Des IA ont forcé des portes, et la cybersécurité vend les serrures qu'elle avait déjà

Tous les éditeurs parlent d'IA, seuls les vendeurs de pare-feu dégagent de fortes marges

Un éditeur de cybersécurité vend des logiciels qui empêchent une intrusion, la détectent ou en limitent les dégâts. Il se fait payer de plus en plus par abonnement, et ses communiqués tournent autour d'un indicateur : le revenu annuel récurrent, ou ARR (annual recurring revenue), c'est-à-dire la valeur sur un an de tous les abonnements en cours à une date donnée. L'ARR est une photographie du stock de contrats, hors comptes audités, que chaque entreprise calcule à sa manière.

Les plus grands vendent désormais des plateformes. Une plateforme de cybersécurité regroupe plusieurs de ces logiciels (protection des ordinateurs, contrôle des identités, surveillance du réseau) sous un même contrat, avec une console et des données communes. L'éditeur y installe le client pour lui vendre un module de plus chaque année. Les sept entreprises étudiées se rangent en cinq familles :

1. La protection des postes et des serveurs : CrowdStrike et SentinelOne. Un logiciel installé sur chaque machine, ordinateur de salarié (le « poste ») ou serveur, surveille ce qui s'y exécute. Il se vend par abonnement ; CrowdStrike pousse en plus une offre de consommation, Falcon Flex, où le client achète un crédit qu'il répartit ensuite entre les modules.
2. L'accès au réseau à distance : Zscaler, et Prisma Access chez Palo Alto. Le trafic des salariés transite par les centres de données de l'éditeur, qui le filtrent. C'est aussi un abonnement.
3. Les pare-feu : Fortinet, Check Point, et l'activité historique de Palo Alto. Un boîtier placé à l'entrée du réseau, vendu une fois, puis accompagné d'abonnements et de maintenance.
4. L'identité : Okta. L'éditeur vérifie qui se connecte et à quoi chacun a droit. Les agents d'IA, qui agissent au nom des salariés, lui ajoutent une population d'utilisateurs à contrôler.
5. La sécurité de l'IA : protéger les modèles et les agents eux-mêmes contre la manipulation, la fuite de données ou les dérives. Aucun spécialiste n'est coté. Les grands éditeurs ont racheté de jeunes entreprises pour en faire des modules : Protect AI, devenu Prisma AIRS chez Palo Alto, Prompt Security chez SentinelOne, Lakera chez Check Point, SPLX chez Zscaler, Pangea chez CrowdStrike.

La matrice des positions montre que ces frontières s'effacent. Chaque éditeur garde un cœur de métier, presque tous affichent désormais une offre de sécurité de l'IA, et Palo Alto est présent dans toutes les familles.

La rentabilité, elle, ne suit pas le discours. La marge opérationnelle, ce qui reste du chiffre d'affaires une fois payés tous les coûts de l'activité, se mesure ici selon les normes comptables américaines, dites GAAP (generally accepted accounting principles). Sur le dernier exercice, elle atteint 31 % 29 chez Fortinet, selon son communiqué annuel, et 30 % 30 chez Check Point, en rapportant le résultat opérationnel à son chiffre d'affaires de 2025. Okta et Palo Alto restent bénéficiaires, de peu : 5 % 31 pour Okta selon son communiqué annuel, 6 % 9 pour Palo Alto en rapportant son résultat opérationnel à son chiffre d'affaires de l'exercice. La perte opérationnelle de SentinelOne représente 32 % 32 de son chiffre d'affaires, selon son propre communiqué, et le graphique des marges montre que CrowdStrike et Zscaler restent aussi en perte sur cette base.

Les entreprises publient à côté des marges dites « ajustées », plus élevées, qui retirent notamment la rémunération des salariés en actions. Nous retenons les normes GAAP, appliquées par toutes de la même manière. Le discours sur l'IA se tient donc partout, et les fortes marges chez deux vendeurs de boîtiers. Il reste à savoir si ce discours a fait accélérer les ventes. Chez CrowdStrike, la chronologie répond.

