L’acquisition de Cyberly par Aikido étend la sécurité logicielle à la protection des employés

Aikido a acquis Cyberly, société polonaise, afin d’aller au-delà de la sécurité logicielle et d’intégrer la protection des employés à une activité auparavant centrée sur la sécurisation du code. L’acquisition de Cyberly par Aikido, finalisée en septembre 2026 et annoncée avec Noon le 20 octobre, inscrit les simulations d’attaques visant les employés dans cette expansion. Sa proposition centrale est simple : protéger une application laisse une lacune importante lorsque des attaquants peuvent convaincre une personne autorisée à l’utiliser.

Noon réunit Cyberly et la société belge de sécurité Outkept. Aikido affirme que cette nouvelle activité associe protection des e-mails, protection des appareils, gouvernance de l’usage de l’IA et formation des employés. Cette combinaison remet en cause une approche fragmentée, dans laquelle des équipes distinctes gèrent les vulnérabilités logicielles, les messages suspects, les comportements des employés et les outils d’IA au travail.

La référence concurrentielle est KnowBe4, qui commercialise déjà des formations de sécurité automatisées et personnalisées. Aikido entre donc sur un marché où des alternatives établies existent, plutôt que de découvrir une catégorie inoccupée. Son opportunité repose sur la connexion entre protection et formation dans le travail quotidien. Son annonce d’acquisition établit cette stratégie, mais ne démontre pas une protection supérieure.

Ce que l’acquisition de Cyberly par Aikido ajoute

L’acquisition donne à Aikido une base pour la sécurité des effectifs, élargissant son champ d’action au-delà du processus de développement logiciel.

Selon le lancement de sa solution de sécurité des effectifs, Cyberly a apporté des simulations d’attaques pilotées par l’IA et une visibilité sur l’usage de l’IA par les employés. Outkept a apporté la sécurité des e-mails et des formations de sensibilisation au phishing. Le phishing repose sur des messages trompeurs destinés à pousser une personne à agir, par exemple en divulguant des identifiants ou en ouvrant des liens malveillants.

L’entreprise indique avoir finalisé les deux acquisitions en septembre 2026. Le 20 octobre correspond au lancement public de Noon, et non à la date de clôture des transactions. Distinguer ces dates importe pour évaluer depuis combien de temps l’activité combinée peut intégrer ses technologies.

Aikido rapporte que Cyberly protégeait auparavant plus de 300 000 employés dans plus de 200 organisations. Outkept servait plus de 1 000 organisations et 250 000 utilisateurs dans plus de 100 pays. Il s’agit de chiffres historiques communiqués par les entreprises, et non de mesures indépendamment vérifiées de l’adoption de Noon.

Ces chiffres ne doivent pas simplement être additionnés. Les organisations peuvent se chevaucher, et « employés protégés » ne désigne pas nécessairement la même mesure que « utilisateurs servis ». Aucun de ces chiffres n’indique combien de clients ont adopté la plateforme combinée.

Le changement concret concerne l’étendue de la décision de sécurité qu’Aikido souhaite influencer. Un achat de sécurité logicielle concerne les systèmes qu’une organisation construit et exploite. La protection des effectifs concerne aussi la manière dont les employés communiquent, s’authentifient, installent des outils et traitent les informations.

Cette portée élargie modifie ce que les acheteurs doivent attendre de l’entreprise. Une vulnérabilité peut désigner un composant logiciel précis qui nécessite une attention. Un risque lié à un employé exige un jugement supplémentaire sur le contexte, les autorisations, les besoins de l’entreprise et l’intervention appropriée.

L’acquisition modifie également la position stratégique de Cyberly. Sa technologie fait désormais partie d’une offre plus large au lieu de porter seule l’ensemble de la proposition client. En principe, cela relie les simulations d’attaques à des contrôles de protection et à des flux de travail opérationnels.

