AppSec agentique : le développement logiciel est devenu agentique. Pas la sécurité.

L’IA transforme la façon dont les logiciels sont conçus. Les agents de codage produisent davantage de code que les équipes ne peuvent en examiner, et les modèles actuels introduisent plusieurs fois plus de vulnérabilités par ligne que les développeurs humains. Nombre de ces failles concernent la logique métier, le contrôle d’accès et l’authentification, des domaines où les scanners fondés sur des schémas ont une visibilité limitée.

La plupart des équipes de sécurité étaient déjà à la traîne avant que tout cela ne commence. Elles sont submergées de résultats, dont beaucoup sont du bruit, tout en gérant un arriéré de risques latents. Les attaquants utilisent l’IA pour repérer les faiblesses, combiner des problèmes de faible gravité en exploits plus sérieux et accélérer leurs attaques. En octobre 2026, les données de Snyk montraient qu’environ huit nouvelles vulnérabilités étaient introduites pour chaque vulnérabilité corrigée. Le développement piloté par l’IA accentue encore ce déséquilibre. Et les examens de sécurité approfondis qui détectent les failles de logique métier demandent tant de temps et de contexte que la plupart des équipes ne les réalisent qu’une fois, pour quelques applications critiques.

Les attaques contre la chaîne d’approvisionnement logicielle aggravent le problème. Les packages malveillants représentent désormais la majorité des vulnérabilités zero-day open source, avec plus de 20 attaques très médiatisées en 2026 et une hausse annuelle qui devrait dépasser 600 %. Un package malveillant peut dérober des identifiants lors de l’installation, avant l’exécution d’une pull request ou d’un scan CI, et les agents de codage peuvent introduire ces packages sans vérifier leur sécurité.

La sécurité doit suivre le rythme des nouvelles méthodes de développement logiciel et traiter les risques avant que le code ne passe en revue.

Le scan des pull requests ne suffit plus à lui seul  

Le scan des pull requests reste un contrôle important. À lui seul, il ne peut toutefois pas traiter tous les risques, en particulier lorsque le code est généré en continu et que des dépendances malveillantes peuvent causer des dégâts avant le début d’un scan.

La sécurité des applications doit intervenir à trois niveaux : des contrôles intégrés au workflow de codage, des scans déterministes rapides à chaque modification dans la CI et une analyse approfondie de l’application complète à intervalles réguliers. Cette analyse doit également tenir compte de la logique métier et du contexte de l’application, en plus des schémas de vulnérabilité connus.

Détecter davantage de problèmes n’est utile que si les équipes peuvent agir. La prévention et la remédiation doivent elles aussi passer à l’échelle, avec des politiques claires définissant ce qui doit être bloqué, corrigé ou soumis à une revue humaine. Les corrections proposées doivent être validées de manière indépendante avant que les équipes ne les acceptent.

La solution n’est pas un scanner de plus. C’est le programme, exécuté par des agents et piloté par votre équipe. 

Découvrez Evo Agentic AppSec

Evo Agentic AppSec est une équipe d’agents de sécurité qui exécute le programme de sécurité des applications à votre place, afin que votre équipe puisse se concentrer sur la définition des politiques et la prise de décisions. Cette solution réunit des capacités qui aident les équipes à gérer la sécurité des applications en continu, de l’évaluation des menaces et de la prévention à la détection, la priorisation, la remédiation et la vérification.

Elle aide les équipes à évaluer les menaces et les contrôles d’une application, à identifier les vulnérabilités, à prioriser les corrections et à valider les résultats. Les agents interviennent sur le nouveau code pendant le développement, pour prévenir les nouveaux problèmes et bloquer l’installation de packages malveillants, ainsi que sur les applications déjà déployées, afin de résorber réellement l’arriéré. 

Les informations de sécurité de Snyk fournissent le contexte nécessaire à ce travail. Elles combinent dix ans d’évaluations déterministes avec des signaux tels que l’accessibilité, l’exploitabilité, la possibilité de contournement et les résultats des corrections. Ce contexte aide les équipes à distinguer les problèmes importants du bruit et transforme une modification proposée en une correction exploitable par l’équipe.

