Avec des performances dépassant largement les 1'000% au cours de la dernière décennie, Fortinet, Palo Alto Networks, CrowdStrike et d’autres géants de la cybersécurité ont su tirer leur épingle du jeu dans des sociétés toujours plus numérisées. «Cette industrie a accompagné toutes les grandes évolutions numériques que nous avons connues ces dix ou vingt dernières années, de l’essor du e-commerce et des appareils mobiles au cloud et au travail à distance pendant le Covid, jusqu’à l’intelligence artificielle aujourd’hui», raconte Brice Mari.

Managing Partner chez Synapse Invest, ce dernier estime qu’au vu des évolutions technologiques à venir, la cybersécurité restera logiquement un thème d’investissement majeur ces prochaines années. Reste à savoir si les performances boursières futures pourront se révéler aussi impressionnantes que par le passé. Entretien.

Plusieurs cas récents de piratage en France, notamment celui du fisc, montrent que beaucoup reste à faire en matière de cybersécurité… Est-ce également le cas en Bourse?

Ils montrent surtout que le risque cyber reste extrêmement élevé, notamment pour les infrastructures critiques, et ce même si les entreprises ont énormément investi dans la cybersécurité au cours de la dernière décennie.

Cela tient notamment au fait que la surface vulnérable augmente encore plus rapidement, avec la généralisation du cloud et la prolifération des objets connectés et intelligents – véhicules, robots industriels, agents d’IA, etc. –, tandis que les méthodes d’attaque évoluent elles aussi. L’IA, en particulier, constitue un formidable outil de défense, mais également un nouveau vecteur d’attaque. Grâce à elle, les hackers peuvent améliorer et accélérer leurs offensives, voire les automatiser entièrement, ce qui se traduit par un volume plus important de cas de piratage et une plus grande sophistication.

On peut donc légitimement supposer que la cybersécurité continuera d’enregistrer une croissance structurelle largement supérieure à celle de l’économie. Un nouveau cycle porté notamment par les produits de sécurité dédiés à l’IA. On peut citer l’AIDR (AI Detection and Response) de CrowdStrike, dont l’objectif est de sécuriser les applications d’IA, les grands modèles de langage (LLM) et les agents d’IA.

Les chiffres publiés ces derniers jours par plusieurs grands acteurs du secteur, comme CrowdStrike et Okta, semblent même indiquer que nous nous dirigeons vers une accélération des dépenses en cybersécurité plus forte qu’attendu. Les récents incidents impliquant des agents d’IA inquiètent en effet de nombreuses entreprises et les incitent à investir davantage. Des agents autonomes d’OpenAI et d’Anthropic ont ainsi échappé à leur environnement initial pour infiltrer des organisations tierces.

Alors que les performances boursières de Palo Alto Networks, CrowdStrike, Cloudflare ou encore Fortinet sont impressionnantes, ces géants n’ont clairement pas le même écho médiatique que Nvidia, Tesla ou les GAFAM… Comment l’expliquer?

Je pense tout d’abord que le secteur de la cybersécurité est bien connu des investisseurs depuis déjà vingt ou trente ans, avec les premières introductions en Bourse remontant aux années 1990 – Check Point, par exemple, a fait son entrée au Nasdaq en 1996. Dès lors, il devient plus difficile de surprendre les investisseurs et de susciter chez eux un effet «waouh» comparable à celui que peuvent provoquer des technologies émergentes comme l’IA, le quantique ou le spatial.

Rappelons aussi qu’en y regardant de plus près, on observe une grande dispersion des performances, avec d’excellents élèves – Palo Alto Networks, Fortinet, CrowdStrike… –, mais également des cancres, comme Zscaler, Check Point ou Rapid7.

Ensuite, même si elle représente un marché de l’ordre de 200 à 300 milliards de dollars, la cybersécurité peut paraître moins impressionnante que d’autres segments de la tech. À titre de comparaison, les investissements dans les centres de données devraient dépasser les 1'000 milliards de dollars l’année prochaine!

Mais je suis d’accord: il est paradoxal de constater le peu de couverture médiatique dont bénéficient les entreprises de cybersécurité, alors même que le nombre de menaces explose.

À quel point l’IA agentique est-elle en train de changer la donne en matière de cyberdéfense?

Je pense qu’il s’agit probablement du changement le plus important à court terme. Avec l’IA générative classique, l’attaquant comme le défenseur utilise un outil qui lui permet d’être plus efficace ou d’agir plus rapidement, qu’il s’agisse de lancer une attaque ou d’y riposter. Avec l’IA agentique, on donne à la machine des objectifs, des accès et une capacité d’action : bref, une forme d’autonomie.

