De la “disruption par l'IA” à la “catalyse par l'IA”, la logique des actions de cybersécurité a changé

La perception du marché à l'égard de l'IA et du secteur de la cybersécurité connaît un virage manifeste.

Bank of America Securities a publié un rapport approfondi le 18 août, soulignant qu’il y a quelques mois, le marché craignait encore que l’IA ne bouleverse le modèle commercial des fournisseurs de cybersécurité traditionnels, affaiblissant les avantages compétitifs de leurs produits et plateformes existants ; mais avec l’émergence rapide de nouvelles méthodes d’attaque telles que les agents IA, le marché prend conscience que l’IA augmente la surface d’attaque des entreprises et accroît la vitesse et la complexité des cyberattaques.

Cela signifie que la relation entre l’IA et la cybersécurité évolue de "disrupteur" à "catalyseur de la demande". Plus les applications d’IA en entreprise s’approfondissent, plus les exigences en matière de sécurité pour l’identité, les données, les terminaux et les environnements cloud augmentent, à tel point que la cybersécurité est en train de passer du statut de victime potentielle de la vague d’IA à celui d’infrastructure indispensable à sa mise en œuvre à grande échelle.

Ce changement commence déjà à se refléter dans les performances du marché. Au cours des deux derniers mois, le CIBR ETF a progressé de 16,1 %, le HACK ETF de 38 %, l’IVG de 14,9 %, alors que l’indice S&P 500 n’a augmenté que de 3,6 % sur la même période. Parallèlement, la valorisation du secteur de la cybersécurité s’est nettement élargie, montrant que les capitaux sont en train de revaloriser les perspectives de croissance du secteur.

La menace IA redéfinit la demande de sécurité

Jusqu’alors, les craintes du marché concernant l’impact de l’IA sur le secteur de la cybersécurité reposaient sur une logique simple : l’IA abaisse le seuil technologique, ce qui pourrait aider les entreprises à améliorer l’efficacité de leur sécurité, mais aussi permettre aux attaquants de lancer des attaques à moindre coût, affaiblissant ainsi la valeur des produits de sécurité traditionnels.

Mais avec le développement rapide de l’Agentic AI, cette logique est en train de changer. Les agents IA peuvent exécuter des tâches à travers différents systèmes, détecter de leur propre chef des vulnérabilités et fonctionner de façon autonome sous supervision humaine limitée ; les “attaques pilotées par agents” ainsi générées deviennent un nouveau risque de premier plan pour les CISO des entreprises.

Comparées aux cyberattaques traditionnelles, les menaces pilotées par l’IA signifient non seulement une extension de la surface d’attaque, mais aussi une augmentation simultanée de la rapidité et de la complexité des attaques. Pour les entreprises, plus le déploiement d’IA est large, plus elles doivent gérer d’identités, droits d’accès, données et charges de travail. Si les capacités de sécurité ne sont pas mises à niveau au même rythme, les gains d’efficacité de l’IA pourraient se transformer en nouveaux risques de sécurité.

Ainsi, l’IA crée une nouvelle boucle de demande en matière de sécurité : L’IA élargit la surface d’attaque – la complexité des attaques augmente – les entreprises investissent davantage en sécurité – les fournisseurs de sécurité en bénéficient.

La cybersécurité passe de "dépense défensive" à "infrastructure de l’IA"

Le changement le plus important réside dans le rôle de la cybersécurité.

Auparavant, la cybersécurité était surtout perçue comme une dépense défensive dans le budget IT des entreprises, et la valorisation du secteur était vulnérable aux cycles macroéconomiques et aux budgets IT des entreprises. Mais à l’ère de l’IA, la sécurité devient progressivement une condition nécessaire à l’expansion des usages de l’IA en entreprise.

Les entreprises doivent s’assurer que les agents IA sont correctement autorisés, contrôler les identités et accès des machines, protéger les données dans les workflows de l’IA et surveiller en permanence le cloud, les terminaux et le réseau. En d’autres termes, sans capacités de sécurité suffisantes, il sera difficile pour une entreprise de déployer vraiment sa stratégie IA à grande échelle.

Cela fait passer la logique de la demande en cybersécurité d’une simple "gestion des risques" à un rôle de "garant de la croissance de l’IA". Plus les investissements dans l’IA sont importants, plus les dépenses potentielles de sécurité pourraient augmenter en conséquence.

Le secteur est en phase de revalorisation

Le changement de logique de la demande se reflète déjà au niveau des valorisations. Selon Bank of America, la médiane du ratio EV/2027 Sales des entreprises de cybersécurité est actuellement d’environ 5,8 fois, contre seulement 4,5 fois il y a deux mois ; la valorisation moyenne est passée de 7,0 à 9,0 fois.

Parallèlement, les ETF cybersécurité ont nettement surperformé le marché ces derniers temps, ce qui montre que les fonds accordent une attention accrue au secteur. Du point de vue de la valorisation, la revalorisation du secteur n’est pas seulement liée à une amélioration des résultats à court terme, mais traduit aussi une confiance accrue dans la visibilité de la croissance de la cybersécurité.

Si l’IA continue d’augmenter les actifs numériques, les identités machines et les workflows automatisés des entreprises, la demande en sécurité suivra. Cela signifie que la taille du marché adressable à long terme de la cybersécurité (TAM) est en train d’être redéfinie par l’IA.

La hausse de la valorisation doit encore être confirmée par les résultats

Toutefois, la revalorisation du secteur implique également une exigence accrue en termes de croissance future.

Bank of America estime que la valorisation actuelle du secteur des logiciels de cybersécurité se situe environ entre 5 et 10 fois EV/Sales ; les différences de valorisation entre entreprises reflètent essentiellement la vitesse de croissance, la capacité à pénétrer de nouveaux marchés et la visibilité du modèle d’affaires.

Ainsi, le catalyseur de la demande apporté par l’IA ne signifie pas que toutes les entreprises de cybersécurité bénéficieront du même niveau de prime de valorisation. Les sociétés qui parviendront à gagner durablement la reconnaissance du marché devront prouver que l’IA, en plus de générer de nouveaux risques de sécurité, se traduit aussi par des commandes concrètes, une croissance de l’ARR et une expansion du marché adressable.

Cela veut aussi dire que le principal point d’attention pour le secteur ne sera plus de savoir si "l’IA va disrupter la cybersécurité", mais bien "combien de nouveaux besoins l’IA apportera-t-elle réellement à la cybersécurité".