La réponse courte
Cyera, société de sécurité des données d'origine israélienne valorisée autour de 12 milliards de dollars, a signé le 28 juillet 2026 une lettre d'intention pour racheter Oasis Security pour environ 1 milliard de dollars — soit, selon les informations, quelque 700 millions de dollars en numéraire plus des actions Cyera. Oasis, fondée en 2022, sécurise les identités non humaines : les comptes de service, jetons, clés numériques et, de plus en plus, les agents IA qui s'authentifient aux systèmes de l'entreprise sans personne derrière eux. Oasis opérera comme unité dédiée au sein de Cyera, intégrant la gouvernance des identités à la plateforme de sécurité des données de Cyera.
Ce rachat est un signal de marché. Dès l'instant où vous livrez un agent autonome, vous créez une identité capable de se connecter, de porter des identifiants et d'atteindre de vrais systèmes — et la plupart des organisations ne savent pas encore voir, gouverner ni auditer ces identités. C'est précisément cette lacune qui fait de l'identité des agents une préoccupation de premier ordre pour quiconque développe des agents IA, et non un problème à greffer après le lancement.
Ce que Cyera achète
Cyera s'est fait un nom dans le data security posture management — découvrir où résident les données sensibles dans le patrimoine cloud d'une organisation, et les classifier. En juin 2026, elle a levé environ 600 millions de dollars sur une valorisation d'environ 12 milliards, a réuni au total près de 2,3 milliards et déclare plus de 150 millions de dollars de revenus récurrents annuels, tout en restant loin de la rentabilité. Oasis est sa troisième acquisition de l'année, après Ryft et Genie Security, et de loin la plus importante.
Oasis Security a été fondée en 2022 par son directeur général Danny Brickman et son directeur produit Amit Zimerman, et avait levé environ 190 millions de dollars auprès d'investisseurs comme Accel, Craft Ventures et Cyberstarts. Sa plateforme inventorie et régule les identifiants dont les machines se servent pour se connecter : elle cartographie quels comptes de service, API, bots et charges de travail existent et ce qu'ils peuvent atteindre, signale les comptes dormants et les permissions trop larges, et peut faire tourner ou retirer ces identifiants sans intervention humaine. Autrement dit, elle fait pour les identités machine ce que les outils de gouvernance des identités font depuis longtemps pour les salariés.
Le directeur général de Cyera, Yotam Segev, résume la logique sans détour : « Connaître ses données ne suffit pas si l'on ne peut pas gouverner qui — ou quoi — les touche. » Le plan est de fusionner la gouvernance des identités d'Oasis avec le moteur de découverte de données de Cyera afin qu'une seule plateforme réponde à la fois à « où sont mes données sensibles ? » et « quels humains et machines peuvent les atteindre ? » Segev a cité une hausse de près de 500 % des identités non humaines dans les entreprises du Fortune 500 en six mois comme raison pour laquelle les deux problèmes ne peuvent plus se traiter séparément.
Pourquoi l'identité des agents vaut-elle soudain 1 Md$ ?
Commençons par une définition, car le terme fait beaucoup de travail. Une identité non humaine (NHI) est tout identifiant qui s'authentifie à un système sans personne derrière — un compte de service, une clé d'API, un jeton OAuth, une identité de charge de travail dans un cluster Kubernetes. Ces éléments ont toujours existé, mais ils formaient une population de fond gérable. Les agents IA changent la donne. Un agent qui planifie un changement, lance des tests et ouvre une pull request doit s'authentifier à votre dépôt, à vos API cloud et éventuellement à votre base de production, et chacun de ces points de contact est une identité assortie d'un secret.
C'est l'échelle qui a rendu le problème bruyant. Les identités non humaines sont déjà plus nombreuses que les humaines dans la plupart des entreprises, souvent d'un ordre de grandeur, et l'essor des agents accélère cette courbe — d'où l'affirmation de Cyera d'un bond de près de 500 % dans les grandes entreprises en six mois. Or la gouvernance n'a pas suivi : tout au long de 2026, les enquêtes sectorielles ont montré à plusieurs reprises que la plupart des organisations appliquent des contrôles plus faibles aux identités machine et agent qu'aux salariés, et que seule une petite minorité dispose d'une véritable stratégie pour les gérer. Un identifiant qui n'expire jamais, dont la portée est bien trop large et que personne ne surveille est exactement le genre de point d'appui que les attaquants convoitent.
