La couche d'assurance d'une entreprise sous IA

D'abord l'autonomie. Des agents qui détiennent des accès, appellent des outils et agissent sans humain dans la boucle sont passés de la démonstration à la production en deux ans environ. Ils constituent une nouvelle catégorie de sujet avec une nouvelle catégorie de défaillance, et les pratiques d'assurance autour d'eux sont quasi inexistantes parce qu'elles leur sont antérieures.

Ensuite, une réglementation dotée de moyens. NIS2 et DORA sont en vigueur et le règlement IA s'applique par étapes, et la direction des trois s'éloigne de l'auto-évaluation pour aller vers l'efficacité démontrée. Une position de conformité étayée par un questionnaire devient une exposition plutôt qu'une défense.

La question est passée de « ce contrôle est-il déployé » à « fonctionne-t-il encore » — et presque personne ne peut répondre à la seconde avec des preuves.

Enfin, le scepticisme des conseils envers l'attestation. Les conseils ont vu assez d'incidents dans des organisations aux catalogues de contrôles d'apparence complète pour cesser de considérer la couverture comme une preuve. La question posée en interne est passée de ce qui est déployé à ce qui a été prouvé, et ceux à qui on la pose ne peuvent pas y répondre aujourd'hui.

La validation de sécurité et la sécurité de l'IA constituent déjà deux lignes budgétaires établies, et les entreprises qui les occupent ont levé des montants substantiels. Ce qu'aucune ne fait, c'est couvrir à la fois la couche IA et la couche infrastructure avec un seul adversaire autonome et un seul modèle de preuve : c'est la position précise que prend Veync.

Veync n'est pas un test d'intrusion accéléré, une bibliothèque de scénarios enrichie ni un outil de test d'invites, et le produit est conçu pour que la comparaison ne tienne pas. C'est un adversaire continu doté d'un plan de contrôle et d'un graphe de preuves, couvrant gouvernance, garde-fous, autorisation des agents, code écrit par IA et parc de contrôles déployés comme une seule surface.

Créer une catégorie est plus difficile qu'en rejoindre une, et la raison honnête pour laquelle cela vaut la peine ici est que la question de l'acheteur couvre réellement les deux couches. Un RSSI à qui l'on demande si l'IA de l'organisation est sûre ne peut pas répondre par une évaluation de modèle, et un directeur de l'IA à qui l'on pose la même question ne peut pas répondre par un rapport sur les terminaux. Aujourd'hui, ils mandatent deux prestataires et ne réconcilient rien.

Le point d'entrée est plus étroit que la catégorie. L'accès le plus rapide passe par la question à laquelle aucun acteur en place ne répond — les agents autonomes peuvent-ils dépasser leur autorité — parce qu'elle est nouvelle, visible au niveau du conseil, et sans fournisseur établi. La validation des contrôles et le rattachement aux référentiels étendent ensuite le compte depuis une position où quelque chose a déjà été prouvé.

Le marché initial est celui des grandes entreprises régulées européennes portant une obligation de preuve nommée : services financiers et assurance sous DORA, entités essentielles sous NIS2, déployeurs du secteur public et de la santé relevant des catégories à haut risque du règlement IA. Ces acheteurs ont un budget, une échéance et une question précise, ce qui est une vente nettement plus simple qu'une vente qui commence par établir l'existence d'un problème.

Avoir le siège à Paris La Défense est une décision de distribution. La densité de banques, d'assureurs et de gestionnaires d'actifs du quartier met les cinquante premières conversations à portée sans prendre l'avion, et sur ce marché la référence qui compte vient d'une institution que l'acheteur reconnaît comme un pair sous le même superviseur.

La démarche est portée par les fondateurs et par la preuve : un premier engagement cadré qui démontre quelque chose de précis et d'inconfortable, puis une extension aux autres modules et vers l'exploitation continue. Comme le livrable est une preuve dont une fonction conformité a besoin de façon récurrente, la forme contractuelle naturelle est l'abonnement plutôt que le projet.

L'extension suit la réglementation. Les mêmes obligations se propagent aux fournisseurs des entités concernées, ce qui ouvre un segment intermédiaire, et les référentiels européens servent de modèle dans d'autres juridictions, ce qui rend la maîtrise réglementaire transposable plutôt que locale.

Cette entreprise a besoin de trois compétences dans la même pièce : des personnes qui ont réellement conduit des opérations offensives contre des parcs durcis, des personnes qui ont construit et cassé des systèmes d'IA, et des personnes capables de vendre de la preuve à une fonction conformité européenne. Deux sur trois produisent une défaillance connue — un projet de recherche, un outil sans acheteur, ou un produit de conformité sans rien derrière.

Veync a été fondée par Anwar Ul Haq et Asad Ali Khan. Anwar apporte dix-huit ans d'expérience en sécurité d'entreprise, centrés sur la gestion des incidents et la réponse — le travail qui consiste à établir, sous pression, si un contrôle a réellement tenu. Asad est spécialiste de la sécurité réseau et sa pratique s'est construite au sein de grands environnements d'entreprise ; il apporte cette compréhension du comportement réel d'un réseau d'entreprise à la manière dont ses défenses sont testées.

Les biographies des deux fondateurs figurent sur la page Entreprise. L'équipe se construit à partir de ce socle en recherche offensive, en ingénierie de plateforme et en vente aux grands comptes, et les postes ouverts sont publiés sur la page Carrières.