Vanta signe un accord en vue d’acquérir l’entreprise de sécurité de l’IA Pillar Security

Pillar Security a annoncé le 9 novembre 2026 que Vanta avait signé un accord définitif en vue d’acquérir l’entreprise de sécurité de l’IA. L’opération envisagée associerait les tests d’agents et la protection à l’exécution de Pillar au Trust Graph de Vanta, reliant les politiques de gouvernance de l’IA aux systèmes qu’elles sont censées contrôler.

Dor Sarig et Ziv Karliner ont fondé Pillar en 2023, après avoir conclu que l’IA ne se limiterait plus à répondre à des requêtes, mais agirait pour le compte des organisations en utilisant des données et des outils et en prenant des décisions. Pillar affirme que ses logiciels couvrent les applications et les agents d’IA tout au long de leur cycle de vie : ils les repèrent, testent leurs défenses et empêchent les actions qui dépassent les limites autorisées. La conception des tests et les limites opérationnelles sont définies en fonction du rôle de chaque agent dans l’entreprise, des pouvoirs qui lui sont accordés et de la personne responsable des risques. Les chercheurs de Pillar analysent les modes de défaillance des systèmes d’IA et s’appuient sur leurs résultats pour élaborer de nouveaux tests et dispositifs de protection.

L’opération intégrerait cette technologie aux activités de Vanta dans les domaines de la confiance et de la conformité. Selon l’annonce de Pillar, Vanta sert plus de 20 000 entreprises. La plateforme de Vanta relie les politiques et les contrôles de sécurité et de conformité à leurs responsables et aux engagements de l’organisation.

Relier les politiques à la protection à l’exécution

Dans le cadre du projet, les règles d’une organisation guideraient la manière dont Pillar teste les agents et encadre leurs actions en temps réel. Les résultats des tests seraient renvoyés à Vanta pour indiquer où renforcer les contrôles, tandis que les événements de sécurité détectés à l’exécution constitueraient une preuve du bon fonctionnement des mesures de protection requises.

La page du produit de gouvernance de l’IA de Vanta décrit un inventaire couvrant les ordinateurs portables des développeurs, le code en production et les plateformes des fournisseurs, et associant au Trust Graph les modèles, les requêtes et les accès aux données de chaque agent. Le logiciel couvre également les restrictions d’accès et de comportement des agents fondées sur des politiques, la surveillance en temps réel des activités qui dépassent les limites approuvées, ainsi que la mise à disposition de preuves aux acheteurs, aux auditeurs ou aux autorités de réglementation par l’intermédiaire du Trust Center de Vanta.

Cela étendrait les activités de gouvernance de Vanta, qui ne se limiteraient plus à documenter et à contrôler les agents, mais consisteraient aussi à tester leur comportement et à faire respecter les limites pendant leur fonctionnement. Les entreprises affirment vouloir réduire l’écart entre une politique d’IA écrite et les contrôles techniques appliqués à un agent en activité.

Un cadre couvrant tout le cycle de vie de la sécurité de l’IA

Pillar a également élaboré une méthodologie commune pour ces contrôles. L’entreprise indique que son cadre Secure AI Lifecycle, ou SAIL, a dépassé les 50 000 téléchargements et recense 91 risques liés à l’IA répartis en sept phases du cycle de vie. Ce cadre fournit aux équipes de développement, d’exploitation de l’apprentissage automatique, de sécurité et de gouvernance une approche commune de la gestion des risques liés à l’IA, depuis le développement initial jusqu’à l’exploitation en conditions réelles. Les phases commencent par la définition des politiques et le recensement des actifs, se poursuivent par l’analyse de la posture de sécurité, les tests adversariaux, les contrôles de déploiement et l’exécution isolée, puis s’achèvent par la surveillance et le retrait.

De l’application des règles aux preuves d’audit

La documentation de gouvernance et de conformité de Pillar décrit un moteur de règles capable d’empêcher les déploiements faisant appel à des modèles non approuvés, de conserver les données d’IA dans des régions approuvées, de repérer les conflits de licences et de limiter les personnes autorisées à déployer des modèles ou à modifier des politiques. Des contrôles distincts pour l’IA de fournisseurs tiers évaluent les systèmes externes au regard des exigences internes avant qu’ils puissent accéder aux données de l’entreprise ou aux environnements de production. Pour la conformité, Pillar rassemble les registres de recensement des actifs, les résultats des tests adversariaux et la télémétrie des garde-fous appliqués à l’exécution dans des documents destinés aux auditeurs. Ces documents associent les constats de gouvernance et les journaux d’exécution aux exigences réglementaires. Cette piste d’audit explique la logique de l’acquisition : les activités servant à faire respecter les politiques d’IA peuvent également démontrer la conformité dans le cadre des programmes de confiance de Vanta.

Pour Vanta, l’acquisition ajouterait à sa plateforme des données de télémétrie sur les tests et l’application des règles, en complément des politiques et des registres de responsabilités qui y figurent déjà. Pillar indique vouloir toucher davantage d’équipes et relier sa technologie aux programmes de confiance déjà mis en œuvre par les organisations. L’intégration reste un projet commun à venir ; la principale réalisation attendue de l’accord d’acquisition en cours est donc une piste d’audit continue, reliant les politiques écrites au comportement des agents en activité.