L'accélération de CrowdStrike a précédé la peur

Pour mesurer les ventes d'un trimestre, les éditeurs publient le « net new ARR » : l'ARR ajouté pendant la période, soit les abonnements signés ou étendus, moins ceux qui ont été perdus. Chez CrowdStrike, il atteint 333 millions de dollars 8 au trimestre clos le 31 juillet, un record, en hausse de 51 % 8 sur un an, selon le communiqué du 26 août.

La courbe du net new ARR trimestriel montre d'où vient ce record. Il part d'un creux à l'automne 2024, trois mois après la panne mondiale provoquée le 19 juillet 2024 par une mise à jour défectueuse de CrowdStrike, et la reprise s'engage un an plus tard. Le trimestre clos fin octobre 2025 affiche déjà une hausse de 73 % 5 sur un an, selon le communiqué du 2 décembre 2025. Ni Mythos ni aucun des incidents de l'été n'existaient alors.

Le graphique des croissances, trimestre par trimestre, contredit le récit du « moment Mythos ». Le trimestre pendant lequel Anthropic a présenté Mythos, clos fin avril 2026, est le plus lent de la série : son net new ARR progresse de 32 % 3·7 sur un an, selon nos calculs à partir des deux communiqués concernés.

Le rebond de l'été suit donc le trimestre le plus lent.

L'accélération a précédé la peur, même si le rebond de l'été peut lui devoir quelque chose. Elle a bien eu lieu, et la question devient ce que les clients ont acheté.

L'argent va aux plateformes, et la sécurité de l'IA pèse 1 % chez le vendeur qui en vend le plus

Palo Alto Networks publie un indicateur qui lui est propre, l'ARR « nouvelle génération » (Next-Generation Security ARR). Il regroupe tous ses abonnements et ses offres logicielles, à l'exclusion des pare-feu physiques et des services attachés à ses anciens produits. Au 31 juillet, il atteint 9,10 milliards de dollars 9, selon le communiqué du 1er septembre.

Prisma AIRS, la suite qui protège les modèles et les agents d'IA, y a dépassé 100 millions de dollars 10 d'ARR dans sa première année de commercialisation, avec 800 clients 10, selon le directeur général, Nikesh Arora, lors de la réunion d'analystes du même jour. Parmi les sept éditeurs, c'est le seul produit de sécurité de l'IA dont le revenu est publié. Les tuiles le situent dans l'ensemble : rapporté à l'ARR nouvelle génération, AIRS en représente 1 % 9·10, au minimum, puisque 100 millions est un plancher.

Devant les analystes, son directeur général a pourtant convoqué les incidents de l'été :

« Cet été a servi de signal d'alarme : des agents incontrôlés ont compromis les environnements de plusieurs laboratoires d'IA de pointe. »

Ailleurs, le même écart sépare le discours des comptes. SentinelOne écrit dans la présentation de ses résultats du 27 août que l'ARR de ses offres d'IA, l'assistant d'analyse Purple AI et Prompt Security, a « presque triplé » 18 en un an. Son net new ARR total progresse de 4 % 18 : une ligne qui triple à partir d'une petite base laisse l'ensemble à son rythme. Okta, dont le métier devient central quand des agents agissent au nom des salariés, dit avoir signé ses premiers contrats « Okta for AI Agents », mais leur poids reste trop faible pour se voir dans les comptes, selon la transcription officielle de sa réunion d'analystes du 26 août. Son chiffre d'affaires progresse de 11 % 16, selon son communiqué du même jour.

La même peur ne fait pas non plus vendre tout le monde. Sur les trimestres clos en juin et juillet 2026, la croissance du chiffre d'affaires des sept éditeurs, telle que leurs communiqués la publient, va de 1 % 19 chez Check Point à 34 % 9 chez Palo Alto, acquisitions comprises. Le graphique des croissances les classe, et l'écart passe à l'intérieur d'une même famille.

Fortinet et Check Point font le même métier, le pare-feu, et publient sur des trimestres clos le 30 juin. Fortinet, qui a la marge la plus élevée du groupe, croît de 26 % 20, selon son communiqué du 29 juillet, autant que CrowdStrike. Check Point stagne : ses abonnements progressent de 12 % 19, mais ses revenus de produits, les boîtiers et les licences vendus une fois, reculent de 14 % 19, selon nos calculs sur les comptes déposés le 30 juillet auprès de la SEC, le régulateur boursier américain. Dans le même communiqué, son directeur général, Nadav Zafrir, met en avant « le premier pare-feu réseau pour l'IA » du secteur.

