La sécurité des agents IA de Cymphony obtient le soutien de Sequoia, mais l’épreuve de la plateforme reste à venir

Cymphony a levé 30 millions de dollars alors que Sequoia Capital renforce sa mise sur un problème de sécurité créé par les agents IA, dont l’accès aux données d’entreprise s’étend. La plateforme de sécurité des agents IA de Cymphony promet une vue unifiée des employés, agents, comptes machines, systèmes et informations sensibles.

Ce total comprend une série A de 25 millions de dollars codirigée par Sequoia et SMBC Fin Atlas Beyond Fund. Cet investissement valorise la startup new-yorkaise et tel-avivienne à plus de 100 millions de dollars après le tour, selon les détails du financement rapportés.

L’argent compte, mais le pari plus large compte davantage. Cymphony doit démontrer que la sécurisation des logiciels autonomes constitue une catégorie d’entreprise à part entière. Elle ne peut pas rester une fonctionnalité de plus au sein des plateformes de gestion des identités, de protection des données ou de sécurité cloud.

Microsoft, Okta, CyberArk, Wiz et Varonis occupent déjà certaines parties de ce territoire. D’autres startups développent des contrôles pour les agents, les serveurs de protocoles de contexte de modèles et les identités non humaines. Cymphony entre dans une compétition pour déterminer qui possédera le contexte de sécurité entourant un travailleur IA.

La réponse de la startup est un « graphe de la main-d’œuvre », qui relie identités, données, autorisations et activité dans un même modèle. Le concept répond à une lacune concrète. Une entreprise peut savoir qu’un agent existe et savoir séparément qu’un fichier est sensible, tout en passant à côté du chemin qui les relie.

Cette visibilité devient plus importante lorsque les agents héritent des accès de personnes, d’applications et de comptes de service. Contrairement à un employé ayant un poste défini, un agent peut suivre des itinéraires changeants, utiliser des outils supplémentaires et agir à la vitesse des machines.

Sequoia estime que cette différence crée une nouvelle opportunité de plateforme. La question non résolue est de savoir si les acheteurs en entreprise sont du même avis, ou si les fournisseurs historiques intégreront les mêmes fonctions aux produits qu’ils vendent déjà.

Cymphony émerge avec 30 millions de dollars et un pari de sécurité précis

Cymphony ne vend pas un inventaire supplémentaire d’outils IA. L’entreprise vend une carte de ce que chaque identité humaine et non humaine peut réellement atteindre.

L’entreprise a officiellement été lancée le 9 septembre 2026, avec 30 millions de dollars de financement total. Sa série A représente 25 millions de dollars, après un investissement d’amorçage auparavant non divulgué mené par Sequoia plus de deux ans plus tôt.

Sequoia et SMBC Fin Atlas Beyond Fund ont codirigé ce nouveau tour. Le financement porte la valorisation post-investissement de Cymphony au-delà de 100 millions de dollars.

Les cofondateurs Shy Dekel, Idan Berkovits et Edi Gotlieb ont créé l’entreprise entre New York et Tel Aviv. Tous trois ont auparavant participé à Talpiot, un programme militaire israélien axé sur la technologie et le leadership.

Cymphony emploie désormais environ 30 personnes. La plupart de ses clients se trouvent en Amérique du Nord, bien que l’entreprise affirme que la demande commence à apparaître en Europe, au Moyen-Orient et en Afrique.

La startup a déclaré à TechCrunch avoir signé un nombre à deux chiffres de clients entreprise durant sa première année commerciale. Elle a également indiqué avoir atteint un revenu annuel récurrent à sept chiffres pendant cette période.

Parmi les clients cités figurent KKR, Syngenta, Cass Information Systems et Athennian. Sequoia utilise aussi le produit en interne depuis ses premiers stades de développement.

Ces chiffres proviennent de Cymphony et n’ont pas fait l’objet d’une vérification financière indépendante. Ils aident néanmoins à expliquer pourquoi Sequoia est passé d’un pari d’amorçage sur les fondateurs à une série A portée par le produit et les clients.

La plateforme de Cymphony cartographie en continu les employés, agents IA, identités de service, applications, magasins de données et relations d’accès. Elle combine ensuite ces relations avec l’activité observée et la sensibilité des données disponibles.

