AegisAI lève 36 M$ pour lutter contre le spear phishing piloté par l’IA

AegisAI a levé 36 millions de dollars en pariant que des agents IA peuvent détecter les attaques de spear phishing que les défenses e-mail traditionnelles ne repèrent pas. Le financement et l’attention ultérieure de Google News posent une question urgente aux équipes de sécurité. Les logiciels peuvent-ils analyser un message suspect assez rapidement pour arrêter un attaquant qui a utilisé l’IA pour le personnaliser ?

Battery Ventures a mené le tour de série A, auquel les investisseurs existants Accel et Foundation Capital ont participé. Ce tour porte le financement total déclaré d’AegisAI à 49 millions de dollars. L’entreprise indique que des dizaines d’organisations ont adopté sa technologie au cours de sa première année, notamment Mesh, LangChain et Lokker.

L’enjeu ne se résume pas à AegisAI face à Proofpoint, Mimecast, Abnormal Security ou un autre fournisseur. Il oppose l’investigation contextuelle à des contrôles fondés sur des indicateurs connus, des règles et des schémas d’attaque récurrents. Les attaquants utilisent désormais l’IA pour rechercher leurs cibles et produire des messages plausibles ; les fautes de grammaire et les appâts génériques deviennent donc des signaux d’alerte moins utiles.

Le pari de 36 millions de dollars consiste à remplacer les règles par le raisonnement

Le financement d’AegisAI compte parce que les investisseurs soutiennent une autre unité d’analyse des e-mails : une enquête complète sur chaque message, plutôt qu’une liste de contrôle supplémentaire.

AegisAI a annoncé sa série A le 23 juillet 2026, moins d’un an après son lancement. L’entreprise de San Francisco affirme développer ses propres grands modèles de langage, ou LLM, des systèmes entraînés à interpréter et générer du langage. Ces modèles alimentent des agents qui examinent les messages entrants à la recherche d’indices de fraude, d’usurpation d’identité et d’intention malveillante.

L’entreprise a été fondée par Cy Khormaee et Ryan Luo, deux anciens dirigeants de la sécurité chez Google. Khormaee a auparavant dirigé des équipes associées à Safe Browsing, reCAPTCHA et Web Risk. Luo a également travaillé sur des systèmes de sécurité chez Google, donnant à l’équipe fondatrice une expérience directe des défenses déployées sur des services internet largement utilisés.

Cet historique renforce l’argumentaire, mais l’expérience seule ne valide pas un nouveau système de détection. AegisAI doit encore démontrer que ses agents prennent de meilleures décisions dans des environnements d’entreprise variés. Un comportement e-mail qui semble anormal dans une entreprise peut être courant dans une autre.

L’argument central de l’entreprise est que les défenses fondées sur des règles peinent lorsque les attaques ne comportent aucune signature malveillante connue. Une demande de paiement soigneusement rédigée peut utiliser un domaine sain, éviter les malwares et faire référence à un véritable projet. Chaque élément peut sembler légitime lorsqu’il est examiné séparément.

Les agents d’AegisAI analyseraient le message comme un événement cohérent. Ils prennent en compte l’expéditeur, le destinataire, le langage, la pièce jointe, le contexte métier et les écarts par rapport au comportement attendu. Le système enquête ensuite sur les petites incohérences qu’une règle fixe pourrait ne pas encoder.

Selon la couverture originale du financement, AegisAI peut inspecter des PDF suspects protégés par mot de passe ainsi que des pièces jointes contenant des défis CAPTCHA. Les attaquants utilisent ces couches pour empêcher les scanners automatisés d’atteindre la charge utile finale ou la page frauduleuse.

Les agents de l’entreprise sont conçus pour franchir ces obstacles et évaluer ce que la pièce jointe demande au destinataire de faire. Cette approche ressemble à celle d’un analyste humain qui ouvre le message, suit sa logique et le compare aux éléments de contexte disponibles. AegisAI vise à effectuer ce travail avant que le message ne devienne un incident coûteux.

Sa première liste de clients apporte quelques éléments attestant d’une demande initiale. Mesh opère dans les paiements crypto, où les demandes frauduleuses peuvent entraîner des pertes financières immédiates. LangChain développe une infrastructure pour les applications IA, tandis que Lokker se concentre sur la conformité en matière de confidentialité. Ces organisations ont des flux de travail différents, mais chacune traite des informations qui rendent l’usurpation ciblée précieuse.