Toutefois, le changement de propriété ne crée pas automatiquement ce lien. Les acheteurs doivent encore distinguer une image de marque commune d’une administration partagée, de réponses coordonnées et de politiques cohérentes. Un ensemble de capacités acquises peut rester un ensemble, même si sa communication présente un produit unique.

L’acquisition de Cyberly par Aikido doit donc être comprise avant tout comme une extension des responsabilités. Aikido demande aux clients de l’envisager pour les risques impliquant les employés à travers toute l’organisation. Cela exige davantage de l’entreprise que l’ajout d’un scanner à un flux de travail de sécurité logicielle existant.

Les équipes de sécurité font face à une décision plus large sur la protection des employés

Noon pousse les acheteurs à évaluer la protection des employés comme un système opérationnel, plutôt que comme une simple exigence de formation.

Le public immédiat comprend les responsables de la sécurité qui coordonnent déjà plusieurs formes de protection au travail. Les administrateurs e-mail, spécialistes de l’identité, responsables de la formation des employés et équipes chargées des appareils abordent des risques liés sous des angles différents. Un produit combiné donne une raison de reconsidérer ces divisions.

Cela ne signifie pas que chaque organisation devrait consolider ses fournisseurs. Des outils spécialisés peuvent mieux répondre à certaines exigences qu’une plateforme plus large. La question pertinente est de savoir si la séparation crée des lacunes qu’un système combiné peut réellement combler.

Prenons l’exemple hypothétique d’un employé de la finance recevant une demande urgente de modification des coordonnées de paiement d’un fournisseur. Le message peut sembler plausible, arriver à un moment chargé et faire référence à une activité commerciale familière. La décision de l’employé compte, mais les règles d’approbation et la capacité à vérifier la demande de manière indépendante comptent également.

Une plateforme de formation peut aider l’employé à reconnaître une pression suspecte. Un contrôle e-mail peut tenter de bloquer le message. Un flux de travail de paiement peut empêcher qu’une modification non vérifiée devienne une transaction finalisée.

Ces interventions agissent à différents points du même incident potentiel. Considérer l’une d’elles comme suffisante laisse les autres inexplorées. C’est l’interprétation la plus forte de l’expansion d’Aikido dans la protection des employés.

Cela explique aussi pourquoi l’annonce compte pour les personnes en dehors des services de sécurité. Les équipes financières, de ressources humaines et de support peuvent devenir des points de décision dans une attaque sans écrire ni administrer de logiciels. Leurs autorisations quotidiennes rendent leurs flux de travail pertinents pour la sécurité.

La pression sur les acheteurs est immédiate lors de la phase d’évaluation, avant même qu’ils envisagent de remplacer quoi que ce soit. Une proposition de plateforme plus large leur impose d’identifier qui est responsable du résultat combiné. Sans cela, une nouvelle console peut devenir une responsabilité supplémentaire sans résoudre les problèmes de coordination existants.

Pour les petites organisations, l’attrait potentiel réside dans la réduction des transferts administratifs. Pour les grandes organisations, le défi consiste à intégrer un produit combiné dans des responsabilités et des contrôles établis. Il s’agit de situations d’achat différentes, et le même argument de consolidation ne conviendra pas aux deux.

L’IA au travail ajoute une autre couche à cette décision. Un employé peut exposer des informations dans le cadre d’une activité de productivité ordinaire sans rencontrer de message frauduleux. Relier les politiques d’usage de l’IA à la protection des effectifs élargit donc le problème au-delà de la détection des escroqueries.

Cette extension mérite des limites prudentes. Toute erreur d’employé n’est pas une attaque, et tout outil non autorisé ne signale pas une intention malveillante. Un programme de sécurité qui traite de la même manière toute activité inhabituelle risque de compliquer le travail légitime.

Pour les employés, des conseils accessibles restent une partie du tableau opérationnel. Une base de connaissances consultable peut aider les personnes à trouver les procédures approuvées lorsqu’une demande semble inhabituelle. Elle soutient un processus de réponse clair, tandis que l’organisation demeure responsable de sa définition.

