Mycroft Révolutionne la Cybersécurité Sans Playbook

Imaginez lancer une startup dans l’un des secteurs les plus exigeants au monde, la cybersécurité, sans modèle éprouvé, sans armée d’anciens fondateurs pour vous guider et sans playbook clair à suivre. C’est exactement le défi qu’a relevé Mike Kim, co-fondateur et CEO de Mycroft, une jeune pousse torontoise qui, en à peine plus de deux ans, a séduit plus de 100 clients et approche les 2 millions de dollars canadiens de revenu récurrent annuel.

L’audace de grandir sans carte routière

Dans l’univers du SaaS classique, les fondateurs peuvent souvent se permettre d’itérer rapidement en se fiant presque exclusivement aux retours utilisateurs. En cybersécurité, la donne change radicalement. Les acheteurs sont plus méfiants, les cycles de vente s’étirent sur de nombreux mois, et la moindre faille peut coûter des millions. Pourtant, Mycroft a choisi de ne pas attendre d’avoir toutes les réponses avant d’avancer.

Le pari de Mike Kim ? Créer une plateforme qui ne se contente pas d’alerter sur les dangers, mais qui agit concrètement pour les neutraliser. Au cœur de cette ambition : des agents IA autonomes supervisés par des experts humains, capables d’analyser, de prioriser et même de corriger automatiquement les failles au sein des piles technologiques de sécurité déjà en place chez les entreprises.

Un constat simple à l’origine d’une révolution

Avant de fonder Mycroft en 2024, Mike Kim a occupé des postes clés en sécurité et conformité chez KPMG, EY, FreshBooks et PartnerStack. Partout, le même constat : les équipes croulent sous le poids d’outils multiples qui génèrent des alertes en cascade, mais offrent rarement des solutions claires et actionnables.

« Il y a énormément d’outils qui vous disent ce qui ne va pas, mais très peu qui vous expliquent précisément ce qu’il faut faire », résume-t-il avec pragmatisme.

Il y a énormément d’outils qui vous disent ce qui ne va pas, mais très peu qui vous expliquent précisément ce qu’il faut faire.

– Mike Kim, CEO de Mycroft

De cette frustration est née l’idée d’un virtual Chief Information Security Officer (vCISO) propulsé par l’intelligence artificielle : un cerveau numérique capable de comprendre le contexte spécifique de chaque organisation, d’appliquer les bonnes politiques et de combler les lacunes de sécurité en temps réel, tout en laissant la supervision humaine au centre du processus.

Les particularités douloureuses du scaling en cybersécurité

Contrairement aux applications grand public ou aux outils de productivité, la cybersécurité impose des contraintes uniques :

• Cycles de vente longs (souvent 9 à 18 mois)
• Exigence immédiate de crédibilité « enterprise » même à très petite échelle
• Tolérance au risque extrêmement faible de la part des clients
• Résistance naturelle au changement dans les workflows de sécurité
• Écosystème canadien encore jeune, avec peu de « battle scars » partagés

Ces réalités ont forcé l’équipe Mycroft à adopter une approche très différente de celle prônée dans les cercles SaaS classiques. Là où certains conseillent de « construire avec les clients », en cybersécurité il arrive fréquemment que le client ne sache pas encore ce dont il a réellement besoin.

« Parfois le produit perturbe leur workflow quotidien… mais il les protège vraiment », explique Mike Kim. Trouver le juste équilibre entre disruption nécessaire et acceptation par les équipes sécurité constitue l’un des défis les plus ardus.

Le Cyber Challenge : un accélérateur inattendu

Pour combler le manque cruel d’expérience collective dans l’écosystème canadien, Mycroft a rejoint le programme Cyber Challenge, initié par Rogers Cybersecure Catalyst en partenariat avec le Canadian Cyber Threat Exchange et soutenu par le gouvernement de l’Ontario.

Ce programme unique met en relation des startups cybersécurité avec des experts sectoriels et des clients potentiels dans sept domaines critiques : automobile, infrastructures intelligentes, mines, forces de l’ordre, agroalimentaire, fabrication avancée et sciences de la vie.

Ce qui a le plus surpris Mike Kim ? La grande diversité des approches et des problématiques rencontrées par les autres participants. Loin d’être tous des profils ultra-techniques, le cohort regroupait des visions très complémentaires.

J’étais persuadé que tout le monde serait hyper technique… en réalité, on a découvert une palette d’expertises très large.

– Mike Kim

Les échanges avec les secteurs automobile et minier ont notamment révélé des contraintes insoupçonnées : modèles de distribution, contraintes réglementaires, manque de contrôle sur les terminaux distants… Autant d’enseignements qui ont poussé Mycroft à recentrer stratégiquement son go-to-market sur les verticales B2B SaaS, fintech, services financiers et healthtech, là où le produit trouve le meilleur product-market fit aujourd’hui.

Des chiffres qui parlent d’eux-mêmes

Depuis la fin du programme en décembre 2025, Mycroft a connu une trajectoire impressionnante :

• Plus de 100 clients actifs
• Équipe passée à environ 20 personnes
• ARR approchant les 2 millions CAD
• 3,5 millions USD levés en seed round en 2025
• Financement non dilutif additionnel obtenu via le Cyber Challenge

Ces résultats sont d’autant plus remarquables qu’ils ont été obtenus sans suivre de recette toute faite. Mycroft a préféré apprendre sur le terrain, accepter les coups durs et transformer chaque difficulté en avantage compétitif durable.

Les leçons d’un fondateur sans filtre

Interrogé sur le programme Cyber Challenge, Mike Kim reste lucide et direct :

Le programme est excellent, il vous donne de solides bases… mais préparez-vous à un vrai wake-up call. Certaines vérités apprises peuvent être décourageantes. Il faut avoir la peau dure.

– Mike Kim

Cette honnêteté est rare et précieuse. Elle rappelle que derrière les métriques impressionnantes se cachent des nuits blanches, des pivots douloureux et des choix stratégiques déchirants. Mais elle montre aussi que la persévérance, combinée à une vraie écoute du marché et à l’apport d’experts extérieurs, peut mener très loin, même sans carte pré-dessinée.

Vers un avenir où l’IA redéfinit la cybersécurité

Mycroft ne prétend pas avoir inventé l’IA appliquée à la sécurité. Mais l’entreprise démontre qu’il est possible de passer d’une vision ambitieuse à une traction commerciale significative en misant sur l’automatisation intelligente plutôt que sur l’accumulation d’alertes supplémentaires.

En plaçant l’humain au centre de la boucle de décision tout en déléguant les tâches répétitives et analytiques à des agents autonomes, Mycroft propose une troisième voie entre les solutions purement manuelles (devenues intenables) et les promesses parfois exagérées d’automatisation totale.

Pour les startups qui se lancent aujourd’hui dans la cybersécurité au Canada, l’histoire de Mycroft offre un message clair : il n’existe pas de chemin unique, mais il existe des accélérateurs puissants (programmes comme Cyber Challenge), des verticales plus accessibles que d’autres au démarrage, et surtout une nécessité absolue de transformer chaque échec ou chaque retour difficile en carburant pour progresser.

Et si la prochaine licorne canadienne de la cybersécurité ne suivait finalement aucun playbook… mais écrivait le sien en avançant ?

Une chose est sûre : Mycroft a déjà prouvé que c’était possible.