La jeune pousse Comp AI a bouclé le 17 septembre 2026 une série A de 34 millions de dollars menée par Roo Capital et Grand Ventures pour industrialiser sa plateforme d’IA agentique dédiée à la sécurité et à la conformité réglementaire.
🔑 En bref
- Comp AI lève 34 M$ en série A, portant son financement total à 37,5 M$ depuis sa création en janvier 2025.
- La plateforme automatise la conformité SOC 2, la rédaction de politiques de sécurité et la collecte de preuves d’audit via des agents d’IA.
- Le ratio identités humaines / non-humaines est passé de 92:1 à 144:1 en un an selon la Cloud Security Alliance.
- La Coalition for Secure AI et le NIST ont publié plusieurs cadres pour encadrer ces risques en 2026.
- L’incident CrowdStrike de 2024 illustre le coût potentiel d’identités machines mal gouvernées : entre 5,4 et 10 Md$ de pertes.
Une série A pour industrialiser l’agentique dans la conformité
Fondée en janvier 2025, Comp AI cumule désormais 37,5 millions de dollars de financement depuis sa création. Le tour de table a été mené conjointement par Roo Capital et Grand Ventures, dont les montants respectifs n’ont pas été divulgués. La société n’a pas communiqué de valorisation.
À sa tête, trois associés : Lewis Carhart (CEO), Claudio Fuentes (COO) et son frère Mariano Fuentes (CTO). Avant Comp AI, les frères Fuentes avaient lancé LeapAI, une plateforme d’automatisation des workflows qui a réuni plus d’un million d’utilisateurs en deux ans avant d’être fermée, faute de cas d’usage jugé suffisamment accrocheur pour justifier des investissements continus.
Cette première expérience leur a néanmoins permis de maîtriser les grands modèles de langage et de comprendre à quel point le processus SOC 2 (cadre d’audit de sécurité reconnu aux États-Unis) peut s’avérer fastidieux. « C’est un processus très obscur. Cela nous a pris quelques mois à faire les choses manuellement, et tout ce temps, cela signifiait détourner notre attention de la construction du produit », a confié Claudio Fuentes à TechCrunch.
Une plateforme d’IA agentique pour la sécurité et la conformité
Comp AI se positionne comme une plateforme agentique (c’est-à-dire pilotée par des agents d’IA autonomes capables d’enchaîner des tâches) pour automatiser les processus lourds liés à la sécurité. Concrètement, ses agents rédigent les politiques de sécurité, collectent les preuves nécessaires aux audits et assurent une surveillance continue du respect des contrôles.
« Pour de nombreuses entreprises de logiciels, la sécurité et la conformité sont directement liées au chiffre d’affaires. Ce que Comp AI automatise, c’est une grande partie du travail que les entreprises doivent traditionnellement accomplir autour de ce processus. »
Lewis Carhart, PDG de Comp AI
Le logiciel aide les entreprises à atteindre et maintenir leurs exigences de sécurité, sans toutefois remplacer l’examen d’audit indépendant. Les fondateurs insistent : la plateforme n’élimine pas les humains. « Un agent peut rédiger une politique, par exemple, mais une personne examine et approuve toujours. Au fur et à mesure que les agents assument des actions plus lourdes, nous croyons que le niveau de garanties et d’approbation humaine devrait augmenter en conséquence », a expliqué Carhart.
Comp AI propose également des tests de pénétration assistés par IA, où la plateforme teste proactivement les bases de code et les infrastructures pour détecter des vulnérabilités. L’équipe entend utiliser le capital de série A pour étendre cette offre produit.
