Snyk lance Evo Agentic AppSec et redéfinit l’AppSec traditionnelle avec une équipe d’agents de sécurité

Le développement agentique dépasse tous les modèles de sécurité conçus pour le maîtriser. Ce qui était autrefois un ensemble d’outils utilisés par une personne est désormais une équipe d’agents IA qui repère les vulnérabilités exploitables et les corrige à la vitesse machine.

BOSTON, 15 octobre 2026 — Snyk, l’entreprise spécialisée dans la sécurité de l’IA, annonce aujourd’hui Evo Agentic AppSec, une équipe d’agents de sécurité IA qui détecte, corrige et bloque les vulnérabilités à la vitesse à laquelle les agents écrivent du code, chaque résultat étant vérifié indépendamment par un autre agent que celui qui l’a produit. Le développement agentique a dépassé le modèle AppSec conçu pour le code écrit par des humains. Evo Agentic AppSec est conçu pour sécuriser le code écrit par des agents dès sa création, tout en assurant une couverture continue du code existant écrit par des humains. Il s’appuie sur les moteurs déterministes auxquels font déjà confiance plus de 4 800 clients.

Les entreprises peuvent ainsi, pour la première fois, envisager de résorber entièrement leur arriéré de vulnérabilités.

« Snyk est née d’une idée simple : plus un défaut est corrigé tôt après sa création, moins cela coûte cher. Aujourd’hui, ce sont les agents qui écrivent le code. La sécurité doit donc intervenir plus tôt, directement dans le cycle de création du code. Et le véritable critère n’est pas qu’un correctif ait été généré, mais qu’il soit livré. Un modèle qui corrige son propre devoir n’est pas un programme de sécurité. C’est un conflit d’intérêts assorti d’un tableau de bord », a déclaré Manoj Nair, directeur technique et directeur de l’innovation chez Snyk.

Faire appel à des LLM généralistes ne suffira pas à combler le fossé. Le dernier rapport VulnBench de Snyk montre que, dans 49,7 % des cas, les analyses de sécurité des LLM signalent un problème qui disparaît à l’exécution suivante. Ils ne peuvent donc pas servir de moteurs déterministes, socle de la détection des problèmes. Aujourd’hui, à l’heure des attaques pilotées par l’IA, le goulot d’étranglement est la correction des problèmes. Dans une étude distincte, VulnBump, Snyk montre que les LLM seuls produisent un correctif intégrable dans seulement 59,6 % des cas, un taux qu’aucune équipe d’ingénierie n’accepterait, même de la part de son développeur le plus junior. Dans ce même benchmark, selon le même critère d’intégrabilité des correctifs, Evo Remediation Agent, conçu pour résorber les arriérés de vulnérabilités de manière autonome, fait passer ce taux à 90 %.

Pourquoi maintenant ?

Au cours de l’année écoulée, le nombre de nouveaux problèmes de sécurité critiques et de gravité élevée détectés chez les clients de Snyk a été multiplié par 10. L’analyse des données produit de Snyk révèle qu’environ 8 nouvelles vulnérabilités sont introduites pour chaque vulnérabilité corrigée. Le fossé ne cesse de se creuser à mesure que le développement agentique se répand.

Les attaquants ont accéléré au même rythme. En 2026, les chercheurs de Snyk ont déjà réagi à 18 attaques très médiatisées impliquant des logiciels malveillants et prévoient une hausse annuelle de plus de 500 % du nombre de paquets malveillants publiés dans les registres open source. En cinq semaines, un acteur malveillant a compromis plus de 600 pare-feu FortiGate dans 55 pays, à l’aide de modèles d’IA disponibles dans le commerce. L’analyse de Snyk de près de 10 000 environnements de développement a révélé qu’un développeur sur 12 utilisant des serveurs MCP présentait un problème de sécurité de gravité élevée ou critique. L’audit de près de 4 000 compétences d’agents mené par Snyk a quant à lui révélé qu’au moins 36 % d’entre elles comportaient une faille de sécurité.

« L’analyse des demandes de fusion a été conçue pour le rythme et le volume de travail des humains », a déclaré Nair. « Elle reste importante, mais n’a jamais pu suffire à elle seule dès lors que le code est généré en continu et que des attaques automatisées le prennent pour cible. »

« L’arriéré que vous gérez depuis des années n’est plus un simple projet de nettoyage. C’est une surface d’attaque », a déclaré Ken MacAskill, PDG de Snyk. « Résorber entièrement cet arriéré relevait autrefois du fantasme. À l’ère du développement et des attaques agentiques, cela doit devenir la norme. »

Ce que propose Snyk

Evo Agentic AppSec exécute l’ensemble du cycle de sécurité des applications à la vitesse machine, sous la supervision d’humains : comprendre l’application, modéliser ses menaces, détecter les vulnérabilités importantes, déterminer lesquelles méritent d’être corrigées et livrer des correctifs validés et intégrables, dans le nouveau code comme dans l’arriéré déjà en production. Les agents ne remplacent pas les moteurs déterministes de Snyk : ils les utilisent en faisant appel à Snyk Code, Snyk Open Source et aux autres moteurs de Snyk comme outils. Evo Agentic AppSec regroupe des agents spécialisés :

Evo Code Scanning Agent associe le raisonnement de pointe de l’IA à l’analyse statique existante de Snyk pour détecter les problèmes que la reconnaissance de modèles ne peut structurellement pas repérer : les défauts de contrôle d’accès et de logique d’authentification, particulièrement présents là où le code généré par l’IA est le plus vulnérable.

