Les logiciels professionnels classiques acquièrent la capacité de choisir des outils, d’accéder à des données et d’agir sans être guidés pas à pas par un humain. La start-up de cybersécurité Neo sort du mode furtif avec 100 millions de dollars US de financements cumulés en amorçage et en série A, afin d’aider les entreprises à identifier et à contrôler ces applications intégrant l’IA.
Cette évolution crée un nouveau problème d’identité pour les équipes de sécurité. Elles doivent déterminer quels agents sont actifs, à qui ils appartiennent, à quels systèmes ils peuvent accéder et si leur accès peut être restreint ou révoqué avant qu’une action automatisée ne provoque des dommages.
Fondée à Boston, Neo a été créée par d’anciens dirigeants de SentinelOne, Nick Warner et Shlomi Salem, ainsi que par le dirigeant technologique Eran Shirazi. L’entreprise a testé ses logiciels auprès d’organisations des secteurs des services financiers, des transports et de l’énergie, mais n’a pas communiqué leurs noms, ses tarifs, les détails de son architecture ni de résultats de performance indépendants.
Les logiciels autonomes mettent à rude épreuve les contrôles d’accès existants
Gartner prévoit que les agents IA seront présents dans 40 % des applications logicielles d’entreprise d’ici à la fin de 2026, contre moins de 5 % en 2025. Une autre prévision de Gartner estime qu’une entreprise moyenne du Fortune 500 à l’échelle mondiale utilisera plus de 150 000 agents d’ici à 2028. Seuls 13 % des organisations estiment disposer d’une gouvernance adaptée.
Un agent a besoin d’une identité ou d’une autorité déléguée pour accéder aux systèmes de l’entreprise. Cet accès peut reposer sur une clé d’API, un jeton OAuth, un compte de service, une identité de charge de travail ou les autorisations d’un salarié.
Le risque augmente à mesure que les entreprises passent des copilotes aux workflows autonomes. Contrairement à un compte de service classique conçu pour une opération prévisible, un agent peut choisir entre plusieurs outils, récupérer des informations dans plusieurs applications et déléguer des tâches au cours d’un même processus.
Les équipes de sécurité doivent associer chaque agent à un responsable, une finalité approuvée, un périmètre d’autorisations et une politique d’expiration. Une étude récente sur le déficit de gouvernance de l’IA en entreprise a également révélé que de nombreuses organisations ne disposent pas d’une visibilité centralisée sur leurs systèmes d’IA et ne peuvent pas retracer complètement les décisions automatisées jusqu’aux modèles et aux données qui les sous-tendent.
Neo parie sur le fait que ces lacunes nécessitent une couche de contrôle dédiée. Elle sera en concurrence avec des start-up de sécurité de l’IA, mais aussi avec des fournisseurs de solutions d’identité, de gestion des accès à privilèges, de sécurité cloud et de gestion des secrets qui enrichissent leurs plateformes existantes.
Neo doit encore démontrer que ses mécanismes d’application sont efficaces
Neo doit d’abord montrer qu’elle peut identifier en continu les agents approuvés et non autorisés dans les produits SaaS, les applications personnalisées, les outils low-code, les extensions de navigateur, les modèles et les intégrations tierces.
L’application de ces contrôles est plus difficile. La feuille de route de Google DeepMind consacrée aux contrôles de sécurité des agents IA détaille la surveillance, les restrictions d’accès, les procédures d’escalade et les mécanismes de blocage. Les acheteurs doivent déterminer si Neo peut empêcher les actions non autorisées ou seulement signaler les accès à risque après les avoir détectés.
Ils doivent également demander si la solution prend en charge les autorisations propres à chaque tâche, les identifiants à durée de vie courte, les contrôles d’approbation et la réduction des privilèges lorsqu’un agent délègue une tâche à un autre. Neo n’a pas documenté publiquement ces capacités.
Le NIST a lancé son AI Agent Standards Initiative le 17 février 2026, la sécurité et la recherche sur l’identité faisant partie de ses trois piliers. Un autre document de réflexion sur l’identité et l’autorisation examine comment les pratiques existantes d’identification, d’autorisation, d’audit et de non-répudiation pourraient s’appliquer aux agents logiciels. Aucune de ces initiatives n’a créé d’exigences contraignantes.
Les prochains éléments de preuve de Neo seront sa documentation technique, l’étendue de ses intégrations, les déploiements nommés et les tests indépendants. Les entreprises peuvent commencer par inventorier leurs agents, leur attribuer des responsables et vérifier si leurs systèmes d’identité actuels peuvent retracer l’autorité déléguée et révoquer les accès dans les applications connectées.
À lire aussi : l’émergence d’un rançongiciel agentique qui s’adapte pendant une attaque montre pourquoi les restrictions d’accès et le confinement rapide doivent évoluer parallèlement aux logiciels d’entreprise autonomes.