Des idées à l’impact : comment la région de la baie façonne l’avenir de l’IA sécurisée

L’IA générative transforme la façon dont les logiciels sont conçus, sécurisés et déployés à grande échelle. Lors de l’événement Lighthouse de Snyk dans la Silicon Valley, des responsables des équipes d’ingénierie, de sécurité et de plateforme se sont réunis autour d’une grande question : comment créer des systèmes propulsés par l’IA qui évoluent rapidement sans compromettre la confiance ?

Pour beaucoup, cet avenir est déjà là : 60 % des organisations présentes au sommet ont indiqué développer des applications agentiques en interne.

Les réponses n’étaient pas seulement techniques. Elles étaient culturelles. Organisationnelles. Stratégiques.

Des applications agentiques à la modélisation des risques en temps réel, quelques thèmes se sont imposés tout au long des ateliers, des tables rondes et des démonstrations de la journée : la visibilité est un atout. Les garde-fous ne sont pas des obstacles. Et la confiance n’est pas une étape à venir. C’est le fondement.

La nouvelle boucle de développement : réfléchir → construire → sécuriser → recommencer

La rapidité et la sécurité ne sont pas incompatibles : elles sont interdépendantes. Et l’IA a changé la façon dont elles interagissent. Le modèle traditionnel du cycle de développement logiciel (SDLC) ne convient pas à un environnement où des agents génèrent, raisonnent et agissent en continu.

Les sessions Lighthouse ont exploré la manière dont les processus de développement doivent évoluer pour l’IA agentique. Il faut moins d’approbations statiques et davantage de retours dynamiques et contextuels. Il faut une remédiation en temps réel, des référents sécurité à l’aise avec l’IA et des développeurs qui ne se contentent pas de créer leurs assistants IA, mais les sécurisent aussi.

Un moment fort : une démonstration en direct de Cursor et de Snyk. Sans écrire une seule ligne de code, Randall Degges, directeur principal des relations avec les développeurs chez Snyk, a présenté un processus concret qui analysait, testait, corrigeait et livrait du code. Pendant ce temps, le serveur MCP de Snyk validait les vulnérabilités, signalait les modèles à risque et déployait des mises à jour sécurisées dans les pipelines CI/CD.

Résultat ? Des corrections de sécurité qui auraient pris des heures ont été réalisées en quelques minutes, sans compromis sur la qualité ni le contrôle.

Sécurisé dès la conception, grâce à la contribution de tous

La responsabilité partagée a été au cœur de la journée. L’IA fait tomber les frontières entre les équipes de développement, de plateforme et de sécurité : désormais, tout le monde est concerné.

Comme l’a dit simplement un intervenant : « Si quelqu’un saisit une invite dans ChatGPT pour créer un processus, cette personne est développeuse d’applications. Et chaque développeur est désormais un ingénieur IA potentiel. »

Cela change notre façon de définir la préparation.

Le cadre de préparation à l’IA de Snyk, présenté lors de l’événement, mettait en avant cinq piliers : la visibilité, la responsabilité, la conception sécurisée, l’adoption à l’échelle de l’organisation et l’assurance continue. Les participants ont étudié des cas d’usage concrets pour évaluer leur niveau de maturité dans chaque domaine et cerner les lacunes et les possibilités.

À retenir :

• La sécurité de l’IA n’est pas une spécialité : c’est un travail d’équipe. Les meilleurs ingénieurs en sécurité de l’IA sont souvent d’anciens développeurs d’applications qui en comprennent tout le contexte.

• Des garde-fous, pas des barrières. L’objectif n’est pas de freiner l’adoption de l’IA, mais de la rendre plus sûre et plus rapide.

• La gouvernance compte. Des agents non approuvés aux fonctionnalités SaaS activées automatiquement, les équipes de sécurité doivent être impliquées dès le départ.

Un participant a parfaitement résumé la situation : « Notre plus grand risque de sécurité n’est pas l’IA générative. C’est de la traiter comme un logiciel traditionnel. »

La confiance dans l’IA va au-delà de la conformité

Si des cadres comme le NIST AI RMF offrent une vue d’ensemble, les participants de la région de la baie en attendaient plus que de la théorie. Ils recherchaient des stratégies concrètes et proactives.