L’entreprise n’a pas publié suffisamment de tests indépendants pour établir un avantage de détection général. Ses affirmations d’adoption font également état de dizaines de clients sans révéler la taille des déploiements ni les données de rétention. Ces lacunes n’invalident pas l’approche, mais elles limitent les conclusions sur ses performances à l’échelle de l’entreprise.

Le financement change néanmoins ce qu’AegisAI peut tenter. L’entreprise peut développer ses équipes d’ingénierie, entraîner des modèles spécialisés, accompagner davantage de clients et tester ses agents face à une distribution d’attaques plus large. Ce tour signale aussi que la sécurité e-mail contextuelle est devenue une véritable catégorie d’investissement plutôt qu’une expérience produit de niche.

Pourquoi le spear phishing par IA oblige les équipes de sécurité à repenser l’e-mail

La pression provient d’attaques qui ressemblent moins à du spam qu’à des communications professionnelles informées.

Les campagnes de phishing traditionnelles reposaient souvent sur le volume. Un attaquant envoyait un message générique à des milliers de personnes et attendait qu’un faible pourcentage réponde. Les outils de sécurité ont appris à détecter les domaines récurrents, les fichiers suspects, les formulations inhabituelles et d’autres indicateurs reconnaissables.

Le spear phishing inverse ce modèle. L’attaquant sélectionne une personne précise, étudie les relations de la cible et construit un message autour d’une demande crédible. L’IA générative réduit le travail nécessaire pour mener cette recherche et rédiger des messages individualisés.

Un modèle peut résumer des biographies publiques, des annonces récentes d’entreprises, des publications sur les réseaux sociaux, des participations à des conférences et des relations entre employés. Il peut ensuite produire plusieurs versions d’une demande en adoptant le ton attendu d’un dirigeant, d’un fournisseur ou d’un collègue. L’attaquant peut réviser ces messages sans engager de rédacteur qualifié.

Khormaee a déclaré à TechCrunch que les attaques assistées par IA contournent désormais les contrôles existants plus d’une fois sur deux. Il a affirmé qu’elles étaient presque deux fois plus efficaces qu’auparavant. Ces chiffres sont des affirmations de l’entreprise et n’ont pas été validés de manière indépendante sur l’ensemble du marché de la sécurité e-mail.

Des recherches indépendantes soutiennent néanmoins cette inquiétude plus large. Une étude de 2024 menée auprès de 101 participants a révélé que le spear phishing par IA entièrement automatisé atteignait un taux de clic de 54 %. Les attaques rédigées par des humains obtenaient le même résultat, tandis que les e-mails de phishing arbitraires atteignaient 12 %.

Les chercheurs ont automatisé la recherche sur les cibles, le profilage des vulnérabilités et la génération de messages. Leur étude sur des sujets humains suggère que l’IA peut reproduire une grande partie du travail auparavant effectué par un attaquant humain. Elle ne prouve pas que toutes les campagnes criminelles obtiendront des résultats comparables.

Des données sectorielles plus récentes montrent comment les attaquants combinent un langage persuasif et des techniques d’évasion. Abnormal Security a indiqué que 21,6 % des attaques de phishing observées utilisaient des chaînes de redirection, qui font passer les victimes par plusieurs adresses avant d’atteindre une destination malveillante. Son analyse portait sur près de 800 000 attaques dans plus de 4 600 organisations entre juillet et décembre 2025.

Le paysage des attaques souligne également les relations de confiance comme surface d’attaque. Un compte fournisseur compromis peut être plus dangereux qu’une imitation évidente. L’attaquant s’insère dans une conversation réelle et attend le moment où une demande de paiement, de document ou d’identifiants semble normale.

Les recherches de Proofpoint pour 2026 ajoutent un autre avertissement. Parmi les organisations touchées par un ransomware, 65 % ont déclaré que l’IA rendait les attaques plus efficaces. Quarante pour cent ont indiqué que les employés n’avaient pas soupçonné l’attaque parce qu’elle paraissait authentique, selon ses conclusions sur les ransomwares.