Le graphe de la main-d’œuvre qui en résulte doit répondre à plusieurs questions simultanément. Les équipes de sécurité peuvent examiner qui ou quoi dispose d’un accès, quel chemin accorde cet accès et si le comportement crée un risque exploitable.

Cymphony utilise également des agents dans son propre produit. Ces agents enquêtent sur les résultats, priorisent les remédiations, coordonnent les actions avec les employés concernés et corrigent automatiquement certaines autorisations.

Les clients peuvent utiliser le logiciel de manière largement autonome. Ils peuvent aussi choisir un service géré qui implique les spécialistes de la sécurité de Cymphony dans les cas plus complexes.

La déclaration de lancement de l’entreprise présente le problème comme un passage de l’identification des expositions à l’exécution complète du travail de sécurité. Cette distinction est au cœur de son argumentaire.

De nombreux produits de sécurité génèrent des alertes sans résoudre le chemin d’accès sous-jacent. Cymphony affirme que son système peut relier l’identité risquée, l’information exposée, l’action observée et le flux de travail de remédiation.

Le lancement crée donc la tension centrale de l’article. Les entreprises ont clairement besoin d’un meilleur contrôle des accès des agents, mais ce besoin ne suffit pas à établir un marché autonome.

Pourquoi la sécurité des agents IA de Cymphony combine identité et données

Un enregistrement d’identité ne peut pas mesurer le risque d’un agent sans le contexte des données, tandis qu’une étiquette de données ne peut pas révéler quel agent peut exploiter un chemin d’accès.

La sécurité d’entreprise traditionnelle répartit ces questions entre différentes catégories de produits. Les systèmes d’identité gèrent les comptes, l’authentification, les rôles et les autorisations. Les produits de sécurité des données classifient les informations, surveillent leurs mouvements et identifient les expositions inappropriées.

Cette séparation était gérable lorsque les personnes réalisaient l’essentiel des activités professionnelles. Les employés avaient des rôles relativement stables, des horaires prévisibles et des schémas d’accès identifiables.

Les agents IA fragilisent ces hypothèses. Un agent peut agir pour le compte d’un employé, d’une application, d’un département ou d’un processus automatisé. Ses autorisations effectives peuvent provenir simultanément de plusieurs de ces sources.

Un agent peut aussi utiliser des autorisations OAuth, des interfaces de programmation d’applications, des sessions de navigateur, des connecteurs et des autorisations de fichiers héritées. Chaque voie peut sembler légitime lorsqu’elle est examinée séparément.

Le risque naît de leur combinaison. Un agent approuvé peut hériter de l’accès d’un employé à des documents qui avaient été trop largement partagés des années auparavant. Il peut ensuite parcourir ces documents plus rapidement que l’employé n’aurait jamais pu le faire.

Le graphe de la main-d’œuvre de Cymphony tente de reconstruire ce contexte combiné. Il relie l’acteur, l’identité déléguée, le système accessible, les données sensibles et l’activité qui en résulte.

Cela ne remplace pas l’authentification. Cela ajoute une couche qui explique ce que les identités authentifiées peuvent faire à travers des systèmes qui conservent des enregistrements distincts.

Prenons le cas d’un employé qui connecte un assistant IA à SharePoint. L’employé possède des identifiants valides, tandis que l’assistant reçoit une autorisation valide. SharePoint contient également des fichiers avec des accès permissifs hérités d’un ancien projet.

Aucun composant individuel ne semble nécessairement défaillant. L’échec de sécurité réside dans la manière dont les composants interagissent.

Cymphony affirme avoir trouvé environ 85 000 fichiers accessibles aux outils IA et aux agents au sein d’une société américaine cotée en bourse. La startup indique avoir aidé à combler l’exposition et vérifié que ces systèmes n’avaient pas accédé aux fichiers.

Le client n’a pas été identifié, de sorte que des observateurs externes ne peuvent pas évaluer indépendamment l’enquête. L’exemple reste utile, car il illustre l’unité d’analyse visée par le produit : un chemin d’accès exploitable, et non une alerte isolée.

Dans un autre cas, un collaborateur externe aurait installé une instance non autorisée de Claude d’Anthropic. Cette instance a utilisé l’accès existant du collaborateur pour analyser des milliers de fichiers sensibles.

