Snyk nommé Leader dans The Forrester Wave™ : outils d’Agentic Development Security, T4 2026

Nous sommes fiers d’annoncer que Snyk a été nommé Leader dans The Forrester Wave™ : outils de sécurité du développement agentique, T4 2026. Snyk a obtenu le score le plus élevé dans la catégorie Stratégie, ainsi que les scores maximums pour les critères suivants :

• Stratégie : vision, feuille de route et écosystème de partenaires

• Offre actuelle : tests dynamiques par l’IA, garde-fous pour le codage par l’IA, correction autonome du code propriétaire et expérience développeur

Le développement logiciel a changé : qui fait le travail ?

Pendant deux décennies, le développement logiciel a avancé au rythme des humains : les développeurs écrivaient le code, leurs pairs le relisaient et les équipes de sécurité le testaient selon un calendrier établi. Les assistants de codage IA ont accéléré ce cycle, et les agents de codage changent désormais la nature du travail. Forrester décrit cette évolution : « Les agents de codage IA changent la façon dont les logiciels sont développés : ils passent du rôle d’assistants des développeurs à celui de participants actifs aux workflows de développement. »

L’adoption a largement dépassé le stade des projets pilotes. Dans l’enquête Stack Overflow 2026 auprès des développeurs, 66 % des développeurs qui utilisent l’IA travaillent avec des agents de codage, et 73 % de ceux qui utilisent des assistants de codage IA ou des agents s’en servent quotidiennement. Le rôle des développeurs évolue donc : au lieu d’écrire chaque ligne, ils orchestrent les agents qui s’en chargent.

Chacun de ces agents apporte sa propre chaîne d’approvisionnement : il installe des packages, se connecte à des serveurs MCP, charge des compétences et invoque des outils que l’équipe de sécurité n’a peut-être jamais examinés. Comme il peut aussi exécuter des commandes, modifier des fichiers et accéder à des données sensibles, ses actions doivent être encadrées au même titre que le code doit être testé. À notre avis, les modèles de sécurité conçus pour analyser le code une fois écrit ne sont pas faits pour encadrer les systèmes qui le créent.

Les attaquants aussi agissent à la vitesse des machines

En 2025, l’équipe de renseignement sur les menaces d’Anthropic a déjoué une campagne d’espionnage dans laquelle l’IA a pris en charge, selon les estimations, 80 à 90 % des opérations tactiques, sous la supervision d’humains. Le rapport mondial sur les menaces CrowdStrike 2026 estime à 29 minutes le temps moyen nécessaire aux cybercriminels pour passer de l’accès initial au déplacement latéral, le cas le plus rapide observé étant de 27 secondes.

Ces délais changent la façon dont les équipes doivent envisager leur backlog de vulnérabilités. Les files d’attente de pull requests, le triage des tickets et les tests d’intrusion trimestriels ont été conçus pour des attaquants plus lents que la correction. La plupart des backlogs sont constitués de constats de gravité faible ou moyenne, traités un par un en fonction des priorités. L’IA facilite l’enchaînement de plusieurs problèmes mineurs pour créer une voie d’exploitation critique : le backlog devient alors une surface d’attaque, et non un simple travail de correction différé.

La pression augmente aussi au sein des bases de code : les données produit de Snyk montrent que le nombre de nouveaux problèmes critiques et de gravité élevée détectés a été multiplié par 10 en un an, et qu’environ huit nouveaux problèmes apparaissent pour chaque problème corrigé. Lorsque les risques s’accumulent plus vite qu’ils ne sont corrigés, il faut adopter un autre modèle opérationnel : des agents de sécurité qui corrigent en continu, des garde-fous intégrés aux workflows des agents et des tests adversariaux qui prouvent l’efficacité des contrôles.

Les applications d’IA arrivent en production plus vite que la gouvernance ne suit

Les équipes mettent en production des applications et des agents d’IA plus vite que les processus de gouvernance ne peuvent suivre. De nombreux responsables de la sécurité cherchent encore à répondre à des questions fondamentales sur leur parc d’IA :

• Quels modèles, agents et serveurs MCP sont en cours d’exécution, et à quelles données peuvent-ils accéder ?

• Quelles compétences ont été récupérées dans des registres publics, et qui les a approuvées ?

• Pourriez-vous auditer les actions d’un agent donné la semaine dernière ?

C’est le shadow AI à l’échelle de l’entreprise. Ses risques, comme l’injection de prompt, les pouvoirs excessifs et les fuites de données, sont liés au comportement : ils se manifestent dans les décisions de l’agent autant que dans son code, raison pour laquelle l’analyse du code seule ne peut pas les révéler. Le choix du modèle fait aussi partie du risque. Dans l’étude Snyk 2026 sur l’adoption de l’IA agentique, volume III, les modèles les moins performants ont obtenu un score moyen de 501 pour la résistance à la modification des décisions, sur une échelle de 0 à 1 000, contre 45 pour les plus performants, soit un écart de plus de 10 fois. Environ un tiers des références de modèles évaluées dans les environnements américains appartiennent à ce groupe le moins performant. Pour les encadrer, il faut commencer par disposer d’un inventaire à jour du parc d’IA, notamment des modèles utilisés, et de politiques qui s’appliquent avant qu’un agent agisse.

Pourquoi cette évaluation est importante

À notre avis, l’évaluation de Forrester reflète ces changements de modèle opérationnel. Elle a étudié la sécurité du développement agentique dans toute l’étendue du développement piloté par l’IA : le code produit par les agents, les agents et les composants qu’ils intègrent, ainsi que les applications d’IA créées par les équipes. Forrester invite les acheteurs à prendre en compte trois aspects :

• Visibilité et gouvernance du développement agentique

• Vérification du code généré par l’IA et des applications d’IA

• Réduction des risques liés à l’IA à la vitesse agentique

Les équipes doivent désormais couvrir ces trois aspects avec une plateforme unique qui partage le contexte entre eux. C’est la norme que nous nous efforçons d’atteindre.

