Le géant américain de la sécurité, Palo Alto Networks, négocierait le rachat d’une start-up israélienne, Clutch, qui identifie les accès utilisés par les agents IA et permet d’en limiter les droits. Le prix évoqué, 500 millions de dollars, atteindrait environ 50 fois ses revenus récurrents annualisés.
Un agent IA peut désormais disposer d’un accès à Slack, d’identifiants pour une base de données et du droit de modifier du code. Clutch Security veut permettre aux équipes de sécurité de savoir qui lui a confié ces accès et de contrôler ce qu’il peut en faire. Une spécialité qui intéresserait de près Palo Alto Networks, selon TechCrunch.
Un demi-milliard pour une entreprise de trois ans
Palo Alto Networks discuterait en effet d’un paiement de 500 millions de dollars en numéraire, auquel s’ajouteraient des compléments conditionnés à certains objectifs. Les négociations, révélées initialement par The Information, sont en cours et pourraient ne pas aboutir.
Fondée en 2023, Clutch approcherait les 10 millions de dollars de revenus récurrents annualisés, ou ARR, un indicateur qui ramène les abonnements en cours à une année complète. Le prix de base de ce rachat représenterait donc environ 50 fois ce montant. TechCrunch situe par ailleurs la précédente valorisation de Clutch à 85 millions de dollars lors de sa levée de fonds de janvier 2025.
Retrouver les identifiants, puis limiter ce qu’ils autorisent
Clutch travaille sur les « identités non humaines ». Sa plateforme recense les comptes de service utilisés par les logiciels ainsi que les clés d’accès aux interfaces de programmation, ou API, et les jetons d’authentification qui leur permettent de se connecter à d’autres outils.
L’enjeu est de relier ces accès à leur usage réel. D’après Clutch, son inventaire associe chaque agent à la personne qui l’a déployé, aux identifiants qu’il emploie et aux ressources qu’il peut atteindre. L’entreprise cherche ainsi à repérer aussi bien les assistants installés sur les postes de travail de l’entreprise que les agents exécutés dans le cloud ou intégrés à des logiciels professionnels.
À partir de cette cartographie, les équipes peuvent fixer des limites. Une action autorisée sur un environnement de développement peut, par exemple, être bloquée sur les serveurs de production, ceux qui font fonctionner le service utilisé par les clients. Clutch propose aussi de bloquer l’envoi direct de modifications vers les branches protégées d’un dépôt de code, ou d’empêcher un agent de lire des identifiants stockés sur un ordinateur. Le principe consiste à donner à l’agent les droits nécessaires à sa mission, puis à surveiller leur utilisation.
La sécurité des agents attire les grands acheteurs
Pour Palo Alto Networks, cette acquisition éventuelle prolongerait son offensive dans la sécurité des identités. Le groupe a finalisé le rachat de CyberArk en février 2026, une opération annoncée à 25 milliards de dollars. Cette plateforme protège déjà les accès des utilisateurs humains, des machines et des agents IA. Clutch viendrait donc renforcer un domaine dans lequel le groupe est déjà engagé.
Ses concurrents avancent également. Cyera a ainsi bouclé en septembre le rachat d’Oasis Security pour un milliard de dollars, afin de rapprocher la protection des données du contrôle des identités et des accès des agents. Bref, les agents ont le vent en poupe, le business pour les contrôler et sécuriser, aussi !
Les identités non humaines désignent des comptes et informations d’accès utilisés par des logiciels plutôt que par des personnes : comptes de service, clés API, jetons OAuth, certificats, etc. Elles servent à automatiser des tâches et à permettre à des applications, scripts ou agents IA d’appeler d’autres services (Slack, bases de données, dépôts Git…). Le risque vient du fait que ces identités sont souvent créées rapidement, peu documentées et réutilisées longtemps, parfois avec des droits trop larges. Comme elles ne « se connectent » pas comme un utilisateur classique, elles échappent plus facilement aux contrôles habituels (revues d’accès, MFA, rotation régulière). Les sécuriser consiste d’abord à les inventorier, puis à réduire et surveiller leurs privilèges.
Une clé API ou un jeton d’authentification est un sésame technique permettant à un logiciel d’accéder à une API, donc à des fonctions et des données d’un service distant. Un jeton est souvent limité dans le temps et lié à des permissions, tandis qu’une clé API est parfois plus statique et donc plus risquée si elle fuit. Avec des agents IA capables d’enchaîner des actions (lire, écrire, supprimer, déployer du code), un secret mal protégé peut ouvrir la porte à des opérations à fort impact. Le principal enjeu est d’empêcher qu’un agent réutilise un jeton pour sortir de son périmètre (exfiltration, modification de configurations, accès à des dépôts). D’où l’importance de la traçabilité (qui a créé/attribué le secret) et du contrôle fin des permissions.
Le principe du moindre privilège consiste à donner à un agent uniquement les droits strictement nécessaires à sa mission, et pas davantage. Concrètement, un agent peut être autorisé à exécuter des actions en environnement de développement (tests, lecture de logs, modifications limitées), tout en étant bloqué en production, où la moindre erreur ou action malveillante impacte des clients. La séparation dev/prod réduit le rayon d’action en cas de compromission d’un identifiant ou de comportement inattendu de l’agent. Dans les organisations matures, cela s’accompagne de règles de contrôle d’accès (RBAC/ABAC), de validations humaines pour certaines actions, et d’une journalisation détaillée. L’objectif est de limiter les dégâts tout en gardant l’automatisation utile.