Ce scénario est plus difficile que le blocage d’une application non approuvée. Le collaborateur possédait déjà un accès légitime, tandis que le système IA augmentait considérablement l’ampleur des découvertes possibles.

Cymphony a également décrit le cas d’un client où la connexion de ChatGPT à SharePoint a exposé des documents sensibles liés à des litiges à des stagiaires. La cause sous-jacente serait une erreur d’autorisation accidentelle.

Ces exemples renvoient au même mécanisme. L’IA n’a pas besoin de contourner un contrôle d’accès lorsqu’une autorisation existante ouvre déjà la porte.

La thèse de Cymphony sur la sécurité des agents IA est que les entreprises ont besoin d’une corrélation continue entre identité, données et comportement. Des examens occasionnels des autorisations ne peuvent pas suivre des agents qui changent de tâches ou de capacités pendant leur fonctionnement.

Sequoia avance le même argument dans sa thèse d’investissement. Le fonds affirme que la sécurité des identités et celle des données ne sont plus séparables dès lors que des systèmes autonomes commencent à agir pour les employés.

Cette position est plausible, mais elle reste l’argument d’un investisseur. Cymphony doit montrer que son graphe demeure exact à travers l’évolution des applications, connecteurs, comptes et modèles d’autorisation.

Une intégration manquante peut masquer un chemin d’accès. Des données obsolètes peuvent faire paraître actif un problème résolu, ou faire paraître sûre une nouvelle exposition.

Le graphe n’a donc pas de valeur simplement parce qu’il rassemble davantage d’informations. Sa valeur dépend de sa capacité à reconstruire des relations actuelles et significatives mieux que les systèmes de sécurité existants.

Les agents IA transforment d’anciennes erreurs d’autorisation en risques actifs

Les agents IA rendent les défaillances familières du contrôle d’accès plus conséquentes parce qu’ils peuvent rechercher, combiner et exploiter des informations exposées sans les limites de navigation humaine.

Les fichiers trop largement partagés, les comptes administrateur oubliés et les autorisations d’application excessives ne sont pas nouveaux. Les équipes de sécurité gèrent ces problèmes depuis des années au moyen de la gouvernance des identités, de la prévention des fuites de données et des outils d’accès au cloud.

Les agents modifient les conditions opérationnelles autour de ces faiblesses. Ils peuvent inspecter davantage de systèmes, exécuter plus d’étapes et répéter les tâches en continu.

Un employé pourrait ne jamais découvrir un dossier sensible enfoui dans un dépôt de documents. Un assistant IA conçu pour recueillir des informations peut le trouver dans le cadre d’une demande courante.

Un employé pourrait remarquer qu’une action demandée semble inhabituelle. Un agent peut poursuivre parce que son flux de travail interprète un accès valide comme une autorisation suffisante.

C’est là que capacité et risque deviennent étroitement liés. Les fonctions qui rendent un agent utile augmentent aussi les conséquences d’une autorisation incorrecte.

Les agents peuvent appeler des outils, récupérer des documents, mettre à jour des enregistrements, écrire du code et déclencher des processus métiers. Chaque capacité introduit un chemin supplémentaire entre l’identité et les données de l’entreprise.

La délégation crée une autre complication. Un agent peut agir sous le compte d’un employé, une identité de service partagée ou son propre identifiant machine. Les enregistrements d’audit peuvent obscurcir quelle demande humaine a produit l’action finale.

Certains systèmes permettent également aux agents d’invoquer d’autres agents ou d’acquérir des outils au cours d’une tâche. La chaîne qui en résulte peut franchir plusieurs frontières de sécurité avant d’atteindre une ressource finale.

Un modèle conventionnel fondé sur les rôles suppose que les administrateurs peuvent définir un ensemble stable d’autorisations pour un rôle stable. Le comportement d’un agent peut évoluer selon les prompts, le contexte, les outils disponibles et les résultats intermédiaires.

Cela ne signifie pas que chaque agent agit de manière imprévisible. Cela signifie qu’une autorisation seule fournit une description incomplète de son risque effectif.

Les équipes de sécurité font également face à un décalage de vitesse. Un examinateur humain peut mettre des heures à enquêter sur un schéma d’accès inhabituel. Un système automatisé peut traiter des milliers d’enregistrements pendant la même période.