Voilà pourquoi l'argent se déplace. Un agent surdoté en privilèges n'a rien d'hypothétique : c'est un jeton actif qui peut lire des données qu'il ne devrait jamais voir, ou déclencher une action que personne n'a examinée. Le sécuriser, c'est traiter les secrets comme une infrastructure de premier ordre — émettre des identifiants éphémères et strictement délimités depuis un magasin géré tel que HashiCorp Vault au lieu de figer des clés durables dans le code, et surveiller ce que chaque identité fait réellement. Cyera parie que cette discipline deviendra la norme, et que posséder l'outillage qui la porte vaut un milliard de dollars.
Une vague de consolidation, pas un cas isolé
Le rachat d'Oasis ne tient pas seul. La sécurité des identités non humaines est devenue l'un des coins de l'industrie qui croît le plus vite, et 2026 a vu une série continue d'opérations et de lancements de produits visant précisément cela, tandis qu'éditeurs d'identité, spécialistes de la sécurité des données et fournisseurs cloud manœuvrent tous pour couvrir l'accès des machines et des agents. Quand des acteurs installés se mettent à payer des milliards pour acquérir une capacité plutôt que la construire, c'est généralement le signe qu'une catégorie est passée d'émergente à essentielle.
Pour les équipes qui bâtissent du logiciel, la consolidation coupe des deux côtés. L'avantage : gouverner l'identité des agents fera de plus en plus partie d'une plateforme que vous exploitez peut-être déjà, plutôt que d'un outil distinct à évaluer et intégrer. La mise en garde : la couverture d'une plateforme n'équivaut pas à une bonne conception. Un tableau de bord qui inventorie vos identités machine ne sert à rien si vos agents ont été architecturés pour demander d'emblée un accès large et permanent. Les contrôles doivent toujours être intégrés à la façon dont l'agent s'authentifie et à ce qu'il a le droit de faire — une décision d'ingénierie prise bien avant qu'une plateforme de sécurité ne la voie.
Ce que cela signifie pour les équipes IA en France
Pour les équipes françaises qui mettent des agents devant leurs clients et dans leurs processus internes, le message pratique est d'intégrer l'identité au design même de l'agent. Un agent devrait s'authentifier comme sa propre identité délimitée, ne détenir pas plus de privilèges que la seule tâche devant lui ne l'exige, et tirer ses secrets d'un magasin géré à l'exécution plutôt que d'un fichier de configuration ou d'une variable d'environnement committée il y a des mois. Construisez ainsi et une future revue de sécurité — ou une future preuve à fournir à un client sous exigence SecNumCloud ou DORA — devient une formalité ; sautez cette étape et vous accumulez une dette qu'un audit de sécurité finira par appeler.
Dans le contexte européen, la même ingénierie est aussi une exigence de conformité. Le règlement IA (EU AI Act) pousse fournisseurs et déployeurs de systèmes d'IA à haut risque vers une supervision humaine documentée, une journalisation et un contrôle d'accès, et le RGPD a toujours demandé de pouvoir dire qui — ou quoi — a accédé aux données personnelles. Concevoir correctement l'identité des agents n'est pas un chantier parallèle à la mise en conformité NIS2 et AI Act ; c'est une grande partie de la façon dont vous la démontrez.
Rien de tout cela n'est une raison de ralentir sur les agents. Les organisations qui tirent une vraie valeur de l'IA sont celles qui mettent les agents en production, pas celles qui restent bloquées en pilote. Le point clé, c'est que les équipes gagnantes sont celles qui prennent l'identité d'un agent aussi au sérieux que sa capacité — car un agent capable doté d'un accès non gouverné n'est pas un actif, c'est un incident qui attend sa date.
Comment doter vos agents d'une couche d'identité
Une séquence pratique applicable à tout agent déjà présent dans votre code ou inscrit sur votre feuille de route :
- Inventoriez vos identités non humaines. Recensez chaque compte de service, clé d'API, jeton et agent, ce qu'il peut atteindre et sa dernière utilisation. On ne gouverne pas ce qu'on n'a jamais compté.
- Donnez à chaque agent sa propre identité. Ne laissez pas les agents partager les identifiants d'un humain ou un unique compte de service partagé ; une identité distincte par agent est ce qui rend la journalisation et la révocation possibles.