Une conviction de longue date, au service des nouveaux lieux de création logicielle

Depuis plus de dix ans, Snyk est guidé par une conviction fondamentale : la sécurité doit être intégrée au lieu où les logiciels sont créés. Nous pensons que le développement agentique déplace ce lieu de création au sein du workflow des agents, et que la Snyk AI Security Platform est conçue pour y opérer. Le rapport de Forrester indique que « Snyk formule une vision avant-gardiste pour sécuriser le code écrit par l’IA, les agents qui l’exécutent et les applications qu’ils créent, tout en faisant progresser le développement sécurisé dès la conception et la gouvernance. »

Concernant les fonctionnalités, le rapport indique que « Snyk intègre la sécurité aux workflows des développeurs et des agents de codage IA grâce à la correction automatique et aux garde-fous de codage, qui sécurisent le code généré par l’IA et par les humains, et bloquent les actions risquées des agents. » Il souligne également que les « puissants tests dynamiques d’IA de Snyk révèlent les failles de logique métier et les chaînes de vulnérabilités, et valident les constats à l’aide d’exploits fonctionnels. »

Comment Evo by Snyk sécurise chaque couche du développement piloté par l’IA

L’année dernière, Snyk a enrichi la Snyk AI Security Platform avec Evo by Snyk, une suite de solutions de sécurité natives pour les agents qui sécurisent, protègent et gouvernent le développement piloté par l’IA selon trois boucles : l’artefact de code, les effectifs d’IA et les applications d’IA créées par les équipes. Une couche de validation teste les trois.

• Evo Agentic AppSec : sécuriser l’artefact de code. Des agents de sécurité IA détectent, corrigent et bloquent les vulnérabilités à la vitesse à laquelle les agents écrivent du code, chaque résultat étant vérifié de manière indépendante. Cette solution inclut Snyk Secrets, qui bloque les identifiants divulgués.

• Evo Agentic Development Security (ADS) : protéger les effectifs d’IA. Cette solution gouverne ce qu’utilisent les agents de codage IA, leurs actions et le contenu qu’ils génèrent, des serveurs MCP et compétences qu’ils intègrent jusqu’au code qu’ils écrivent. Elle inclut Snyk Studio, qui fournit des conseils en temps réel dans les workflows de codage par l’IA.

• Evo AI-SPM : gouverner chaque application d’IA que vous créez. Cette solution détecte les modèles, agents, compétences et serveurs MCP présents dans vos logiciels et en évalue les risques, génère un AI-BOM à jour et transforme les politiques d’IA en contrôles applicables.

• Evo Continuous Offensive Security (COS) : valider chaque boucle. Cette solution teste en continu les applications et les agents d’IA grâce au red teaming des agents, et fournit des preuves validées de ce qu’un attaquant pourrait réellement exploiter, afin qu’aucune boucle n’évalue son propre travail.

À mesure que l’IA prend en charge une part croissante du développement logiciel, nous pensons que ses résultats doivent être vérifiés par une couche déterministe distincte. C’est pourquoi Snyk associe le raisonnement de pointe de l’IA à ses moteurs déterministes et à dix ans de renseignements sur la sécurité. Les entreprises peuvent ainsi adopter l’IA à toute vitesse et rester responsables de ce qu’elles mettent en production.

Ce que cela implique pour les équipes qui développent avec des agents d’IA

L’avis de Forrester : « Snyk convient aux entreprises qui souhaitent accélérer le développement agentique tout en intégrant directement la sécurité aux workflows des agents. » Pour les équipes qui évaluent ce marché, trois questions permettent de distinguer les outils conçus pour le développement agentique de ceux qui y ont été adaptés :

• Gouvernance : Pouvez-vous voir et contrôler ce qu’utilisent vos agents, leurs actions et le contenu qu’ils génèrent avant sa mise en production ?

• Correction : Votre rythme de correction suit-il celui de l’apparition de nouveaux risques, dans le nouveau code comme dans le backlog existant ?

• Preuves : Quelles preuves indépendantes démontrent que vos contrôles résistent à un véritable attaquant ?

Nous remercions nos clients, nos partenaires et la communauté des développeurs, dont les commentaires contribuent chaque jour à façonner la plateforme. Nous continuerons à investir au cœur de la boucle des agents, là où les logiciels sont désormais créés. Notre mission reste la même : permettre aux innovateurs de l’IA de libérer tout leur potentiel, en toute sécurité.

Vous souhaitez comprendre comment Forrester a évalué ce marché ? Obtenez gratuitement votre exemplaire du rapport.

Vous voulez savoir comment Snyk sécurise le code, les agents et les applications d’IA dans votre environnement ? Parlez à un expert pour découvrir la plateforme en action.

À propos de Forrester

Forrester ne cautionne aucune entreprise, aucun produit, aucune marque ni aucun service mentionné dans ses publications de recherche et ne recommande à personne de choisir les produits ou services d’une entreprise ou d’une marque sur la base des évaluations figurant dans ces publications. Les informations s’appuient sur les meilleures ressources disponibles. Les opinions reflètent un jugement à un moment donné et sont susceptibles d’évoluer. Ce rapport fait partie d’un ensemble plus vaste de ressources Forrester, comprenant des modèles interactifs, des cadres, des outils, des données et un accès aux conseils d’analystes. Pour en savoir plus, consultez les informations sur l’objectivité de Forrester ici.