Les rapports des fournisseurs reflètent les clients, les produits et les méthodes de recherche propres à chaque entreprise. Leurs chiffres ne doivent pas être combinés pour en déduire un taux d’échec unique à l’échelle du marché. Ils convergent toutefois vers le même problème opérationnel : l’authenticité devient plus facile à imiter.

Cette évolution met les équipes des opérations de sécurité sous pression, car de nombreux contrôles e-mail ont été optimisés pour des artefacts que les machines pouvaient catégoriser de manière cohérente. Un hash de malware connu est soit présent, soit absent. Un domaine d’expéditeur correspond ou non à une liste de blocage.

L’intention est plus difficile à classifier. Un véritable directeur financier peut demander un virement bancaire, et un attaquant peut formuler la même demande. La différence peut résider dans le moment choisi, le style d’écriture, un destinataire inhabituel ou une modification d’un processus d’approbation établi.

Les équipes de sécurité doivent également gérer les faux positifs. Un agent très sensible pourrait mettre en quarantaine des factures légitimes, des documents juridiques ou des échanges avec des clients. Ce résultat entraîne des retards opérationnels et encourage les employés à ignorer les alertes.

Le défi pratique est donc double. Les défenseurs ont besoin d’analyses plus approfondies sans transformer chaque message inhabituel en incident. Le financement d’AegisAI reflète la confiance des investisseurs dans la capacité d’une investigation agentique à trouver cet équilibre, mais les clients détermineront si cela fonctionne.

L’attention de Google News met en lumière une évolution plus large vers la défense agentique

Le cycle de Google News amplifie un affrontement de sécurité déjà engagé : celui de savoir si l’investigation autonome peut surpasser les contrôles historiques à plusieurs couches sans créer de nouveaux risques opérationnels.

AegisAI entre sur un marché établi. Proofpoint et Mimecast protègent les e-mails de grandes organisations, tandis que de nouveaux fournisseurs comme Abnormal Security utilisent l’analyse comportementale pour détecter les usurpations d’identité et les compromissions de comptes. Ocean est une autre startup qui applique l’IA aux messages entrants.

Ces entreprises ne s’inscrivent pas dans une simple opposition entre anciennes et nouvelles technologies. Les plateformes établies ont ajouté l’apprentissage automatique, les signaux comportementaux, les contrôles d’identité et les réponses automatisées. Les nouveaux fournisseurs s’appuient eux aussi sur des règles, des données de réputation et des indicateurs connus en complément des modèles IA.

La différence significative relève de l’accent architectural. AegisAI présente l’agent comme l’enquêteur principal. Les passerelles de sécurité e-mail historiques mettent traditionnellement l’accent sur le filtrage, les signatures, l’application des politiques et le renseignement sur les menaces, même si leurs capacités se sont étendues.

Les plateformes comportementales partent des schémas de communication. Elles se demandent si l’expéditeur contacte habituellement le destinataire, si la demande ressemble à une activité antérieure et si le comportement du compte a changé. AegisAI ajoute une affirmation plus forte : un agent peut raisonner à partir du message et des éléments qui l’entourent.

Cette distinction devient importante lorsqu’une attaque ne contient aucun lien malveillant. Prenons le cas d’un message envoyé depuis le compte compromis d’un fournisseur et demandant de nouvelles coordonnées bancaires. Le domaine est légitime, l’authentification peut réussir et le style rédactionnel peut correspondre à la correspondance précédente.

Un filtre de contenu pourrait ne rien y trouver de dangereux. Un système comportemental peut remarquer la demande modifiée ou la destination de paiement inconnue. Un agent d’investigation peut potentiellement relier ces signaux, examiner l’historique de la conversation et expliquer pourquoi la demande mérite d’être vérifiée.

Le même modèle s’applique à un PDF protégé par mot de passe. Un scanner ordinaire peut ne pas atteindre le contenu du document. AegisAI indique que son système peut franchir la couche de protection, examiner le fichier et déterminer si ses instructions entrent en conflit avec la relation environnante.

Cette approche fait du processus de raisonnement de l’agent une partie du produit. Les analystes de sécurité ont besoin de plus qu’un verdict binaire, en particulier lorsqu’un e-mail concerne la paie, les paiements clients ou les communications de la direction. Ils ont besoin d’éléments qui étayent une décision rapide.

