Des victimes d'arnaques aux white hats d'entreprise : une carte du paysage de la cybersécurité (2026)
Treize catégories, de l'aide aux victimes d'arnaques aux tests de sécurité d'entreprise, avec les pertes déclarées, les financements annoncés, les prévisions de marché par éditeur, et un statut honnête de la place de Mithril.
Cet article a été traduit par une machine.
## Pour les dirigeants : trois enseignements
- **La fraude est un risque d'entreprise autant qu'un risque pour les consommateurs.** Les pertes déclarées à l'IC3 du FBI ont atteint $20.877 billion en 2025, et beaucoup de pertes ne sont jamais déclarées ([FBI](https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions)).
- **Les tests de sécurité évoluent vers des outils pilotés par l'IA tandis que les éditeurs établis se consolident.** Google a achevé l'acquisition de Wiz en mars 2026, et NetSPI et Synack ont convenu de fusionner ([Alphabet](https://abc.xyz/investor/news/news-details/2026/Google-Completes-Acquisition-of-Wiz-2026-ta7OaU2uA0/default.aspx) ; [NetSPI](https://www.netspi.com/newsroom/press-release/netspi-and-synack-to-merge-forming-a-leading-offensive-cybersecurity-platform/)). Attendez-vous à ce que les feuilles de route et les contrats changent, et demandez à chaque fournisseur comment il s'assure de ne tester que des systèmes que vous possédez ou que vous êtes autorisé à tester.
- **Les compétences restent la contrainte.** L'ISC2 a estimé un déficit mondial de main-d'œuvre de 4.8 million de personnes en 2024, et 59 % des répondants à son étude 2025 ont signalé des besoins de compétences critiques ou importants ([ISC2 2024](https://www.prnewswire.com/news-releases/growth-of-cybersecurity-workforce-slows-in-2024-as-economic-uncertainty-persists-302244585.html) ; [ISC2 2025](https://www.isc2.org/Insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study)). Prévoyez la formation en même temps que les outils.
## Le paysage d'un coup d'œil
Cet article cartographie des entreprises et des services publics en deux bandes. Le côté victimes couvre l'aide avant et après la fraude en ligne et la prise de compte. Le côté entreprises couvre ce qui est souvent vendu comme « white hat as a service » : des tests de sécurité de systèmes qu'une entreprise possède. Chaque organisation est regroupée selon ce qu'elle dit faire sur son propre site officiel, vérifié en octobre 2026.
Les chiffres de pertes ci-dessous sont des pertes déclarées : ce que les victimes ont dit au FBI, à la FTC ou à la police. Ce n'est pas le préjudice total, et ce ne sont pas des données Mithril.
[[figure:chaos-map]]
Le côté victimes, sept groupes :
- **Prévention de la fraude et des arnaques :** Sardine, Alloy, Charm Security, Resistant AI, Hawk, Pindrop, Whoscall (Gogolook), ScamAdviser.
- **Soutien et rétablissement des victimes :** Mithril Your records (En service), Aura, LifeLock (Gen Digital), Identity Theft Resource Center, IdentityTheft.gov (FTC), IC3 (FBI), AARP Fraud Watch Network.
- **Vérification d'identité :** Persona, Socure, Veriff, Incode, TRUSTDOCK, Liquid.
- **OSINT, renseignement sur les menaces et investigation blockchain :** recherche publique de preuves Mithril (En service), Recorded Future, Flashpoint, Silent Push, BforeAI, Netcraft, TRM Labs, Chainalysis, Elliptic.
- **Confiance et sécurité, risque numérique et deepfakes :** Doppel, Outtake, Bolster AI, Blackbird.AI, Reality Defender, GetReal Security, Adaptive Security, Alice (anciennement ActiveFence ; [alice.io](https://alice.io/)).
- **Sécurité de l'IA et IA pour les développeurs :** HiddenLayer, Lakera (désormais dans [Check Point](https://www.checkpoint.com/press-releases/check-point-acquires-lakera-to-deliver-end-to-end-ai-security-for-enterprises/)), Noma Security, Protect AI (désormais dans Palo Alto Networks, [Prisma AIRS](https://www.paloaltonetworks.com/ai-security/prisma-airs)), GMO Flatt Security, Mithril System One Coding (En service, pilote).
- **Conservation des preuves :** Mithril Your records avec empreintes SHA-256 (En service), Hunchly, Page Vault, Axon.
Le côté entreprises, six groupes :
- **Pentest par IA et sécurité offensive :** Mithril Whitehat as a Service (Prévu), XBOW, Horizon3.ai, Pentera, RunSybil, Terra Security, Wiz Red Agent (Google).
- **Pentest en tant que service (PTaaS) et tests crowdsourcés :** HackerOne, Bugcrowd, Synack, NetSPI, Cobalt.
- **Sécurité des applications (SAST et DAST) :** Mithril DAST et SAST (En développement), Snyk, Semgrep, Checkmarx, Veracode, StackHawk, Invicti.
- **Graphe d'attaque et gestion de l'exposition :** chemins d'attaque et graphe d'ontologie Mithril (En développement), XM Cyber, Wiz (Google), JupiterOne.
- **Formation à la sécurité et cyber ranges :** Mithril Dojo (En service), Hack The Box, TryHackMe, Immersive, SANS Institute.
- **Investigation numérique et réponse à incident (DFIR) :** import de rapports d'investigation Mithril (En développement), Cado Security (Darktrace), Binalyze, Magnet Forensics, Cellebrite.