La discussion s’est rapidement orientée vers des sujets tels que :

• La découverte et la validation MCP : Quels modèles s’exécutent, et où ? Qui les a entraînés ? Quelles données ont été utilisées ? Divulgent-ils des informations sensibles ou se comportent-ils de façon imprévisible en production ?

• Le red teaming des comportements des agents : Au-delà de l’injection de prompts et du fuzzing des sorties, comment simuler des interactions adverses en temps réel ?

• La sécurité dès la génération : une nouvelle frontière du décalage vers la gauche, qui consiste à intégrer un contexte sécurisé au moment même de la génération, et non après le déploiement.

Ce qui a marqué les esprits, ce n’était pas seulement l’innovation, mais aussi la franchise. Des récits sincères d’erreurs, d’incidents évités de justesse et d’angles morts inattendus ont montré à quel point ce domaine évolue vite, et pourquoi la sécurité de l’IA doit se développer en parallèle de l’IA elle-même.

Former les humains à sécuriser les machines

Si la responsabilité de l’IA incombe à tous, comment donner à chacun les moyens d’agir en conséquence ?

Cette question a donné lieu à l’une des discussions les plus animées de la journée : l’avenir de la formation et de la certification en sécurité de l’IA.

Plusieurs entreprises ont expliqué comment elles faisaient évoluer leurs programmes de référents sécurité pour y intégrer des processus et des responsabilités propres à l’IA. D’autres ont évoqué la création de conseils de gouvernance de l’IA réunissant des représentants de la sécurité, du juridique, de la conformité et même du marketing.

Un thème revenait sans cesse : la culture est un multiplicateur. La montée en compétences des équipes ne fonctionne que si l’organisation l’adopte. Comme l’a expliqué un responsable : « La sensibilisation à la sécurité ne peut pas se limiter à l’application de règles. Il faut concevoir des choix, c’est-à-dire encourager les gens à prendre de meilleures décisions chaque jour. »

Le présent et la suite

L’événement de la région de la baie ne s’est pas attardé sur les promesses d’un avenir lointain. Il s’est concentré sur la transformation en cours.

Les participants ont certes découvert en avant-première des fonctionnalités Snyk à venir. Mais les échanges entre pairs, les démonstrations pratiques et la prise de conscience suivante ont été les moments les plus précieux :

• Les systèmes agentiques sont déjà en production. Qu’il s’agisse d’usages internes ou externes, les entreprises misent sur l’IA pour améliorer leur NPS, automatiser leurs opérations et personnaliser leurs services à grande échelle.

• La sécurité ne peut plus courir après les événements. Des lacunes de visibilité dans les intégrations SaaS aux agents inconnus dans la pile technologique, la surface d’attaque explose.

• L’innovation a besoin de garde-fous dès maintenant. Comme l’a fait remarquer un participant du secteur des technologies médicales : « On ne peut pas attendre qu’un produit soit lancé pour s’interroger sur les hallucinations. Il faut intégrer la traçabilité et les contrôles dès le départ. »

En conclusion : l’IA est l’avenir du logiciel. La sécurité doit évoluer à la même échelle.

Dans son allocution de clôture, Manoj Nair, directeur de l’innovation chez Snyk, a résumé les échanges.

La sécurité ne consiste pas à dire « non » à l’IA. Il s’agit d’accélérer son adoption de manière responsable, en donnant les moyens d’agir aux développeurs, en renforçant les équipes de plateforme et en instaurant la confiance à chaque étape du cycle de développement de l’IA.

« Nous l’avons vu aujourd’hui, a-t-il déclaré : de véritables systèmes d’IA qui écrivent du code, testent et corrigent des vulnérabilités de façon autonome. Mais rien de tout cela ne fonctionne sans visibilité, sans une culture adaptée et sans des garde-fous bien pensés. »

L’avenir ne se résume pas à DevSecOps 2.0. Il est plus vaste. Il est porté par les développeurs, renforcé par l’IA et centré sur la confiance. Et Snyk construit la plateforme qui le rend possible.