Todd McKinnon (Okta) : l'identité des agents IA sera le grand pari de l'entreprise

Todd McKinnon, PDG d'Okta, a dévoilé la stratégie de l'entreprise à l'ère de l'IA. Alors que toute l'industrie débat du SaaSpocalypse, Okta place son pari principal sur la gestion de l'identité des agents IA au sein des entreprises, un marché qui pourrait devenir le plus grand de toute la cybersécurité.

Okta, plateforme valorisée 14 milliards de dollars en Bourse et générant 3 milliards de dollars de revenus annuels, gère les accès professionnels à des milliers d'applications. Pour simplifier, c'est elle qui vous oblige à retaper votre mot de passe juste avant une réunion.

Lors de la dernière publication trimestrielle, McKinnon a avoué que l'entreprise était « paranoïaque » face à la menace du SaaSpocalypse : une situation où les entreprises se mettent à créer leurs propres outils par vibe coding au lieu de payer pour des solutions SaaS toutes faites. Mais la paranoïa est un outil, pas une peur paralysante. McKinnon est convaincu qu'Okta est suffisamment protégée contre un remplacement direct.

La sécurité exige de l'échelle, de la réputation et des milliers d'intégrations actives, ce qu'on ne monte pas en un week-end. Quand une entreprise subit une fuite de données, il lui faut un fournisseur identifiable, auquel elle peut demander des comptes et qui craint assez les conséquences pour surveiller réellement les menaces. Le vibe coding n'apporte rien de tel.

L'opportunité réelle que voit McKinnon se trouve ailleurs. L'essor des systèmes agentiques a soulevé une question que peu ont eu le temps de formuler : qui gère l'identité des agents eux-mêmes ? Lorsqu'un agent IA d'entreprise se connecte au CRM, interroge des bases de données ou envoie des e-mails en votre nom, il lui faut une identité claire, des permissions limitées et la possibilité d'être coupé instantanément. Aujourd'hui, rien de tel n'existe dans le monde de l'entreprise.

Selon McKinnon, l'agent est un nouveau type d'identité : quelque chose entre l'humain et le système. Comme un humain, il accède à des applications avec des rôles et un profil. Comme un système, il peut fonctionner de façon totalement autonome ou agir au nom d'un employé précis.

Okta construit un registre centralisé des agents : un lieu unique où les entreprises pourront voir tous leurs agents, des plateformes de Microsoft et d'Amazon aux solutions développées en interne. L'élément clé, ce sont des points de connexion standardisés : des règles claires sur les données auxquelles un agent a accès et dans quelles conditions. Le troisième composant est un « bouton d'arrêt » : la possibilité de révoquer instantanément tous les accès d'un agent qui s'est comporté de façon imprévisible. C'est comme couper l'accès d'un salarié au réseau de l'entreprise dès le premier jour après son licenciement.

McKinnon estime que la gestion de l'identité des agents est potentiellement la plus grande catégorie de la cybersécurité, dont le volume annuel avoisine 280 milliards de dollars. La gestion de l'identité des humains en occupe environ 10 %. Selon les prévisions d'Okta, la couche des agents pourrait la dépasser en taille.

Parallèlement, l'entreprise réfléchit à une autre menace : la fraude par IA. Quarante pour cent de l'activité d'Okta concerne la vérification d'utilisateurs réels sur des sites grand public. McKinnon voit une issue dans la numérisation des pièces d'identité officielles : permis de conduire et passeports mobiles offrent une chance de distinguer fiablement les humains des bots, grâce à la biométrie directement sur le smartphone.

La thèse centrale de McKinnon : le gâteau technologique devient nettement plus gros. Les systèmes agentiques ne détruiront pas le marché du SaaS ; ils créeront de nouvelles catégories qui n'existent pas aujourd'hui. Pour Okta, cela signifie non pas une défense contre le vibe coding, mais une course vers un nouveau marché que l'entreprise entend définir et dominer.