Cymphony veut combler cet écart grâce à l’enquête et à la remédiation automatisées. L’entreprise affirme que ses agents peuvent retracer les accès, classer les expositions et aider à corriger les autorisations.

Cette conception introduit un compromis important. Les entreprises pourraient utiliser un groupe d’agents pour contrôler un autre groupe, gagnant en rapidité tout en créant une nouvelle couche d’automatisation privilégiée.

Un agent de remédiation a besoin d’autorisations pour modifier des comptes ou des politiques d’accès. Des erreurs dans ce système pourraient interrompre des activités légitimes ou supprimer l’accès à des services critiques.

Les organisations devront donc mettre en place des limites d’approbation, des procédures de retour en arrière et des registres d’audit clairs. La remédiation automatisée doit rester explicable pour les personnes responsables de chaque système concerné.

Ce défi s’inscrit dans le cadre plus large de gestion des risques liés à l’IA élaboré par le National Institute of Standards and Technology des États-Unis. Des contrôles efficaces exigent une mesure et une gestion continues, et non une décision unique de déploiement.

Pour les acheteurs en entreprise, la pression immédiate repose sur les directeurs de la sécurité des systèmes d’information et les équipes chargées des identités. Les unités opérationnelles veulent connecter des agents à des données internes utiles, tandis que les équipes de sécurité restent responsables des conséquences.

Refuser toute connexion ralentit l’adoption. Approuver des connexions sans contexte crée une exposition que les tableaux de bord existants pourraient ne pas révéler.

Le discours de Cymphony présente la sécurité comme le mécanisme permettant aux entreprises de déployer davantage d’agents. Ce positionnement est commercialement attrayant, car il relie les dépenses de contrôle à l’adoption de l’IA.

La question plus difficile est de savoir si Cymphony peut distinguer de manière cohérente l’activité utile des agents d’une portée nuisible. Un chemin d’accès peut être étendu sans être inapproprié, selon la tâche et le contexte métier.

Le contexte propre à chaque client est important. Un analyste financier, un prestataire juridique, un agent logiciel et un assistant de support peuvent accéder à des systèmes similaires pour des raisons très différentes.

Une évaluation précise des risques exige davantage qu’une connectivité technique. Elle requiert aussi des informations fiables sur la propriété, la finalité, la sensibilité et le comportement attendu.

L’approche de l’entreprise fondée sur un graphe lui donne une méthode cohérente pour combiner ces signaux. Les déploiements en entreprise détermineront si le graphe contient suffisamment de contexte pour étayer des décisions réelles.

Le marché est déjà saturé autour du même point de contrôle

Cymphony cherche à définir une catégorie alors que des fournisseurs établis et d’autres startups étendent leurs activités vers la même frontière entre identité, données et sécurité des agents.

Microsoft contrôle déjà les produits d’identité, de productivité, de cloud et de sécurité au sein de nombreuses grandes entreprises. Cette présence lui offre plusieurs points d’entrée pour ajouter une surveillance des accès propre aux agents.

Okta et CyberArk occupent des positions solides dans l’identité et les accès privilégiés. Wiz relie les ressources cloud, les configurations, les identités et les données au moyen d’un graphe de sécurité.

Varonis se spécialise dans l’accès aux données et leur exposition. Chaque entreprise aborde le problème depuis une base installée différente, mais aucune ne doit partir de zéro.

Cymphony soutient que ces catégories laissent des lacunes, car elles traitent séparément les identités et les informations sensibles. Sa plateforme vise à faire de leur relation l’objet central.

Un acteur historique peut répondre différemment. Un grand fournisseur peut ajouter des identités d’agents, des signaux comportementaux et du contexte de données à une plateforme que les clients utilisent déjà.

Cette réponse faciliterait les achats. Les entreprises préfèrent éviter une console supplémentaire, un projet d’intégration, un audit de sécurité et un contrat lorsqu’un fournisseur existant propose une couverture adéquate.

Cymphony a donc besoin de plus qu’une meilleure visualisation. Elle doit détecter des risques que les acteurs historiques ne voient pas, générer moins d’alertes à faible valeur et raccourcir le chemin entre détection et remédiation.

La startup fait aussi face à des spécialistes émergents. Astrix Security s’est concentrée sur les identités non humaines et les connexions entre applications. Operant AI a développé des contrôles d’exécution pour les agents et le trafic du protocole de contexte des modèles.

