Et si le prochain grand trou de sécurité de votre entreprise ne venait plus d’un mot de passe faible, mais d’un skill téléchargé en trois clics par un agent IA trop zélé ? C’est exactement la question que pose, en septembre 2026, une jeune pousse israélienne qui sort de l’ombre avec une caisse de guerre inhabituelle pour un stade encore si précoce. AIR annonce 50 millions de dollars levés en deux tours de seed rapprochés, pour une mission qui sonne presque trop simple : contrôler ce que les agents IA installent, consultent et exécutent. Derrière cette phrase courte se cache un basculement de marché. Les agents ne sont plus des démos de laboratoire. Ils ouvrent des tickets, interrogent des bases, appellent des API, lisent le web et enchaînent des outils comme un système d’exploitation miniature. Or personne, ou presque, n’a encore signé ces « pilotes » comme on signe un driver Windows depuis vingt ans.

Le récit a d’abord circulé dans les colonnes de TechCrunch, qui décrit une startup fondée par deux vétérans de l’unité 8200, Yair Saban au poste de CEO et Niv Hoffman comme CTO. Leur thèse est nette. Une chaîne d’approvisionnement logicielle est en train de se former autour des agents : skills, plugins, serveurs MCP, add-ons, sous-agents. Cette chaîne n’a ni signatures généralisées, ni revue continue, ni marketplace unique de confiance. AIR veut occuper ce vide avec un cocktail de découverte, d’interception runtime et de liste blanche maintenue en permanence. Pour une audience marketing, produit et direction générale, le sujet n’est pas uniquement technique. Il touche le shadow AI, la conformité, la marque employeur, le risque réputationnel et, très vite, le budget sécurité 2027.

Pourquoi Cette Levée Arrive Maintenant

Les entreprises ont passé deux ans à expérimenter les chatbots. Elles passent désormais à la délégation. Un agent qui rédige un email n’effraie plus personne. Un agent qui peut charger un skill de paiement, interroger un CRM et appeler un serveur MCP externe, si. La surface d’attaque n’est plus seulement le modèle. Elle est l’écosystème autour du modèle. Un contenu web empoisonné, un dépôt de skill compromis, un compte développeur piraté, un paquet dépendant modifié en silence : autant de vecteurs qui ne ressemblent plus au phishing classique.

Saban compare la situation aux années 2000, lorsque l’installation d’un driver n’exigeait pas encore de signature. Aujourd’hui, charger du code dans le noyau sans attestation visuelle serait impensable. Les skills et les MCP, selon lui, jouent un rôle analogue : ils étendent les privilèges d’un agent au plus près des systèmes métier. Le marché n’a simplement pas encore « appris la leçon ». Cette analogie fonctionne parce qu’elle parle aux DSI autant qu’aux fondateurs. Elle transforme un sujet flou en dette technique familière.

Au début des années 2000, un driver n’avait pas besoin d’être signé. Aujourd’hui, chaque installation affiche une signature, parce que le driver charge du code dans le noyau. On n’a rien d’équivalent pour les skills, les plugins ou les MCP, et c’est dommage : c’est le même mécanisme, la même leçon, mais nous ne l’avons pas encore retenue.

– Yair Saban, CEO d’AIR

Le timing capitalistique n’est pas anodin non plus. Deux tours fermés à quelques semaines d’intervalle — 10 millions menés par Sequoia, puis 40 millions menés par Greenoaks — signalent une urgence de marché plus qu’une simple validation produit. Les anges qui les accompagnent racontent aussi un réseau : Zach Frankel (président de Cognition), Yinon Costica (cofondateur de Wiz), Ofir Ehrlich (cofondateur d’Eon), Varun Anand (cofondateur de Clay), Anne Neuberger, Omer Adam, ainsi que Swish et Netz. Quand d’anciens bâtisseurs de plateformes cloud, d’identité et d’agents mettent de l’argent sur la table, le message aux acheteurs est clair : la catégorie n’est plus expérimentale.