La proposition d’Aikido atteint cette frontière organisationnelle. Son succès dépend en partie de la capacité des clients à relier les contrôles techniques aux décisions que les personnes prennent sous pression. Vendre un ensemble plus large de fonctionnalités ne tranche pas cette question, mais la rend incontournable.

Noon relie simulations, protection et politiques d’IA

Le mécanisme proposé est la coordination : utiliser des contrôles de protection, des exercices destinés aux employés et des politiques d’IA pour traiter des risques connexes dans un même modèle opérationnel.

Les capacités de protection des employés d’Aikido décrivent des simulations personnalisées couvrant les e-mails, la voix, les messages texte et les deepfakes. Les deepfakes sont des médias audio ou visuels synthétiques pouvant imiter de vraies personnes. L’entreprise décrit également des leçons diffusées via les outils de messagerie au travail.

Son annonce présente la suppression des menaces par e-mail, la protection des appareils et les contrôles sur l’usage de l’IA au travail comme des capacités complémentaires. Il s’agit de descriptions par l’entreprise du périmètre prévu du produit. Elles ne doivent pas être interprétées comme des conclusions indépendantes concernant l’exactitude de la détection ou l’efficacité de la prévention.

La logique sous-jacente est compréhensible. Un exercice peut révéler où un employé a besoin d’aide. Une politique peut définir une action approuvée. Un contrôle de protection peut intervenir lorsque l’employé rencontre une situation risquée.

La valeur viendrait de la capacité à faire en sorte que ces éléments se renforcent mutuellement. Une formation déconnectée des flux de travail réels peut enseigner une règle abstraite sans résoudre la pression à laquelle les employés font face. Une protection déconnectée des retours des employés peut manquer un contexte utile concernant une activité confuse ou suspecte.

Un scénario hypothétique de support illustre cette distinction. Une personne se faisant passer pour un employé demande une action urgente de récupération de compte. Un exercice réaliste testerait si le collaborateur du support suit un processus de vérification approuvé, plutôt que de juger si l’appelant semble convaincant.

Cet exercice serait plus utile si l’organisation disposait d’un processus de vérification clair et applicable. Sans cela, la formation demande simplement aux employés de compenser un contrôle manquant. La même limite s’applique quel que soit le fournisseur de la simulation.

L’acquisition de Cyberly par Aikido place cette relation au centre du récit produit. Cyberly apporte une expérience dans la construction de scénarios d’attaque destinés aux employés. L’activité combinée doit transformer ces scénarios en améliorations qui vont au-delà de l’exercice lui-même.

La visibilité sur l’usage de l’IA introduit un autre problème de coordination. Savoir que les employés utilisent un outil est différent de savoir si une activité particulière enfreint une politique. Bloquer cette activité constitue une capacité supplémentaire, nécessitant un contexte fiable et une autorité appropriée.

Pour cette raison, les acheteurs devraient distinguer la découverte, l’interprétation et l’application lorsqu’ils évaluent l’annonce. Une plateforme peut offrir de la visibilité sans permettre une intervention précise. Un tableau de bord des politiques peut décrire une règle souhaitée sans montrer avec quelle constance elle est appliquée.

Cette distinction importe également pour la confiance des employés. Une personne qui reçoit une invite de sécurité doit comprendre l’action demandée. Si l’instruction entre en conflit avec un flux de travail établi, l’organisation doit disposer d’un moyen clair de résoudre ce conflit.

Un employé hypothétique traitant des notes confidentielles sur des clients peut recevoir des consignes déconseillant de les soumettre à un service d’IA non approuvé. Le résultat utile est une voie approuvée pour accomplir la tâche. Des avertissements répétés sans cette voie peuvent créer des frictions tout en laissant le besoin opérationnel sous-jacent sans réponse.

C’est ici que le mécanisme devient plus exigeant que le titre. Générer des exercices réalistes est une tâche. Maintenir une relation cohérente entre les conseils destinés aux employés, les actions de protection et les processus métier en est une autre.