Evo Dependency Firewall bloque les paquets malveillants et non conformes aux règles au moment de leur installation, avant même qu’ils n’atteignent l’ordinateur d’un développeur, et encore moins la base de code. Cela comprend le slopsquatting, où des attaquants enregistrent les noms de paquets que les agents IA inventent et attendent qu’un agent suivant installe la charge malveillante.

Evo Agentic Security Review confie l’analyse complète de la sécurité d’un dépôt à un agent. Celui-ci établit un modèle de l’application et des menaces à partir du code et du contexte, évalue la présence et la pertinence des contrôles face à des scénarios de menace crédibles, puis produit des constats étayés par des preuves et des recommandations concrètes de correction, indépendamment de la couverture des scanners.

Evo Remediation Agent exécute de manière autonome et à grande échelle l’ensemble du cycle de correction, aussi bien pour le nouveau code que pour l’arriéré. À son lancement, il prend en charge les problèmes liés à Snyk Open Source. Tout correctif susceptible de compromettre la compilation est soumis à approbation plutôt que fusionné. Remediation Agent est donc conçu pour fournir des correctifs intégrables.

Evo Secrets Detection détecte les identifiants exposés dans les environnements de développement traditionnels comme agentiques, de l’IDE à l’intégration continue.

Chacun de ces agents s’appuie sur une couche de renseignement alimentée par plus de dix ans de données sur les résultats des corrections. Ils analysent également l’accessibilité, l’exploitabilité et le risque de régression, des fonctions mises à disposition comme ressources que tout agent peut appeler.

Snyk traite différemment la prévention et la correction. La prévention au sein de l’agent de codage ne nécessite pas d’approbation humaine : un agent déjà autorisé à écrire du code ne devrait pas avoir à demander la permission de corriger une vulnérabilité qu’il vient d’introduire. La correction, elle, concerne du code qui peut déjà être en production et dont une autre personne est responsable. Elle doit donc gagner la confiance de cette personne avant d’être livrée.

Un cycle complet, de bout en bout

Evo Agentic AppSec complète la Snyk AI Security Platform en formant un cycle unique. La plateforme couvre la détection, la correction et la chaîne d’approvisionnement. Adopté par plus de 1 600 clients, Snyk Studio fournit des conseils IA en temps réel ainsi qu’une assistance intelligente et conversationnelle à la correction en ligne de commande. Evo Agentic Development Security (ADS), lancé précédemment, prévient les vulnérabilités au sein de l’agent de codage avant que le code ne soit généré. Evo Continuous Offensive Security, disponible de manière générale depuis août, joue le rôle d’arbitre indépendant : il attaque l’application en cours d’exécution comme le ferait un adversaire afin de vérifier que les correctifs tiennent leurs promesses.

Aucun agent n’évalue son propre travail. « Les agents font le travail. Une vérification indépendante prouve qu’il tient la route. Les humains fixent le niveau d’exigence », a déclaré Nair. « Le générateur ne peut pas être le validateur. »

Les rôles évoluent, pas les effectifs

Evo Agentic AppSec est conçu pour évoluer sans augmentation proportionnelle des équipes AppSec à mesure que le développement par l’IA prend de l’ampleur. Les développeurs passent du rôle d’auteur à celui d’approbateur des correctifs proposés par les agents. Les responsables AppSec délaissent le tri des tickets pour superviser le cycle en tant qu’AI Security Engineers : ils définissent les exigences auxquelles les agents doivent répondre, les gouvernent et auditent leurs décisions. Les équipes sans fonction AppSec dédiée bénéficient pour la première fois d’un programme opérationnel.

Disponibilité

Evo Code Scanning Agent, Evo Dependency Firewall et Evo Agentic Security Review sont disponibles dès maintenant en préversion expérimentale pour certains clients de Snyk. Evo Remediation Agent est disponible dès maintenant en préversion ouverte. Secrets Detection, Evo ADS et Evo Continuous Offensive Security sont disponibles de manière générale. Les entreprises peuvent contacter leur représentant Snyk pour y accéder ou consulter snyk.io pour en savoir plus.

À propos de Snyk

Snyk, l’entreprise spécialisée dans la sécurité de l’IA, donne aux entreprises qui s’appuient sur l’IA les moyens de développer et de sécuriser leur avenir, afin qu’elles puissent faire confiance à l’IA pour innover sans limites. La Snyk AI Security Platform sécurise les logiciels à la vitesse du développement et intègre la protection directement au processus de création pour sécuriser le code GenAI, les applications natives de l’IA et les systèmes agentiques. En offrant visibilité, contrôle, correction et défense autonome dès la création, Snyk permet à plus de 4 800 clients dans le monde de développer sans crainte à l’ère de l’IA.