Ce Que Vend Vraiment AIR

Le produit se décompose en trois couches qui, mises bout à bout, ressemblent à une tour de contrôle plus qu’à un scanner ponctuel. D’abord la visibilité : trouver les agents qui tournent réellement dans l’entreprise, y compris ceux que l’IT n’a jamais validés, les comptes personnels, les outils « officieux » installés par une équipe marketing pressée. Ensuite l’interception : se brancher sur le runtime pour observer le chargement d’un skill, un appel internet, une action vers une base. Enfin la décision : comparer l’outil visé à une whitelist entretenue par AIR, puis bloquer ce qui ne passe pas les critères.

La pièce la plus différenciante, d’après la direction, n’est pas le tableau de bord de découverte. « Tout le monde saura bientôt voir les agents sur le poste », prévient Saban. Le travail difficile, c’est de revérifier en continu un écosystème vivant. Un skill approuvé lundi peut devenir dangereux mercredi si une dépendance change ou si le compte de son auteur est compromis. AIR affirme déjà écarter environ 27 % des add-ons et skills qu’elle trouve en ligne. Ce chiffre n’est pas une preuve scientifique publique, mais il donne une idée de la saleté du tuyau : plus d’un outil sur quatre ne survit pas à un premier filtre sérieux.

La startup ajoute une place de marché d’extensions déjà passées au crible. Pour un CMO ou un responsable ops, l’intérêt n’est pas seulement défensif. C’est un moyen de dire aux équipes : vous pouvez accélérer, mais dans un jardin fermé et auditable. En marketing digital, où l’on branche déjà des agents sur des CRM, des outils d’emailing et des bases créatives, cette promesse de « vitesse sous contrôle » parle davantage que le jargon zero trust.

Une Chaîne D’Approvisionnement Qui Ressemble À Un OS

Les agents d’entreprise commencent à se comporter comme des systèmes d’exploitation. Ils ont des privilèges, des processus, des bibliothèques, des appels système déguisés en tools. Le protocole MCP (Model Context Protocol) accélère cette analogie : un serveur MCP expose des capacités à l’agent comme un daemon exposerait des services. Dès lors, la question n’est plus « mon modèle hallucine-t-il ? » mais « à qui mon agent a-t-il donné les clés ? ».

Trois familles de composants structurent déjà cette nouvelle supply chain.

• Les skills : paquets de savoir-faire réutilisables, souvent versionnés comme des mini-produits, parfois hébergés sur des dépôts publics peu gouvernés.
• Les plugins et add-ons : connecteurs vers SaaS, navigateurs, fichiers, calendriers, outils de pub ou de facturation.
• Les serveurs MCP et sous-agents : services qui élargissent le rayon d’action, y compris hors du périmètre IT historique.

Chacune de ces familles peut être honnête le jour J et toxique le jour J+30. C’est pourquoi AIR insiste sur le mot continuous. Un scan unique au moment de l’achat n’a plus de sens quand l’objet audité mute. Bogomil Balkansky, associé chez Sequoia, le formule comme un problème d’infrastructure avant d’être un problème de sécurité.

Ce n’est pas un problème de scan, c’est un problème de revérification continue. Inspecter chaque skill, plugin, serveur MCP et sous-agent touché par les agents d’une entreprise, les réinspecter à chaque changement, en temps réel et sur toute la flotte, est d’abord un problème d’infrastructure. AIR a passé un an à construire ce pipeline. On ne rattrape pas cela en écrivant un meilleur scanner.

– Bogomil Balkansky, partner Sequoia

Pour les équipes growth, cette phrase a une traduction budgétaire. Le coût n’est pas celui d’un outil ponctuel de pentest. C’est celui d’une usine de confiance qui tourne 24 heures sur 24, comme un registre de paquets interne couplé à un firewall sémantique. Les entreprises qui ont déjà vécu la crise Log4j ou les dépendances npm savent ce que signifie « un paquet a changé pendant la nuit ».

Le Risque N’Est Plus L’Attaque Frontale

Saban insiste sur un basculement tactique. Tant que les modèles restaient enfermés dans une interface de chat, l’attaquant visait surtout le prompt ou le compte. Dès que l’agent lit le web, charge des outils et agit sur des bases, l’attaquant peut empoisonner le contenu consommé plutôt que frapper l’agent de face. Une page, un README, un jeu de données, une « documentation officielle » légèrement altérée suffisent à orienter une action.