L’expansion d’Aikido semble logique comme tentative de relier ces tâches. Les annonces disponibles expliquent la combinaison envisagée. Elles laissent aux clients le soin d’examiner le degré de coordination existant dans le produit déployé.

KnowBe4 propose déjà une formation adaptative

Le défi concurrentiel d’Aikido consiste à démontrer un flux de travail combiné supérieur sur un marché où la formation personnalisée et automatisée existe déjà.

KnowBe4 a annoncé une formation de sécurité adaptative via son produit AIDA Orchestration le 24 février 2026. L’entreprise indique qu’il crée et planifie des tests de phishing et des formations personnalisés à partir de profils de risque individuels. Elle décrit également des contrôles administrateurs sur le programme automatisé.

Cela fournit un point de référence important pour interpréter Noon. La personnalisation et l’administration automatisée des campagnes font déjà partie de l’offre déclarée d’un concurrent. Leur présence dans la stratégie d’Aikido ne démontre pas, à elle seule, un avantage technique unique.

Les affirmations d’efficacité des deux entreprises exigent le même examen. Une annonce produit décrit un comportement prévu et un positionnement commercial. Elle ne fournit pas de comparaison contrôlée montrant quel produit réduit les incidents plus efficacement.

La compétition principale dépasse Aikido face à KnowBe4. Elle concerne l’argument en faveur d’une protection coordonnée des effectifs face à la réalité de contrôles gérés séparément. KnowBe4 apporte un contexte concurrentiel, tandis que l’intégration proposée par Aikido reste l’enjeu principal.

Pour un acheteur, cela déplace la comparaison au-delà du simple décompte des fonctionnalités. Plusieurs produits peuvent promouvoir des simulations, la personnalisation et l’automatisation administrative. La distinction la plus utile réside dans le travail qui reste à accomplir une fois ces fonctionnalités activées.

Un administrateur peut encore devoir rapprocher des dossiers employés contradictoires, interpréter des scores de risque distincts ou transférer des conclusions entre systèmes. Une plateforme combinée justifie sa place lorsqu’elle réduit ces charges sans affaiblir les contrôles dont les clients ont besoin.

Aikido fait également face à un problème de périmètre inhérent à sa stratégie. Une couverture étendue crée davantage d’occasions de simplifier l’administration. Elle crée aussi davantage de responsabilités concernant le déploiement, les autorisations, le support et la cohérence du produit.

Un spécialiste peut concentrer ses efforts de développement sur un problème plus restreint. Un fournisseur plus large doit expliquer comment sa couverture étendue améliore suffisamment le résultat pour justifier ce périmètre supplémentaire. Aucune des deux approches ne l’emporte automatiquement.

Le même raisonnement s’applique aux relations clients existantes. Une entreprise qui utilise déjà Aikido pour la sécurité logicielle a une raison d’examiner Noon. Cette relation peut ouvrir la voie à une discussion, mais elle n’établit pas l’adéquation avec la protection des employés.

Des services différents peuvent être responsables de la décision, et des preuves différentes peuvent être nécessaires. La confiance dans le traitement des vulnérabilités logicielles ne se transfère pas automatiquement à la surveillance des employés, à la conception des formations ou à l’application des politiques sur le lieu de travail.

L’opportunité concurrentielle est donc pratique. Aikido peut défendre son argument par la clarté du déploiement, une coordination utile et des preuves que les clients peuvent exploiter le système efficacement. Les affirmations génériques sur l’usage de l’IA auront moins de valeur explicative.

Cette comparaison tempère également l’idée que les fournisseurs plus anciens restent nécessairement immobiles. L’annonce de KnowBe4 montre qu’un acteur établi poursuit l’automatisation et la personnalisation. Aikido entre dans une compétition active sur la manière dont la protection des employés devrait fonctionner, plutôt que sur un marché attendant son premier produit d’IA.

