XBOW atteint le statut de licorne : sa Série C de 120 M$ signale l’heure de la cybersécurité autonome

L’opération, les investisseurs et l’histoire de l’opérateur

XBOW, fondée en janvier 2024, a annoncé le 18 mars 2026 qu’elle avait clôturé un tour de Série C de 120 millions de dollars mené par DFJ Growth et Northzone, avec une nouvelle participation de Sofina et Alkeon Capital aux côtés des investisseurs existants Altimeter, NFDG Ventures et Sequoia Capital. Le capital total levé s’élève désormais à environ 237 millions de dollars. Le tour valorise l’entreprise à plus de 1 milliard de dollars, la propulsant fermement en territoire de licorne en moins de 26 mois depuis sa fondation — exceptionnellement rapide même selon les standards actuels de la cybersécurité IA.

L’histoire du fondateur compte. Oege de Moor, le PDG de XBOW, a construit GitHub Copilot et GitHub Advanced Security avant de démarrer l’entreprise. Son bilan opérationnel précédent — transformer de l’analyse de programmes de niveau recherche en produits grand public pour développeurs — est précisément l’expérience requise pour industrialiser les tests d’intrusion propulsés par l’IA, une catégorie qui a oscillé entre promesse académique et exécution commerciale chancelante pendant une décennie.

Parallèlement au tour, XBOW a annoncé une montée en puissance du leadership : Ron Gabrisko rejoignant le conseil, Jonaki Egenolf comme directrice marketing, Dean Breda comme conseil général et Niro Rajadurai comme directeur des revenus. Les mouvements de personnel suggèrent que l’entreprise passe désormais à l’échelle d’un mouvement commercial plutôt qu’un laboratoire de recherche.

Ce que fait réellement XBOW

XBOW vend une plateforme de sécurité offensive autonome — le slogan marketing est « hacker autonome » — qui effectue des tests d’intrusion continus d’applications web. L’architecture sépare deux problèmes difficiles qui ont historiquement limité les outils de sécurité basés sur l’IA :

1. Exploration : des agents autonomes sondent de manière créative une application, enchaînent des chemins d’attaque et font émerger des comportements potentiellement exploitables à la vitesse machine.
2. Validation : une logique déterministe confirme l’exploitabilité en effectuant réellement l’exploitation contrôlée, produisant une preuve reproductible plutôt que des découvertes spéculatives.

Séparer l’exploration créative de l’exploitation vérifiable est ce qui permet à XBOW d’opérer à l’échelle sans noyer les clients sous les faux positifs — le mode d’échec chronique des scanners de sécurité IA de la génération précédente. XBOW est publiquement monté au sommet du classement des bug bounties HackerOne en 2025, un repère visible qui a donné à l’entreprise de la crédibilité auprès des acheteurs entreprises qui avaient été brûlés par les promesses précédentes de sécurité IA.

En mars 2026, à RSAC, XBOW a annoncé qu’elle intègre ses tests d’intrusion continus dans Microsoft Security Copilot et Microsoft Sentinel, avec disponibilité en preview publique pendant la conférence. Ce partenariat de distribution transforme XBOW d’un outil autonome en un composant de la pile d’opérations de sécurité entreprise la plus largement déployée au monde — un avantage structurel significatif.

La vague plus large de la sécurité autonome

XBOW est la plus visible d’un groupe de startups de sécurité autonome du millésime 2026 qui réécrivent comment la sécurité offensive et défensive est achetée, opérée et mesurée. Une cartographie partielle de l’activité de financement récente du secteur :

• Armadin — la nouvelle entreprise de Kevin Mandia, fondateur de Mandiant, a levé 189,9 millions de dollars entre seed et Série A (mars 2026) auprès d’Accel, GV, Kleiner Perkins, Menlo Ventures, 8VC, Ballistic Ventures et In-Q-Tel. Sa thèse : des agents IA autonomes qui détectent et arrêtent les cybermenaces en environnements de production.
• RunSybil — fondée par le premier recruté en sécurité d’OpenAI, a levé 40 millions de dollars auprès de Khosla Ventures (mars 2026) pour automatiser les tests d’intrusion à l’aide d’agents IA.
• Onyx Security — est sortie de la furtivité avec 40 millions de dollars de Conviction et Cyberstarts, axée sur la sécurisation et le contrôle des agents IA autonomes en environnements entreprises.
• Novee — a émergé de la furtivité avec 51,5 millions de dollars (début 2026) pour une plateforme de sécurité offensive IA-first.