Imaginez un agent chargé d’analyser des briefs concurrents. Il suit un lien, charge un skill « extracteur PDF », puis pousse un résumé dans Slack. Si le skill a une dépendance compromise, le résumé n’est plus le seul enjeu. L’agent a peut-être aussi exfiltré un token, modifié une règle, ou ouvert une porte vers un entrepôt de données. Le scénario n’a pas besoin d’être hollywoodien pour faire peur à une banque ou à un laboratoire pharmaceutique. Il suffit qu’il soit plausible, automatisable et difficile à retracer.

C’est précisément dans ces secteurs fortement régulés qu’AIR dit rencontrer la demande la plus nette. La société revendique plus de vingt clients, dont environ un quart de grands comptes. Finance et pharma dominent. On comprend pourquoi. Ces industries ont déjà des politiques strictes sur les logiciels tiers, les sous-traitants et la traçabilité. Les agents cassent ces politiques s’ils peuvent installer eux-mêmes leurs outils. Un contrôleur interne ne peut pas signer un processus dont il ne voit même pas la nomenclature des skills.

Shadow AI : Le Cousin Mal Élevé Du Shadow IT

Le shadow IT des années 2010, c’était le SaaS acheté avec une carte personnelle. Le shadow AI de 2026, c’est l’agent branché sur un compte ChatGPT perso, un workspace Claude non gouverné, un MCP trouvé sur un forum, un skill copié depuis GitHub. AIR promet d’identifier ces usages non approuvés. Pour le marketing et la comm’, le sujet est explosif : ces équipes sont souvent les premières à prototyper, donc les premières à créer de la dette de gouvernance.

Une direction de la communication qui laisse vingt copywriters connecter leurs agents à des bases médias sans inventaire se retrouve, six mois plus tard, avec une cartographie impossible. Qui a accès aux briefs non publiés ? Quel plugin d’image a le droit de lire le DAM ? Quel serveur MCP externe stocke des extraits de campagnes ? Sans découverte continue, le RSSI découvre le périmètre au moment de l’incident, pas avant.

Le produit d’AIR se présente donc aussi comme un outil politique interne. Il permet de sortir du face-à-face stérile « les métiers veulent aller vite / la sécu veut tout bloquer ». La whitelist et la marketplace offrent un compromis : un catalogue autorisé, mis à jour, expliqué. Les organisations matures savent que l’interdiction totale produit l’inverse de l’effet recherché. Les gens contournent. Mieux vaut un rail sûr qu’un mur que personne ne respecte.

Un Marché Déjà Bondé, Mais Pas Encore Tranché

AIR n’arrive pas dans un désert. TechCrunch rappelle une file de concurrents déjà financés. Noma Security propose découverte, contrôles d’accès et supervision runtime pour agents, serveurs MCP et skills. Zenity vend gouvernance et sécurité sur un schéma voisin, et vient de lever 125 millions de dollars en Series C en août. Astrix Security attaque plutôt par l’identité des agents et le contrôle des MCP. Operant AI ajoute des protections d’agents et une passerelle MCP. Noma a levé 100 millions en Series B l’année précédente. L’argent institutionnel se précipite donc sur la même phrase : « sécuriser les agents avant qu’ils ne sécurisent (mal) l’entreprise ».

Dans un marché aussi jeune, la différenciation se joue moins sur le slogan que sur l’usine arrière. Saban parie que la visibilité endpoint sera commoditisée. Son fossé, dit-il, viendra de la capacité à auditer en continu le web des skills et des sites de plugins. C’est un travail de chercheurs, de crawlers, de télémétrie, de réputation, de graphes de dépendances. Autrement dit, un travail qui coûte cher en talents, pas seulement en licences cloud.

Les 50 millions serviront d’abord à recruter ces profils et à pousser le go-to-market aux États-Unis et en Europe. L’entreprise compte environ 40 personnes. À cette taille, le ratio capital / effectif est élevé, ce qui trahit une ambition d’infrastructure plus que de simple SaaS vertical. Sequoia et Greenoaks n’ont pas l’habitude de mettre 50 millions sur une interface de reporting. Ils financent une conduite d’eau.

Les Labs Finiront Par Sécuriser. Et Alors ?

