Clover Security Lève 36 Millions de Dollars Auprès des Fondateurs de Wiz pour Vendre une Sécurité Qui Agit Avant que les Développeurs N'écrivent le Code

La question à 36 millions de dollars : Pourquoi les investisseurs avisés misent contre les scanners de sécurité

La mort de la sécurité réactive

Quand Alon Kollmann déclare qu'une décennie d'outils de sécurité des applications ne sont que des « alarmes incendie plus intelligentes » pour une « maison de paille », il ne fait pas de pose. Le cofondateur de Clover Security, qui est sorti du mode furtif le 25 novembre avec 36 millions de dollars de Notable Capital et Team8, exprime ce que les données de l'industrie crient déjà : le balayage réactif ne peut pas survivre à l'ère de l'IA.

Les chiffres sont brutaux. Les agents d'IA génèrent désormais du code 10 fois plus vite que les développeurs humains, tandis que la capacité de sécurité reste fixe. L'écart se creuse chaque jour. Plus accablant encore, 80 % des violations de 2025 proviennent de défauts de conception — intégrations non sécurisées, flux de données défectueux — qu'aucun scanner post-implémentation ne peut prévenir. Les outils SAST, DAST et même « AppSec alimentés par l'IA » détectent les symptômes après que les développeurs ont passé à autre chose, laissant les équipes de sécurité éteindre les feux d'hier alors que la base de code de demain brûle déjà.

La thèse de Clover est simple : la sécurité doit s'intégrer là où les produits commencent — dans les documents Confluence, les tickets Jira, les conversations Slack — et non là où ils échouent. Les agents d'IA de l'entreprise ingèrent le contexte organisationnel, apprennent les architectures système et guident les décisions de conception avant qu'une seule ligne de code n'existe. Les entreprises de services financiers, les éditeurs de logiciels d'entreprise et des sociétés comme Udemy et Lemonade paient déjà « plusieurs millions de dollars de revenus » pour ce que Kollmann appelle « 3 à 4 ingénieurs de sécurité virtuels » par client.

Le pari de Clover : la sécurité avant l'existence du code

Le timing n'est pas une coïncidence. Trois forces convergent en 2025 : les agents d'IA autonomes prennent des décisions architecturales à la vitesse de la machine ; de nouveaux cadres de modélisation des menaces spécifiquement pour les systèmes d'IA prolifèrent ; et les outils ASPM traditionnels restent obstinément post-implémentation. Lorsque les équipes marketing peuvent lancer des applications en quelques heures à l'aide de plateformes sans code, l'ancien modèle de sécurité — la numérisation des artefacts après le déploiement — devient structurellement obsolète.

Clover se positionne entre les outils de modélisation des menaces (souvent des modèles basés sur des ateliers) et les plateformes ASPM (toujours centrées sur le scanner). L'entreprise analyse les documents d'architecture en langage naturel et les schémas complexes, construisant des graphes de connaissances spécifiques à l'organisation qui détectent les écarts entre l'intention de conception et la réalité de l'implémentation. Il ne s'agit pas de prévenir les injections SQL ; il s'agit de prévenir les décisions architecturales qui rendent les injections SQL possibles.

Le marché valide cette approche. La sécurité des applications devrait atteindre 25 à 30 milliards de dollars d'ici 2030, les segments de l'IA dans la cybersécurité augmentant de plus de 20 % par an. Forrester qualifie 2025 de « point de bascule » où le balayage traditionnel deviendra obsolète, car les modèles d'IA réduisent les vulnérabilités connues mais introduisent de nouvelles failles de conception dans les pipelines RAG et les flux de travail basés sur des agents.

Le calcul des VC : un prix pour la perfection

Pourtant, la thèse d'investissement révèle des vérités inconfortables. Un « amorçage de 36 millions de dollars » avec les fondateurs de Wiz, Assaf Rappaport et Yinon Costica, ainsi que le cofondateur de Check Point, Shlomo Kramer, n'est pas vraiment un amorçage — c'est une Série A déguisée en investissement cyber israélien, portant probablement une valorisation qui anticipe des résultats à l'échelle de Wiz.

La note interne des VC est d'une honnêteté rafraîchissante : « Pari à fort signal et à fortes attentes selon lequel la 'conception sécurisée' deviendra sa propre couche de plateforme. » Traduction : les investisseurs financent la création d'une catégorie, pas seulement un bon produit. Avec environ 40 employés prévoyant de doubler et des « revenus annuels récurrents (ARR) de quelques millions de dollars », Clover fait face à une pression sur ses fonds disponibles pour atteindre 20 à 30 millions de dollars d'ARR avant que le risque de dévalorisation ne se matérialise.

Le scénario haussier repose sur trois hypothèses : que la sécurité dès la conception devienne une ligne budgétaire autonome plutôt qu'une fonctionnalité ASPM ; que les graphes de connaissances spécifiques à l'organisation de Clover créent un véritable avantage concurrentiel face à la marchandisation des LLM ; et que les vents favorables réglementaires (application du règlement européen sur l'IA dès 2026) exigent une modélisation des menaces documentée. Si ces trois conditions sont réunies, un résultat de 2 à 5 milliards de dollars est plausible.

Le risque réel dont personne ne discute

Mais la note des VC identifie la menace existentielle : le « risque d'absorption par la catégorie ». Les acteurs historiques de l'ASPM, les plateformes cloud comme Wiz et Palo Alto, et les copilotes de sécurité des hyperscalers pourraient fournir suffisamment de directives de conception pour que Clover devienne un ajout appréciable, et non un système de référence. La sortie ressemblerait alors à une acquisition de 300 à 700 millions de dollars, plutôt qu'à une plateforme indépendante.

Plus fondamentalement, la conception sécurisée est une question de processus et de culture, pas seulement d'outils. Les outils qui arrivent trop tard ou génèrent trop de bruit sont contournés, quel que soit leur mérite technique. Si les équipes de sécurité ne parviennent pas à intégrer Clover dans les flux de travail standards, l'utilisation stagnera même avec de solides ventes initiales.

L'ironie suprême : le succès de Clover dépend de la manière dont les organisations construisent des logiciels — précisément le changement culturel qui a vaincu les outils de sécurité pendant des décennies. La différence cette fois est que les agents d'IA, et non les humains, sont l'obstacle. Savoir si cela rend le problème plus facile ou infiniment plus difficile déterminera si la sécurité réactive meurt vraiment, ou si elle se contente de changer de nom.

CECI N'EST PAS UN CONSEIL EN INVESTISSEMENT