Okta et Cyera viennent de payer 1,2 milliard de dollars pour racheter deux start-ups qui gouvernent les agents IA en entreprise — et le PDG d'un troisième acteur nomme sans détour le risque que ça pose aussi aux PME
Entre le 27 et le 30 juillet 2026, cinq opérations distinctes ont mis un prix réel sur un seul problème : qui contrôle ce qu'un agent IA a le droit de faire. Okta a payé 200 millions de dollars pour Permiso Security, Cyera 1 milliard pour Oasis Security, et Inforcer a levé 50 millions pour aider les prestataires IT (MSP) à protéger leurs clients PME — son PDG nommant sans détour un risque réel : l'IA baisse aussi la barrière à l'entrée pour attaquer.
La semaine du 27 juillet 2026 a vu cinq opérations distinctes — non coordonnées entre elles — converger sur le même problème étroit : qui contrôle les agents IA qui tournent dans les systèmes d'entreprise. Cyera, qui venait de lever 600 millions de dollars à 12 milliards de valorisation, a payé environ 1 milliard de dollars pour racheter Oasis Security, une plateforme de gouvernance d'identité et d'accès pour agents IA. Okta a payé 200 millions pour Permiso Security, spécialisée dans l'analytique d'identité cloud. Les deux rachats visent le même constat : le périmètre d'identité d'une entreprise inclut désormais des agents non humains, et les outils existants n'ont pas été conçus pour ça. Le même jour, Inforcer — une plateforme britannique dédiée aux prestataires de services managés (MSP), les entreprises qui gèrent l'informatique de milliers de PME — a levé 50 millions de dollars en série C menée par Insight Partners, précisément pour aider ces MSP à encadrer les déploiements d'IA de leurs clients.
Le PDG d'Inforcer, Jamie Daum, l'a formulé sans détour : « Claude Code d'Anthropic peut faire de n'importe qui un 'vibe coder', et Mythos peut faire de n'importe qui un hacker. Le paysage de la menace n'a jamais été aussi dangereux pour les PME. » Autrement dit : l'IA ne baisse pas seulement la barrière à l'entrée pour automatiser un métier — elle baisse aussi celle pour attaquer une entreprise qui n'a pas les moyens d'une équipe de sécurité dédiée. La réponse du marché, jusqu'ici, est une couche supplémentaire : un MSP qui gère, pour le compte de la PME, une plateforme séparée de gouvernance et de sécurité IA — un abonnement et un fournisseur de plus, pas une propriété native de l'outil que la PME utilise déjà tous les jours.
Pour AppH
- Confirme, avec de l'argent réel (1,2 milliard de dollars de rachats la même semaine), que gouverner ce qu'un agent IA a le droit de faire est désormais reconnu comme une brique d'infrastructure urgente — exactement la posture qu'AppManager applique par défaut sur chaque module depuis sa conception, sans abonnement de sécurité séparé à ajouter par-dessus.
- Le principe qu'Inforcer vend comme fonctionnalité ajoutée à ses clients MSP — savoir précisément ce qu'un agent a fait et pourquoi — est chez AppH une approbation humaine explicite avant l'action, journalisée dans DECISIONS.md/l'audit trail, jamais une case à cocher optionnelle.
Contre / ce qui ne s'applique pas
- AppH n'est pas une plateforme de sécurité ou de détection de menaces : elle ne surveille pas le « shadow AI » (un employé qui colle des données de l'entreprise dans un outil IA personnel) ni la sécurité globale de l'environnement Microsoft 365 d'un client — sa gouvernance couvre ce qui se passe DANS AppManager, pas tout le système d'information du client.
- Le prix de ces rachats (1,2 milliard combiné) reflète un problème à l'échelle d'entreprises de plusieurs milliers de salariés et d'environnements cloud complexes — l'exposition réelle d'une PME cliente d'AppH est bien plus modeste en valeur absolue, même si le principe (quelqu'un doit décider ce qu'un agent a le droit de faire) s'applique à toute échelle.
Ce qui nous semble important dans cette semaine de rachats, c'est qu'elle confirme — avec de l'argent réel, pas une prédiction — que la question « qui a le droit de décider ce qu'un agent IA peut faire » est en train de devenir une ligne budgétaire de sécurité d'entreprise à part entière, pas un supplément optionnel. On partage ce constat depuis le premier module d'AppManager : rien ne s'exécute sans validation humaine explicite, journalisée. Mais on tient à être honnête sur une limite réelle plutôt que de la maquiller : Inforcer et les plateformes qu'Okta et Cyera viennent de racheter gouvernent tout l'environnement IT d'une entreprise — chaque outil, chaque compte, chaque agent, où qu'il tourne. AppManager gouverne ce qui se passe dans AppManager. Si le vrai risque d'une PME est qu'un employé colle des données confidentielles dans un outil IA public depuis son ordinateur personnel, ce n'est pas un problème qu'AppManager résout aujourd'hui — et le dire clairement compte plus pour nous que de laisser croire le contraire. Ce qu'on peut affirmer sans exagérer : à l'intérieur du périmètre qu'AppManager couvre réellement (devis, factures, CRM, agenda, flotte, et le reste), le principe qu'un milliard de dollars de rachats vient de valider cette semaine — une approbation humaine avant chaque action d'agent, une trace de pourquoi — était déjà là, par défaut, sans supplément à payer.
Vérifié par un humain d'AppH