Découvrez Evo Agentic AppSec : une sécurité au rythme du développement de l’IA

L’IA transforme la façon dont les logiciels sont créés. Les agents de programmation produisent plus de code que les équipes ne peuvent en examiner, et les modèles actuels introduisent plusieurs fois plus de vulnérabilités par ligne que les développeurs humains. Nombre de ces failles concernent la logique métier, le contrôle d’accès et l’authentification, des domaines où les scanners basés sur des modèles ont une visibilité limitée.

La plupart des équipes de sécurité avaient déjà du retard avant que tout cela ne commence. Elles croulent sous les résultats, dont beaucoup sont du bruit, tout en gérant un arriéré de risques latents. Les attaquants utilisent l’IA pour repérer les faiblesses, combiner des problèmes de faible gravité en exploits plus graves et accélérer leurs attaques. En octobre 2026, les données de Snyk montraient qu’environ huit nouvelles vulnérabilités étaient introduites pour chaque vulnérabilité corrigée. Le développement piloté par l’IA accentue encore ce déséquilibre. Quant aux examens de sécurité approfondis qui détectent les failles de logique métier, ils demandent tellement de temps et de contexte que la plupart des équipes ne les réalisent qu’une fois, pour quelques applications critiques.

Les attaques contre la chaîne d’approvisionnement logicielle aggravent le problème. Les paquets malveillants sont désormais à l’origine de la plupart des vulnérabilités zero-day open source, avec plus de 20 attaques très médiatisées en 2026 et une croissance qui devrait dépasser 600 % sur un an. Un paquet malveillant peut dérober des identifiants lors de l’installation, avant l’exécution d’une pull request ou d’un scan CI, et les agents de programmation peuvent introduire ces paquets sans vérifier leur innocuité.

La sécurité doit suivre le rythme de la création logicielle actuelle et traiter les risques avant même que le code n’arrive en revue.

Le scan des pull requests ne suffit plus à lui seul  

Le scan des pull requests reste une mesure de sécurité importante. Mais il ne peut, à lui seul, couvrir tous les risques, en particulier lorsque le code est généré en continu et que des dépendances malveillantes peuvent causer des dommages avant même le début d’un scan.

La sécurité des applications doit intervenir à trois niveaux : des contrôles intégrés au flux de programmation, des scans rapides et déterministes à chaque modification dans la CI, et une analyse plus approfondie de l’application complète à intervalles réguliers. Cette analyse doit également tenir compte de la logique métier et du contexte de l’application, en plus des schémas de vulnérabilités connus.

Détecter davantage de problèmes n’est utile que si les équipes peuvent agir. La prévention et la correction doivent elles aussi passer à l’échelle, avec des politiques claires qui définissent ce qui doit être bloqué, corrigé ou soumis à une revue humaine. Les correctifs proposés doivent faire l’objet d’une validation indépendante avant d’être acceptés par les équipes.

La solution n’est pas un scanner de plus. C’est le programme, exécuté par des agents et piloté par votre équipe. 

Découvrez Evo Agentic AppSec

Evo Agentic AppSec est une équipe d’agents de sécurité qui exécute le programme de sécurité des applications à votre place, afin que votre équipe puisse se concentrer sur la définition des politiques et la prise de décision. Cette solution rassemble plusieurs fonctionnalités pour aider les équipes à gérer la sécurité des applications en continu, de l’évaluation des menaces et la prévention à la détection, la priorisation, la correction et la vérification.

Elle aide les équipes à évaluer les menaces et les contrôles d’une application, à repérer les vulnérabilités, à prioriser les correctifs et à en valider les résultats. Les agents interviennent sur le nouveau code pendant le développement, pour prévenir les nouveaux problèmes et bloquer l’installation de paquets malveillants, ainsi que sur les applications déjà déployées, afin de résorber réellement l’arriéré. 

Les renseignements de sécurité de Snyk fournissent le contexte nécessaire à ce travail. Ils combinent dix ans d’évaluations déterministes avec des indicateurs tels que l’accessibilité, l’exploitabilité, la possibilité de contournement et les résultats des corrections. Ce contexte aide les équipes à distinguer les problèmes importants du bruit et à transformer une modification proposée en correctif exploitable.