L’explosion des identités non-humaines, moteur du marché
Le besoin de plateformes de sécurité continues se fait sentir alors que les entreprises adoptent massivement des outils d’IA agentique. Selon une analyse de la Cloud Security Alliance publiée en janvier 2026, le ratio moyen entre identités humaines et identités non-humaines (agents logiciels, API, bots) est passé de 92:1 à 144:1 en un an. Cette prolifération élargit la surface d’attaque : davantage d’identités, de credentials et de points d’accès signifient davantage de risques.
| Indicateur | Début 2025 | Début 2026 |
|---|---|---|
| Ratio identités humaines / non-humaines | 92:1 | 144:1 |
| Identités non-humaines (catégorie) | Agents logiciels, API, bots | Agents logiciels, API, bots + IA agentique |
| Type de credentials | Jetons, clés, identifiants | Jetons, clés, identifiants + tokens d’agents |
« Imaginez qu’une entreprise termine son audit SOC 2 et que deux semaines plus tard, elle déploie un nouvel agent d’IA qui peut accéder à des données clients, modifier les permissions sur un système interne ou introduire une nouvelle vulnérabilité via un déploiement de code. L’audit n’est pas devenu invalide ; il n’a simplement pas été conçu pour vous dire en temps réel ce qui a changé ensuite », a illustré Carhart.
Cadres réglementaires et travaux de normalisation
Plusieurs initiatives cherchent à structurer la réponse à ces risques. La Coalition for Secure AI (CoSAI), lancée lors du Forum sur la sécurité d’Aspen, a publié au cours de sa deuxième année un rapport sur l’avenir de la sécurité agentique — couvrant l’évolution des chatbots vers les essaims autonomes —, des travaux sur la sécurité du protocole Model Context Protocol, et un cadre de responsabilité partagée. En mai 2026, l’organisation a annoncé un nouveau cadre dédié à la responsabilité en cas d’erreur d’une IA.
Le National Institute of Standards and Technology (NIST) a publié en septembre 2026 une analyse des défis d’identité et d’autorisation auxquels font face les systèmes d’IA agentique. Le document rappelle que le partage d’identifiants avec des agents crée des lacunes de responsabilité pouvant déboucher sur des problèmes de sécurité, de confidentialité et juridiques. Le NIST souligne que des normes existantes comme OAuth 2.0 (protocole d’autorisation standard pour les API) et SPIFFE (cadre d’identité pour workloads cloud) fournissent déjà des mécanismes pertinents.
Une taxonomie des risques en construction
Une étude publiée en août 2026 sur arXiv (serveur de prépublications scientifiques) souligne que les agents d’IA, comptes de service, jetons API et flux automatisés dépassent désormais les identités humaines selon des ratios supérieurs à 80:1. Le document propose une taxonomie des risques et un cadre de gouvernance dédié aux identités machines.
« Les conséquences d’identités machines non gouvernées peuvent être considérables, comme l’a illustré l’incident CrowdStrike de 2024, qui a causé des pertes estimées entre 5,4 et 10 milliards de dollars. »
Étude arXiv, août 2026
Côté Comp AI, Mariano Fuentes résume la feuille de route : « Nous construisons vers une couche de sécurité capable de surveiller et de valider ces types de risques de manière plus continue à mesure que ces systèmes évoluent. » La startup entre ainsi dans un marché où la course entre adoption de l’IA agentique et mise en conformité continue ne fait que commencer.
Conclusion
La levée de Comp AI illustre un glissement de fond : la conformité, longtemps traitée comme un exercice ponctuel, devient un enjeu temps réel à mesure que les agents d’IA prennent des décisions et accèdent à des données sensibles. Si la plateforme tient ses promesses d’automatisation, elle pourrait rapidement devenir une couche standard dans les stacks de sécurité des éditeurs de logiciels B2B.
Le scénario haussier passe par une généralisation des audits continus et un rapprochement avec les cadres du NIST et de la CoSAI. Le scénario baissier verrait une fragmentation du marché entre une multitude d’outils verticaux (un par framework : SOC 2, ISO 27001, HIPAA…) et une consolidation lente. Dans les deux cas, la question centrale demeure : qui est responsable lorsqu’un agent autonome dérive ?
Sources
- TechCrunch – Comp AI sets eyes on a continuously agentic future for security and compliance
- Cloud Security Alliance – Why agentic AI matters for the future of cybersecurity
- Coalition for Secure AI – CoSAI Year 2: The future of agentic security
- NIST – Back to the future: why agentic AI needs a strong identity foundation
- arXiv – Taxonomie des risques et cadre de gouvernance des identités machines
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
