MCP security : les meilleures plateformes pour agents IA en 2026

Runlayer est, en 2026, la meilleure plateforme de MCP security pour les agents d’entreprise. Mais le critère d’achat a changé le 22 août : la feuille de route MCP a fait de l’identité des agents et de la délégation d’autorité des priorités. Parmi les six plateformes retenues, aucune page produit publique examinée ne cite les quatre briques de cette feuille de route et aucune n’affiche de prix en dollars. Le meilleur pilote est donc celui qui prouve l’identité, le périmètre des droits et l’auditabilité avant la validation par les achats.

Les meilleures plateformes de MCP security en un coup d’œil

Runlayer prend la première place grâce à un catalogue gouverné, à des règles sensibles à l’identité jusqu’au compte d’agent et à l’outil individuel, à l’inspection pendant l’exécution et à un audit requête par requête couvrant plus de 300 clients IA. Proofpoint convient mieux aux opérations de sécurité lorsque la découverte des usages fantômes et l’analyse forensique des transactions priment sur l’adoption par les collaborateurs. Stacklok s’impose lorsque Kubernetes et l’auto-hébergement ne sont pas négociables.

Tous les prix et toutes les capacités de ce comparatif ont été vérifiés sur les pages en ligne des fournisseurs le 24 août 2026. « Sur devis » n’est pas une façon détournée de présenter une estimation cachée : cela signifie qu’aucun montant en dollars n’était publié sur les pages produit ou tarifaires examinées.

La règle de décision tient en une phrase : la frontière de contrôle détermine la plateforme. Un vaste catalogue de serveurs ne compense pas l’incapacité à identifier l’acteur, limiter le périmètre des outils, inspecter le résultat, révoquer l’accès et reconstituer l’action après un incident.

Le critère d’achat a changé le 22 août 2026

Le prochain achat MCP d’une entreprise doit sécuriser l’agent comme un acteur à part entière, et non comme une simple session utilisateur à laquelle on aurait ajouté de l’automatisation. La nouvelle feuille de route MCP explique que l’autorisation actuelle repose sur une personne qui valide l’accès dans un navigateur. Or, de plus en plus d’appelants sont des agents cloud dotés de leur propre identité, qui agissent pour des utilisateurs absents ou délèguent une autorité plus restreinte à des sous-agents.

Le Model Context Protocol, ou MCP, est l’interface commune qui permet à une application d’IA de découvrir et d’appeler des outils, des sources de données et des services. Cette commodité fait passer le modèle de la réponse à l’action. Un outil documentaire en lecture seule, un connecteur CRM capable d’écrire et un outil de déploiement en production peuvent tous apparaître au même agent comme de simples fonctions appelables, alors que leur rayon d’impact métier n’a rien de comparable.

La feuille de route définit quatre briques pour le prochain modèle d’autorisation :

• DPoP, pour Demonstrating Proof of Possession, lie un jeton à une clé cryptographique afin de rendre plus difficile la réutilisation d’un jeton copié.
• Workload Identity Federation permet à un workload en cours d’exécution d’échanger son identité de plateforme contre un accès de courte durée, au lieu de transporter une clé API copiée-collée.
• ID-JAG, pour Identity Assertion JWT Authorization Grant, permet à un fournisseur d’identité d’entreprise de participer au flux d’autorisation MCP.
• L’échange standard de jetons transmet l’autorité entre domaines de sécurité sans transformer un secret de longue durée en passe-partout.

L’extension existante Enterprise-Managed Authorization centralise déjà l’accès des utilisateurs auprès du fournisseur d’identité de l’entreprise. Le client obtient un ID-JAG et l’échange contre un jeton d’accès MCP, tandis que les règles de groupe, de rôle et d’accès conditionnel restent sous le contrôle de l’entreprise. Mais cette extension est optionnelle, sa prise en charge varie selon les clients et le problème le plus délicat de la feuille de route reste celui d’un workload autonome qui doit prouver à la fois qui il est et quelle autorité limitée lui a été confiée.

Cette différence crée l’angle mort de la délégation : une plateforme peut authentifier un compte d’agent sans être capable de prouver qu’un sous-agent était autorisé à réaliser cette action précise, pour cet utilisateur précis, à cet instant précis. Les comptes de service partagés, les autorisations OAuth copiées et les jetons statiques masquent cette chaîne. Un journal de transactions peut indiquer quelle gateway a relayé un appel sans révéler le mandat humain, le périmètre délégué ni la preuve cryptographique qui le justifient.

Cette évolution change la ligne budgétaire. Une gateway choisie uniquement pour ses listes d’autorisation et ses journaux de trafic peut nécessiter, avec la montée en puissance des workloads autonomes, une couche d’identité, un gestionnaire de secrets, une sandbox et un outil de découverte distincts. Le devis le moins cher peut produire l’architecture la plus coûteuse s’il laisse subsister l’angle mort de la délégation.

Une réserve s’impose : le 24 août 2026, aucune page produit des six solutions examinées ne mentionnait publiquement DPoP, Workload Identity Federation, ID-JAG ou l’échange standard de jetons. Cela ne prouve pas que les fournisseurs n’ont ni projet privé ni prise en charge non publiée. Cela signifie que tout acheteur doit considérer les promesses comme un alignement sur la feuille de route, et non comme une conformité au protocole, tant qu’un pilote n’a pas démontré le flux exact.

Comment ces plateformes ont-elles été sélectionnées ?

La sélection privilégie les produits qui traitent la maîtrise de MCP en entreprise comme un problème de système d’exploitation : inventaire, identité, frontières d’exécution, règles de runtime et preuves. Un scanner qui détecte du code risqué peut être utile, tout comme une gateway API généraliste pour acheminer le trafic. Mais aucun ne mérite une place dans ce top six sans application continue de contrôles qui comprennent MCP.