Côté attaque, un agent peut rechercher des vulnérabilités, générer du code, voler des identifiants, se déplacer au sein d’un réseau et adapter son comportement beaucoup plus rapidement qu’un humain. Comme l’ont montré les incidents de cet été, notamment celui impliquant Hugging Face et des agents d’OpenAI, nous sommes déjà entrés dans une phase où les agents peuvent découvrir et exploiter automatiquement une succession de vulnérabilités, voire coordonner leur «travail».

Côté défense, exactement le même mécanisme peut être utilisé pour surveiller en permanence les systèmes, analyser des millions d’événements, identifier une anomalie, enquêter et, éventuellement, neutraliser automatiquement la menace.

Le résultat pourrait être une sorte de course à l’armement entre agents d’IA offensifs et défensifs. Cette évolution devrait favoriser les grands acteurs disposant à la fois de volumes considérables de données, de modèles propriétaires et d’une présence sur l’ensemble des segments de la cybersécurité.

Qu’en est-il de l’informatique quantique?

À court terme, je dirais que le principal défi pour les acteurs de la cybersécurité réside dans la concurrence des modèles LLM. L’informatique quantique représente plutôt un risque à moyen ou long terme, une fois que la technologie sera véritablement établie. L’arrivée d’ordinateurs quantiques suffisamment puissants pourrait en effet rendre obsolètes certains des algorithmes de chiffrement actuels. Le risque est d’autant plus sérieux que des attaquants peuvent déjà dérober aujourd’hui des données chiffrées dans l’espoir de pouvoir les déchiffrer plus tard, lorsque les ordinateurs quantiques seront suffisamment performants.

Mais il faut se souvenir que la cybersécurité s’apparente, en quelque sorte, au jeu du chat et de la souris. À chaque nouvelle avancée technologique et à chaque nouvelle menace, les entreprises de cybersécurité répondent par de nouvelles solutions. Dans le cas du quantique, il s’agira notamment de la cryptographie post-quantique, vers laquelle les infrastructures informatiques devront progressivement évoluer. Cette transition nécessitera de nouveaux outils de gestion des clés, des identités et des certificats, ainsi que de détection des vulnérabilités.

Paradoxalement, à l’instar de l’IA aujourd’hui, qui constitue à la fois une menace et une opportunité, le quantique pourrait donc, à terme, ouvrir un nouveau cycle de croissance pour les éditeurs de solutions de cybersécurité.

Pour les investisseurs ayant raté le train, est-il encore temps d’entrer sur ce marché?

En accroissant sensiblement la menace informatique, l’IA élargit le marché adressable des spécialistes de la cybersécurité. On devrait donc assister à une accélération de la croissance du secteur, avec l’émergence de nouveaux produits visant notamment à sécuriser les agents d’IA. Il me semble donc encore opportun de se positionner pour profiter de ce nouveau cycle.

Quels groupes vous apparaissent comme les mieux armés pour les années à venir?

Les agents d’IA vont devenir de redoutables vecteurs d’attaque. À mesure que les offensives gagneront en sophistication, les spécialistes de la cybersécurité et leurs clients devront collecter et corréler un volume beaucoup plus important de données de télémétrie afin de détecter les menaces et d’y répondre en temps réel.

La montée en puissance de l’IA agentique devrait ainsi favoriser les acteurs capables d’offrir la visibilité et le contrôle les plus larges possible à l’échelle de l’entreprise. Autrement dit, des plateformes complètes couvrant le cloud et les réseaux, les appareils connectés, les identités et la gestion des accès. Parmi les leaders dans ce domaine, on peut notamment citer Palo Alto Networks, CrowdStrike ou Fortinet.

Parmi les acteurs plus spécialisés, je mentionnerais Okta et SailPoint, deux des leaders dans le domaine de l’identité et de la gestion des accès. À mesure que les entreprises déploieront des centaines, voire des milliers d’agents d’IA ayant accès à leurs infrastructures et à leurs données informatiques, chaque agent deviendra, de fait, une nouvelle identité numérique. Les systèmes de sécurité devront dès lors déterminer non seulement qui accède à une ressource, mais aussi quel agent agit, quelles sont ses autorisations et si son comportement reste cohérent avec son rôle.

Lorsqu’on sait que le nombre d’agents pourrait dépasser d’un facteur 100 celui des identités humaines, on comprend rapidement que le potentiel du marché de la gestion des identités et de la gouvernance des agents d’IA est colossal.