Les explications peuvent également révéler les faiblesses d’un modèle. Si un agent identifie la mauvaise anomalie ou invente du contexte, les analystes doivent disposer d’un moyen clair de contester la conclusion. Un score d’IA inexpliqué reproduirait l’opacité que les équipes de sécurité rencontrent déjà dans les outils automatisés.

L’annonce de Série A d’AegisAI indique que l’entreprise développe des LLM propriétaires pour la protection des boîtes de réception. Les modèles propriétaires peuvent être optimisés pour les tâches de sécurité, mais ils nécessitent aussi une évaluation continue à mesure que le langage et les comportements des attaquants évoluent.

Dharmesh Thakker, general partner chez Battery Ventures, a présenté cette opportunité comme une défense de l’IA par l’IA. Cette formule résume bien le moment choisi pour cet investissement. La production d’attaques s’accélère, et une défense reposant sur l’investigation manuelle ne peut pas évoluer au même rythme.

Pour autant, la compétition ne se joue pas uniquement sur la vitesse. Un attaquant n’a besoin que d’un seul chemin convaincant au sein d’une organisation. Un agent défensif doit évaluer des volumes considérables de communications légitimes sans bloquer un travail important.

Les fournisseurs établis disposent ici d’un avantage. Ils possèdent de vastes jeux de données sur les menaces, des intégrations éprouvées et une expérience de la gestion des flux de messagerie en entreprise. Leurs produits s’inscrivent dans des processus d’approvisionnement, de conformité et de réponse aux incidents qu’il est difficile pour un jeune fournisseur de remplacer.

AegisAI dispose d’un autre avantage. L’entreprise peut concevoir son produit en fonction des comportements d’attaque actuels sans avoir à préserver une ancienne architecture produit. Ses fondateurs peuvent concentrer leurs ressources sur l’analyse agentique plutôt que de la traiter comme une fonctionnalité supplémentaire.

À court terme, l’issue la plus probable est une adoption par couches. Les entreprises pourraient déployer une analyse agentique aux côtés d’une passerelle existante avant de lui faire confiance comme contrôle principal. Cette configuration accroît les coûts et la complexité, mais offre aux acheteurs un moyen plus sûr de comparer la couverture de détection.

Pour AegisAI, la question stratégique est de savoir si elle deviendra un remplacement ou une couche supplémentaire. Un remplacement soutiendrait une position de marché plus importante. Un rôle complémentaire pourrait tout de même créer une activité significative, mais affaiblirait l’affirmation selon laquelle la défense agentique définit la prochaine plateforme de sécurité de la messagerie.

Le problème difficile : confier chaque message à un agent

AegisAI doit prouver qu’une autonomie accrue améliore la sécurité sans exposer les communications sensibles ni submerger les analystes de jugements incertains.

Les e-mails contiennent certaines des informations les plus sensibles d’une organisation. Les messages peuvent inclure des contrats, des dossiers d’employés, des données clients, des projets d’acquisition, des conseils juridiques et des identifiants. Un système qui analyse le contexte doit accéder à une part suffisante de ces éléments pour comprendre les relations et les intentions.

Cet accès crée une charge de sécurité. Les acheteurs demanderont où les messages sont traités, quelles données sont conservées et si le contenu des clients sert à entraîner des modèles partagés. Ils auront également besoin de contrôles de suppression, de résidence des données, de chiffrement et d’accès administratif.

Le comportement des modèles présente un autre risque. Les LLM peuvent produire des conclusions plausibles mais non étayées, communément décrites comme des hallucinations. Dans un contexte de défense de la messagerie, une relation hallucinée ou une politique inventée pourrait entraîner une mauvaise réponse.

Un faux négatif permet à une attaque d’atteindre l’utilisateur. Un faux positif peut bloquer un contrat, une facture ou une demande client. Ces deux erreurs comptent, et une précision globale peut masquer de mauvaises performances sur les rares cas qui produisent les pertes les plus importantes.

Des benchmarks indépendants seraient utiles, mais les tests de sécurité de la messagerie sont difficiles. Les fournisseurs observent des populations de clients différentes et classifient les menaces selon des définitions différentes. Un jeu de données peut aussi devenir obsolète une fois que les attaquants comprennent les schémas de détection qu’il représente.