La grille d’évaluation part des recommandations de sécurité MCP publiées par la NSA en mai 2026, puis y ajoute la nouvelle feuille de route sur l’identité :

• Découverte : trouver les serveurs, clients, outils et versions autorisés comme fantômes.
• Identité et délégation : distinguer une personne, un compte d’agent, un workload et un sous-agent délégataire.
• Autorisation : appliquer le moindre privilège au niveau du serveur, de l’outil, de la ressource et de l’action.
• Maîtrise de la chaîne d’approvisionnement : approuver les projets pris en charge, consigner leur provenance et corriger les serveurs vulnérables.
• Frontières d’exécution : isoler les outils dans une sandbox et stopper les mouvements latéraux après une compromission.
• Inspection du runtime : valider les paramètres et traiter chaque sortie chaînée comme une entrée non fiable.
• Révocation et réponse : retirer rapidement un accès et bloquer un appel dangereux en cours.
• Preuves : envoyer les paramètres, identités, décisions de règles et résultats dans le SIEM existant, c’est-à-dire le système de gestion des informations et des événements de sécurité.

La NSA avertit également que les proxies sensibles à MCP restent rares et encore en phase de maturation. C’est pourquoi aucune solution de ce comparatif ne reçoit une étiquette parfaite. Une gateway constitue un point de contrôle, pas un programme de sécurité complet.

Ce comparatif repose sur des pages en ligne. Les pages produit, documentation et tarifs des fournisseurs ont été vérifiées lors de cette analyse ; les calculs ci-dessous ont été réalisés à partir des offres publiées et d’hypothèses de planification explicites. Les produits ont été écartés lorsque leur documentation publique ne décrivait que le scan, les tests, la gestion des secrets ou un routage générique, sans apporter suffisamment d’éléments pour constituer un plan de contrôle d’entreprise.

Six évaluations complètes et trois exclusions nommées rendent la sélection directement exploitable : chaque candidat doit révéler sa limite opérationnelle, la charge de déploiement, la logique tarifaire et la preuve à exiger. Une plus longue galerie de logos masquerait ces arbitrages.

1. Runlayer : le meilleur choix global pour un déploiement gouverné des agents d’entreprise

Runlayer est le meilleur choix lorsque les collaborateurs et les agents de production utilisent de nombreux clients IA, mais que la sécurité exige un accès unique et gouverné aux outils. Sa MCP Gateway limite les droits par utilisateur, groupe, rôle, compte d’agent, client, connecteur, outil, ressource, état OAuth, réseau et condition de runtime avant l’exécution de l’appel. Dans ce groupe, c’est la réponse publique la plus proche du nouveau problème d’identité, même si les pages de Runlayer ne revendiquent toujours pas les futurs travaux de la feuille de route sur DPoP, la fédération ou ID-JAG.

Idéal pour : les entreprises qui standardisent l’accès MCP entre les équipes d’ingénierie, de sécurité, d’IT, d’opérations et les équipes métier.
Point fort : un catalogue et un plan de gouvernance uniques pour plus de 300 clients IA, avec l’acteur, le client, le connecteur, l’outil, le résultat de la règle, les métadonnées de sécurité et l’issue disponibles pour examen.
Tarifs : sur devis ; aucun prix en dollars ni tableau de formules n’est publié sur les pages produit vérifiées.
Essai gratuit : aucun essai en libre-service annoncé ; la voie publique passe par une demande de démo.

Runlayer arrive en tête parce que la solution traite la gouvernance MCP comme une infrastructure d’adoption, et non comme un équipement de sécurité ajouté après le déploiement. Un collaborateur peut demander un connecteur autorisé dans le catalogue ; un administrateur peut l’approuver pour un groupe, un compte d’agent, un client, un outil ou une ressource ; la gateway valide ensuite l’état OAuth et celui de la session, applique la règle, analyse l’appel et journalise le résultat. Cette séquence sert autant l’équipe plateforme qui déploie les agents que l’équipe sécurité qui les encadre, y compris lorsque les capacités réutilisables changent de format entre les Notion Skills et l’API Claude Skills.

Prenons le cas concret d’un éditeur SaaS de taille intermédiaire : les développeurs utilisent Cursor et Claude Code, les opérations travaillent dans ChatGPT et un agent de production met à jour Salesforce et Jira. On retrouve la même dispersion des clients dans les navigateurs conçus pour les agents IA : chaque configuration locale multiplie les systèmes de règles et les pistes d’audit. Runlayer fournit à tous ces clients le même connecteur approuvé et la même frontière de règles, sans les obliger à abandonner leurs interfaces préférées.

Sa limite clairement identifiée concerne la preuve des futures délégations. Un « compte d’agent » constitue un sujet de contrôle utile, mais le pilote doit encore démontrer si la plateforme sait distinguer l’autorité propre de l’agent de celle que lui délègue un utilisateur, restreindre ce mandat pour un sous-agent, lier les jetons pour empêcher leur réutilisation et révoquer la chaîne sans désactiver tous les workloads partageant le connecteur.

Un pilote Runlayer concret

Le premier du classement mérite le plan de pilote le plus précis. Ces étapes reprennent le workflow documenté de catalogue, d’approbation, de règles, de clients et d’audit, sans prétendre que le produit a été déployé pendant cette analyse.

1. 1

   Enregistrer trois niveaux de risque

   Ajoutez un serveur MCP interne en lecture seule, un connecteur SaaS capable d’écrire et un outil capable d’une action irréversible. Faites apparaître les propriétaires des serveurs et la classification des données dans le catalogue.