Des simulations réalistes ne démontrent pas un risque d’incident plus faible

L’incertitude centrale est de savoir si le produit combiné améliore les résultats réels de sécurité au-delà de la production d’exercices convaincants et d’une administration plus simple.

Une simulation mesure les performances dans une situation construite. Un incident implique des circonstances changeantes, des pressions commerciales et des systèmes extérieurs à l’exercice. Une amélioration dans un cadre nécessite une interprétation prudente avant d’étayer une affirmation concernant l’autre.

Par exemple, un taux d’échec plus faible peut refléter un meilleur jugement des employés. Il peut aussi refléter des scénarios plus simples, des modèles familiers ou des changements dans les personnes ayant reçu l’exercice. Des comparaisons significatives exigent suffisamment de contexte pour distinguer ces explications.

Il s’agit d’une limite analytique, plutôt que d’une preuve contre la technologie de Cyberly. Les documents de lancement examinés ne fournissent pas d’évaluation comparative indépendante établissant l’efficacité de Noon. Cela laisse une lacune dans les preuves concernant les résultats, même si l’acquisition elle-même est confirmée.

Une attaque documentée fournit un point de référence utile. L’enquête de Microsoft sur les attaques visant des comptes de paie a décrit des comptes d’employés universitaires compromis, utilisés pour rediriger des paiements de salaire. Les attaquants ont également masqué les e-mails de notification en créant des règles de boîte de réception.

Microsoft a attribué cette activité à Storm-2657 et a expliqué qu’elle ne représentait pas une vulnérabilité de Workday lui-même. Le cas relie la tromperie des employés, l’accès aux comptes, l’activité des boîtes aux lettres et une action commerciale conséquente. Il montre pourquoi la formation ne représente qu’une partie du problème défensif.

Ce cas ne montre pas que Noon aurait empêché l’attaque. Il fournit un exemple concret à partir duquel une proposition large de sécurité des effectifs peut être examinée. Toute affirmation de prévention nécessiterait des preuves supplémentaires sur les contrôles déployés et les conditions de l’attaque.

L’authentification demeure une considération distincte. Les recommandations de Microsoft sur l’authentification résistante au phishing mettent l’accent sur des méthodes telles que les passkeys et les clés de sécurité. Celles-ci utilisent des identifiants cryptographiques plutôt que de s’appuyer uniquement sur des codes que les employés peuvent divulguer à des sites trompeurs.

La formation et l’authentification répondent à des modes de défaillance différents. Un employé peut reconnaître une demande suspecte tout en ayant besoin d’un moyen sûr d’y répondre. Un contrôle technique peut bloquer une tentative de vol d’identifiants sans apprendre à l’employé comment gérer un autre type de fraude.

Le produit combiné doit donc être évalué en parallèle des contrôles existants. Une réduction de l’administration des formations ne démontre pas une authentification plus robuste. Un appel simulé plus réaliste ne démontre pas une récupération de compte ou une approbation de paiement plus sûre.

La confidentialité et la confiance des employés créent des questions d’évaluation supplémentaires. Les programmes personnalisés prennent nécessairement des décisions sur les interventions que reçoivent les personnes. Les acheteurs ont besoin d’explications compréhensibles concernant les informations utilisées, les autorisations d’accès et les moyens de corriger des hypothèses inexactes.

Ces questions ne démontrent pas que Noon gère mal les informations des employés. Elles identifient des domaines dans lesquels une plateforme étendue de protection des employés nécessite une documentation claire. L’ampleur de la promesse crée le besoin de cette clarté.

L’acquisition de Cyberly par Aikido crée également une incertitude d’intégration. Les relations clients existantes démontrent l’usage antérieur des entreprises acquises, mais pas une migration réussie vers un produit combiné. Les clients ont besoin d’informations concrètes sur le support, la continuité de la configuration et les changements apportés à leurs flux de travail.

Une lecture prudente préserve les deux aspects de l’histoire. Aikido a acquis des capacités pertinentes et formulé une expansion cohérente. Les preuves publiques examinées ici n’établissent pas que leur combinaison a déjà produit une meilleure protection que des dispositifs alternatifs.