## Côté victimes : les pertes déclarées continuent d'augmenter
[[figure:reported-losses]]
L'Internet Crime Complaint Center (IC3) du FBI a reçu 1,008,597 plaintes en 2025, contre 859,532 en 2024. Les pertes déclarées étaient de $20.877 billion, 26 % de plus que l'année précédente ([rapport IC3 2025](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf) ; [communiqué du FBI, 6 avril 2026](https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions)).
Les plaintes liées aux cryptomonnaies représentaient plus de $11 billion de pertes déclarées, et les plaintes qui mentionnaient l'IA près de $893 million. Les personnes de 60 ans et plus ont déclaré environ $7.7 billion, en hausse de 37 % ([FBI](https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions)).
La FTC a reçu environ 3 million de signalements de fraude pour 2025, avec $15.9 billion de pertes déclarées, contre plus de $12 billion en 2024. Les arnaques à l'investissement étaient de $7.9 billion et les arnaques par usurpation de plus de $3.5 billion ([FTC, 25 mars 2026](https://www.ftc.gov/news-events/news/press-releases/2026/03/ftc-testifies-joint-economic-committee-agencys-efforts-combat-fraud)). Les arnaques sur les réseaux sociaux étaient de $2.1 billion ([FTC, 27 avril 2026](https://www.ftc.gov/news-events/news/press-releases/2026/04/new-ftc-data-show-people-have-lost-billions-social-media-scams)).
Au Japon : la National Police Agency a compté ¥325.74 billion (3,257.4億円) de pertes dues à la fraude spéciale et à la fraude d'investissement et sentimentale sur les réseaux sociaux en 2025, en hausse de 63.6 % ([NPA, PDF](https://www.npa.go.jp/bureau/criminal/souni/tokusyusagi/sagi_keihatsu2025.pdf)). La fraude spéciale seule représentait 27,832 cas et environ ¥142.31 billion ([NPA](https://www.npa.go.jp/bureau/safetylife/sos47/new-topics/260605/01.html)).
## Côté victimes : pour qui les produits sont conçus
[[figure:positioning]]
La plupart des produits ici se vendent à des organisations : banques, plateformes, entreprises et enquêteurs. Moins sont conçus pour un particulier, et encore moins pour la période après une perte.
## Côté victimes : financements annoncés dans des catégories voisines
[[figure:adjacent-funding]]
Le tableau liste le dernier tour annoncé publiquement que nous avons pu sourcer pour 22 entreprises proches de cet espace, en date d'octobre 2026.
Les montants annoncés s'additionnent à environ $1.50 billion. C'est une somme des montants annoncés (notre décompte) sur les 22 tours du tableau, pas un chiffre de marché. Les tours ne sont pas des tours de fonds propres comparables : les $100 million de Pindrop sont un prêt (dette), le tour d'Aura mélange fonds propres et dette, Netcraft a annoncé « over $100 million » et est compté à $100 million, et les tours d'Alice (anciennement ActiveFence) et de Chainalysis datent de 2021 et 2022.
| Entreprise | Montant annoncé | Type | Annoncé | Catégorie |
| --- | --- | --- | --- | --- |
| Persona | [$200M](https://www.prnewswire.com/news-releases/persona-raises-200m-at-2b-valuation-to-build-the-verified-identity-layer-for-an-agentic-ai-world-302442649.html) | Série D (fonds propres) | 2025-04-30 | Identité |
| Chainalysis | [$170M](https://www.chainalysis.com/blog/series-f/) | Série F (fonds propres) | 2022-05-12 | OSINT / renseignement sur les menaces |
| Aura | [$140M](https://www.aura.com/press/release/aura-completes-series-g-funding-round-raises-140-million-in-equity-and-debt) | Série G (fonds propres et dette) | 2025-03-24 | Soutien aux victimes |
| Netcraft | [plus de $100M (compté comme $100M)](https://www.spectrumequity.com/news/netcraft-secures-first-funding-with-over-100m-from-spectrum-equity-names-experienced-technology-executive-ryan-woodley-as-new-ceo/) | Premier financement externe | juillet 2023 | OSINT / renseignement sur les menaces |
| Noma Security | [$100M](https://noma.security/blog/noma-security-raises-100m-to-drive-adoption-of-ai-agent-security/) | Série B (fonds propres) | 2025-07-31 | Sécurité de l'IA |
| Pindrop | [$100M](https://techcrunch.com/2024/07/17/deepfake-detecting-firm-pindrop-lands-100m-loan-to-grow-its-offerings/) | Prêt (dette), pas des fonds propres | 2024-07-17 | Fraude / ingénierie sociale |
| Alice (anciennement ActiveFence) | [$100M](https://techcrunch.com/2021/07/26/activefence-comes-out-of-the-shadows-with-100m-in-funding-and-tech-that-detects-online-harm/) | Séries A et B combinées (fonds propres) | 2021-07-26 | Confiance et sécurité / deepfake |
| Adaptive Security | [$81M](https://www.prnewswire.com/news-releases/adaptive-security-raises-81-million-series-b-to-stop-ai-powered-cyber-threats-302643174.html) | Série B (fonds propres) | 2025-12-16 | Fraude / ingénierie sociale |