2. 2

   Associer chaque acteur à une identité

   Connectez le fournisseur d’identité de l’entreprise, puis créez des sujets de règle distincts pour une personne, un compte d’agent de production et une identité de sous-agent de test. Refusez toute configuration qui revient à utiliser un compte de service partagé.

3. 3

   Définir les droits sous le niveau du serveur

   Autorisez l’utilisateur à voir le connecteur, l’agent principal à appeler certains outils et interdisez l’outil irréversible au sous-agent. Ajoutez des conditions de réseau et de runtime lorsque le workflow franchit une frontière de confiance.

4. 4

   Connecter deux clients différents

   Faites passer la même capacité gouvernée par un client de développement et un client destiné aux équipes métier. Vérifiez que les règles suivent l’identité et le contexte plutôt qu’un fichier de configuration local.

5. 5

   Prouver la chaîne de preuves

   Pour une requête autorisée et une requête refusée, exportez l’acteur, le client, le connecteur, l’outil, le résultat de la règle, les métadonnées de sécurité et l’issue. Révoquez ensuite l’accès au niveau de l’identité et vérifiez que l’appel suivant échoue sans attendre l’expiration d’un jeton de longue durée mis en cache.

La couche 1Password a sa place ici, pas au-dessus

1Password est le meilleur complément de gestion des identifiants dans cette catégorie, car il sécurise leur conservation sans prétendre remplacer le plan de gouvernance MCP. Son intégration actuelle avec Runlayer permet à un administrateur de saisir une référence op:// plutôt qu’une clé brute ; Runlayer résout la valeur active au moment de la connexion via le SDK 1Password, l’utilise pour la requête et ne conserve ni la valeur brute ni de cache sur disque.

La rotation présente aussi un intérêt opérationnel. L’intégration compare les empreintes SHA-256 lors de la récupération, consigne les événements de lecture et de rotation du secret sans en journaliser la valeur, puis utilise l’identifiant renouvelé dès la connexion suivante. La page tarifaire en ligne de 1Password présente Unified Access comme une offre sur mesure qui inclut Enterprise Password Manager, Device Trust, SaaS Manager et Privileged Access.

La limite est tout aussi importante : injecter un identifiant ne suffit pas à établir une autorité déléguée. Même sécurisé, un secret peut autoriser un agent aux droits excessifs. Runlayer reste responsable des règles liées à l’acteur, à l’outil et au runtime ; 1Password évite que l’identifiant en amont se retrouve dans la base de données de la gateway.

2. Proofpoint AI MCP Security : le meilleur choix pour la découverte et l’analyse forensique des audits

Proofpoint AI MCP Security est le meilleur choix lorsque la direction de la sécurité pilote le programme et ne peut pas présumer que le trafic MCP passe déjà par une gateway autorisée. La solution réunit dans un même produit la découverte des usages fantômes, le durcissement des serveurs, un registre validé, des règles centralisées, l’inspection des contenus et l’analyse forensique des transactions. Son périmètre dépasse celui d’un proxy et son approche est davantage orientée sécurité que le plan de contrôle de Runlayer, conçu d’abord pour faciliter l’adoption.

Idéal pour : les entreprises qui doivent repérer les usages MCP non gérés sur les ordinateurs portables, dans le cloud, chez des hébergeurs tiers et derrière les gateways existantes avant d’approuver une voie standard.
Point fort : la reconstitution complète des transactions, de l’acteur initial jusqu’aux serveurs MCP en passant par l’application et le modèle, avec export OpenTelemetry vers le SIEM et la stack d’observabilité existants.
Tarifs : sur devis ; la page vérifiée ne publie ni prix en dollars ni tableau de formules.
Essai gratuit : aucun essai public annoncé ; l’achat commence par une demande de démo.

Le principal avantage de Proofpoint tient à une découverte directement reliée aux mesures correctives. La plateforme affirme pouvoir détecter l’absence d’authentification ou de chiffrement, les hôtes distants non autorisés et les serveurs locaux non protégés, puis rediriger le trafic vers des voies gouvernées. Pour une banque qui découvre des configurations MCP dispersées sur les postes de ses développeurs, cette capacité vaut davantage, dès le premier jour, qu’un nouveau répertoire d’outils.

Le registre et le workflow de packaging allègent le travail sur la chaîne d’approvisionnement sans le supprimer. Proofpoint indique que plus de 800 serveurs sont prévalidés et qu’un serveur peut être conditionné dans un conteneur sécurisé en moins de 15 minutes. L’entreprise doit toujours décider si les outils du serveur, ses autorisations en amont, son mainteneur, son processus de mise à jour et sa zone de données sont acceptables. Mettre une capacité dangereuse dans un conteneur réduit le risque d’exécution ; cela ne la rend pas adaptée au besoin.

L’analyse forensique justifie le supplément d’une suite, à condition que le pilote en apporte la preuve. La plateforme décrit une chaîne qui enregistre la personne à l’origine de l’interaction, l’application et le modèle qui l’ont traitée, les serveurs appelés, les anomalies et élévations de privilèges, puis exporte le tout via OpenTelemetry. Demandez à reconstituer dans le SIEM un appel refusé et un appel destructif autorisé, sans ouvrir la console Proofpoint. Si les preuves s’arrêtent à la gateway, la promesse d’audit reste une promesse de tableau de bord.

