Gartner’s first Magic Quadrant for the threat intelligence market highlights how digital risk protection has merged into these platforms, while core functions like data collection and analysis remain critical. The evaluation of 17 vendors across “execution” (product quality, pricing, market track record) and “vision” (commercial, sectoral, geographic strategy) yields five Leaders: CrowdStrike, Google, Group-IB, Recorded Future, and ZeroFox. On the execution axis, Recorded Future ranks first, followed by CrowdStrike, Google, ZeroFox, and Cyble; on vision, CrowdStrike leads, then Google, Recorded Future, ReliaQuest, and ZeroFox.

Automation capabilities sharply divide the field. Google stands out for agentic AI that analyzes malware code, extracts adversary techniques and tactics, and simulates threat behaviors. Three Visionaries earn praise: NSFOCUS for automated sectoral classification and a browser extension that enriches indicators of compromise (IOCs); ReliaQuest for consolidation and automated response; and SOCRadar for crafting and deploying detection rules. Niche player Axur’s proprietary multimodal AI (including a computer vision model for brand abuse detection) and agentic automation for escalation and takedown validation also receive a nod.

In contrast, automation gaps persist. Leader Group-IB has yet to fully deliver predictive capabilities, still leaning heavily on rule-based logic and analyst-driven workflows. Niche player Flare limits AI to summarization, relevance scoring, noise reduction, and interpretation assistance, without predictive or agentic features and with scant closed-loop automation (e.g., IOC-to-rule creation). Challenger Flashpoint lacks full IOC lifecycle automation, while Intel 471 (niche) prioritizes human expertise over advanced automation. Even Recorded Future, praised for correlation and contextualization, places little emphasis on automated response, depending on downstream tools.

Pricing models range from transparent to opaque. Visionary Bitsight earns recognition for predictable costs across user, API, and add-on modules. CrowdStrike’s multilevel pricing (per endpoint or employee) is complex. KELA’s unstructured pricing makes costs hard to forecast. ReliaQuest is called opaque, with only high-level pricing indicators and no public packaging details. ZeroFox complicates billing with per-asset charges, a bucket model for takedowns, and integration surcharges.

Deployment complexity also earns warnings. Google’s premium features (private scanning, advanced automation) can accumulate and complicate stack operations. Group-IB suits mature teams best; others may need to design additional processes. Recorded Future often requires multiple add-on modules to unlock full value, driving up costs.

Functional gaps are common. Axur lacks a browser extension, mobile app, and automated SIEM/EDR rule generation. CTM360 offers no browser extension and its main features remain unpatented. Google has no native mobile app, forcing users to copy-paste for some tasks. Intel 471 misses a browser extension, mobile app, and agentic workflows. SOCRadar’s mobile app is limited, and its overall UX is unstable, especially alert delivery.

Geographic reach remains narrow for many. Axur’s clients are mostly in Latin America; CrowdStrike and Flashpoint concentrate revenue in North America; CTM360 has a small client base with modest recurring revenue and growth; CYFIRMA and NSFOCUS are heavily Asia-Pacific focused; Group-IB’s North American presence is limited; KELA’s teams are unevenly distributed, skewed toward North America; Recorded Future’s revenue and support are concentrated in North America and EMEA; ZeroFox’s clientele is primarily North American.

Ces dernières années, la protection contre les risques numériques s’est fondue dans les produits de threat intelligence.

Gartner en fait une note de contexte pour son premier Magic Quadrant dédié à ce marché. Au-delà de cette convergence, le cabinet américain rappelle que malgré l’innovation (automatisation, enrichissement, intégrations…), les capacités fondamentales que sont la collecte et l’analyse demeurent très valorisées. Cela se ressent sur la manière dont il a classé les fournisseurs.

17 fournisseurs, 5 « leaders »

L’évaluation englobe deux dimensions, dites « exécution » et « vision ». La première traduit la capacité à répondre aux besoins (qualité des produits, tarification, historique sur le marché…). La deuxième est centrée sur les stratégies (commerciale, sectorielle, géographique…).

La situation sur l’axe « exécution » :

Rang

Fournisseur

1

Recorded Future

2

CrowdStrike

3

Google

4

ZeroFox

5

Cyble

6

Flashpoint

7

Group-IB

8

Intel 471

9

Bitsight

10

SOCRadar

11

CTM360

12

KELA

13

CYFIRMA

14

ReliaQuest

15

Flare

16

Axur

17

NSFOCUS

Sur l’axe « vision » :

Rang

Fournisseur

1

CrowdStrike

2

Google

3

Recorded Future

4

ReliaQuest

5

ZeroFox

6

Group-IB

7

Bitsight

8

NSFOCUS

9

CYFIRMA

10

SOCRadar

11

CTM360

12

KELA

13

Cyble

14

Flashpoint

15

Intel 471

16

Axur

17

Flare

5 fournisseurs ont l’étiquette « leader » : CrowdStrike, Google, Group-IB, Recorded Future et ZeroFox.