En agrégat, environ 392 millions de dollars ont afflué vers les sociétés de sécurité IA agentique dans les deux semaines autour de RSAC 2026 — la première fois que le secteur a vu un financement continu à gros chèques à cette densité.

Pourquoi maintenant : les quatre forces qui propulsent la catégorie

Quatre changements structurels expliquent pourquoi la cybersécurité autonome est une thèse de capital-risque de 2026 plutôt que de 2020 :

1. Le raisonnement LLM est enfin au niveau de la production pour les flux offensifs. Jusqu’à récemment, les modèles d’IA ne pouvaient pas planifier de manière fiable des chemins d’attaque en plusieurs étapes. Les modèles frontières modernes — en particulier les modèles de raisonnement à planification à long horizon et utilisation d’outils — peuvent désormais enchaîner reconnaissance, exploitation et livraison de charge utile de manières qui ressemblent au comportement humain d’une équipe rouge.
2. La surface d’attaque a explosé. Les applications d’entreprise sont construites sur des centaines de microservices, d’API cloud, d’intégrations SaaS et d’agents IA qui introduisent eux-mêmes de nouvelles surfaces d’attaque (injection de prompts, abus d’utilisation d’outils, empoisonnement de mémoire). Les tests d’intrusion manuels ne peuvent pas passer à l’échelle sur ce périmètre.
3. Les budgets sécurité migrent vers l’assurance « continue ». Les audits ponctuels perdent des parts de budget au profit des plateformes de validation continue. Les conseils veulent la preuve que la posture de sécurité tient chaque jour, pas chaque trimestre. Les tests autonomes correspondent au schéma de dépense ; les contrats de pentest humains non.
4. Le côté menace s’automatise aussi. Les acteurs de menace utilisent l’IA pour le phishing, la génération de malware et la reconnaissance. Les défenseurs achètent des outils autonomes parce que leurs adversaires le font aussi.

Les risques

Trois nuages planent sur la catégorie. Les faux positifs et les positifs dangereux sont le problème d’ingénierie le plus difficile — un « hacker » autonome qui met hors ligne un système de production lors d’une tentative de validation est un échec qui détruit une carrière pour le client. Le partage exploration/validation de XBOW est une bonne réponse architecturale, mais la maturité opérationnelle prend des années.

Portée réglementaire et contractuelle. Les outils de sécurité autonomes ont besoin d’une autorisation explicite et continue de l’organisation cible. Toute ambiguïté sur le périmètre — en particulier lorsqu’un outil s’intègre dans une chaîne d’approvisionnement ou une plateforme SaaS — peut créer une exposition juridique tant pour le fournisseur que pour le client.

Pression de valorisation. Une valorisation de licorne 26 mois après la fondation signifie que chaque tour suivant et toute sortie éventuelle doit dépasser des attentes élevées. Si la catégorie se consolide rapidement (comme l’a fait l’espace EDR à la fin des années 2010), une poignée de gagnants produira des sorties tandis que de nombreux poursuivants bien financés lutteront. Le partenariat Microsoft donne à XBOW une couverture stratégique significative, mais d’autres dans la catégorie n’ont pas de distribution comparable.

Le mot de la fin

Le tour de XBOW est la donnée nette qui montre que la cybersécurité autonome est passée de la curiosité à l’approvisionnement entreprises clé. Pour les RSSI, l’implication est simple : si votre budget sécurité 2026 n’inclut pas une ligne pour les tests autonomes ou la sécurité des agents IA, votre budget 2027 l’inclura. Pour les fondateurs dans des domaines adjacents — gestion de posture cloud, sécurité applicative, identité — la catégorie est maintenant en train d’être reconstruite autour des flux agentiques, et rester immobile n’est pas une option. Pour les investisseurs, la fenêtre de deux ans dans laquelle les gagnants de la catégorie seront choisis est ouverte et se referme rapidement.

Sources et lectures complémentaires

• XBOW Raises $120M to Scale its Autonomous Hacker — BusinessWire
• Autonomous Offensive Security Firm XBOW Raises $120M at $1B+ Valuation — SecurityWeek
• XBOW hits unicorn status with $120M to power autonomous cyber defence in the AI era — TechFundingNews
• XBOW Embeds Continuous, AI-Driven Penetration Testing in the Microsoft Security Ecosystem — XBOW
• Mandiant’s founder just raised $190M for his autonomous AI agent security startup — TechCrunch
• RunSybil raises $40M to automate penetration testing — Fortune