Fleuret AI lève 4 M€ : le pentest passe de l’audit au contrôle continu

Le 5 octobre 2026, Fleuret AI, entreprise de cybersécurité basée à Paris, a annoncé un pré-amorçage de 4 M€ mené par RAISE Ventures, avec Auriga Cyber Ventures, Wind et Better Angle. L’opération réunit aussi des investisseurs individuels du secteur. Elle doit financer une plateforme de tests d’intrusion qui cherche à relier la découverte d’une faille, la démonstration de son exploitation, sa correction et un nouveau test.

Le projet part d’un décalage concret : une application peut changer dès qu’un rapport d’audit est remis. La présentation de Startup.eu cite Brevo, Stoïk et Yogosha parmi les clients de Fleuret AI et situe son équipe autour de dix personnes. Ces premières utilisations donnent une base commerciale au produit ; elles ne mesurent pas encore sa capacité à suivre durablement les changements de nombreuses applications.

Ce que finance le passage à la sécurité continue

Le financement doit soutenir des recrutements en intelligence artificielle, en développement logiciel et en sécurité offensive, ainsi que l’extension de la plateforme. Les cofondateurs Yanis Grigy et Augustin Ponsin avaient déjà créé une activité de test d’intrusion. Leur objectif est de faire évoluer ce travail vers un suivi des systèmes après l’audit initial, lorsque de nouvelles versions peuvent modifier les accès et les failles.

Dans l’entretien de Télécom Paris, Yanis Grigy affirme que le produit est utilisé en production sur des périmètres réels et qualifie le pentest agentique de « point d’entrée ». Il précise que le financement doit notamment servir au suivi des corrections, aux nouveaux tests automatiques et à l’élargissement de la couverture au cloud, à l’Active Directory et aux applications mobiles. Cette utilisation en production est déclarée par l’entreprise ; elle ne renseigne pas, à elle seule, sur la régularité ni sur l’étendue des tests après chaque modification.

La distinction compte pour lire l’annonce financière. Le pentest constitue le produit déjà proposé, tandis que les outils destinés à relier plus étroitement priorisation, correction et vérification restent en développement. Le financement donne des moyens à cette extension ; il ne constitue pas une preuve de son efficacité sur tous les environnements visés.

De la détection à la preuve d’exploitation

Le fonctionnement annoncé va plus loin qu’une liste d’alertes produite par un scanner. Dans la présentation technique de Fleuret, les agents Émile et Champollion cartographient un périmètre, explorent applications, API et infrastructure, puis tentent d’exploiter les vulnérabilités repérées. Chaque faille rapportée doit être accompagnée d’une preuve de compromission montrant comment elle peut être exploitée.

Un scanner peut repérer une réponse inhabituelle ou une configuration susceptible de poser problème. Un test d’intrusion ajoute une tentative d’exploitation dans le périmètre autorisé : le constat devient plus utile lorsqu’il indique l’action qui a réussi et peut être reproduite. Cette preuve aide l’équipe technique à distinguer un chemin d’attaque démontré d’un simple signal à examiner, sans préjuger de toutes les autres voies possibles.

La correction ouvre ensuite une étape différente de la découverte. Rejouer la tentative qui avait réussi permet de vérifier si ce chemin précis est désormais fermé sur la version testée. Si l’application change encore, la surveillance de sa surface d’attaque peut déclencher de nouvelles vérifications. Le contrôle continu dépend donc à la fois de la détection des changements pertinents, de la portée des tests relancés et du suivi des résultats dans le temps.

La plateforme prévoit aussi de classer les failles selon leur exploitabilité et de relier leur traitement aux outils des équipes techniques. Ce lien entre une preuve, une personne chargée de la correction et son nouveau test est le mécanisme qui pourrait réduire le décalage entre l’état réel d’une application et son dernier rapport d’audit. Sa valeur dépendra de ce que le système parvient effectivement à retrouver après plusieurs déploiements.

Un pentest affiché à prix fixe, une continuité sur devis

L’offre publique de Fleuret affiche 4 000 € par application web pour un pentest ponctuel, avec une preuve de concept reproductible pour chaque faille rapportée et un nouveau test après correction. La formule gratuite donne accès à des scanners, sans inclure de pentest. L’offre entreprise, établie sur devis, prévoit des tests à la demande et un contrat couvrant plusieurs applications.

Ces formules répondent à des besoins distincts. Le nouveau test inclus dans une mission ponctuelle porte sur les corrections issues de cette mission ; il ne signifie pas que chaque future version de l’application sera automatiquement soumise à un pentest complet. La formule entreprise organise des tests renouvelés, mais son prix public ne permet pas de chiffrer une surveillance permanente de l’ensemble d’un système d’information.

Le terme de contrôle continu recouvre ainsi plusieurs opérations qui n’avancent pas nécessairement au même rythme : observer les changements, décider lesquels justifient une nouvelle tentative, produire une preuve exploitable, puis constater l’effet d’un correctif. Une application peut être suivie en continu sans que toutes ses fonctions soient testées à tout instant. C’est la fréquence et la couverture des tests effectifs, et non la seule présence d’un suivi, qui détermineront la portée de la promesse.

La prochaine preuve sera la répétition des tests

Les premières références commerciales et l’utilisation déclarée en production montrent que Fleuret AI ne présente pas seulement un projet de laboratoire. Elles ne fournissent toutefois pas de mesure indépendante de la couverture des failles, de la fiabilité des preuves reproductibles ou de la qualité des nouveaux tests après correction. Ces résultats devraient être observés sur des périmètres documentés, avec des applications qui changent réellement entre les passages.

Pour les équipes qui publient souvent de nouvelles versions, l’enjeu est précis : savoir si une faille démontrée a été corrigée sur la version déployée, puis si les changements suivants ont ouvert d’autres chemins exploitables. Les données les plus éclairantes viendront de cette succession de tests et de corrections, quand la plateforme devra tenir sa promesse au-delà d’un audit livré une seule fois.

À lire aussi :

• Certain Energy lève 10 M£ : sa batterie doit encore passer à l’échelle du MWh
• Atira lève 15 M$ : réduire les devis de 80 % reste une promesse à vérifier
• Rillet lève 100 millions : sa troisième levée en un an la valorise 1 milliard