Dans VulnBump, le dernier benchmark de Snyk consacré aux mises à niveau réelles de dépendances, Evo Remediation Agent a produit des correctifs fusionnables dans 90 % des cas, contre 59,6 % pour le même modèle sans le contexte de Snyk. Un correctif fusionnable résout la vulnérabilité tout en préservant la capacité du projet à se compiler.

La vérification indépendante est au cœur de cette approche. Des moteurs déterministes contrôlent les correctifs proposés, au lieu de s’en remettre uniquement au modèle qui les a générés. Les équipes définissent les politiques et les critères d’acceptation qui encadrent le processus.

Agentic AppSec est la prochaine solution à rejoindre Evo, la partie de la plateforme Snyk conçue pour aider les équipes à sécuriser à la fois les applications qu’elles développent et les agents d’IA qu’elles déploient.

Fonctionnement

Evo Agentic AppSec rassemble une équipe d’agents aux rôles spécifiques :

• Evo Agentic Security Review évalue les menaces et les contrôles d’une application, et produit des constats étayés par des preuves ainsi que des recommandations de correction. Désormais, cet examen approfondi peut porter sur chaque application, sans avoir à agrandir votre équipe.

• Evo Code Scanning Agent détecte les failles de logique métier et d’autorisation qui échappent aux scanners traditionnels.

• Snyk Secrets détecte les secrets exposés dans les environnements de développement traditionnels et assistés par l’IA.

• Evo Remediation Agent corrige les problèmes dans le nouveau code et l’arriéré existant, en commençant par les problèmes liés aux dépendances tierces lors du lancement.

• Evo Dependency Firewall bloque les paquets malveillants ou non conformes aux politiques au moment de l’installation, avant même le lancement du scan de code. Inutile de demander à vos agents de faire attention à ce qu’ils installent : ils utilisent par défaut des paquets de confiance.

Evo Continuous Offensive Security réalise des tests adverses pour évaluer plus avant les défenses de l’application et l’efficacité des corrections.

Ensemble, ces fonctionnalités aident les équipes à étendre leur couverture de sécurité et à prendre en charge davantage de corrections, tout en maintenant une supervision humaine et en leur laissant le contrôle des politiques, des priorités et des approbations.

Evo Agentic AppSec s’appuie sur Snyk Code et Snyk Open Source. Les moteurs que les équipes utilisent déjà pour analyser le code et les dépendances fournissent l’analyse sous-jacente et valident de façon indépendante les constats et les correctifs proposés.

Donner plus de capacité aux équipes

À mesure que davantage de tâches de développement et de sécurité sont automatisées, les équipes ont besoin d’une supervision claire et d’une responsabilisation définie.

Les développeurs peuvent consacrer davantage de temps à examiner les modifications proposées. Les équipes AppSec peuvent se concentrer sur les politiques de sécurité, les exceptions et les risques qui nécessitent leur jugement. Les RSSI bénéficient d’une visibilité sur un programme qui fonctionne en continu, avec des tests adverses et une piste d’audit des décisions automatisées.

Pour les organisations sans équipe AppSec dédiée, ces fonctionnalités peuvent aider à instaurer des pratiques de sécurité cohérentes et à réduire le travail manuel nécessaire pour les maintenir.

L’objectif est concret : prévenir davantage de problèmes, corriger plus rapidement les vulnérabilités existantes et fournir aux équipes des preuves de l’efficacité de leurs correctifs.

Découvrez-le par vous-même

Aujourd’hui : 

• Les scanners traditionnels passent à côté de vos problèmes les plus critiques

• Votre arriéré augmente plus vite qu’il ne peut être résorbé

• Les agents de programmation continuent d’enregistrer vos secrets dans le code

• Des paquets malveillants qui causent des dommages dès leur installation 

Evo Agentic AppSec aide les équipes à relever ces défis grâce à la prévention, la détection, la correction et la vérification.

Vous souhaitez mettre une équipe d’agents de sécurité aux côtés de chaque ingénieur ? Contactez votre responsable de compte Snyk pour bénéficier d’un accès anticipé aux agents. Et restez à l’affût des prochaines annonces concernant Agentic AppSec !