Dans VulnBump, le tout dernier benchmark de Snyk portant sur de véritables mises à niveau de dépendances, Evo Remediation Agent a produit des corrections pouvant être fusionnées dans 90 % des cas, contre 59,6 % pour le même modèle sans le contexte de Snyk. Une correction fusionnable résout la vulnérabilité tout en permettant au projet de continuer à compiler.

La vérification indépendante est au cœur de cette approche. Des moteurs déterministes contrôlent les corrections proposées, au lieu de s’en remettre uniquement au modèle qui les a générées. Les équipes définissent les politiques et les critères d’acceptation qui encadrent le processus.

AppSec agentique est la prochaine solution à rejoindre Evo, la partie de la plateforme Snyk conçue pour aider les équipes à sécuriser à la fois les applications qu’elles développent et les agents d’IA qu’elles déploient.

Fonctionnement

Evo Agentic AppSec réunit une équipe d’agents aux rôles spécifiques :

• Evo Agentic Security Review évalue les menaces et les contrôles d’une application et produit des résultats étayés par des preuves ainsi que des recommandations de remédiation. Désormais, cette analyse approfondie peut couvrir toutes les applications sans avoir à agrandir votre équipe.

• Evo Code Scanning Agent détecte les failles de logique métier et d’autorisation qui échappent aux scanners traditionnels.

• Snyk Secrets détecte les secrets exposés dans les environnements de développement traditionnels et assistés par l’IA.

• Evo Remediation Agent corrige les problèmes dans le nouveau code et l’arriéré existant, en commençant par les problèmes liés aux dépendances tierces dès son lancement.

• Evo Dependency Firewall bloque les packages malveillants et non conformes aux politiques au moment de l’installation, avant même le démarrage du scan du code. Inutile de demander à vos agents de faire attention à ce qu’ils installent : ils utilisent par défaut des packages fiables.

Evo Continuous Offensive Security effectue des tests adversariaux pour évaluer plus en profondeur les défenses de l’application et l’efficacité des corrections.

Ensemble, ces capacités aident les équipes à étendre la couverture de sécurité et à traiter davantage de travaux de remédiation, tout en gardant une supervision humaine et le contrôle des politiques, des priorités et des approbations.

Evo Agentic AppSec s’appuie sur Snyk Code et Snyk Open Source. Les moteurs que les équipes utilisent déjà pour analyser le code et les dépendances fournissent l’analyse sous-jacente et valident de manière indépendante les résultats et les corrections proposées.

Donnez plus de moyens à vos équipes

À mesure qu’une part croissante du travail de développement et de sécurité s’automatise, les équipes ont besoin d’une supervision claire et de responsabilités bien définies.

Les développeurs peuvent consacrer davantage de temps à examiner les modifications proposées. Les équipes AppSec peuvent se concentrer sur les politiques de sécurité, les exceptions et les risques qui nécessitent leur jugement. Les RSSI bénéficient d’une visibilité sur un programme qui fonctionne en continu, avec des tests adversariaux et une piste d’audit des décisions automatisées.

Pour les organisations sans équipe AppSec dédiée, ces capacités peuvent aider à instaurer des pratiques de sécurité cohérentes et à réduire le travail manuel nécessaire à leur maintien.

L’objectif est concret : prévenir davantage de problèmes, corriger plus rapidement les vulnérabilités existantes et fournir aux équipes des preuves de l’efficacité de leurs corrections.

Découvrez-le par vous-même

Aujourd’hui : 

• Les scanners traditionnels ne détectent pas vos problèmes les plus critiques

• Votre arriéré augmente plus vite que vous ne pouvez le résorber

• Les agents de codage continuent d’intégrer vos secrets dans le code

• Des packages malveillants qui causent des dégâts dès leur installation 

Evo Agentic AppSec fournit des capacités de prévention, de détection, de remédiation et de vérification pour aider les équipes à relever ces défis.

Vous souhaitez mettre une équipe d’agents de sécurité aux côtés de chaque ingénieur ? Contactez votre responsable de compte Snyk pour bénéficier d’un accès anticipé aux agents. Ou restez à l’affût des prochaines annonces concernant Agentic AppSec !