Escape : l'IA de la start-up joue les attaquants pour scanner les API en continu, en commençant par GraphQL

Une start-up française de cybersécurité dont le produit sans agent scanne dynamiquement les API à la recherche de failles de sécurité et propose des remédiations, intégré aux chaînes CI/CD.

Que la sécurité des API doit s'exécuter en continu dans le pipeline de développement — des attaques simulées par IA qui détectent les failles dès leur apparition, et non lors du pentest annuel

Tour de 3,9 M$ (3,6 M€) ; un pré-amorçage antérieur mené par Frst

Fondée par Tristan Kalos et Antoine Carossio, Escape est passée par la cohorte d'hiver 2023 de Y Combinator, puis a levé 3,9 M$ menés par Iris avec Frst et des business angels dont Roxanne Varza. L'équipe comptait alors 10 personnes.

Le produit s'intègre directement au pipeline de développement : chaque commit déclenche Escape via le flux CI/CD. Un algorithme d'IA propriétaire simule des cyberattaques — repérant des limites de débit manquantes qui pourraient laisser fuiter de grands volumes de données, ou des actions invalides non bloquées — en s'appuyant sur l'apprentissage par renforcement, un mélange d'apprentissage profond et d'heuristiques, et transmet ses conclusions à Snyk.

Les pentests ont lieu une ou deux fois par an et se concluent par des rapports ; Escape détecte les failles au moment du commit, quand le développeur responsable est à un message Slack de distance.

Tester l'API en fonctionnement plutôt que le code source permet de capturer des attaques sur la logique métier que les outils statiques manquent.

L'accent mis d'abord sur GraphQL associait un format mal desservi à des utilisateurs à forte valeur, avant une extension à REST.

L'apprentissage par renforcement fait agir le scanner comme un attaquant — en sondant les interactions plutôt qu'en reconnaissant des signatures.

Ne pas concurrencer le pentest annuel — automatiser les 364 jours qui les séparent, et commencer par le format d'API de niche où vous pouvez devenir la référence par défaut.

Au 5 juin 2023, Escape comptait environ 20 clients, dont Sorare, Shine et Neo4J, déployait le support des API REST aux côtés de GraphQL, et visait les banques et les entreprises de services financiers avec des contrats d'un montant de plusieurs dizaines de milliers d'euros par an.