Une objection revient dans toutes les conversations d’acheteurs : OpenAI, Anthropic, Google et les autres finiront par intégrer des politiques, des filtres, des boutiques officielles. Pourquoi payer un tiers ? La réponse d’AIR est celle, classique, des éditeurs de sécurité indépendants. Les entreprises veulent un contrôle transverse aux fournisseurs. Elles n’ont pas une seule flotte d’agents. Elles en ont plusieurs, parfois dans le même département. Un garde-fou maison d’un lab ne voit pas le skill chargé dans l’agent du voisin.

Il y a aussi la question de confiance. Demander au fabricant du moteur de certifier seul tout l’écosystème, c’est accepter un conflit d’intérêts. Les marketplaces officielles accéléreront, c’est certain. Elles ne remplaceront pas un registre interne aligné sur les politiques d’une banque, d’un labo ou d’un groupe média. Le « scan du lab » restera un plancher. Les entreprises réglementées achèteront le plafond.

On a déjà vu ce film avec le cloud public. AWS, Azure et GCP ont multiplié les contrôles natifs. Cela n’a pas tué Wiz, CrowdStrike ou les CASB. Cela a au contraire agrandi le gâteau : plus le cloud se répand, plus on a besoin d’une vue unifiée. Il est raisonnable d’attendre le même schéma pour les agents. Plus ils se multiplient, plus une couche d’arbitrage indépendante devient un réflexe d’achat.

Ce Que Les Équipes Marketing Doivent Retenir

Le lecteur de ce blog n’est pas forcément RSSI. Il pilote une acquisition, une marque, un produit digital, une levée, une roadmap IA. Voici pourtant pourquoi le dossier AIR le concerne directement. Les agents marketing touchent déjà des données clients, des créas non publiées, des performances media, parfois des identifiants publicitaires. Un plugin « d’optimisation de copy » n’a pas besoin d’être malveillant pour être trop bavard. Il suffit qu’il envoie des extraits vers un endpoint mal documenté.

Les directions marketing qui veulent industrialiser les agents sans attendre 2028 peuvent poser dès maintenant cinq questions opérationnelles.

• Quel inventaire existe aujourd’hui des agents, comptes et MCP utilisés par les équipes growth, content et CRM ?
• Qui a le droit d’ajouter un skill, et selon quelle procédure écrite ?
• Les briefs, bases CRM et assets créatifs sont-ils accessibles à des outils non listés ?
• Un incident « agent + plugin » est-il prévu dans le plan de crise et dans les clauses prestataires ?
• Le budget 2027 prévoit-il une ligne gouvernance IA, distincte du simple abonnement LLM ?

Ces questions paraissent administratives. Elles sont en réalité stratégiques. Une marque qui communique sur son usage « responsable » de l’IA tout en laissant ses agents brouter le web ouvert prend un risque narratif autant que technique. Les clients, les régulateurs et les journalistes apprendront très vite à demander la liste des outils autorisés, comme ils demandent déjà la liste des sous-traitants RGPD.

Unit 8200, Wiz Et La Grammaire Israélienne De La Sécu

Le pedigree des fondateurs n’est pas un détail de storytelling. L’unité 8200 a nourri une génération d’entreprises de cybersécurité dont le réflexe n’est pas le tableau de bord joli, mais la chasse aux signaux faibles. La présence de Yinon Costica, figure de Wiz, dans le tour d’anges, inscrit AIR dans une lignée déjà comprise des VCs américains : partir d’une visibilité radicale sur un nouveau périmètre (ici les agents plutôt que le cloud), puis industrialiser la détection à grande échelle.

Cette grammaire a un avantage commercial. Les acheteurs Fortune 500 savent déjà évaluer ce type d’équipe. Ils ont signé des chèques similaires pour le CSPM, l’identité machine, la supply chain open source. AIR n’a donc pas besoin d’expliquer la catégorie « sécurité » en général. Elle doit seulement prouver que le nouvel objet — skill, MCP, add-on — mérite le même sérieux qu’un container ou qu’une clé API.