| Doppel | [$70M](https://www.prnewswire.com/news-releases/doppel-raises-70m-series-c-to-meet-rising-demand-for-ai-driven-social-engineering-defense-302619463.html) | Série C (fonds propres) | 2025-11-19 | Fraude / ingénierie sociale |
| Sardine | [$70M](https://www.sardine.ai/press/pr/fraud-and-compliance-productivity) | Série C (fonds propres) | 2025-02-11 | Fraude / ingénierie sociale |
| TRM Labs | [$70M](https://www.trmlabs.com/resources/blog/trm-labs-announces-70m-series-c-to-scale-ai-solutions-to-disrupt-criminal-networks-and-counter-national-security-threats) | Série C (fonds propres) | 2026-02-04 | OSINT / renseignement sur les menaces |
| Protect AI (désormais dans Palo Alto Networks) | [$60M](https://www.geekwire.com/2024/samsung-salesforce-invest-in-60m-round-for-seattle-cybersecurity-startup-protect-ai/) | Série B (fonds propres) | 2024-08-01 | Sécurité de l'IA |
| HiddenLayer | [$50M](https://www.hiddenlayer.com/news/hiddenlayer-raises-50m-in-series-a-funding-to-safeguard-ai) | Série A (fonds propres) | 2023-09-19 | Sécurité de l'IA |
| Outtake | [$40M](https://techcrunch.com/2026/01/28/ai-security-startup-outtake-raises-40m-from-iconiq-satya-nadella-bill-ackman-and-other-big-names/) | Série B (fonds propres) | 2026-01-28 | Fraude / ingénierie sociale |
| Reality Defender | [$33M](https://www.prnewswire.com/news-releases/reality-defender-expands-series-a-to-33-million-to-enhance-ai-detection-capabilities-302283098.html) | Série A, total élargi (fonds propres) | 2024-10-22 | Confiance et sécurité / deepfake |
| Resistant AI | [$25M](https://resistant.ai/blog/resistant-ai-raises-25-million-in-series-b-funding-to-empower-ai-agents-to-fight-fraud-and-fincrime) | Série B (fonds propres) | 2025-10-13 | Fraude / ingénierie sociale |
| Blackbird.AI | [$20M](https://www.prnewswire.com/news-releases/blackbirdai-raises-20m-in-series-b-funding-to-empower-organizations-with-narrative-and-perception-risk-intelligence-301851388.html) | Série B (fonds propres) | 2023-06-15 | Confiance et sécurité / deepfake |
| Lakera | [$20M](https://www.prnewswire.com/news-releases/lakera-raises-20m-series-a-to-secure-generative-ai-applications-302204874.html) | Série A (fonds propres) | 2024-07-24 | Sécurité de l'IA |
| GetReal Security | [$17.5M](https://forgepointcap.com/perspectives/getreal-security-raises-17-5m-series-a-led-by-forgepoint-capital-to-address-rapidly-growing-threats-associated-with-generative-ai-and-malicious-digital-media/) | Série A (fonds propres) | 2025-03-26 | Confiance et sécurité / deepfake |
| BforeAI | [$15M](https://www.prnewswire.com/news-releases/bforeai-announces-15-million-in-series-a-funding-led-by-syn-ventures-302125023.html) | Série A (fonds propres) | 2024-04-24 | OSINT / renseignement sur les menaces |
| Silent Push | [$10M](https://www.silentpush.com/press-releases/series-b-funding-announcement/) | Série B (fonds propres) | 2025-09-12 | OSINT / renseignement sur les menaces |
| Charm Security | [$8M](https://www.prnewswire.com/news-releases/charm-security-emerges-from-stealth-to-combat-scams-and-social-engineering-exploiting-human-vulnerabilities-securing-8m-in-seed-funding-from-team8s-venture-creation-fund-302409642.html) | Amorçage (fonds propres) | 2025-03-25 | Fraude / ingénierie sociale |
Par catégorie, le même décompte (somme des montants annoncés, notre décompte) est : défense contre la fraude et l'ingénierie sociale $394M (Sardine, Charm Security, Resistant AI, Pindrop, Doppel, Adaptive Security, Outtake) ; OSINT et renseignement sur les menaces $365M (Chainalysis, Netcraft, TRM Labs, BforeAI, Silent Push) ; sécurité de l'IA $230M (Noma Security, Protect AI, HiddenLayer, Lakera) ; identité $200M (Persona) ; confiance et sécurité et deepfakes $170.5M (Alice, anciennement ActiveFence ; Reality Defender, Blackbird.AI, GetReal Security) ; soutien aux victimes $140M (Aura).
Laissés de côté : Socure, ChillStack et TRUSTDOCK, parce que nous n'avons pas pu confirmer un montant annoncé comparable en dollars des États-Unis.
## Côté entreprises : le white hat en tant que service
[[figure:positioning-enterprise]]
Côté entreprises, « white hat as a service » couvre plusieurs sortes de travail qu'une entreprise achète pour tester ses propres systèmes : tests d'intrusion autonomes ou assistés par l'IA, services de pentest et programmes de bug bounty menés par des chercheurs humains sélectionnés, analyse du code et des applications en cours d'exécution (SAST et DAST), analyse des chemins d'attaque, formation, et investigation après un incident. Tout cela est destiné aux systèmes que le client possède ou est autorisé à tester.