AIR a levé des fonds pour aider les entreprises à évaluer les compétences et les modules complémentaires utilisés par les agents. Son approche considère les composants d’agents comme une chaîne d’approvisionnement logicielle nécessitant une vérification continue.

Le récent financement d’AIR montre que les investisseurs soutiennent plusieurs points de contrôle autour du déploiement d’agents. Le marché ne s’est pas encore fixé sur une seule architecture.

Certaines entreprises donneront la priorité à l’application des règles à l’exécution. D’autres se concentreront sur la gestion du cycle de vie des identités, l’approbation des outils, l’accès aux données, la découverte des agents ou l’auditabilité.

Cymphony parie qu’un graphe de contexte unifié peut relier ces préoccupations. Il peut alors devenir la couche où les équipes de sécurité évaluent les risques et coordonnent les actions.

Bogomil Balkansky, associé chez Sequoia, décrit aujourd’hui Cymphony comme complémentaire aux principaux produits d’identité. Il a déclaré à TechCrunch que les clients ne sont pas susceptibles de supprimer Okta simplement parce qu’ils déploient Cymphony.

Cet aveu clarifie la position actuelle de l’entreprise. Cymphony constitue principalement une couche de contrôle supplémentaire, même lorsqu’elle consolide certains produits spécialisés.

Dekel affirme que la plateforme a déjà remplacé certains outils chez des clients. Dans une entreprise non identifiée, Cymphony aurait consolidé deux produits et évité l’achat d’un troisième.

Cette affirmation manque de détails permettant de comparer la couverture, le coût de mise en œuvre ou les résultats opérationnels. Elle établit néanmoins la trajectoire d’expansion que la direction souhaite voir considérée par les investisseurs et les clients.

Cymphony peut commencer par offrir de la visibilité sur les accès liés à l’IA. Elle peut ensuite évoluer vers l’hygiène des identités, la gestion de l’exposition des données, la remédiation automatisée et certaines fonctions de prévention des pertes de données.

Cette trajectoire augmente aussi la pression concurrentielle. Chaque fonction adjacente rapproche la startup d’un fournisseur bien financé disposant déjà d’intégrations et de relations clients.

La concurrence centrale n’oppose pas Cymphony à une seule entreprise nommée. Elle oppose une couche de contexte autonome aux suites de sécurité qui absorbent les contrôles des agents.

Cymphony remporte cette concurrence si le comportement des agents crée des relations que les fournisseurs de suites ne peuvent pas modéliser avec précision. Elle la perd si les acheteurs acceptent la prise en charge des agents comme une simple case à cocher dans les plateformes existantes.

La prochaine étape dépendra des preuves de déploiement. L’expansion chez les clients, la réduction mesurable des risques et le remplacement de dépenses existantes comptent davantage que le nombre d’identités découvertes.

Un marché encombré n’invalide pas le besoin. Il relève le niveau d’exigence pour démontrer que ce besoin peut soutenir une entreprise indépendante.

Le deuxième investissement de Sequoia accroît la charge de la preuve

Le soutien renouvelé de Sequoia valide les progrès de Cymphony, mais la conviction des investisseurs ne peut pas établir l’exactitude du produit ni la pérennité d’une catégorie d’entreprise.

La société de capital-risque avait mené le tour d’amorçage de Cymphony avant que la startup ne dispose d’un produit ou d’une orientation arrêtée. Balkansky a déclaré que la décision initiale reposait largement sur les fondateurs.

À l’occasion de la Série A, Sequoia disposait de davantage d’éléments. Cymphony avait développé un logiciel, signé des clients entreprises, généré des revenus récurrents et étendu son utilisation au sein de comptes existants.

Sequoia est également devenu client. Cela donne à l’investisseur une expérience directe du produit, même si elle ne remplace pas une évaluation indépendante dans des environnements plus vastes et plus complexes.

Cette relation crée un contraste utile. L’investissement d’amorçage était principalement un pari sur l’équipe, tandis que la Série A reflète une première exécution commerciale.

Elle accroît également les attentes. Une valorisation supérieure à 100 millions de dollars suppose que Cymphony peut croître au-delà d’un petit groupe de partenaires de conception et d’adoptants précoces.