On peut toutefois rester lucide. Un background offensif n’équivaut pas à un produit enterprise prêt pour un déploiement mondial. Quarante personnes, vingt clients, une whitelist maison : le moteur est encore artisanal à l’échelle de la planète des agents. Les 50 millions servent précisément à transformer un avantage de méthode en usine. Si cette transformation échoue, AIR rejoindra la longue liste des seeds brillants avalés par une plateforme plus large.

Comment Lire Les 50 Millions Sans Se Laisser Hypnotiser

Une levée n’est pas une preuve de product-market fit durable. C’est une preuve que plusieurs fonds croient à une fenêtre. Ici, la fenêtre a trois caractéristiques. Premièrement, la diffusion réelle des agents en production dans la finance et la pharma. Deuxièmement, l’absence de standard de signature pour les skills. Troisièmement, la peur d’un incident public qui servirait de « SolarWinds des agents ». Les VCs financent souvent la peur juste avant qu’elle ne se matérialise, parce que c’est à ce moment que les budgets se débloquent.

Le montage en deux seeds rapprochés, 10 puis 40 millions, mérite aussi lecture. Il peut traduire une surdemande après une première traction client. Il peut aussi traduire une volonté de verrouiller le cap table avant que la catégorie n’explose et que les valorisations s’emballent davantage, comme on l’a vu côté Zenity. Dans les deux cas, le signal pour un fondateur concurrent est le même : la fenêtre de « je lance un scanner d’agents le week-end » se ferme.

Pour un directeur financier, le point de vigilance reste le coût total de possession. Une plateforme qui intercepte le runtime de tous les agents peut devenir structurante… ou invasive. Il faudra mesurer la latence ajoutée, les faux positifs, l’effort d’intégration, la portabilité si l’on change de lab. Les entreprises qui ont souffert des agents CASB trop bruyants connaissent le piège : un outil de sécurité qui ralentit le métier se fait désactiver en silence.

Ce Que Change Le Chiffre De 27 %

AIR affirme filtrer environ 27 % des add-ons et skills découverts en ligne. Même en prenant ce pourcentage avec des pincettes — on ne connaît ni le corpus, ni la méthode, ni le taux de faux positifs — l’ordre de grandeur suffit à faire réfléchir. Dans l’open source classique, on s’est habitués à un bruit de fond de paquets suspects. Dans l’univers encore plus jeune des skills d’agents, le ratio d’outils médiocres, abandonnés, trop permissifs ou franchement dangereux pourrait être plus élevé, simplement parce que les normes de publication n’existent presque pas.

Pour un CMO qui rêve d’un « app store interne d’agents », ce 27 % est une invitation à la modestie. On ne compose pas une stack marketing autonome en ramassant tout ce qui brille sur X ou Product Hunt. On compose un catalogue court, revu, versionné, avec un propriétaire nommé. Moins d’outils, plus de preuves. C’est contre-intuitif dans une culture produit qui valorise l’expérimentation permanente. C’est pourtant le seul moyen d’éviter que l’expérimentation ne devienne une porte dérobée.

La whitelist d’AIR n’est d’ailleurs intéressante que si elle est vivante. Une liste figée rassure les auditeurs six semaines, puis ment. La vraie valeur, si elle existe, viendra de la fréquence de révocation. Combien de skills autrefois approuvés sont-ils rétrogradés chaque mois ? Quels signaux déclenchent la chute : changement de hash, nouveau domaine de callback, permission élargie, activité anormale du mainteneur ? Tant que ces métriques ne sont pas publiques, le marché devra juger sur des PoCs, pas sur des communiqués.

Gouvernance, Pas Seulement Antivirus

Réduire AIR à un antivirus pour agents serait manquer le sujet business. Le vrai livrable, pour un comité de direction, est une gouvernance actionnable : qui peut faire quoi, avec quel outil, sur quelle donnée, sous quelle journalisation. Les entreprises qui réussiront l’industrialisation des agents ne seront pas celles qui auront le plus de démos. Ce seront celles qui sauront relier identity, data classification, catalogues d’outils et supervision d’exécution.

Dans cette optique, la concurrence avec Astrix (identité), Zenity (gouvernance) et Noma (runtime) n’est pas un simple match à trois. Elle annonce une consolidation. Soit un acteur avale les couches voisines, soit les grandes plateformes de sécu cloud ajoutent un module « agent supply chain » et compressent les valorisations. Les 50 millions d’AIR sont aussi une course contre cette absorption. Construire le pipeline assez vite pour devenir l’acquisition chère, ou la pièce trop critique pour être remplacée.