- Limitez au moindre privilège, gardez l'éphémère. N'accordez que l'accès nécessaire à la tâche, émettez des identifiants éphémères et préférez une portée par requête aux permissions permanentes.
- Centralisez les secrets. Tirez les identifiants d'un magasin de secrets géré à l'exécution ; ne committez jamais de clés durables dans le code, la configuration ou les fichiers d'environnement.
- Journalisez et sachez révoquer instantanément. Enregistrez ce à quoi chaque agent accède, alertez sur les anomalies, et assurez-vous de pouvoir faire tourner ou couper l'accès d'un agent compromis sans attendre un humain.
Le pari à un milliard de dollars de Cyera est au fond un pari sur un changement de comportement : sécuriser ce que les machines peuvent toucher deviendra aussi routinier que sécuriser ce que les personnes peuvent toucher. Les équipes qui bâtissent des agents aujourd'hui décident si elles ont une longueur d'avance sur cette courbe ou si elles courent pour la rattraper.
Questions fréquentes
Qu'a annoncé Cyera à propos d'Oasis Security ?
Le 28 juillet 2026, Cyera, société de sécurité des données d'origine israélienne récemment valorisée autour de 12 milliards de dollars, a annoncé avoir signé une lettre d'intention pour racheter Oasis Security pour environ 1 milliard de dollars — soit, selon les informations, quelque 700 millions de dollars en numéraire et le reste en actions Cyera. Oasis, fondée en 2022, sécurise les identités non humaines telles que les comptes de service, jetons, clés et agents IA, et continuerait comme unité dédiée au sein de Cyera.
Qu'est-ce qu'une identité non humaine, et pourquoi compte-t-elle pour les agents IA ?
Une identité non humaine (NHI) est tout identifiant machine qui s'authentifie sans personne derrière : un compte de service, une clé d'API, un jeton OAuth, une identité de charge de travail ou un agent IA autonome. Chaque agent IA déployé devient une ou plusieurs NHI capables de se connecter, de détenir des secrets et d'agir. Cyera affirme que les identités non humaines des entreprises du Fortune 500 ont progressé de près de 500 % en six mois et sont le type d'identité qui croît le plus vite, d'où l'urgence de les gouverner.
Pourquoi la sécurité des identités se consolide-t-elle autour des agents IA en 2026 ?
À mesure que les entreprises font passer les agents IA en production, ceux-ci s'authentifient aux dépôts de code, aux API cloud et aux bases de données comme des salariés, mais avec une supervision plus faible. Les éditeurs intègrent la gouvernance des identités non humaines dans des plateformes de données et de sécurité plus larges afin qu'un seul plan de contrôle voie et régule humains et machines. Le rachat Cyera-Oasis, troisième acquisition de Cyera en 2026, indique que l'identité des agents devient une catégorie de sécurité à part entière.
Que doivent faire dès maintenant les équipes qui développent des agents IA ?
Traitez chaque agent comme une identité dès le premier jour. Inventoriez les identités machine et les secrets utilisés par vos agents, délivrez des identifiants éphémères à moindre privilège limités à une seule tâche, stockez-les dans un service de secrets géré plutôt que dans le code, journalisez ce à quoi chaque agent accède, et soyez capable de révoquer ou de faire tourner l'accès d'un agent compromis sans intervention humaine. Ces contrôles répondent aussi aux attentes de gouvernance de SOC 2, du RGPD, de NIS2, de DORA et du règlement IA.
Le rachat change-t-il quelque chose pour les clients actuels ?
L'opération est une lettre d'intention signée : elle doit encore être finalisée, et Cyera a indiqué qu'Oasis continuerait d'opérer comme unité dédiée aux identités non humaines. À court terme, attendez-vous à une continuité, avec une intégration plus étroite entre la gouvernance des identités d'Oasis et la plateforme de données de Cyera au fil du temps. L'enseignement stratégique importe plus : sécuriser ce que les machines peuvent toucher est désormais indissociable de la sécurisation des données elles-mêmes.
Sources
TechCrunch — Cyera agrees to acquire Oasis Security for $1B to safeguard proliferating AI agents, 28 juillet 2026
SiliconANGLE — Cyera to buy nonhuman identity startup Oasis Security for a reported $1B, 28 juillet 2026
BankInfoSecurity — Cyera Bets $1B on Non-Human Identity Security With Oasis Buy, juillet 2026
Globes — Cyera acquires Oasis Security for $1b, 28 juillet 2026