## Côté entreprises : où sont allés les tours 2025–2026
[[figure:enterprise-funding]]
Dans l'ensemble des entreprises que nous avons examinées, les tours de capital-risque 2025–2026 sont allés aux tests offensifs pilotés par l'IA : XBOW a annoncé une Series C de $120 million en mars 2026 et $35 million de financement Series C supplémentaire en mai 2026 ([XBOW, 18 mars 2026](https://xbow.com/news/xbow-raises-120m-to-scale) ; [XBOW, 6 mai 2026](https://xbow.com/news/xbow-secures-additional-35m-from-strategic-investors)) ; Horizon3.ai une Series D de $100 million en juin 2025 ([Horizon3.ai](https://horizon3.ai/news/press-release/horizon3-ai-raises-100m-to-cement-leadership-in-autonomous-security/)) ; Pentera une Series D de $60 million en mars 2025 ([Pentera](https://pentera.io/press-release/pentera-60m-funding-security-validation-growth/)) ; RunSybil $40 million de financement total en mars 2026 ([RunSybil](https://www.runsybil.com/blog/runsybil-raises-40m-to-build-the-ai-native-platform-for-offensive-security)) ; et Terra Security une Series A de $30 million en septembre 2025 ([Terra Security](https://www.terra.security/blog/terra-security-raises-30m-series-a-to-redefine-penetration-testing-with-agentic-ai)). Ensemble cela fait $385 million, une somme des montants annoncés (notre décompte), les deux annonces de XBOW étant comptées séparément. En sécurité des applications, Semgrep a annoncé une Series D de $100 million en février 2025 ([Semgrep](https://www.prnewswire.com/news-releases/semgrep-announces-100m-series-d-funding-to-advance-ai-powered-code-security-302367780.html)). C'est notre échantillon, pas l'ensemble du marché.
Les catégories plus anciennes ont vu une consolidation plutôt que de nouveaux tours. Google a convenu en mars 2025 d'acquérir Wiz pour $32 billion, sous réserve d'ajustements de clôture ([Formulaire 8-K d'Alphabet, 18 mars 2025](https://www.sec.gov/Archives/edgar/data/1652044/000165204425000027/goog-20250318.htm)), et a achevé l'acquisition le 11 mars 2026 ([Alphabet](https://abc.xyz/investor/news/news-details/2026/Google-Completes-Acquisition-of-Wiz-2026-ta7OaU2uA0/default.aspx)). NetSPI et Synack ont annoncé le 2 septembre 2026 un accord définitif de fusion, soutenu par KKR ; la fusion devrait être close en octobre 2026, et nous ne l'avons pas vue confirmée comme close ([NetSPI](https://www.netspi.com/newsroom/press-release/netspi-and-synack-to-merge-forming-a-leading-offensive-cybersecurity-platform/)). Darktrace a annoncé une acquisition proposée de Cado Security le 9 janvier 2025 ([Darktrace](https://www.darktrace.com/news/darktrace-announces-proposed-acquisition-of-cado-security-a-cloud-investigation-and-response-specialist)).
## Prévisions de marché, éditeur par éditeur
[[figure:market-size]]
Gartner a prévu des dépenses mondiales des utilisateurs finaux en sécurité de l'information de $213 billion en 2025 et de $240 billion en 2026, en hausse de 12.5 %, à partir de $193 billion en 2024 ([communiqué Gartner, 29 juillet 2025](https://www.gartner.com/en/newsroom/press-releases/2025-07-29-gartner-forecasts-worldwide-end-user-spending-on-information-security-to-total-213-billion-us-dollars-in-2025)). Ce sont les prévisions de Gartner.
Le Center for Financial Services de Deloitte a prévu que les pertes par fraude rendues possibles par l'IA générative aux États-Unis pourraient atteindre $40 billion d'ici 2027, à partir de $12.3 billion en 2023, soit un taux de croissance annuel composé de 32 % ([Deloitte, 29 mai 2024](https://www.deloitte.com/us/en/insights/industry/financial-services/deepfake-banking-fraud-risk-on-the-rise.html)). C'est une prévision.
## Prévisions par segment d'entreprise et le déficit de compétences
[[figure:segment-forecasts]]
Les prévisions par segment d'entreprise viennent d'éditeurs différents, avec des définitions, des années de base et des horizons différents. Elles sont présentées côte à côte et ne sont pas additionnées.
| Segment | Estimation de base | Prévision | TCAC | Éditeur, date |
| --- | --- | --- | --- | --- |
| Tests d'intrusion | $1.98B (2025) | $4.39B (2031) | 14.2% | [MarketsandMarkets, mars 2026](https://www.marketsandmarkets.com/PressReleases/penetration-testing.asp) |
| Gestion de l'exposition | $2.2B (2024) | $7.6B (2029) | 28.3% | [MarketsandMarkets, mars 2024](https://www.prnewswire.com/news-releases/exposure-management-market-worth-7-6-billion-by-2029---exclusive-report-by-marketsandmarkets-302090329.html) |
| Investigation numérique | $12.94B (2025) | $22.81B (2030) | 12.0% | [MarketsandMarkets, mai 2025](https://www.marketsandmarkets.com/PressReleases/digital-forensics.asp) |
| Formation à la cybersécurité | non indiqué dans le communiqué | $13.70B (2030) | 17.4% (2024–2030) | [Grand View Research, mars 2024](https://www.grandviewresearch.com/press-release/global-cyber-security-training-market) |
| Sécurité des applications | $41.16B (2026) | $66.03B (2031) | 9.9% | [MarketsandMarkets, mars 2026](https://www.prnewswire.com/news-releases/application-security-market-worth-66-03-billion-by-2031--marketsandmarkets-302713211.html) |
Les cinq sont des estimations de marché mondiales publiées dans des communiqués. Les périmètres des éditeurs se recouvrent (par exemple les tests d'intrusion et la sécurité des applications), ce qui est une raison de plus de ne pas les additionner.