Les directions juridiques entreront dans la danse plus tôt qu’on ne le croit. Un agent qui charge un skill tiers pose des questions de responsabilité, de propriété intellectuelle, de transfert de données hors périmètre, parfois d’export control. Les clauses « vous n’utiliserez que des outils approuvés » vont se multiplier dans les contrats clients, surtout en B2B finance et santé. Disposer d’une trace d’évaluation continue ne sera plus un luxe de RSSI. Ce sera une pièce de dossier commercial.

Europe, États-Unis : Deux Théâtres, Deux Pressions

Saban indique que le capital frais ira notamment vers le go-to-market américain et européen. Les deux théâtres n’obéissent pas à la même horloge. Aux États-Unis, l’achat se décide souvent par la peur de l’incident et par la vitesse du board. En Europe, le règlement sur l’IA, le RGPD et les exigences sectorielles ajoutent une couche de justification documentaire. Un produit qui se contente de bloquer sans expliquer pourquoi un skill est rejeté vendra moins bien à Paris ou Francfort qu’à New York.

Pour les groupes européens du luxe, de la banque ou de la pharma, l’enjeu est aussi souveraineté et auditabilité. Ils demanderont où tournent les analyses d’AIR, comment les échantillons de skills sont stockés, si des données clientes transitent dans le pipeline de revérification. Une startup née de l’offensive cyber devra parler le langage de la conformité aussi fluently que celui de la détection. C’est souvent là que les pépites techniques patinent.

À l’inverse, le marché américain offrira des cycles plus courts et des déploiements plus larges, surtout si un premier logo bancaire très visible valide la catégorie. On connaît la mécanique : un design partner prestigieux, une conférence RSA ou une keynote Disrupt, puis une file d’attente de PoCs. L’article source de TechCrunch s’inscrit déjà dans cette mise en récit. Sortir de stealth n’est pas seulement informer. C’est ouvrir la saison des appels d’offres.

Ce Que Les Fondateurs Devraient Copier (Et Éviter)

Les créateurs de startups IA qui lisent cette histoire pour y chercher un playbook trouveront deux leçons utiles et une tentation dangereuse. Première leçon : viser la couche d’infrastructure que tout le monde juge ennuyeuse pendant que le grand public s’extasie sur les démos d’agents. Les skills et MCP sont moins glamour qu’un agent qui réserve un restaurant. Ils sont plus défendables. Deuxième leçon : recruter un narratif que les VCs savent déjà financer (supply chain, runtime, identité) plutôt que d’inventer un vocabulaire que le marché doit apprendre de zéro.

La tentation à éviter, c’est de croire qu’un tour de 50 millions au seed est le nouveau normal reproductible. AIR combine un sujet brûlant, un réseau 8200 / Wiz / Cognition, deux fonds de tout premier plan et une traction entreprise déjà chiffrée. Copier uniquement le pitch « on sécurise les agents » sans pipeline de revérification ni clients régulés produira surtout des clones sous-financés. La catégorie attirera trop de monde, trop vite. Seuls ceux qui possèdent la donnée d’observation tiendront.

Autre piège : surpromettre le blocage parfait. Un enforcement trop agressif casse les workflows. Un enforcement trop mou ne justifie pas le prix. Le produit gagnant sera celui qui saura expliquer chaque refus dans la langue du métier : « ce skill élargit l’accès disque », « ce MCP résout vers un domaine nouveau », « ce mainteneur a perdu le contrôle de son compte ». La pédagogie est une feature. Dans les outils de sécu, elle est même parfois la feature qui fait renouveler le contrat.

Vers Un Standard De Signature Des Skills ?

L’analogie du driver signé ouvre une piste plus large que le destin d’une seule startup. Le marché peut converger vers un standard : signatures, attestations de build, SBOM pour skills, registres publics de révocation, politiques d’entreprise exprimées en règles machine. AIR, Zenity, Noma et les labs ont tous intérêt à pousser une norme, tout en essayant d’en devenir le point de passage. C’est la dialectique habituelle des infrastructures de confiance.

