Au cœur de la chaîne d’approvisionnement du développement agentique
Télémétrie anonymisée provenant de près de 10 000 environnements de développement, complétée par l’analyse des compétences des agents dans les environnements d’entreprise
Les agents IA ne se contentent plus d’assister les développeurs. Ils créent activement des logiciels : ils intègrent des outils, exécutent des actions et génèrent du code prêt pour la production à la vitesse des machines. Et ils ont leur propre chaîne d’approvisionnement : des serveurs MCP, des compétences et des intégrations installés directement sur les machines des développeurs, en dehors des contrôles de sécurité existants.
Un peu plus de la moitié des développeurs interrogés ont déjà des connexions actives à des serveurs MCP, et 1 sur 12 présente aujourd’hui une anomalie de niveau élevé ou critique dans sa configuration.
Ce rapport quantifie cette nouvelle surface d’attaque. Les données révèlent une exposition mesurable aux risques de sécurité déjà présente dans les environnements de développement analysés, avant même qu’une attaque particulière ait été tentée.
Téléchargez le rapport pour découvrir :
La surface du développement agentique : pourquoi 37 % des développeurs utilisent au moins trois environnements de développement assistés par l’IA, et ce que cela implique pour les machines sur lesquelles les logiciels sont désormais créés.
La chaîne d’approvisionnement MCP à grande échelle : un peu plus de la moitié des développeurs analysés (50,8 %) disposent déjà de connexions actives à des serveurs MCP, soit 4 524 configurations de serveurs uniques pour moins de 10 000 développeurs.
Des risques déjà intégrés : 1 développeur sur 12 disposant de serveurs MCP présente aujourd’hui une anomalie de niveau ÉLEVÉ ou CRITIQUE, notamment des cas confirmés d’injection de prompt dans les descriptions des outils.
Les compétences, deuxième maillon de la chaîne d’approvisionnement : les développeurs ont en moyenne 18 compétences installées (jusqu’à 135 sur une seule machine), et 28 % exposent les agents à du contenu tiers non contrôlé. Des schémas de code malveillants ont également été confirmés dans la nature.
Ce rapport s’appuie sur des données de télémétrie anonymisées collectées et analysées par Snyk en 2026.