Les grandes entreprises présentent des conditions d’intégration difficiles. Elles exploitent plusieurs fournisseurs d’identité, des unités opérationnelles acquises, des annuaires historiques, des applications sur mesure et des contrôles régionaux sur les données.

Leurs registres d’accès peuvent contenir des identités dupliquées, des comptes abandonnés, des groupes imbriqués et des données de propriété contradictoires. Construire un graphe fiable dans cet environnement exige une réconciliation continue.

La découverte des agents crée un autre défi. Les agents autorisés peuvent vivre dans des plateformes approuvées, tandis que des systèmes non autorisés arrivent par des outils de navigateur, des comptes de prestataires et des connexions d’applications individuelles.

La visibilité ne sera jamais parfaite. Cymphony doit démontrer qu’une couverture incomplète produit malgré tout des décisions qui améliorent la sécurité.

Les faux positifs peuvent compromettre cet objectif. Les équipes de sécurité gèrent déjà de grands volumes d’alertes, et un flux supplémentaire de chemins d’accès théoriques peut devenir du bruit de fond.

Les faux négatifs créent le problème inverse. Une plateforme qui prétend offrir une visibilité unifiée peut susciter une confiance mal placée si des systèmes importants restent en dehors de ses intégrations.

La remédiation automatisée augmente les enjeux dans les deux sens. Retirer rapidement des accès inappropriés peut réduire l’exposition, mais une modification incorrecte peut perturber un processus métier.

L’entreprise doit donc démontrer plusieurs éléments de manière indépendante. Elle a besoin d’une correspondance précise des identités, d’une classification actuelle des données, d’un contexte comportemental pertinent et de contrôles de remédiation sûrs.

Elle a aussi besoin de preuves que les clients continuent d’utiliser le produit après le projet initial de sécurité de l’IA. L’expansion chez les clients actuels est encourageante, mais la fidélisation sur plusieurs cycles de renouvellement offrira un test plus solide.

Les exemples publics de Cymphony restent des études de cas rapportées par l’entreprise. Les organisations non identifiées et les détails techniques limités rendent l’évaluation indépendante difficile.

Cette limite est normale pour une jeune entreprise de sécurité qui protège la confidentialité de ses clients. Les acheteurs devraient néanmoins demander des revues d’architecture, des appels de référence, des essais ciblés et des critères de réussite mesurables.

Une évaluation utile comparerait les expositions découvertes avec les outils existants. Elle mesurerait également le temps d’enquête, la réduction confirmée des risques, la précision de la remédiation et la couverture des applications.

L’approche de sécurité des agents IA de Cymphony ne devrait pas bénéficier d’un niveau de preuve inférieur parce que les agents sont nouveaux. La nouveauté de la menace accroît la nécessité d’une validation rigoureuse.

L’implication de Sequoia aide Cymphony à recruter, à s’intégrer et à pénétrer les comptes d’entreprise. Elle ne tranche pas la question de savoir si la startup devient un système de référence ou une surcouche temporaire.

L’argument le plus solide de l’entreprise est opérationnel. Les outils d’identité et de données laissent souvent les analystes de sécurité responsables de la reconstitution du contexte à travers des systèmes distincts.

Si Cymphony réalise cette reconstitution de manière fiable et coordonne la remédiation, elle peut s’approprier un flux de travail précieux. Si elle agrège principalement des signaux, les acteurs historiques peuvent reproduire une grande partie de l’expérience.

C’est la véritable charge créée par le nouveau financement. Cymphony doit transformer une préoccupation de sécurité intuitive en résultats clients répétables et défendables.

Trois signaux montreront si Cymphony devient une plateforme

L’expansion chez les clients, les réponses des acteurs historiques et une réduction des risques démontrée de manière indépendante détermineront si Cymphony s’approprie une catégorie ou fournit une fonctionnalité temporaire.

Le premier signal est l’expansion au sein de clients entreprises identifiés. Cymphony a déclaré avoir atteint un nombre de clients à deux chiffres et des revenus récurrents annuels à sept chiffres au cours de sa première année de vente.

Ce sont des étapes crédibles à un stade précoce, mais elles révèlent peu de choses sur la profondeur des déploiements. La question la plus importante est de savoir si les clients connectent des systèmes, identités, magasins de données et plateformes d’agents supplémentaires.