Ce qu’il faut surveiller après le lancement de Noon

Les signaux les plus utiles sont la clarté du déploiement, des résultats clients mesurables et des preuves que les produits acquis fonctionnent ensemble.

Premièrement, surveillez les informations de déploiement spécifiques au cours des prochains mois. Les acheteurs doivent savoir quelles capacités sont disponibles, quelles autorisations elles nécessitent et comment elles interagissent avec les outils de sécurité existants. Des limites claires rendraient le produit plus facile à évaluer selon son véritable périmètre.

Ce signal renforce l’argument d’Aikido si les clients peuvent comprendre l’offre sans devoir la reconstituer à partir d’annonces séparées. Il affaiblit l’argument de la consolidation si les fonctions essentielles restent ambiguës ou nécessitent des processus administratifs sans rapport.

La disponibilité mérite également un langage précis. Un lancement public peut décrire toute une orientation produit alors que les clients rencontrent un accès progressif aux capacités individuelles. Les acheteurs devraient évaluer les fonctions qu’ils peuvent déployer, plutôt que de supposer que chaque fonctionnalité annoncée présente le même niveau de maturité.

Deuxièmement, surveillez les preuves clients expliquant comment les résultats ont été mesurés. Un reporting utile identifierait le contexte du déploiement, la période observée et les contrôles déjà en place. Il distinguerait les économies opérationnelles des changements de performance de sécurité.

Le temps administratif économisé soutiendrait une partie de l’argument d’Aikido. Des signalements plus rapides par les employés, une meilleure gestion des demandes suspectes ou une coordination des incidents plus claire soutiendraient d’autres aspects. Ces résultats devraient être décrits séparément plutôt que regroupés sous une seule étiquette de réussite.

Les preuves seraient moins informatives si elles ne proposaient que des taux de réalisation de formation ou un score de risque inexpliqué. Ces mesures peuvent décrire l’activité du programme sans montrer comment les employés et les systèmes réagissent aux menaces réelles.

Les comparaisons doivent également tenir compte de conditions changeantes. Un client qui introduit une nouvelle plateforme de formation peut simultanément améliorer l’authentification ou réviser les processus d’approbation. Attribuer chaque amélioration ultérieure à la plateforme surestimerait ce que les preuves démontrent.

Troisièmement, observez comment les clients existants de Cyberly et Outkept vivent l’activité combinée. Des politiques cohérentes, une administration compréhensible et une continuité du support étayeraient le récit d’intégration. Une réconciliation manuelle persistante indiquerait qu’un travail reste nécessaire.

La version la plus solide de la stratégie d’Aikido relie la détection, l’accompagnement des employés et l’action protectrice dans un flux de travail que les clients peuvent comprendre. La version plus faible regroupe des produits utiles sous un nom commun tout en laissant aux clients la responsabilité de les relier.

Aucun de ces résultats ne peut être déduit de la seule annonce d’acquisition. Les prochaines preuves devraient venir des déploiements et de l’expérience client, et non simplement d’une liste de fonctionnalités plus large.

Pour les organisations qui envisagent l’acquisition de Cyberly par Aikido, commencez par les incidents et les décisions que vos contrôles actuels gèrent mal. Comparez les capacités annoncées à ces lacunes et demandez quelles fonctions sont disponibles dans le déploiement envisagé. Demandez des preuves qui distinguent le temps économisé du risque réduit, avec suffisamment de contexte pour évaluer les deux. Incluez les équipes en contact avec les employés dans cette discussion, car elles vivront avec les invites, les politiques et les processus de réponse qui en résultent. Gardez l’authentification, la récupération de compte et les approbations métier à l’esprit tout au long de l’évaluation. La question utile pour l’achat est concrète : le système combiné aide-t-il votre organisation à empêcher une action dangereuse, ou à y répondre plus efficacement, que son dispositif actuel ?