Présentation de Cymphony
Cymphony Inc., startup de sécurité d’entreprise fondée il y a deux ans, a annoncé son lancement officiel avec un financement de 30 millions de dollars, dont 25 M$ en série A co‑dirigée par Sequoia Capital et SMBC Fin Atlas Beyond Fund. La levée porte la valorisation de la société à plus de 100 M$. En moins d’un an d’activité commerciale, la société a atteint un revenu récurrent annuel à sept chiffres, selon TechCrunch.
Le PDG Shy Dekel, ancien officier de l’unité cyber 8200, décrit un premier client qui a relié ChatGPT à SharePoint, permettant à chaque stagiaire d’interroger des documents liés à un litige sensible. L’incident illustre le risque de « shadow‑AI » que Cymphony vise à rendre visible.
Architecture du graphe de sécurité
Le cœur du produit est le workforce security graph, une carte unifiée des identités (humaines, agents IA, comptes machines), des permissions, des données sensibles et des activités. Aucun agent n’est installé sur les postes finaux ; le graphe se construit à partir des sources d’identité et des journaux d’accès déjà présents dans l’infrastructure du client. Cette approche permet de déployer la solution en une journée, selon le communiqué.
Le graphe interroge les métadonnées de systèmes tels que SharePoint, les bases de données cloud et les solutions de gestion des identités. En consolidant ces informations, il rend possible la corrélation entre un compte IA et les ressources qu’il a touchées, un point d’analyse absent des solutions traditionnelles centrées sur les utilisateurs humains.
Fonctionnalités et flux d’investigation
La plateforme se décline en quatre modules : (1) inventaire des outils IA utilisés et des données injectées, (2) détection de données exposées ou sur‑partagées, (3) hygiène des identités (comptes administrateurs inactifs, MFA manquant) et (4) centre de menace qui surveille les comportements d’insider, comme les téléchargements massifs. Les alertes sont traitées via Maestro, un assistant conversationnel qui accepte des requêtes en langage naturel, éliminant la nécessité d’une syntaxe de requête complexe.
Les premiers clients – Syngenta, KKR & Co., Cass Information Systems, Athennian et même Sequoia Capital sur ses propres systèmes – utilisent ces modules pour cartographier les interactions entre IA et données critiques. Le modèle d’abonnement a généré un ARR à sept chiffres dès la première année, démontrant une adoption rapide dans des secteurs à forte contrainte de conformité.
Analyse des enjeux et limites
Le positionnement de Cymphony repose sur la prémisse que les agents IA constituent désormais une « force de travail » dont la visibilité est insuffisante. En exposant les chemins d’accès, la solution réduit le risque d’exfiltration involontaire, mais elle dépend fortement de la qualité des logs d’origine. Dans des environnements où la journalisation est partielle ou où les API d’audit sont limitées, le graphe peut présenter des zones d’ombre.
Par ailleurs, l’absence d’installation sur les endpoints élimine un vecteur d’attaque supplémentaire, mais elle empêche la collecte de données comportementales fines (ex. : mouvements de souris, accès à la mémoire). Les organisations devront donc coupler Cymphony à des solutions EDR pour une visibilité complète.
Enfin, le modèle économique, soutenu par des investisseurs spécialisés dans le fintech et la cybersécurité, indique une ambition de devenir une plateforme de base pour la gouvernance des agents IA. La capacité à évoluer vers des intégrations natives avec les principaux fournisseurs de cloud (AWS, Azure, GCP) sera déterminante pour maintenir la pertinence technique à mesure que les agents IA se multiplient.