Le déficit de compétences est l'autre moitié de l'histoire. L'ISC2 a estimé un déficit mondial de main-d'œuvre en cybersécurité de 4.8 million de personnes en 2024, en hausse de 19 % sur un an, face à une main-d'œuvre d'environ 5.5 million. Les principaux déficits de compétences nommés par les répondants étaient l'IA (34 %), la sécurité du cloud (30 %), le zero trust (27 %), l'investigation numérique et la réponse à incident (25 %) et la sécurité des applications (24 %) ([ISC2, septembre 2024](https://www.prnewswire.com/news-releases/growth-of-cybersecurity-workforce-slows-in-2024-as-economic-uncertainty-persists-302244585.html)). Dans l'étude 2025 de l'ISC2 auprès de 16,029 répondants, 59 % ont signalé des besoins de compétences critiques ou importants, et 88 % avaient subi au moins une conséquence importante d'une pénurie de compétences ([ISC2, décembre 2025](https://www.isc2.org/Insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study)).
## Tableau comparatif
### Capacités, d'après des sources publiques
Les fiches d'entreprises s'appuient sur les pages ou les annonces de chaque entreprise. Une entreprise absente d'une ligne signifie que nous ne l'avons pas trouvée dans les sources que nous avons consultées, pas qu'elle n'a pas la capacité. La colonne de Mithril utilise trois statuts : **En service** (proposé et en fonctionnement), **En développement** (construit dans le code, non proposé) et **Prévu**.
| Capacité | Statut Mithril | Décrit publiquement par (exemples) |
| --- | --- | --- |
| Services white hat humains (pentest, bug bounty) | Prévu : Whitehat as a Service | [HackerOne](https://www.hackerone.com/product/bug-bounty-platform) (communauté de bug bounty), [Bugcrowd](https://www.bugcrowd.com/press-release/bugcrowd-secures-102-million-in-strategic-growth-funding-to-scale-ai-powered-crowdsourced-security-platform/), Synack and NetSPI (fusion convenue en septembre 2026, [annonce](https://www.netspi.com/newsroom/press-release/netspi-and-synack-to-merge-forming-a-leading-offensive-cybersecurity-platform/)), [Cobalt](https://www.globenewswire.com/news-release/2020/08/20/2081369/0/en/Cobalt-io-raises-29-million-to-expand-its-Pentest-as-a-Service-platform-and-transform-software-security-testing.html) |
| Tests offensifs par agent d'IA ou autonomes | En développement : runtime d'agent et un modèle de recherche sous contrôle ; non proposé | [XBOW](https://xbow.com/news/xbow-raises-120m-to-scale), [Horizon3.ai NodeZero](https://horizon3.ai/nodezero/), [Pentera](https://www.securityweek.com/security-validation-firm-pentera-banks-60m-series-d/) (validation), [HackerOne Agentic PTaaS](https://www.hackerone.com/press-release/hackerone-introduces-agentic-ptaas-deliver-continuous-expert-verified-pentesting), [Wiz Red Agent](https://www.wiz.io/blog/wiz-red-agent-is-ga) |
| Tests d'application en cours d'exécution (type DAST) | En développement : testé seulement en local ; pas de service hébergé | [XBOW](https://xbow.com/news/xbow-raises-120m-to-scale), [Snyk API & Web](https://snyk.io/product/dast-api-web/), [Wiz Red Agent](https://www.wiz.io/blog/wiz-red-agent-is-ga) |
| Analyse de code (SAST) | En développement : Python seulement, testé en local ; pas de service hébergé | [HackerOne Code](https://www.hackerone.com/product/code), [Snyk Code](https://snyk.io/product/snyk-code/), [Wiz SAST](https://www.wiz.io/blog/introducing-wiz-sast-where-code-risk-meets-cloud-context) |
| Analyse de chemin d'attaque ou de graphe d'attaque | En développement : chemins d'attaque cloud ; pas de service hébergé | [Horizon3.ai](https://horizon3.ai/nodezero/), [Pentera](https://www.securityweek.com/security-validation-firm-pentera-banks-60m-series-d/), [Wiz](https://www.wiz.io/lp/wiz-security-graph), [XM Cyber](https://xmcyber.com/platform/attack-graph-analysis/) |
| Graphe de sécurité ou modèle de données | En développement : graphe d'ontologie | [Wiz Security Graph](https://www.wiz.io/lp/wiz-security-graph) |
| Écosystème d'intégration | En développement : adaptateurs pour 17 produits et formats, tests sur données d'échantillon seulement ; l'objectif est 100+, pas un compte actuel | [Wiz](https://www.wiz.io/blog/wiz-integration-network-reaches-300) (300 intégrations partenaires, juillet 2026), [XM Cyber](https://xmcyber.com/platform/attack-graph-analysis/) (aucun compte indiqué) |
| Formation et cyber ranges | En service : Dojo, formation sur du matériel synthétique, pas une certification | [Hack The Box](https://www.hackthebox.com/) (laboratoires et ranges), [Immersive](https://www.businesswire.com/news/home/20221007005544/en/Immersive-Labs-Secures-%2466-Million-in-New-Capital-and-Expands-its-Leadership-Team-to-Accelerate-Growth), [TryHackMe](https://tryhackme.com/about) |
| Investigation et réponse à incident | En développement : import des rapports d'outils existants avec provenance SHA-256 | Cado Security ([Darktrace](https://www.darktrace.com/news/darktrace-announces-proposed-acquisition-of-cado-security-a-cloud-investigation-and-response-specialist)), [Binalyze](https://www.moltenventures.com/news/molten-leads-19-million-series-a-in-binalyze) |
| Soutien côté victimes | En service : Your records | Aura, LifeLock (Gen Digital), IdentityTheft.gov (FTC), Identity Theft Resource Center |
### Les entreprises en bref
| Entreprise | Ce qu'elle dit faire | Dernier financement public ou événement |