Des déploiements plus larges renforceraient le graphe de Cymphony. Ils indiqueraient également que les clients font confiance à la plateforme pour des flux de travail de visibilité privilégiée et de remédiation.

Les renouvellements compteront à mesure que les contrats arriveront à maturité. Une expansion continue appuierait l’affirmation selon laquelle l’accès des agents exige une couche de contrôle persistante, et non une évaluation de sécurité ponctuelle.

Le deuxième signal est la manière dont les fournisseurs historiques réagissent. Microsoft, Okta, CyberArk, Wiz et Varonis disposent tous de voies plausibles pour entrer sur ce marché.

De nouveaux objets d’identité spécifiques aux agents, des graphes d’accès interplateformes ou des fonctions de remédiation automatisée valideraient le problème tout en augmentant la pression concurrentielle.

Si les acheteurs obtiennent des contrôles suffisants grâce à leurs contrats existants, la position indépendante de Cymphony s’affaiblit. Si ces contrôles restent fragmentés, son modèle unifié devient plus attractif.

Les acquisitions fourniraient un autre indice. De plus grands fournisseurs pourraient racheter des spécialistes pour accélérer leurs capacités, tandis que les clients pourraient différer leurs décisions d’achat pendant la consolidation.

Le troisième signal réside dans des performances de sécurité vérifiables de manière indépendante. Les découvertes rapportées par Cymphony illustrent une valeur potentielle, mais le marché a besoin de preuves reproductibles.

Les acheteurs devraient rechercher des réductions documentées des accès excessifs, du temps d’enquête, des constats non résolus et de la durée d’exposition. Ils devraient également examiner les faux positifs et les annulations de remédiation.

La couverture mérite la même attention. Un graphe qui ne cartographie que certaines applications ne peut pas offrir une vue complète, aussi clairement qu’il présente les données connectées.

Cymphony doit également montrer comment elle gère des agents qui évoluent rapidement. Une identité peut acquérir un nouvel outil, recevoir une autorité déléguée ou opérer dans le contexte d’un autre employé.

La réévaluation continue est essentielle, car une autorisation sûre peut devenir risquée après la modification d’une autre permission, application ou source de données.

L’orientation produit de l’entreprise répond à un véritable problème en entreprise. Les organisations accordent davantage d’autorité aux logiciels, tandis que leurs contrôles existants restent organisés autour des personnes et de catégories technologiques distinctes.

Toutefois, un problème réel ne garantit pas qu’un seul modèle produit l’emportera. Les passerelles d’exécution, les plateformes d’identité, les outils de sécurité des données et les graphes de contexte peuvent tous capter une partie du budget.

Pour les responsables de la sécurité, la réponse pratique consiste à tester les chemins d’accès plutôt que d’accepter les affirmations de catégorie. Commencez par les agents connectés à des référentiels sensibles et à des systèmes métier.

Identifiez quelle identité humaine autorise chaque agent. Retracez chaque identifiant délégué, jeu de données accessible, outil disponible et action que l’agent peut exécuter.

Déterminez ensuite si les produits existants peuvent réunir ces éléments dans une seule enquête utile. Cet écart, s’il persiste, définit l’opportunité que Cymphony veut s’approprier.

Pour les développeurs et les travailleurs du savoir, la question est tout aussi directe. L’utilité d’un agent dépend du contexte, mais chaque source supplémentaire élargit ce que l’agent peut exposer ou utiliser à mauvais escient.

Les équipes devraient considérer l’accès des agents comme une autorité déléguée, et non comme un simple paramètre d’intégration pratique. Les responsables doivent comprendre ce qu’un agent peut atteindre avant de se fier à ce qu’il produit.

Les prochains mois montreront si Cymphony transforme l’élan de son lancement en une utilisation plus approfondie en production. L’expansion chez les clients renforcerait la thèse de Sequoia sur la plateforme.

Les fonctionnalités intégrées des acteurs historiques affaibliraient l’argument en faveur d’une solution autonome. Des preuves indépendantes d’une remédiation plus rapide et plus sûre offriraient le soutien le plus clair à la sécurité des agents IA de Cymphony.

La question pour les acheteurs en entreprise n’est plus de savoir si les agents IA ont besoin de contrôles. Elle est de savoir si Cymphony peut devenir la carte de confiance reliant chaque agent, identité, système et fichier sensible.