur la sécurité IA, mais sur un changement plus vaste :

Si de plus en plus de trafic Internet est généré de manière proactive par des machines, NET peut-elle devenir un point d'entrée important pour cet Internet des agents ? C'est aussi ce qui la distingue le plus des autres entreprises de cybersécurité ------ un espace d'imagination plus grand, mais des attentes déjà plus présentes dans la valorisation.

III. Point de rupture de valorisation : qui sera le premier à intégrer les agents dans l'ARR ?

En ramenant la logique industrielle aux fondamentaux et à la valorisation, le marché a en fait déjà voté honnêtement avec ses pieds :

• Campagne à forte prime (CRWD, NET) : maintient des prévisions de croissance de 20 % ou plus, le marché négocie leur imagination d'expansion de TAM grâce à l'IA, leur EV/Sales restant toujours au plus haut niveau ;
• Campagne de défense de qualité (PANW, FTNT) : la croissance n'est pas aussi explosive, mais s'appuie sur la profondeur de la plateforme, la nature des infrastructures réseau et un flux de trésorerie libre extrêmement solide ;
• Campagne d'élasticité à prouver (SAIL, VRNS, ZS, OKTA) : le centre de valorisation est relativement modéré, mais cela signifie aussi des opportunités, tant qu'une entreprise peut prouver en premier que les produits d'agents stimulent réellement l'ARR net, elle est susceptible de connaître une période de correction de valorisation ;

Jusqu'à présent, le récit de l'IA dans la cybersécurité a déjà dépassé la phase où "les hackers utilisent aussi l'IA, donc toute l'industrie en bénéficie".

Parce que cette logique est trop large, presque chaque entreprise de cybersécurité peut en parler, publier des produits Copilot, Agent, Runtime Security ou Agent Identity, et expliquer pourquoi l'IA élargirait son TAM.

La véritable différenciation apparaît maintenant, car les entreprises commencent à utiliser massivement l'IA, donc l'architecture de sécurité d'origine doit également être redessinée, et il s'agit de savoir qui peut clairement intégrer ces nouvelles demandes dans ses rapports financiers et relancer la croissance globale.

C'est pourquoi PANW, CRWD, SAIL, VRNS, ZS, FTNT et NET peuvent être discutés ensemble, et il est prévisible que leurs différences deviendront de plus en plus marquées.

Les entreprises de type plateforme se battent pour l'efficacité de distribution, les entreprises d'identité et de données se battent pour savoir si de nouveaux points de contrôle peuvent être rapidement commercialisés, tandis que les entreprises de réseau et d'infrastructure doivent prouver que les agents et l'IA privée apporteront finalement de nouveaux flux et cycles d'achats.

Ainsi, dans la suite de cette tendance, ce qui mérite d'être observé, c'est qui pourra prouver en premier que les agents changent sa courbe de croissance.

C'est aussi pourquoi l'ARR piloté par l'IA récemment divulgué par SAIL mérite plus d'attention qu'un simple produit d'agent. Tant que les produits IA trouvent réellement preneur, que l'ARR nouvellement ajouté commence à apparaître, que la croissance globale redémarre, et que ces revenus peuvent finalement se transformer en bénéfices et en flux de trésorerie, le marché des capitaux votera naturellement avec ses pieds.

Dans cette optique, la cybersécurité n'est pas une nouvelle histoire qui émerge soudainement en dehors de la ligne principale de l'IA.

Plus l'IA est capable, plus la peur des entreprises face à la "perte de contrôle" est profonde, et les gagnants de cette tendance en cybersécurité seront ceux qui pourront le plus rapidement convertir cette peur en flux de trésorerie tangible dans chaque rapport trimestriel.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.