Les plateformes encaissent donc la peur, et pas toutes. Reste le chiffre qui a fait les titres de l'été, le « près d'un milliard » de Palo Alto : il ne mesure pas que des ventes nouvelles.

Les records de l'été contiennent des acquisitions et un client hors de la sécurité

Le « près d'un milliard » de Palo Alto contient des acquisitions. Son ARR nouvelle génération croît de 63 % 9 sur un an selon le communiqué, mais il inclut CyberArk, spécialiste de l'identité, et Chronosphere, un éditeur d'observabilité, c'est-à-dire de surveillance du bon fonctionnement des systèmes informatiques, rachetés pendant l'exercice. Le directeur financier, Dipak Golechha, a précisé devant les analystes que le net new ARR du trimestre comprenait un apport « à neuf chiffres », soit au moins 100 millions de dollars 10, venu d'un grand client du secteur des modèles de langage qui migrait vers Chronosphere. Une partie du record vient donc de l'observabilité.

La prévision de la direction (guidance), c'est-à-dire la fourchette chiffrée que l'entreprise annonce pour les mois suivants, ralentit nettement. Palo Alto attend une croissance de son ARR nouvelle génération de 22 % 9 à 23 % 9 sur l'exercice qui s'achèvera en juillet 2027, contre 63 % cette année : l'effet des acquisitions s'éteint à mesure qu'elles entrent dans la base de comparaison. Elles pèsent aussi sur les comptes. L'amortissement des actifs incorporels acquis, la part du prix payé pour les technologies et les clients des sociétés rachetées que l'entreprise passe chaque année en charge, atteint 281 millions au trimestre, contre 37 millions un an plus tôt, selon le communiqué.

Chez Zscaler aussi, une acquisition gonfle la croissance publiée. Son ARR croît de 25 % 11 sur un an, mais il comprend Red Canary, un spécialiste de la réponse aux intrusions racheté à l'automne 2025. Sans Red Canary, la croissance tombe à 20 % 11, selon le communiqué du 3 septembre, et ce périmètre contient encore SPLX, une jeune entreprise de sécurité de l'IA achetée le même trimestre, dont Zscaler ne publie pas l'apport. Le tableau de l'ARR, avec et sans Red Canary, montre l'écart.

Sa prévision pour l'exercice 2027 implique, selon nos calculs (le milieu de la fourchette moins l'ARR actuel), 640 millions 11 de net new ARR, contre 615 millions 11·15 sur l'exercice écoulé sans Red Canary : une hausse de 4 % 11·15. Le même communiqué cite son fondateur, Jay Chaudhry, pour qui l'IA représente « l'une des opportunités les plus importantes de l'histoire de Zscaler ».

Une fois retirés les rachats et l'observabilité, l'accélération de l'été est plus étroite que les communiqués ne le disent. Les directions ont une réponse à cette lecture : il est trop tôt pour juger.

Les comptes arrivent trop tôt pour juger juillet, pas pour juger avril

Sur les incidents de juillet, les comptes de l'été ne disent presque rien, et l'argument des directions tient. Toute ligne nouvelle pèse peu la première année, et Prisma AIRS n'a qu'un an de commercialisation. Les grandes entreprises négocient leurs contrats de cybersécurité sur plusieurs mois. Les trimestres clos le 31 juillet ne contiennent que deux semaines d'après-Hugging Face, ceux de Fortinet et de Check Point, clos le 30 juin, n'en contiennent rien, et l'épisode Gemini a été révélé après toutes les publications.

Ils disent en revanche quelque chose de Mythos. Le trimestre de son annonce a eu le temps de vendre, et il est le plus lent de la série chez CrowdStrike. La reprise de CrowdStrike date de l'automne 2025. Okta et SentinelOne, que leur métier expose le plus aux agents d'IA, en restent à 11 % 16 de croissance pour l'un et à 4 % 18 de net new ARR pour l'autre, et Check Point voit ses ventes de produits reculer pendant que tout le secteur parle d'IA. Aucun de ces faits ne s'explique par un délai de signature.

Le délai reporte le jugement sur les incidents de juillet, pas sur le reste. Et ce report a une date.