La limite porte sur la précision de l’identité. Proofpoint décrit publiquement OAuth 2.0, le contrôle d’accès des utilisateurs et des agents, ainsi que l’application de règles. La solution ne montre pas publiquement le nouveau flux d’identité des workloads ni celui d’un sous-agent délégataire. L’acheteur doit exiger des principaux distincts pour l’utilisateur, l’agent et le sous-agent, puis tester la révocation et la réutilisation d’un jeton plutôt que d’accepter une « autorisation fondée sur l’agent » comme preuve.

3. Stacklok Enterprise : le meilleur choix pour les parcs Kubernetes auto-hébergés

Stacklok Enterprise est la meilleure plateforme pour une organisation qui exploite déjà Kubernetes et veut faire hériter MCP de ses contrôles de runtime, d’identité, de réseau et GitOps. ToolHive, son socle open source, permet l’évaluation ; le produit Enterprise ajoute une couche d’exploitation durcie et le support. Pour les déploiements en cloud privé, sur site ou fortement réglementés, c’est le modèle de responsabilité le plus lisible de la sélection.

Idéal pour : les équipes plateforme qui disposent d’un Kubernetes de production, de fournisseurs d’identité, de règles réseau et d’une observabilité déjà en place.
Point fort : les serveurs MCP s’exécutent sous forme de pods, les namespaces deviennent des frontières de confiance et les Kubernetes ServiceAccounts ainsi que les claims OIDC sont associés aux autorisations MCP.
Tarifs : ToolHive est open source sous licence Apache 2.0 ; Stacklok Enterprise est proposé sur devis après une démo.
Essai gratuit : ToolHive peut être téléchargé et évalué ; aucun essai Enterprise n’est annoncé sur la page produit vérifiée.

Stacklok a pour atout la continuité architecturale. Une équipe plateforme peut traiter un serveur MCP comme n’importe quel autre workload, avec son namespace, son point d’entrée, ses règles réseau, son compte de service, ses journaux et son historique de déploiement. Le vocabulaire de l’identité ne sert à rien si la frontière de sécurité disparaît au niveau du processus de l’outil ; Kubernetes apporte des contrôles que l’équipe sait déjà auditer et exploiter.

Prenons l’exemple concret d’un éditeur de logiciels de santé qui doit conserver les données des appels d’outils dans son propre environnement. La page de Stacklok indique que Registry, Runtime, Gateway et Portal reposent sur Kubernetes, tandis que les ServiceAccounts et claims OIDC sont associés aux autorisations MCP. OpenTelemetry, norme ouverte de traces et de métriques, transmet l’activité vers Grafana, Datadog, Splunk ou le système d’observabilité déjà exploité par l’entreprise.

ToolHive offre aussi le point de départ le plus transparent avant tout achat. Grâce à la licence Apache 2.0, l’équipe peut examiner et exécuter le socle, enregistrer un petit ensemble de serveurs approuvés et mesurer la charge opérationnelle avant de signer un contrat Enterprise. Cette évaluation doit couvrir le comportement des mises à niveau, la rotation des certificats, la distribution des règles, la signature des serveurs, le confinement d’une sortie de conteneur et le retour arrière après incident.

La limite est le revers de cette force : Stacklok ne remplace pas une équipe plateforme. Une jeune entreprise qui exploite un seul agent hébergé sans expérience de Kubernetes ne devrait pas adopter un cluster uniquement pour utiliser MCP. Une licence apparemment gratuite peut devenir un lourd problème de responsabilité interne lorsqu’il faut bâtir autour d’elle un déploiement fiable, des correctifs, du support et de la découverte.

Il faut également une réponse complémentaire au trafic fantôme. Un cluster gouverné peut être excellent alors que les développeurs continuent d’exécuter, depuis leurs clients IA, des serveurs locaux qui lui échappent. Le pilote doit montrer comment la découverte sur les terminaux ou le réseau repère ces chemins et comment les règles les ramènent vers la gateway approuvée.

4. Operant AI : le meilleur essai et la meilleure couverture du terminal au cloud

Operant AI est la plateforme la plus rapide à évaluer, car elle propose aux clients éligibles une sandbox de 7 jours, sans carte bancaire et en mode d’observation uniquement par défaut. Sa couverture englobe les terminaux des collaborateurs, les agents de production, le trafic MCP et celui des modèles. Elle se révèle donc pertinente lorsque les agents de développement sur les ordinateurs portables et les agents cloud forment une seule surface d’attaque. La plateforme documente aussi l’application de règles aux identités non humaines, ou NHI, au lieu de se limiter aux utilisateurs humains.

Idéal pour : les organisations qui veulent évaluer ensemble les agents de développement sur les terminaux, les agents cloud, les serveurs MCP et les applications d’IA.
Point fort : une sandbox de 7 jours sans carte donne accès à toute la plateforme, tandis que le montant des pilotes payants est intégralement déduit de l’abonnement de la première année.
Tarifs : devis personnalisé selon le nombre de terminaux, les agents et le niveau de gouvernance ; des contrats mensuels, annuels, en volume et pluriannuels sont proposés.
Essai gratuit : sandbox provisionnée de 7 jours pour les clients éligibles, en mode d’observation uniquement par défaut.

Même sans montant en dollars, la présentation des offres d’Operant est particulièrement utile. Pro inclut la surveillance du shadow AI avec Endpoint Protector et celle du runtime avec Agent Protector ; Cloud MCP Gateway et AI Gatekeeper sont proposés en option. Scale inclut les versions complètes d’Endpoint Protector et d’Agent Protector ainsi que Cloud MCP Gateway, tandis qu’AI Gatekeeper reste en option. Enterprise regroupe les quatre familles de produits et ajoute des défenses personnalisées, le passage à l’échelle multirégion, SSO, SCIM, des modèles de gestion des appareils, les accès par API et webhook, ainsi que les déploiements VPC, sur site et isolés du réseau.