| --- | --- | --- |
| XBOW | Tests offensifs autonomes d'applications | [$120M Série C](https://xbow.com/news/xbow-raises-120m-to-scale) (mars 2026) and [$35M de Série C supplémentaire](https://xbow.com/news/xbow-secures-additional-35m-from-strategic-investors) (mai 2026) |
| Horizon3.ai | Pentest autonome NodeZero | [$100M Série D](https://horizon3.ai/news/press-release/horizon3-ai-raises-100m-to-cement-leadership-in-autonomous-security/) (juin 2025) |
| Pentera | Validation de sécurité automatisée | [$60M Série D](https://pentera.io/press-release/pentera-60m-funding-security-validation-growth/) (mars 2025) |
| RunSybil | Plateforme de sécurité offensive native de l'IA | [$40M de financement total](https://www.runsybil.com/blog/runsybil-raises-40m-to-build-the-ai-native-platform-for-offensive-security) (mars 2026) |
| Terra Security | Pentest agentique avec un humain dans la boucle | [$30M Série A](https://www.terra.security/blog/terra-security-raises-30m-series-a-to-redefine-penetration-testing-with-agentic-ai) (septembre 2025) |
| HackerOne | Communauté de bug bounty ; Agentic PTaaS (janvier 2026) | [$49M Série E](https://www.hackerone.com/press-release/hackerone-caps-growth-year-49-million-investment) (janvier 2022) |
| Bugcrowd | Sécurité crowdsourcée | [$102M de financement de croissance stratégique](https://www.bugcrowd.com/press-release/bugcrowd-secures-102-million-in-strategic-growth-funding-to-scale-ai-powered-crowdsourced-security-platform/) (février 2024) |
| Synack | Tests de sécurité par des chercheurs sélectionnés | [$52M Série D](https://www.businesswire.com/news/home/20200528005407/en/Synacks-%2452-Million-Investment-Fuels-Future-of-Remote-Security-Testing-from-Worlds-Elite-Hackers) (mai 2020); [accord de fusion avec NetSPI](https://www.netspi.com/newsroom/press-release/netspi-and-synack-to-merge-forming-a-leading-offensive-cybersecurity-platform/) (annoncé en septembre 2026 ; clôture prévue en octobre 2026) |
| Cobalt | Pentest en tant que service | [$29M Série B](https://www.globenewswire.com/news-release/2020/08/20/2081369/0/en/Cobalt-io-raises-29-million-to-expand-its-Pentest-as-a-Service-platform-and-transform-software-security-testing.html) (août 2020) |
| Snyk | Sécurité pour développeurs, y compris SAST et DAST | [$196.5M Série G](https://snyk.io/news/snyk-closes-196-5-million-series-g-funding-at-7-4-billion-valuation/) (décembre 2022) |
| Semgrep | Sécurité du code assistée par l'IA | [$100M Série D](https://www.prnewswire.com/news-releases/semgrep-announces-100m-series-d-funding-to-advance-ai-powered-code-security-302367780.html) (février 2025) |
| StackHawk | DAST pensé d'abord pour les développeurs | [$20.7M Série B](https://www.prnewswire.com/news-releases/stackhawk-raises-20-7-million-in-series-b-funding-for-developer-first-application-and-api-security-testing-as-market-demand-soars-for-better-security-301545922.html) (mai 2022) |
| Wiz (Google) | Sécurité cloud, Security Graph, Red Agent, SAST | [Acquis par Google pour $32B](https://www.sec.gov/Archives/edgar/data/1652044/000165204425000027/goog-20250318.htm) (convenu en mars 2025, sous réserve d'ajustements de clôture); [achevé](https://abc.xyz/investor/news/news-details/2026/Google-Completes-Acquisition-of-Wiz-2026-ta7OaU2uA0/default.aspx) (mars 2026) |
| XM Cyber | Analyse de graphe d'attaque | [Acquis par Schwarz Group](https://gruppe.schwarz/en/press/archive/2021/schwarz-group-acquires-israeli-hybrid-cloud-cybersecurity-innovator-xm-cyber) (novembre 2021) |
| JupiterOne | Graphe d'actifs cyber | [$70M Série C](https://www.prnewswire.com/news-releases/jupiterone-achieves-valuation-of-over-1b-with-70m-series-c-funding-to-fuel-innovation-in-cybersecurity-and-democratize-access-for-all-301559956.html) (juin 2022) |
| Hack The Box | Laboratoires et ranges de hacking | [$55M Série B](https://www.carlyle.com/media-room/news-release-archive/carlyle-leads-55m-series-b-investment-round-in-hack-the-box) (janvier 2023) |
| Immersive | Formation de la main-d'œuvre cyber | [$66M](https://www.businesswire.com/news/home/20221007005544/en/Immersive-Labs-Secures-%2466-Million-in-New-Capital-and-Expands-its-Leadership-Team-to-Accelerate-Growth) (octobre 2022) |
| TryHackMe | Laboratoires accessibles aux débutants | [Pas d'investissement externe](https://tryhackme.com/about) (site de l'entreprise) |
| Cado Security | Investigation cloud | [Darktrace a annoncé l'acquisition](https://www.darktrace.com/news/darktrace-announces-proposed-acquisition-of-cado-security-a-cloud-investigation-and-response-specialist) (janvier 2025) |
| Binalyze | Plateforme DFIR | [$19M Série A](https://www.moltenventures.com/news/molten-leads-19-million-series-a-in-binalyze) (septembre 2023) |
## Où se situe Mithril
Mithril, de Kotoba Labs Inc., construit une plateforme white hat qui commence par la victime et doit s'étendre aux entreprises. Aujourd'hui ses outils en service sont du côté victimes et apprentissage. Ses tests pour les entreprises sont en développement, et Whitehat as a Service pour les entreprises est prévu : aucun service de ce type n'est proposé, et il n'y a pas de résultats clients publics. La documentation de Mithril décrit encore le nouveau site comme une implémentation candidate, donc vérifiez chaque page avant de vous y fier.
