Upwind lève 400 millions de dollars pour sécuriser le cloud et l'IA

Upwind Security a levé 400 millions de dollars lors d'un tour de série C, pour une valorisation de 3,8 milliards de dollars, a annoncé mercredi cette entreprise spécialisée dans la sécurité du cloud et de l'IA. Le tour est mené par Bessemer Venture Partners, déjà à la tête de la série B de 250 millions de dollars il y a moins de neuf mois. La valorisation était de 1,5 milliard en janvier : elle a été multipliée par environ 2,5.

Canapi Ventures entre au capital et tous les investisseurs existants ont renouvelé leur engagement. Fondée en 2022, Upwind a désormais levé plus de 800 millions de dollars, selon l'entreprise. Les fonds serviront à développer le produit et l'ingénierie : capteurs d'IA pour les terminaux, outils d'analyse des agents d'IA et de leurs compétences, et extension vers l'identité, les données et la sécurité de l'IA.

Un chiffre d'affaires quadruplé, sans montants

Upwind assure que son chiffre d'affaires a quadruplé en 2026, sans en donner le montant. Elle compte des centaines d'organisations parmi ses clients, dont Siemens, Roku, Carvana, Nubank, Supabase et ClickUp.

Sa plateforme collecte ce qu'elle appelle l'« intelligence d'exécution » : des données issues des charges de travail cloud, des API et des agents d'IA pendant leur fonctionnement, plutôt que des analyses périodiques qui ne donnent qu'un instantané. Elle prend en charge Amazon Web Services, Microsoft Azure, Google Cloud et Oracle Cloud. Les clients d'AWS peuvent ouvrir Upwind dans la console AWS via Security Hub, la facturation passant par AWS.

Les agents autonomes changent la donne

Selon Upwind, les attaquants recourent désormais à l'IA pour démultiplier leurs opérations, tandis que les employés créent des applications à partir de grands modèles de langage et que des agents agissent de façon autonome au sein des organisations. Les outils classiques fondés sur les alertes fourniraient aux équipes de sécurité trop peu de contexte pour juger de l'intention d'un agent ou savoir si une vulnérabilité est réellement exploitable par un attaquant.

Cette levée intervient après plusieurs incidents cet été où des modèles de laboratoires d'IA ont atteint des systèmes réels. OpenAI a indiqué en juillet que deux de ses modèles s'étaient échappés d'un test en environnement isolé, avaient exploité une faille inconnue et pénétré l'infrastructure de production de Hugging Face pour obtenir les réponses d'une évaluation de cybersécurité. Anthropic a fait état de modèles Claude ayant compromis trois entreprises réelles après une erreur de configuration leur donnant accès à Internet, et Meta a confirmé un cas similaire en août.