Cette structure définit clairement le seuil de changement de formule. Si le besoin consiste seulement à observer les premières activités sur les terminaux et chez les agents, Pro permet d’ouvrir la discussion. Dès qu’une application centralisée des règles sur le trafic MCP devient obligatoire, la comparaison honnête commence avec Scale ou avec un devis Pro assorti de l’option gateway. Un déploiement privé réglementé fait basculer le choix vers Enterprise.

La sandbox de 7 jours suffit à une preuve ciblée, pas à un déploiement d’entreprise. Les clients approuvés obtiennent une instance entièrement provisionnée où tous les modules et toutes les intégrations sont déverrouillés pendant l’essai. Apportez un client de développement, un agent cloud et trois serveurs MCP. Commencez en mode d’observation, consignez le graphe découvert, puis activez le blocage d’un serveur non fiable, d’un cas d’empoisonnement d’outil et d’un chemin de données sensibles. Vérifiez que l’alerte conserve le contexte d’identité et d’action nécessaire à la réponse.

La limite tient aux doublons et à l’opacité tarifaire. Une entreprise qui paie déjà pour la découverte des terminaux, la DLP, la sécurité des API, une gateway IA et un SIEM risque de financer deux fois les mêmes contrôles. Demandez à Operant de chiffrer son offre face aux outils qu’elle remplace, puis exigez un devis séparant les terminaux, les agents de production, la gateway MCP, les types de données, la conservation, le mode de déploiement et les dépassements.

5. Netskope One Agentic Broker : le meilleur choix pour les clients déjà équipés de Netskope DLP

Netskope One Agentic Broker est le meilleur choix lorsque Netskope gère déjà la sécurité web et la prévention des pertes de données de l’organisation. La solution découvre les serveurs, clients, outils, ressources et requêtes de prompt MCP, évalue les serveurs publics avec le Cloud Confidence Index, applique les règles d’accès et consigne l’activité au niveau de l’outil. Son intérêt vient de la continuité avec Netskope One DLP, pas d’un concours de fonctionnalités MCP pris isolément.

Idéal pour : les clients Netskope qui encadrent l’usage de MCP public et distant depuis des clients de développement, de chat et de programmation.
Point fort : l’évaluation des risques des serveurs publics et les règles DLP sensibles à MCP au sein d’une stack d’accès sécurisé déjà déployée.
Tarifs : commande client personnalisée, avec une licence fondée sur les utilisateurs surveillés, des packs de transactions ou les deux.
Essai gratuit : aucun essai public annoncé sur la page produit vérifiée.

L’avantage de Netskope pour l’acheteur réside dans le contexte existant des règles et des données. Une entreprise qui classe déjà ses données sensibles et contrôle les accès web avec Netskope peut étendre cette protection à MCP au lieu d’envoyer les appels d’outils vers un nouveau moteur DLP. Cela peut raccourcir la conception des règles et l’acheminement des incidents, deux postes souvent plus coûteux que la gateway elle-même.

Ses conditions de licence méritent plus d’attention que sa page de fonctionnalités. Une licence utilisateur inclut un quota mensuel fixe de transactions, et des packs de transactions peuvent compléter ou remplacer la tarification par utilisateur. Les transactions inutilisées ne sont pas reportées. Netskope envoie une notification à 80 % du volume de transactions souscrit, et ses conditions précisent que le service peut être suspendu jusqu’à la fin du mois une fois le quota dépassé.

Un scénario de planification montre pourquoi l’unité compte. 1,000 utilisateurs surveillés x 50 transactions MCP requête-réponse par jour ouvré x 22 jours ouvrés égale 1.1 million de transactions par mois. Il s’agit d’hypothèses de charge, pas d’un usage observé. Remplacez-les par les données du pilote, puis dimensionnez sur un mois de pointe plutôt que sur une moyenne, car la capacité inutilisée disparaît alors qu’un dépassement peut interrompre le service.

La dépendance à la DLP constitue une autre ligne budgétaire. La documentation technique de Netskope indique que la licence optionnelle est nécessaire pour créer et appliquer des règles DLP. Un devis Agentic Broker sans DLP peut montrer la visibilité tout en omettant le contrôle qui justifiait le choix de Netskope.

La limite concerne le périmètre. La page produit insiste sur les serveurs MCP publics et le trafic des clients, tandis que la documentation traite des serveurs distants et d’un inventaire qui englobe aussi les implémentations locales et conteneurisées. Demandez au pilote de prouver la découverte locale, le routage des serveurs privés, l’identité des workloads autonomes et la continuité des règles hors d’un navigateur ou d’un terminal utilisateur.

6. Salt Agentic Security Platform : le meilleur choix pour les parcs fortement dépendants des API

Salt Agentic Security Platform convient le mieux lorsque les actions les plus risquées des agents passent déjà par un parc d’API vaste et mal cartographié. Son Agentic Security Graph relie agents, serveurs MCP, outils et API, puis superpose découverte, analyse de posture, règles et détection pendant l’exécution sur tout ce parcours d’action. C’est la vision API-agent la plus étendue de cette sélection, mais pas l’achat de gateway MCP clé en main le plus évident.

Idéal pour : les banques, distributeurs, plateformes SaaS et autres entreprises où le risque agentique ne peut pas être dissocié des API fantômes, internes, partenaires et publiques.
Point fort : un graphe unique cartographie chaque agent, serveur MCP et API, avec le contexte de posture et de runtime sur toute la couche d’action.
Tarifs : sur devis ; les pages vérifiées ne publient ni prix en dollars ni tableau de formules.
Essai gratuit : aucune condition d’essai en libre-service annoncée ; Try Salt renvoie vers une demande de démo.

