Ces deux photos ont été prises à près de dix ans d'intervalle. La première date de 2016, avec Sam Altman chez Y Combinator. La seconde est le fruit d'une rencontre inattendue dans la Silicon Valley, près d'une décennie plus tard. J'y reviendrai à la fin.
Avec Sam Altman chez Y Combinator en 2016.
J'avais 22 ans quand je suis arrivé dans la Silicon Valley avec un billet aller simple, un peu d'argent qui suffisait à peine à couvrir un mois de vie sur place, et une thèse que je voulais démontrer.
J'ai trouvé un hôte Airbnb qui m'a laissé dormir sur un matelas gonflable dans son salon. Pendant la journée, je rencontrais tous ceux qui étaient prêts à remettre en question cette idée : clients, investisseurs et autres fondateurs.
L'architecture logicielle évoluait rapidement. Le SaaS était en pleine croissance, Kubernetes et les microservices émergeaient, et les applications devenaient de plus en plus distribuées. Les API devenaient la couche de connexion entre tous ces systèmes.
Ma thèse était simple : les API allaient devenir fondamentales pour l'avenir du commerce numérique, et la sécurité aurait besoin d'une approche radicalement différente pour les découvrir, les comprendre et les protéger.
Lors d'un événement pour startups, j'ai rencontré un partenaire de Y Combinator qui m'a encouragé à postuler. Quelques jours plus tard, je passais un entretien avec Sam. Ce soir-là, il m'a appelé pour me dire que YC souhaitait investir. Plus important encore, il croyait en la thèse elle-même : les API devenaient essentielles aux systèmes numériques, et sécuriser cette couche présentait un potentiel énorme.
Salt, telle qu'on la connaît aujourd'hui, n'existait pas encore. Après avoir prouvé la technologie de base lors d'une preuve de concept, l'une de nos premières étapes a été de déposer un brevet en 2016 sur l'utilisation de l'IA pour découvrir et protéger les API. Pendant les deux années suivantes, une petite équipe a développé la propriété intellectuelle sous-jacente. En 2018, Michael Nicosia et moi avons officiellement uni nos forces, baptisé l'entreprise Salt Security, et levé notre tour de table d'amorçage plus tard dans l'année.
Nous avions vu juste sur la direction, mais nous avions sous-estimé l'ampleur.
Au cours des années suivantes, les API se sont multipliées à travers les clouds, les passerelles, les plateformes edge, Kubernetes, les services internes, les systèmes hérités et les tiers.
Le vrai défi n'a jamais été simplement de détecter une API. C'était de comprendre ce qu'elle faisait, qui l'appelait, quelles données elle manipulait, comment elle se comportait et comment elle se connectait à tout ce qui l'entourait. Et tout aussi important, de rendre cela facile à utiliser et à comprendre pour les praticiens.
Cela a nécessité des années d'ingénierie : plus de 100 intégrations d'infrastructure et d'exécution, une analyse et une normalisation approfondies, la découverte, l'établissement de bases de référence comportementales, la compréhension de la logique métier et la détection d'attaques en temps réel. Avec le temps, le véritable atout est devenu le contexte.
Puis l'IA a commencé à passer de la réponse aux questions à la prise d'actions.
Les agents IA sont nouveaux. Les API qui les sous-tendent, elles, ne le sont pas.
Prenons un exemple simple. Un client demande à un agent IA d'annuler une commande et d'effectuer un remboursement. Le modèle peut raisonner sur la demande et les outils peuvent exposer les capacités disponibles, mais au bout du compte, l'agent doit récupérer la commande, transférer l'argent et mettre à jour les systèmes de gestion.
Ces actions s'effectuent via des API.
Les modèles assurent le raisonnement, les MCP et les outils exposent les capacités, mais les API connectent ces décisions aux systèmes métier réels. Chaque action significative de l'IA devient, en fin de compte, un appel API.
L'IA ne remplace pas les API. Elle accroît considérablement leur importance et le volume d'interactions qui transitent par elles.
Cela modifie la problématique de sécurité. Le risque peut se propager d'une requête, via un modèle et un serveur MCP, jusqu'aux API, aux données sensibles et aux actions métier réelles. Pour le comprendre, il faut une vision globale de l'ensemble du parcours : agents, modèles, MCP, outils, API, applications, données et actions, tout en approfondissant chaque composant : exposition, code, configuration, autorisations et comportement à l'exécution.
C'est ainsi que l'Agentic Security Graph a vu le jour. Les systèmes agents fonctionnent de bout en bout grâce aux API : les utilisateurs accèdent aux agents via des API, les agents se connectent aux modèles et aux MCP via des API, et les outils interagissent avec les systèmes métier via des API.
Le graphe n'a pas changé de direction. Il s'est étendu.
La sécurité agentique est une évolution directe de notre thèse initiale : la couche API, que nous avons passé près d'une décennie à sécuriser, est devenue le socle sur lequel reposent désormais les systèmes agents.
Ce qui m'amène à la deuxième photo
Récemment, alors que je prenais un brunch dans la Silicon Valley, j'ai aperçu Jensen Huang et je suis allé me présenter. Je lui ai parlé brièvement de Salt et de mon admiration pour ce qu'il a bâti en tant que fondateur toujours aux commandes de NVIDIA des décennies plus tard.
Il s'est intéressé à Salt, m'a interrogé sur notre activité et nos perspectives, avant de proposer : « Prenons une photo de fondateurs ensemble. »
Nous étions à seulement quelques minutes en voiture du Airbnb où je dormais sur un matelas gonflable à 22 ans. À l'époque, obtenir un entretien avec un haut responsable chez un client potentiel était difficile. Près de dix ans plus tard, je discutais de Salt avec Jensen.
Le lien le plus important entre ces deux photos est technologique.
En 2016, je n'aurais pas pu prédire la vitesse à laquelle l'IA progresserait ni la rapidité avec laquelle les agents seraient adoptés. Ce dont nous étions convaincus, c'était d'un principe plus fondamental : les API deviendraient la couche de base connectant l'avenir de chaque entreprise.
À l'époque, cela concernait les applications, le cloud et les microservices. Aujourd'hui, les API deviennent le système nerveux reliant l'IA aux applications, aux données et aux systèmes qui font tourner l'entreprise.
Nous n'avons pas prédit l'ère des agents. Nous avons bâti les fondations sur lesquelles elle finirait par reposer.
Et ce pari initial n'a fait que prendre de l'ampleur.