| Capacité | Statut | Ce que cela signifie aujourd'hui |
| --- | --- | --- |
| Your records | En service | Après connexion, une personne conserve des notes datées, en texte seulement ; chaque note enregistrée montre son heure d'enregistrement et son empreinte SHA-256, et seule cette personne peut la lire. Les personnes déposent leurs propres signalements ; Mithril n'enquête pas, n'identifie personne, ne récupère pas d'argent et ne dépose rien pour personne ([mithril.fund](https://mithril.fund/)). |
| Contrôle d'hameçonnage et recherche publique de preuves | En service | Un contrôle public de domaine (une absence n'est pas un verdict de sûreté) et une recherche en lecture seule sur un instantané public de sécurité daté, utilisable sans connexion ([référence des points d'accès](https://docs.mithril.fund/reference/endpoints)). |
| System One Coding | En service (pilote) | Un pilote gratuit enregistré d'un harnais de codage par étapes ; la documentation dit que ce n'est pas une garantie de disponibilité ([documentation](https://docs.mithril.fund/system-one-coding)). |
| Dojo | En service | Un parcours d'apprentissage white hat pour agents d'IA et de courtes leçons vidéo, sur du texte fictif et des données synthétiques, plus des forfaits de formation d'équipe chiffrés par client. Il ne teste pas de vrais systèmes tiers, et les enregistrements d'achèvement ne sont pas une certification ([Dojo](https://app.mithril.fund/dojo)). |
| Suite de sécurité (DAST, SAST, chemins d'attaque cloud et autres contrôles) | En développement | Construit dans le code et testé en local ; non proposé comme service et non hébergé. La documentation les liste comme des capacités prévues qui exigent un périmètre autorisé, des données d'entrée réelles, une isolation de locataire et des preuves d'exécution avant de pouvoir être présentées comme disponibles ([services de sécurité](https://docs.mithril.fund/reference/security-services)). |
| Import de rapports d'investigation | En développement | Import de rapports d'outils d'investigation existants dans un magasin de preuves avec provenance SHA-256 ; la liste publique des produits marque chaque format « non vérifié » ([liste](https://api.mithril.fund/v1/forensics/products)). |
| Graphe d'ontologie | En développement | Un explorateur public est un candidat ; les graphes de locataire ne sont pas encore connectés ([documentation du graphe](https://docs.mithril.fund/graph)). |
| Modèles gérés, y compris une route de recherche en sécurité | En développement | La route de recherche exige une déclaration de périmètre de recherche et échoue fermée tant que sa route n'est pas connectée ([modèles](https://docs.mithril.fund/reference/models)). L'inférence gardée avec modération de contenu et audit des refus est prévue et exige d'abord une vérification mesurée et datée ([garde-fous](https://docs.mithril.fund/reference/guardrails-firewall)). |
| Intégrations tierces | En développement | Voir ci-dessous. |
| Whitehat as a Service pour les entreprises | Prévu | Aucun service n'existe encore. |
| Investigation pilotée par des modèles gérés | Prévu | Pas construit. |
| Classement de hackers éthiques | Prévu | La page Dojo dit que le classement est en préparation. |
| Enrôlement d'identité de chercheur | Prévu | Pas encore proposé ([état d'inscription](https://mithril.fund/ekyc.md)). |
Mithril a construit des adaptateurs pour 17 produits de sécurité et formats de rapports d'investigation. Aucun n'a encore été vérifié sur un compte réel : les tests jusqu'ici n'utilisent que des données d'échantillon, et quatre des formats d'investigation sont stockés comme fichiers plutôt qu'analysés. L'objectif est 100+ ; c'est un but, pas un compte actuel.
Tout scan, de type DAST ou de type SAST, ne concerne que les systèmes que le client possède ou est autorisé à tester. Mithril ne propose pas de tester les systèmes de quelqu'un d'autre.
## Ce que cela signifie pour les victimes
Si vous avez perdu de l'argent ou un compte, commencez maintenant un enregistrement daté et conservez les originaux. Le FBI demande le nom de l'arnaqueur, comment il vous a contacté, les dates, comment vous avez payé, où l'argent est allé, et une description de vos échanges ([FBI](https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions)).