La nouveauté la plus tangible de Salt est sa bibliothèque de règles. Le 20 juillet 2026, l’entreprise indiquait que Policy Hub comptait 100 règles préconfigurées, dont 61 activées automatiquement, plus de 12 consacrées à la sécurité de l’IA et des agents, et des correspondances avec huit référentiels de conformité. Ces règles couvrent la configuration MCP, l’autorisation des agents, la sécurité des données, OAuth, l’architecture des API, le risque tiers et le comportement pendant l’exécution.

Prenons le cas concret d’un distributeur dont l’agent de service peut rembourser un achat via une API interne. Le serveur MCP peut être correctement configuré alors que l’API de remboursement sous-jacente accepte un périmètre excessif ou des séquences anormales. Le graphe de Salt est conçu pour relier l’agent, l’outil MCP, l’API, les données et le comportement, afin que l’équipe sécurité voie le parcours de l’action, pas seulement le prompt.

C’est également la raison pour laquelle Salt se classe sixième. La documentation publique détaille la découverte, la posture, les règles, le risque API et la protection pendant l’exécution, mais elle décrit moins précisément que Runlayer, Proofpoint ou Stacklok le fonctionnement quotidien du plan de contrôle MCP : approbation du catalogue, routage par la gateway, injection d’identifiants, règles par outil et distribution aux clients. Pour un client de la sécurité API, ce complément peut être le bon. Pour une plateforme MCP créée de zéro, exigez que la démo prouve ces mécanismes avant de considérer le graphe comme la gateway.

Quelle plateforme choisir selon votre contexte ?

Partez de la frontière la plus difficile à maîtriser dans votre environnement, puis utilisez l’identité pour départager les solutions.

Choisissez Runlayer lorsque les collaborateurs et les agents utilisent de nombreux clients et que l’entreprise a besoin d’un catalogue autorisé, plus simple que les configurations fantômes. Runlayer l’emporte si l’adoption, les comptes d’agents, le périmètre au niveau de l’outil, les contrôles de runtime et l’audit doivent cohabiter dans un même plan d’exploitation.

Choisissez Proofpoint lorsque la sécurité part d’un parc inconnu. Sa découverte, ses mesures correctives, le durcissement des serveurs, l’inspection des contenus et l’analyse forensique des transactions en font le meilleur premier achat pour les programmes consacrés au shadow MCP et à l’audit.

Choisissez Stacklok lorsque MCP doit fonctionner dans votre environnement Kubernetes et que l’équipe plateforme maîtrise déjà l’identité, les règles réseau, GitOps et l’observabilité. Son socle open source offre aussi la meilleure façon d’inspecter le runtime avant de signer un contrat commercial.

Choisissez Operant lorsque les agents de développement des collaborateurs, les agents cloud, les serveurs MCP et les applications d’IA doivent être évalués ensemble. Sa sandbox publique de 7 jours rend la preuve particulièrement accessible ; Scale et Enterprise portent les véritables niveaux d’application des règles MCP.

Choisissez Netskope si Netskope protège déjà le web, le cloud et les données sensibles. Écartez Netskope si la DLP n’est pas déjà budgétée, si le volume de transactions est imprévisible ou si le runtime est principalement privé et autonome plutôt que public et centré sur l’utilisateur.

Choisissez Salt lorsque MCP n’est qu’une arête d’un graphe d’actions API plus vaste. Écartez Salt si le besoin urgent porte sur un catalogue approuvé, un courtier d’identifiants et une gateway MCP destinée aux clients, plutôt que sur la posture des API et le comportement pendant l’exécution.

Un test peut renverser n’importe quelle décision : demandez au fournisseur de montrer un agent agissant pour le compte d’un utilisateur, déléguant une tâche plus restreinte à un sous-agent, appelant un outil autorisé, se voyant refuser un outil plus puissant et laissant derrière lui une chaîne de preuves complète et révocable. Si la plateforme en est incapable, sa découverte, ses tableaux de bord et la taille de son catalogue ne comblent pas l’angle mort de la délégation.

Combien coûte une plateforme de sécurité MCP en entreprise ?

Le marché public ne permet pas de classer les solutions par prix affiché. Parmi les six pages produit ou tarifaires publiques examinées pour Runlayer, Proofpoint, Stacklok Enterprise, Operant, Netskope et Salt, aucune n’affichait de prix en dollars le 24 août 2026. Stacklok ne fait exception que pour son socle open source : ToolHive se télécharge sous licence Apache 2.0, tandis que l’offre Enterprise passe toujours par les ventes.

Les unités de devis ne sont pas comparables :

• Runlayer, Proofpoint, Stacklok et Salt commencent par des démos ou un périmètre d’entreprise sur mesure.
• Operant tarifie selon les terminaux, les agents de production, les produits, la profondeur de déploiement et les exigences de gouvernance.
• Netskope facture selon les utilisateurs surveillés, les packs de transactions ou les deux, avec une dépendance DLP distincte.
• 1Password propose Unified Access comme une plateforme d’identité sur mesure aux côtés de la gateway.

Ramenez chaque proposition à une même charge annuelle : identités, agents, serveurs MCP, outils, transactions mensuelles, durée de conservation, environnements, régions de données, mode de déploiement, support, options obligatoires et comportement en cas de dépassement. Un tarif de base bas auquel il manque une licence DLP ou qui impose un plafond de transactions n’est pas la plateforme la moins chère.

