Que se passe-t-il quand les vulnérabilités sont découvertes plus vite que vous ne pouvez les corriger ?

Nous entrons dans une nouvelle ère de la sécurité applicative. Les modèles d'IA de pointe révèlent des failles complexes que les outils traditionnels ne détectaient pas auparavant, tandis que les attaquants utilisent ces mêmes modèles pour les exploiter plus rapidement. Les mesures correctives ne suivent pas le rythme. Selon le Data Breach Investigations Report (DBIR) 2026 de Verizon, le délai médian pour remédier entièrement à une vulnérabilité connue et exploitée est de 43 jours, contre 32 en 2025.

Les équipes de sécurité sont déjà sollicitées sur des portefeuilles d'applications en expansion, des dépendances tierces et un flux continu de nouvelles divulgations. Et si les agents capables de détecter des vulnérabilités et de rédiger des correctifs se démocratisent, les intégrer dans les processus réels de développement et de livraison logicielle des entreprises reste une opération complexe.

Un correctif généré doit encore être testé. Les politiques de sécurité doivent être appliquées. Les modifications doivent être examinées et approuvées. Et enfin, le correctif doit atteindre l’environnement de production en toute sécurité.

C'est là que se produira, selon moi, la prochaine grande transformation de la sécurité applicative. Nous devons mettre des agents autonomes au travail au sein de l'usine logicielle. C'est pourquoi nous avons intégré Claude Mythos 5.1 d'Anthropic à GitLab, et pourquoi nous connectons la détection, la remédiation et la prévention dans un seul workflow de confiance.

Face aux vulnérabilités critiques, le compte à rebours est lancé

Des vulnérabilités critiques telles que PHP2Shell obligent les équipes de sécurité à se mobiliser d’urgence pour évaluer l’étendue de leur exposition. Pour une grande organisation, cela implique d’évaluer l'impact sur des centaines, voire des milliers, de dépôts, d'applications et de dépendances.

Identifier l'exposition n'est que la première étape. Les équipes doivent ensuite évaluer l'exploitabilité, prioriser les applications impactées, coordonner les correctifs, exécuter des tests et déployer les modifications en production. Chaque étape prend du temps, et la rapidité est essentielle : 31 % des violations commencent désormais par l'exploitation d'une vulnérabilité, ce qui en fait le principal vecteur d'accès initial pour la première fois en 19 ans d'existence du Data Breach Investigations Report.

À mesure que de nouvelles vulnérabilités critiques émergent, le modèle traditionnel consistant à examiner manuellement les résultats, à attribuer des tickets et à attendre que les équipes de développement rédigent des correctifs devient de plus en plus difficile à maintenir.

Le délai entre la découverte d'une vulnérabilité et sa remédiation vérifiée doit se réduire considérablement. Cela exige des workflows de sécurité capables d'opérer à la vitesse des machines, tout en préservant les contrôles dont les organisations dépendent pour livrer des logiciels fiables.

Intégrer la remédiation agentique au sein de l'usine logicielle

Les agents d’IA peuvent accomplir un travail impressionnant en matière de découverte et de remédiation des vulnérabilités. Le défi consiste à rendre ce travail fiable et reproductible à l'échelle d'une entreprise.

Un agent peut générer un correctif en quelques secondes. Mais un certain nombre de questions se posent : a-t-il bien compris l'application ? A-t-il validé la modification par rapport au build réel ? A-t-il respecté vos politiques de sécurité ? Plus vous déployez d’agents sur des milliers de projets, plus il devient difficile d’y répondre et plus les erreurs deviennent onéreuses.

Chez GitLab, nous intégrons les workflows de sécurité agentiques dans l'environnement où les équipes développent, testent et livrent des logiciels.

Tout ce qu'accomplit un agent repose sur sa compréhension de votre système, et cette compréhension va au-delà du dépôt. GitLab Orbit, un graphe de contexte en temps réel de votre cycle de vie logiciel, relie les vulnérabilités aux modifications qui les ont introduites, aux pipelines qui les ont déployées et aux équipes responsables du correctif. C'est également ainsi que vous répondez aux questions qui suivent une divulgation telle que PHP2Shell : sommes-nous exposés ? La vulnérabilité est-elle accessible ? Quelle est l’étendue de la vulnérabilité, et comment y remédier sans perturber la production ?

GitLab Duo Agent Platform analyse les résultats dans le contexte de votre logiciel et de son architecture, en éliminant les faux positifs potentiels et en les priorisant en fonction de leur exploitabilité et de leur accessibilité.

Pour les vulnérabilités critiques, GitLab Duo génère un correctif et l’intègre à votre pipeline afin de vérifier les régressions et de relancer les scans de sécurité. Dans une seule merge request, les équipes de développement examinent la modification, l'explication de GitLab Duo et les résultats du pipeline.

Les équipes de sécurité passent de l’identification des vulnérabilités à la mise en œuvre de mesures correctives en une seule étape, tandis que les équipes de développement cessent de courir après les vulnérabilités pour se concentrer sur l'examen des correctifs. Comme ces workflows s’exécutent au sein même de l’usine logicielle, les agents s’intègrent aux processus et contrôles que les organisations utilisent déjà pour livrer des logiciels.

C'est ainsi que nous transformons la sécurité agentique, qui passe d'une capacité isolée à une solution à laquelle l’entreprise peut faire confiance et qu’elle peut déployer sur des milliers de projets, à la vitesse des machines.