- [Prise de compte : une chronologie et une liste de preuves](/account-takeover-timeline-evidence-list?lang=en)
- [Fraude crypto : un tableau de virements](/crypto-fraud-remittance-table?lang=en)
- [Feuille de plainte IC3](/ic3-complaint-worksheet?lang=en) (pour l'Internet Crime Complaint Center du FBI des États-Unis)
- [Documentation Mithril](https://mithril.fund/docs)
Signalez-le à votre banque ou à votre prestataire de paiement, à la plateforme où cela s'est produit, et à votre police ou service national de signalement. Aux États-Unis cela comprend [IC3](https://www.ic3.gov) et la FTC sur [ReportFraud.ftc.gov](https://reportfraud.ftc.gov) (consulté le 2026-10-06).
## Résumé d'une page
[[figure:summary]]
## Sources
- FBI IC3, [rapport 2025 sur la criminalité sur Internet](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf) (PDF)
- FBI, [communiqué, 6 avril 2026](https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions)
- FTC, [communiqué de témoignage, 25 mars 2026](https://www.ftc.gov/news-events/news/press-releases/2026/03/ftc-testifies-joint-economic-committee-agencys-efforts-combat-fraud)
- FTC, [communiqué sur les arnaques des réseaux sociaux, 27 avril 2026](https://www.ftc.gov/news-events/news/press-releases/2026/04/new-ftc-data-show-people-have-lost-billions-social-media-scams)
- National Police Agency (Japan), [page datée du 2026-06-05](https://www.npa.go.jp/bureau/safetylife/sos47/new-topics/260605/01.html) et [statistiques de fraude 2025](https://www.npa.go.jp/bureau/criminal/souni/tokusyusagi/sagi_keihatsu2025.pdf) (PDF)
- Gartner, [communiqué, 29 juillet 2025](https://www.gartner.com/en/newsroom/press-releases/2025-07-29-gartner-forecasts-worldwide-end-user-spending-on-information-security-to-total-213-billion-us-dollars-in-2025)
- Deloitte, [Deepfake banking fraud risk on the rise, 29 mai 2024](https://www.deloitte.com/us/en/insights/industry/financial-services/deepfake-banking-fraud-risk-on-the-rise.html)
- ISC2, [communiqué de l'étude de main-d'œuvre 2024](https://www.prnewswire.com/news-releases/growth-of-cybersecurity-workforce-slows-in-2024-as-economic-uncertainty-persists-302244585.html) et [étude de main-d'œuvre 2025](https://www.isc2.org/Insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study)
- MarketsandMarkets : [tests d'intrusion](https://www.marketsandmarkets.com/PressReleases/penetration-testing.asp), [gestion de l'exposition](https://www.prnewswire.com/news-releases/exposure-management-market-worth-7-6-billion-by-2029---exclusive-report-by-marketsandmarkets-302090329.html), [investigation numérique](https://www.marketsandmarkets.com/PressReleases/digital-forensics.asp), [sécurité des applications](https://www.prnewswire.com/news-releases/application-security-market-worth-66-03-billion-by-2031--marketsandmarkets-302713211.html) ; Grand View Research : [formation à la cybersécurité](https://www.grandviewresearch.com/press-release/global-cyber-security-training-market)
- Alphabet, [formulaire 8-K sur l'accord Wiz, 18 mars 2025](https://www.sec.gov/Archives/edgar/data/1652044/000165204425000027/goog-20250318.htm) et [Google achève l'acquisition de Wiz](https://abc.xyz/investor/news/news-details/2026/Google-Completes-Acquisition-of-Wiz-2026-ta7OaU2uA0/default.aspx) ; Check Point, [acquisition de Lakera](https://www.checkpoint.com/press-releases/check-point-acquires-lakera-to-deliver-end-to-end-ai-security-for-enterprises/) ; NetSPI, [annonce de fusion](https://www.netspi.com/newsroom/press-release/netspi-and-synack-to-merge-forming-a-leading-offensive-cybersecurity-platform/) ; Darktrace, [annonce Cado Security](https://www.darktrace.com/news/darktrace-announces-proposed-acquisition-of-cado-security-a-cloud-investigation-and-response-specialist)
- Financement : l'annonce liée dans chaque ligne de tableau. Descriptions d'entreprises : le site officiel de chaque organisation, consulté en octobre 2026.
Au Japon : les parties qui comprennent du texte de la National Police Agency (Japan) sont résumées et réorganisées par les rédacteurs (créées par édition et traitement). Sources : le site de la National Police Agency (Japan) « [令和７年における特殊詐欺及びＳＮＳ型投資・ロマンス詐欺の認知・検挙状況等について（確定値）](https://www.npa.go.jp/bureau/safetylife/sos47/new-topics/260605/01.html) » et son [résumé PDF](https://www.npa.go.jp/bureau/criminal/souni/tokusyusagi/sagi_keihatsu2025.pdf) (tous deux consultés le 2026-10-06). Les conditions d'utilisation suivent les [Conditions d'utilisation](https://www.npa.go.jp/rules/index.html) de la National Police Agency (Japan) (Public Data License (Version 1.0) (PDL1.0), consultées le 2026-10-06). Le texte traité n'est pas présenté comme si la National Police Agency (Japan) l'avait créé.
## Corrections
Les descriptions et les placements d'entreprises s'appuient sur des pages publiques et peuvent être dépassés. Si quelque chose ici est faux, contactez-nous via [mithril.fund](https://mithril.fund) et nous le corrigerons.