En attendant cette norme, les entreprises n’ont pas le luxe d’attendre. Elles peuvent commencer par un inventaire manuel, un gel des MCP non revus, une classification des données exposées aux agents, une interdiction temporaire des comptes personnels sur les flottes critiques. Ce n’est pas élégant. C’est du gel sanitaire. Puis elles pourront choisir une plateforme. L’ordre compte. Acheter un outil sans politique, c’est analogique à acheter un firewall sans règles.

Les éditeurs d’agents eux-mêmes — Cognition et ses pairs, pour citer un ange du tour — seront poussés à exposer plus de télémétrie. Un agent qui ne dit pas quels tools il charge est unsellable dans une banque. La transparence runtime va devenir un argument commercial, comme l’observabilité l’est devenue pour le cloud natif. Les startups qui aideront les builders d’agents à « naître auditables » auront peut-être un débouché aussi large que celles qui sécurisent après coup.

Une Check-List Concrète Avant Le Prochain Pilot

Pour terminer côté terrain, voici une liste utile avant de lancer le prochain pilote d’agents dans une équipe marketing, finance ou ops. Elle n’a rien de magique. Elle évite simplement les angles morts que la levée d’AIR met en lumière.

• Nommer un propriétaire unique du catalogue d’outils agents, métier et IT ensemble.
• Enregistrer chaque skill, plugin et serveur MCP avec version, source, permissions et date de revue.
• Interdire par défaut les comptes personnels sur les données clients ou les créas non publiées.
• Journaliser les actions d’agents au même titre que les actions humaines privilégiées.
• Prévoir une révocation en un clic, y compris pour un outil « déjà validé ».
• Tester un scénario d’empoisonnement de contenu, pas seulement un scénario d’intrusion.
• Inclure la supply chain agents dans les questionnaires prestataires et les audits 2027.

Cette discipline paraîtra lourde aux équipes qui découvrent encore la magie des agents. Elle sera banale le jour où un incident public mettra un nom de marque à la une pour un skill compromis. Les entreprises qui auront déjà le muscle — inventaire, whitelist, runtime, revue continue — transformeront la crise des autres en argument commercial. C’est toujours ainsi que les catégories de sécurité basculent du « nice to have » au « case à cocher dans l’appel d’offres ».

Le Vrai Enjeu : Garder Les Agents Utiles Sans Les Laisser Seuls

AIR ne raconte pas la fin des agents. Elle raconte leur passage à l’âge adulte. Un système d’exploitation sans politique d’installation est un terrain de jeu. Un système d’exploitation avec signatures, magasins contrôlés et révocation devient une infrastructure. Les entreprises qui veulent extraire de la valeur marketing, opérationnelle ou financière des agents n’ont pas d’autre chemin. L’autonomie sans attestation n’est pas de l’innovation. C’est de la dette invisible.

Les 50 millions de dollars, Sequoia, Greenoaks, les anges issus de Wiz, Cognition, Clay ou Eon, les vingt clients dont une part de grands comptes, le 27 % d’outils écartés : tout cela dessine moins une success story qu’un avertissement calendaire. La fenêtre pour gouverner la supply chain des agents est ouverte maintenant, tant que les flottes sont encore dénombrables. Elle se refermera dès que chaque département aura ses propres sous-agents, ses propres MCP et ses propres habitudes impossibles à cartographier a posteriori.

Alors, faut-il croire qu’AIR gagnera la catégorie ? Personne ne peut le dire. Zenity a plus de capital en late stage, d’autres acteurs tiennent déjà l’identité ou la passerelle MCP, les labs renforceront leurs garde-fous natifs. En revanche, le problème que la startup décrit est déjà là, dans les stacks marketing comme dans les cœurs de métier bancaires. Les agents installent. Les agents lisent. Les agents agissent. Tant que personne ne signe ce qu’ils chargent, quelqu’un d’autre, quelque part, est ravi de le faire à leur place. La seule question utile, pour une direction générale, n’est plus « faut-il des agents ? ». Elle est devenue : qui a le droit de leur mettre des outils dans les mains, et comment le savons-nous encore demain matin ?