AegisAI a donc besoin de méthodes d’évaluation qui suivent l’enquête de bout en bout. Les tests devraient inclure des messages professionnels légitimes, des comptes compromis, des fichiers protégés par mot de passe, des communications multilingues, des fraudes aux fournisseurs et des attaques sans liens ni logiciels malveillants. Ils devraient également mesurer à quelle vitesse les analystes peuvent comprendre et annuler une décision.

Les références clients apportent des éléments utiles, mais elles ne remplacent pas les tests comparatifs. Mesh, LangChain et Lokker peuvent décrire les incidents détectés par le produit ou le temps d’analyste économisé. Les acheteurs devront néanmoins savoir combien de messages légitimes ont été interrompus et comment les performances ont évolué après le déploiement.

Une préoccupation plus large concerne également l’automatisation. Si un agent peut ouvrir des pièces jointes, suivre des liens et interagir avec des outils de défense, les attaquants tenteront de manipuler ces actions. Un message malveillant pourrait contenir des instructions destinées au modèle de sécurité plutôt qu’au destinataire humain.

Cette technique s’apparente à l’injection de prompt, où un contenu non fiable tente de détourner un système d’IA de sa tâche assignée. Les agents de sécurité de la messagerie doivent traiter chaque message et chaque pièce jointe comme une entrée hostile. Leurs outils ont besoin d’autorisations strictes, d’isolation et de limites sur les actions ayant des conséquences.

L’architecture la plus sûre sépare l’analyse de l’application des mesures. Un agent peut recueillir des preuves et recommander une réponse, tandis que des contrôles de politique déterministes décident de mettre le message en quarantaine ou de le libérer. Les scénarios à plus forte confiance peuvent permettre une action automatique après validation.

Toutefois, cette organisation peut affaiblir la promesse d’une défense autonome. Si chaque décision exige encore l’approbation d’un analyste, le système risque de ne pas suivre le rythme des attaques automatisées. AegisAI doit montrer où l’autonomie est appropriée et où le jugement humain reste nécessaire.

Les équipes de sécurité devraient également éviter de considérer un produit de messagerie comme une réponse complète. La vérification des paiements, l’authentification résistante au phishing, les contrôles des terminaux, la surveillance des identités et les canaux de signalement des employés restent essentiels. Un message convaincant devient moins dangereux lorsque les changements financiers exigent une confirmation en dehors de l’e-mail.

C’est ici que le discours sectoriel de l’« IA contre IA » doit être tempéré. L’IA peut améliorer l’investigation, mais elle n’élimine pas les défaillances de processus. Un compte de dirigeant compromis peut faire paraître un message authentique tant à un modèle qu’à une personne.

La défense agentique devrait donc renforcer plusieurs contrôles plutôt que créer un point unique de confiance. Les acheteurs doivent savoir comment AegisAI s’intègre aux plateformes d’identité, aux fournisseurs de messagerie, aux systèmes d’information de sécurité et aux outils de réponse aux incidents. Ils ont également besoin de preuves que les analystes peuvent examiner le travail de l’agent.

La documentation sera importante lors de l’adoption. Les équipes devraient consigner pourquoi les politiques ont changé, quelles alertes ont produit des résultats utiles et où le modèle a échoué. Une base de connaissances interrogeable peut préserver ces décisions entre les groupes de sécurité, d’informatique, juridique et d’approvisionnement.

La plus grande incertitude n’est pas de savoir si l’IA peut identifier des anomalies significatives dans les e-mails. Les systèmes modernes le peuvent clairement. La question non résolue est de savoir si AegisAI peut fournir des décisions cohérentes et explicables dans un nombre suffisant d’organisations pour justifier le remplacement des contrôles établis.

Ce qu’il faudra surveiller après la fin du cycle d’actualité Google

Trois signaux montreront si AegisAI a trouvé un avantage de sécurité durable ou a simplement capté un récit de financement opportun.

Le premier signal est une expansion client mesurable. AegisAI affirme que des dizaines de clients ont adopté sa technologie au cours de sa première année. Les prochaines preuves devraient inclure des déploiements plus importants, des renouvellements ou des références publiques d’organisations disposant d’environnements de messagerie complexes.

