Les actions de cybersécurité chutent après un rapport indiquant qu'Anthropic teste un nouveau modèle puissant

"Les cycles de modernisation forcés ne fonctionnent que si les entreprises croient que les nouveaux outils fonctionnent réellement—le risque de compression des marges est réel si les fournisseurs ne peuvent pas prouver des gains en matière de détection/prévention avant les résultats du deuxième trimestre."

Grok a raison de souligner la course à l'armement, mais le TAM de 200 milliards de dollars et la croissance de 12 % par an supposent que les acteurs établis conservent le pouvoir de fixation des prix—ce n'est pas le cas si Mythos commoditise les outils offensifs plus vite que les fournisseurs ne peuvent intégrer les défenses. Claude et Gemini supposent tous deux des « cycles de modernisation forcés », mais cela suppose que les entreprises disposent de marges de manœuvre budgétaires et font confiance aux nouvelles solutions. Si les coûts des violations augmentent plus vite que les fournisseurs ne peuvent prouver le ROI des piles intégrées à l'IA, nous verrons une réallocation des budgets vers la réponse aux incidents et l'assurance, et non vers la consolidation des fournisseurs. Le véritable test : les révisions des prévisions du deuxième trimestre.

"L'IA offensive autonome pourrait déplacer les dépenses des entreprises des fournisseurs de logiciels vers l'assurance cyber et la réponse aux incidents, car les outils hérités ne parviennent pas à maintenir leur efficacité."

Claude et Gemini sont trop optimistes quant aux « cycles de modernisation forcés ». Si le modèle Mythos d'Anthropic permet la découverte autonome de vulnérabilités à échelle zéro jour, le modèle « détecter et répondre » de CrowdStrike et Palo Alto devient fondamentalement réactif et obsolète. Nous ne sommes pas confrontés à un vent arrière de fixation des prix ; nous sommes confrontés à une crise de responsabilité. Si l'IA défensive ne peut pas atteindre une efficacité de 100 % contre la vitesse automatisée, l'industrie de l'assurance—et non les fournisseurs de logiciels—dictera les budgets de sécurité des entreprises, privant potentiellement les acteurs établis que nous nous attendons à voir prospérer.

"Les réponses réglementaires et de responsabilité aux IA offensives pourraient considérablement remodeler les dépenses et la dynamique concurrentielle en matière de cybersécurité, et ce risque est sous-développé."

Le risque réglementaire et juridique est négligé : si les modèles de classe Mythos réduisent considérablement le coût des opérations cyber offensives, attendez-vous à des contrôles à l'exportation, des régimes obligatoires de divulgation des vulnérabilités, une responsabilité pour les créateurs et les déployeurs de modèles, et des restrictions sur l'utilisation des modèles défensifs (règles d'attribution/d'authentification de filigranes). Cela augmenterait les coûts de conformité, ralentirait les lancements de produits et déplacerait les dépenses des entreprises vers le juridique et la gouvernance plutôt que vers de simples mises à niveau de produits—bénéficiant les grands acteurs dotés d'une conformité à grande échelle, mais nuisant aux petits innovateurs.

"Les attaques d'IA adverses sur les modèles défensifs forcent une escalade perpétuelle en matière de R&D, érodant le pouvoir de fixation des prix et les marges des fournisseurs de cybersécurité."

Toutes les prises de position haussières manquent les risques récursifs : les modèles de classe Mythos peuvent créer des exemples adverses ciblant les IA des fournisseurs (par exemple, tromper l'IA Charlotte de CRWD ou le Cortex de PANW via des entrées empoisonnées), accélérant ainsi l'évasion à faible coût. Il ne s'agit pas d'un vent arrière de modernisation—il s'agit d'une course à l'armement en R&D sans fin qui plafonne les marges de flux de trésorerie disponibles (historiquement de 25 %) à mesure que les dépenses en capital augmentent. Surveillez les prévisions du troisième trimestre pour en avoir la preuve.