Mettre l'IA de pointe au service des vulnérabilités les plus critiques

Certaines des vulnérabilités applicatives les plus dangereuses nécessitent une compréhension approfondie du fonctionnement prévu du logiciel : contrôles d'autorisation manquants, logique de propriété défaillante et failles de logique métier qui exposent les données clients ou permettent aux utilisateurs d'effectuer des actions non autorisées.

Les scanners traditionnels peinent à détecter ces problèmes, car les identifier exige de raisonner sur le comportement de l'application et les relations entre ses composants.

Notre nouveau flow Business Logic Security Analyzer, la première fonctionnalité de GitLab à prendre en charge Claude Mythos 5.1 d'Anthropic, examine la façon dont votre application applique ses règles. Il lit l'intégralité du dépôt et les merge requests entrantes, déduit ce que chaque point de terminaison doit appliquer et signale les lacunes que les scanners basés sur des modèles laissent souvent passer.

Mais la véritable opportunité réside dans l’intégration de ces découvertes aux workflows que les équipes utilisent déjà. Lorsqu'une faille critique est détectée, les équipes doivent en comprendre l'impact, lancer la remédiation, valider le correctif proposé et le livrer en toute sécurité. L'intégration de l'IA de pointe au sein de l'usine logicielle ouvre la voie à l'exécution de l'ensemble de ce processus à la vitesse des machines.

La valeur de l’intelligence du modèle dépend entièrement de votre capacité à agir en conséquence.

Empêcher le code à risque d'atteindre l’environnement de production

Détecter les vulnérabilités le plus tôt possible est utile, mais empêcher le code vulnérable et les paquets non sécurisés d'atteindre l’environnement de production l'est encore plus. Ces protections gagnent en importance à mesure que les agents acquièrent de l'autonomie.

Les contrôles de sécurité doivent être intégrés tout au long de l'usine logicielle et appliqués indépendamment des personnes et des agents qui effectuent des modifications, chaque modification devant franchir les mêmes étapes de validation avant de pouvoir avancer.

GitLab Ultimate intègre l'analyse statique, l'analyse des dépendances et l’analyse des conteneurs, la détection des secrets, l'application des politiques et les étapes de validation directement dans le processus de livraison logicielle. Ces politiques sont définies de façon centralisée et s'appliquent uniformément à tous les projets et pipelines, de sorte que l'auteur d'une modification, qu’il s’agisse d’un humain ou d’un agent, ne peut ni modifier ni contourner les contrôles qui évaluent son travail.

Ce même niveau de rigueur doit s'étendre aux logiciels tiers. Les applications modernes dépendent massivement des dépendances open source, et un paquet vulnérable ou malveillant peut introduire un risque important avant même que les équipes de développement n'écrivent une seule ligne de code.

GitLab Dependency Firewall bloque les paquets qui enfreignent les politiques avant qu’ils n’atteignent votre build. GitLab Secrets Manager permet à chaque job d'accéder uniquement aux identifiants qu'il demande et pour lesquels il est autorisé, de sorte qu'une dépendance compromise ne peut accéder qu'aux secrets du job dans lequel elle s'exécute.

Les agents doivent disposer de la liberté nécessaire pour agir rapidement, tout en respectant des limites qu’ils ne peuvent pas franchir. GitLab Duo Agent Platform attribue à chaque agent une identité composite qui le limite aux autorisations qu'il partage avec l'utilisateur demandeur, un environnement sandbox détruit à la fin de la tâche, ainsi qu’un historique de chaque action. Ces limites font partie du GitLab Security Standard, où les agents ne gagnent davantage d'autonomie que lorsque les contrôles à chaque étape ont fait leurs preuves.

Les contrôles qui rendent une modification digne de confiance doivent être respectés à chaque étape, même lorsque le travail s'effectue à la vitesse des machines.

Le prochain chapitre de la sécurité sera marqué par une exécution de confiance

Les modèles de pointe continueront de s’améliorer, les agents de sécurité gagneront en efficacité et les vulnérabilités autrefois difficiles à détecter deviendront plus faciles à identifier. Cette évolution exercera une pression considérable sur la manière dont les organisations répondent aux incidents.

Une équipe de sécurité peut déployer les modèles les plus avancés du marché, mais sa capacité à réduire les risques dépendra toujours de la rapidité et de la sécurité avec lesquelles elle pourra transformer ses découvertes en correctifs prêts à être mis en production.

C'est pourquoi l'usine logicielle est essentielle. C'est là que les agents obtiennent le contexte nécessaire pour comprendre les applications, que les modifications sont validées par rapport à de véritables builds et tests, que les politiques de sécurité sont appliquées et que la supervision humaine s'exerce sans ralentir chaque étape du processus.

Chez GitLab, nous réunissons ces capacités afin que vous puissiez automatiser la remédiation, découvrir des failles complexes et empêcher la mise en production de modifications non sécurisées, le tout au sein des workflows que vous utilisez déjà.

Le prochain avantage en matière de sécurité viendra de la rapidité avec laquelle les organisations pourront transformer une découverte critique en un correctif vérifié et fiable.

Nous vous invitons à exécuter votre prochain sprint de sécurité avec nous. Les équipes éligibles peuvent demander l'accès à GitLab Ultimate, GitLab Duo Agent Platform, GitLab Orbit et GitLab Secrets Manager, avec des crédits gratuits. Demandez dès maintenant l'accès à l'offre de sprint de sécurité.