Lorsque les fournisseurs gardent leurs tarifs privés, le modèle développement interne contre achat fournit un plafond utile. Utilisez vos propres coûts complets de main-d’œuvre ; le calcul suivant est un modèle de planification, pas un devis du marché :

• Plan de contrôle développé en interne : deux ingénieurs x huit semaines x 40 heures x $150 par heure = $96,000 de main-d’œuvre interne avant le support continu.
• Pilote fournisseur : quatre semaines x 30 heures d’ingénieur plateforme plus 10 heures d’ingénieur sécurité par semaine x $150 par heure = $24,000 de main-d’œuvre interne avant la licence.
• Seuil de rentabilité de la licence la première année : $96,000 moins $24,000 = $72,000.

Le modèle exclut volontairement, des deux côtés, le runtime cloud, les scanners tiers, la gestion des secrets, la DLP, le stockage SIEM et l’exploitation continue. Ajoutez-les de manière symétrique. Ne comptabilisez pas un contrôle comme une économie apportée par le fournisseur si un autre produit déjà en place l’assure, et ne confondez pas licence open source gratuite et coût d’exploitation nul.

C’est la conséquence métier de la nouvelle feuille de route. L’identité et la délégation sont désormais deux éléments de preuve distincts : un devis de gateway qui omet la couche d’identité est donc incomplet. Budgétez la chaîne d’autorité, pas seulement le point de passage du trafic.

Les solutions à éviter

Le mauvais produit est souvent un bon outil auquel on confie la mauvaise mission.

MCPJam comme contrôle de sécurité en production

MCPJam est un environnement de test MCP performant, pas la couche d’application des règles en production recherchée ici. Sa page tarifaire en ligne s’articule autour d’un Inspector, d’un débogueur OAuth, d’un logger JSON-RPC, d’un registre, de crédits d’évaluation et de fonctions collaboratives.

Les tarifs ont le mérite d’être clairs : Free coûte $0 par mois, avec 200 crédits par jour et 25 itérations d’évaluation par jour ; Team coûte $30 par siège et par mois, facturé annuellement, avec 10,000 crédits par siège et par mois et 5,000 itérations d’évaluation par mois ; Enterprise est une offre personnalisée avec engagement annuel, SSO/SAML, RBAC personnalisé, conservation des audits, DPA et SLA.

Utilisez MCPJam pour inspecter, déboguer et évaluer les serveurs avant leur déploiement. Ne prenez pas des crédits de test, SSO et un SLA Enterprise pour des preuves d’application des règles en ligne, d’identité des workloads, de découverte réseau ou de confinement pendant l’exécution.

Promptfoo MCP Proxy comme plan de contrôle complet

Promptfoo MCP Proxy est un contrôle ciblé crédible pour les listes d’autorisation, l’accès par application et par utilisateur, le suivi de l’activité, les alertes sur les données sensibles et les règles centralisées. Il reste sous les plateformes classées, car sa page MCP publique ne documente ni la délégation des comptes d’agents, ni l’identité des workloads, ni l’isolation, ni un runtime de serveurs gouverné, ni les nouvelles normes de la feuille de route.

La tarification générale de Promptfoo comprend une formule Community gratuite à vie, avec jusqu’à 10,000 sondes de red team par mois, ainsi que des formules Enterprise et On-Premise personnalisées. Utilisez-la lorsque le red teaming et un proxy ciblé répondent au besoin. Ne transformez pas un proxy étroit en système d’exploitation MCP d’entreprise sans prouver la découverte, l’identité, les frontières d’exécution et la délégation.

1Password Unified Access comme substitut à une gateway

1Password Unified Access a sa place dans l’architecture, mais pas dans la case de la gateway. La solution gère l’identité, les accès privilégiés, la confiance des appareils, la découverte SaaS, les identifiants à l’exécution et l’audit, le tout sur devis. L’intégration documentée avec Runlayer illustre la bonne séparation : 1Password conserve le secret et le résout au moment de la requête ; Runlayer décide si l’acteur et l’appel d’outil sont autorisés.

Acheter uniquement la couche de secrets ne règle ni l’inventaire des serveurs, ni le routage MCP, ni l’empoisonnement des outils, ni la validation des paramètres, ni l’inspection des contenus, ni les règles par outil. Acheter la gateway seule risque de créer une nouvelle base de données de secrets. L’association est crédible précisément parce que chaque produit reste dans son rôle.

Checklist de pilote pour la sécurité des agents IA avec MCP

Un fournisseur ne réussit que s’il produit les preuves de l’action, pas une diapositive sur la fonctionnalité.

1. 1

   Découvrir le chemin non autorisé

   Placez un serveur local, un serveur distant et un serveur derrière la gateway approuvée. La plateforme doit trouver les trois, ou expliquer précisément comment elle les prend en compte, puis identifier le client, les outils, la version, le propriétaire et la zone de données.

2. 2

   Séparer l’utilisateur, l’agent et le sous-agent

   Attribuez une identité distincte à chaque acteur. L’agent peut hériter d’un mandat utilisateur limité ; le sous-agent doit recevoir une délégation plus restreinte. Refusez toute architecture qui réduit cette chaîne à un unique jeton réutilisable.

3. 3

   Appliquer les règles à la frontière de l’outil

   Autorisez un outil de lecture, autorisez sous conditions un outil d’écriture et interdisez un outil irréversible. Vérifiez que l’agent ne peut pas contourner le refus en utilisant un autre client, un alias du serveur ou un outil chaîné.

4. 4

   Empoisonner dans les deux sens

   Insérez une instruction dans la description d’un outil, puis une instruction malveillante dans son résultat. La plateforme doit inspecter les métadonnées entrantes et la sortie chaînée, pas seulement le prompt initial de l’utilisateur.