Des fournisseurs salués sur l’automatisation…

Parmi les « leaders », Google se distingue sur les capacités agentiques. En particulier pour l’analyse du code des malwares, l’extraction de techniques et tactiques et la simulation du comportement des adversaires.

Sur le volet IA/automatisation, trois « visionnaires » ont droit à des bons points. NSFOCUS, pour sa classification automatisée par secteurs économiques et pour son extension de navigateur qui met en avant les IOC tout en les enrichissant. ReliaQuest, pour les possibilités qu’il offre en matière de consolidation et de réponse. SOCRadar, sur la partie création et déploiement de règles de détection.

Gartner salue aussi l’IA multimodale propriétaire d’Axur (« acteur de niche »). En particulier un modèle de vision pour détecter les abus de marque. Il y ajoute l’automatisation agentique qui facilite l’escalade de la réponse et la validation des actions de démantèlement.

… et d’autres en retard

Un des « leaders » a droit à une remarque négative en matière d’IA/automatisation. En l’occurrence, Group-IB. Il n’a pas encore livré complètement ses capacités prédictives. Sa plate-forme utilise encore largement une logique à base de règles et des workflows guidés par des analystes.

Chez Flare (« acteur de niche »), l’IA a un rôle d’accompagnement plutôt que de décision. Elle est centrée sur le résumé, le scoring de pertinence, la réduction du bruit et l’aide à l’interprétation par les analystes. Les aspects prédictif et agentique ne sont pas développés et les automatisations en boucle fermée (exemple : création de règles à partir d’IOC) sont limitées.

Flashpoint (« challenger ») n’a pas pleinement automatisé la gestion du cycle de vie des IOC. Intel 471 (« acteur de niche ») priorise quant à lui l’expertise humaine à la production d’automatisations avancées. Performant sur la corrélation et la contextualisation, Recorded Future met cependant moins l’accent sur l’automatisation de la réponse, qui s’appuie beaucoup sur des outils aval.

Des tarifications parfois complexes, voire opaques

Bitsight (« visionnaire ») se distingue positivement par sa tarification jugée transparente. Les coûts en sont prévisibles tant pour les accès utilisateur et API que pour les modules complémentaires.

On ne peut pas en dire autant pour CrowdStrike. Son pricing multiniveaux – basé sur les endpoints ou sur les employés – est complexe.

Celui de KELA (« acteur de niche ») manque de structure : les coûts peuvent être difficiles à prévoir en fonction du mix fonctionnel ou du périmètre de déploiement.

Concernant ReliaQuest, Gartner parle d’une tarification « opaque » : les prix indiqués sont liés à des indicateurs de haut niveau, sans détails de packaging ni structures tarifaires publiques.

Pricing également complexe chez ZeroFox, entre facturation à l’actif, modèle au bucket pour le démantèlement et suppléments pour certaines intégrations.

Les offres « leaders », souvent complexes à exploiter

Trois « leaders » font l’objet d’un avertissement concernant la complexité de mise en œuvre et/ou d’exploitation de leurs solutions.

Chez Google, les fonctionnalités premium (scan privé, automatisation avancée…) peuvent vite s’accumuler et compliquer l’opérationnalisation de la stack.

L’offre de Group-IB est mieux adaptée aux équipes « matures » (pour les autres, elle peut nécessiter de définir des processus supplémentaires).

Chez Recorded Future, atteindre la « pleine valeur » nécessite souvent de multiples modules complémentaires… susceptibles d’augmenter les coûts.

Apps mobiles et extensions de navigateur, encore régulièrement manquantes

Sur le plan fonctionnel, Axur n’a pas d’extension de navigateur, ni d’application mobile, ni de génération automatisée de règles SIEM/EDR.

CTM360 n’a pas non plus d’extension de navigateur. Et Gartner note que ses principales fonctionnalités ne sont pas protégées par des brevets.

Sur mobile, Google manque d’une app native et certaines tâches exigent du copier-coller.

L’offre d’Intel 471 ne comprend pas non plus d’extension de navigateur. Ni d’app mobile et de workflows agentiques.

Chez SOCRadar, il existe une app mobile, mais limitée. L’UX n’est globalement pas stabilisée, en particulier sur la livraison des alertes.

Beaucoup d’acteurs à la présence géographique limitée

Nombre de fournisseurs ont un périmètre d’action limité sur le plan géographique.

Axur : clientèle principalement en Amérique latine

CrowdStrike : CA concentré en Amérique du Nord

CTM360 : clientèle limitée, revenu annuel récurrent et croissance « modestes »

CYFIRMA (« visionnaire») : clientèle concentrée en Asie-Pacifique

Flashpoint : clientèle et activité concentrées en Amérique Nord

Group-IB : présence limitée en Amérique du Nord

KELA : distribution géographique inégale des équipes, localisées surtout en Amérique du Nordd

NSFOCUS : présent essentiellement en Asie-Pacifique

Recorded Future : revenus et support concentrés en Amérique du Nord et EMEA

ZeroFox : clientèle localisée essentiellement en Amérique du Nord

Illustration principale © Adrian Gros – Shutterstock

The post Threat intelligence : l’automatisation morcelle le marché appeared first on Silicon.fr.