La profondeur du déploiement compte davantage qu’un simple nombre de logos. Un essai couvrant une petite équipe ne met pas à l’épreuve les mêmes exigences opérationnelles que la protection d’une entreprise entière. Une utilisation plus large exposerait les agents à davantage de langues, de flux de travail, de types de pièces jointes et d’exceptions légitimes.

Les renouvellements constitueraient un signal encore plus fort. Les acheteurs de solutions de sécurité peuvent tester plusieurs outils durant une période de préoccupation accrue. Ils conservent un produit lorsque sa valeur de détection dépasse ses faux positifs, son travail administratif et ses coûts d’intégration.

Si AegisAI fait état d’une adoption soutenue en entreprise, son argument de remplacement gagnera en crédibilité. Si les clients l’utilisent systématiquement uniquement aux côtés d’une autre plateforme, le marché pourrait plutôt classer la défense agentique comme une couche de soutien.

Le deuxième signal est une validation technique indépendante. Les affirmations d’AegisAI reposent actuellement largement sur les déclarations de l’entreprise, la confiance des investisseurs et des témoignages clients sélectionnés. Des résultats comparatifs face à des attaques réalistes rendraient l’argument de performance plus facile à évaluer.

Des tests utiles doivent aller au-delà de la détection du phishing évident. Ils devraient inclure des comptes fournisseurs compromis, des demandes sans charge utile malveillante, des pièces jointes protégées, des tentatives d’injection de prompt et des messages ne différant que légèrement d’une activité professionnelle légitime.

Les tests devraient également publier le comportement en matière de faux positifs. Un produit peut détecter davantage de menaces en signalant davantage de messages, mais ce compromis devient inacceptable lorsque les analystes font face à des files d’attente excessives. Le temps nécessaire à l’explication et le temps de résolution devraient accompagner les taux de détection.

Des évaluations tierces renforceraient la position d’AegisAI si elles démontrent des gains fiables dans ces différents cas. Des résultats faibles conforteraient l’argument des fournisseurs établis selon lequel l’analyse agentique fonctionne mieux comme un composant d’une plateforme plus large.

Le troisième signal est la réponse de la concurrence. Proofpoint, Mimecast, Abnormal Security, Ocean et d’autres fournisseurs ne laisseront pas l’investigation contextuelle sans concurrence. Ils peuvent ajouter des agents, améliorer les modèles comportementaux, acquérir des startups ou intégrer des fonctions comparables dans des contrats existants.

Une réponse rapide validerait l’orientation technique d’AegisAI tout en augmentant la pression commerciale. L’entreprise devrait alors distinguer ses modèles, la qualité de ses enquêtes et l’expérience des analystes plutôt que de s’appuyer sur le terme « agentique ».

Une réponse limitée aurait deux significations possibles. AegisAI pourrait disposer d’une approche que ses concurrents ne peuvent pas reproduire rapidement. À l’inverse, les fournisseurs établis pourraient juger la demande client insuffisante pour une architecture distincte centrée sur les agents.

La visibilité dans l’actualité Google peut faire connaître AegisAI aux acheteurs, aux employés et aux futurs investisseurs. Elle ne peut pas résoudre ces questions. Les équipes de sécurité devraient surveiller la profondeur des déploiements, les évaluations indépendantes et les évolutions des produits concurrents une fois l’attention initiale retombée.

L’intuition la plus importante d’AegisAI est que le spear phishing moderne devient un problème de raisonnement. Les attaquants peuvent imiter le langage, les relations et le contexte métier à moindre coût. Les défenseurs ont donc besoin de systèmes qui examinent l’intention plutôt que d’attendre un artefact malveillant connu.

L’entreprise a désormais levé suffisamment de capitaux pour mettre sérieusement cette thèse à l’épreuve. Ses agents font toujours face à une exigence élevée : enquêter sur chaque message, protéger les données sensibles, expliquer leurs conclusions et éviter d’interrompre le travail légitime.

Pour les acheteurs en entreprise, la prochaine étape n’est ni l’adoption aveugle ni le rejet. Demandez aux fournisseurs de démontrer leurs performances face aux schémas de communication et aux processus d’approbation réels de votre organisation. Suivez ce que le système détecte, ce qu’il bloque à tort et la manière dont les analystes vérifient son raisonnement. Ces éléments montreront si la sécurité agentique de la messagerie devient un contrôle fiable ou une autre couche d’automatisation qui dépend encore du jugement humain.