5. 5

   Contraindre l’exécution

   Depuis le serveur, tentez une action inattendue sur un fichier, le réseau ou un processus. Vérifiez que la sandbox et les frontières réseau stoppent le mouvement latéral même si le moteur de règles ne détecte pas l’intention.

6. 6

   Voler et réutiliser un jeton

   Copiez un jeton de test et utilisez-le depuis le mauvais workload ou après sa révocation. Demandez comment DPoP, la fédération, l’échange de jetons, l’expiration, l’audience et la liaison à une clé modifieront le résultat à mesure que la feuille de route se concrétise.

7. 7

   Reconstituer l’action

   Exportez vers le SIEM l’acteur, l’utilisateur délégant, le client, l’agent, le serveur, l’outil, les paramètres, la décision de règle, l’empreinte du résultat lorsqu’elle existe, l’issue finale et l’événement de révocation.

8. 8

   Chiffrer la même charge

   Donnez à chaque fournisseur les mêmes utilisateurs, agents, serveurs, outils, transactions, durées de conservation, environnements, régions, options et hypothèses de support. Comparez un total annuel et un plan de sortie à trois ans.

Ne laissez pas l’équipe plateforme tester uniquement les appels réussis. La preuve de sécurité réside dans la requête refusée, le jeton révoqué, la sortie chaînée bloquée, le processus isolé et la piste forensique complète.

Questions fréquentes

Quelle est la meilleure plateforme de sécurité MCP ?

Runlayer est la meilleure plateforme globale de sécurité MCP pour déployer des agents d’entreprise sur plusieurs clients, car elle réunit catalogue, règles sensibles aux agents, contrôles de runtime et audit. Proofpoint convient mieux à la découverte des usages fantômes et à l’analyse forensique, tandis que Stacklok répond mieux aux besoins Kubernetes auto-hébergés.

Que sont les outils de sécurité MCP ?

Les outils de sécurité MCP encadrent la connexion entre les clients ou agents IA et les outils qu’ils appellent. Une plateforme complète découvre les serveurs, vérifie les acteurs, restreint les droits, inspecte les appels et les résultats, contraint l’exécution, révoque les accès et conserve les preuves.

Quelles sont les principales vulnérabilités de sécurité de MCP ?

Les principaux risques sont les identifiants trop permissifs ou de longue durée, les serveurs fantômes, l’empoisonnement d’outils, l’injection dans les prompts et les paramètres, les sorties chaînées dangereuses, une isolation d’exécution insuffisante, la réutilisation de jetons, les autorisations excessives des agents, le code serveur vulnérable et les pistes d’audit incomplètes.

Que doit contenir une checklist de sécurité MCP ?

Incluez l’inventaire, la validation des projets pris en charge, l’identité des workloads, le périmètre délégué, l’autorisation par outil, l’isolation, la validation des paramètres, l’inspection des entrées et des sorties, la conservation des identifiants, la protection contre la réutilisation des jetons, la révocation rapide, les correctifs et des preuves exploitables dans un SIEM.

Existe-t-il une plateforme de sécurité MCP open source ?

Oui. ToolHive de Stacklok est la voie open source la plus solide de cette sélection et utilise la licence Apache 2.0. La solution fournit un socle d’évaluation et de runtime, mais l’entreprise reste responsable du déploiement, des correctifs, du support, de la découverte hors du chemin gouverné et des contrôles de sécurité complémentaires.

Dès lundi : achetez des preuves, pas des promesses

Lundi, choisissez un agent avec un responsable métier et trois outils : un en lecture seule, un capable d’écrire et un irréversible. Dessinez la chaîne d’autorité de l’utilisateur à l’agent puis au sous-agent. Pour chaque étape, consignez l’identité, la source des identifiants, le périmètre, le propriétaire du serveur, la zone de données, la destination des journaux et le responsable de la révocation.

Mardi, faites passer la même charge par les deux plateformes qui correspondent à votre frontière opérationnelle. Pour la plupart des entreprises, il s’agira de Runlayer face à Proofpoint, Runlayer face à Stacklok ou Operant face à Netskope. Conservez les mêmes clients et les mêmes outils pour que seule la plateforme varie.

Mercredi, provoquez quatre échecs : empoisonnez la description d’un outil, injectez une instruction malveillante dans le résultat d’un outil, réutilisez depuis le mauvais workload un jeton copié et demandez au sous-agent d’appeler l’outil irréversible. Notez la couche qui bloque chaque action et les preuves qui subsistent.

Jeudi, révoquez séparément le mandat de l’utilisateur et l’identité de l’agent. Vérifiez que l’accès s’arrête immédiatement, que les identifiants en cache échouent et que le SIEM peut reconstituer l’acteur, le périmètre délégué, les paramètres, la décision de règle, le résultat et l’issue.

Vendredi, fournissez aux deux éditeurs la même charge annuelle et comparez leur devis complet à la ligne de licence de première année à $72,000 du modèle de planification. N’achetez que si la chaîne de preuves est complète et si le devis bat l’option interne sur le coût, le contrôle ou le risque opérationnel. Si aucune plateforme ne réussit, maintenez l’agent en lecture seule et recommencez la preuve au lieu de financer un déploiement sans gouvernance.

Recevez la checklist d’audit des workflows métier d’IA

La checklist gratuite d’audit des workflows métier d’IA transforme une idée d’agent en pilote cadré, avec un responsable, une frontière d’autorité, un critère d’acceptation, un plafond budgétaire et une règle d’arrêt. Inscrivez-vous pour recevoir la checklist et le prochain guide de mise en œuvre vérifié.