L’essentiel en bref
- 76 % des organisations déploient des changements importants en production chaque semaine ou plus souvent, mais 21 % seulement valident la sécurité à chaque mise en ligne.
- 71 % ont connu un incident plus difficile à détecter ou à corriger à cause de l’IA. Ce chiffre grimpe à 86 % chez les équipes qui livrent plusieurs fois par jour.
- 48 % jugent que les résultats d’un test arrivent déjà périmés. Chez les équipes les plus rapides, ce taux atteint 84 %.
- Les dirigeants placent la rapidité et le test à la demande devant le coût. L’étude est signée Aikido, éditeur d’une solution de pentest automatisé.
Accès rapide (Sommaire) :
Ce que révèle l’étude Aikido menée auprès de 400 dirigeants
L’enquête a été réalisée par Sapio Research pour Aikido Security.
Elle interroge 200 responsables sécurité et 200 dirigeants techniques, tous en poste dans des organisations cloud natives.
Le panel couvre cinq pays : les États-Unis, la France, la Belgique, l’Allemagne et le Royaume-Uni.
Le premier chiffre dévoile l’ampleur du problème : 76 % de ces organisations déploient des changements importants en production chaque semaine ou plus souvent. Mais seules 21 % valident la sécurité à chaque mise en ligne.
L’écart entre les deux, c’est tout le sujet.
79 % des répondants redoutent de rater une faille introduite entre deux tests programmés.
Seuls 4 % déclarent n’avoir aucune inquiétude sur ce point.
Et quand le rapport arrive, il est souvent obsolète : 48 % estiment que les résultats sont déjà périmés à la livraison.
Chez les équipes qui déploient plusieurs fois par jour, ce taux monte à 84 %, contre 26 % chez celles qui livrent une fois par mois ou moins.
Pourquoi le code généré par IA pose de plus en plus des problèmes de sécurité informatique ?
L’IA ne fait pas qu’accélérer l’écriture du code.
Elle change aussi la nature de ce qu’il faut vérifier.
71 % des organisations ont connu, sur douze mois, un incident plus difficile à détecter, à investiguer ou à corriger à cause de l’IA ou de l’automatisation.
Le clivage est net selon la vitesse de livraison.
86 % chez les équipes qui déploient plusieurs fois par jour. 52 % chez celles qui livrent une fois par mois ou moins.
Autre signal : 76 % ont dû stopper, restreindre ou annuler un comportement piloté par IA au cours de l’année écoulée.
Chez les équipes qui livrent plusieurs fois par jour, ce taux atteint 98 %.
Ce chiffre se lit dans les deux sens : il montre que l’IA pose des problèmes concrets, mais aussi que ces organisations regardent.
Le risque se situe ailleurs : dans les environnements où personne ne surveille, et notamment dans les usages de shadow AI non déclarés.
Anton Osika, CEO de Lovable, résume la mécanique dans le rapport :
Ses équipes voient des utilisateurs passer de l’idée à la production en quelques heures, alors qu’un test de sécurité rend sa copie en semaines.
Le système audité n’existe donc plus tel qu’il était actif au moment où le rapport avait été commandé.
C’est exactement le mode de production des plateformes de vibe coding et des agents de développement autonomes.
Quelles sont les failles que les tests manuels ratent le plus ?
Le rapport pointe une limite structurelle du test humain.
51 % des répondants jugent que les testeurs ratent souvent ou toujours certains types de failles :
- les failles de logique métier ;
- les contrôles d’accès mal configurés ;
- les vulnérabilités qui n’apparaissent qu’après plusieurs étapes.
La cause est simple : un test manuel est borné dans le temps.
Le testeur n’a pas le temps d’assimiler tout le contexte d’une application qui change chaque semaine.
Andrew van der Stock, directeur exécutif de l’OWASP, fait le même constat dans le rapport. Selon lui, le code, les comportements et les dépendances ont déjà changé quand l’évaluation se termine.
Ce que ça change concrètement pour les équipes tech ?
Le premier effet est opérationnel :
64 % des répondants disent que les délais de test pèsent sur les décisions de mise en production.
Chez les équipes qui déploient plusieurs fois par jour, ce taux grimpe à 92 %.
Deux issues, aucune bonne : retarder la sortie, ou livrer en acceptant un risque identifié.
Le deuxième effet touche la traçabilité :
52 % des organisations n’ont pas de visibilité complète sur ce qui a réellement été testé.
10 % se fient à de simples hypothèses. Payer un test ne garantit donc pas de savoir ce qu’il couvre.
Le troisième effet est le plus gênant pour un audit :
60 % ne retestent pas rapidement après un correctif.
Un correctif non vérifié reste un correctif pris sur parole.
Le lien avec la maîtrise du périmètre est direct.
72 % de celles qui retestent vite savent précisément ce qui a été couvert, contre 33 % chez celles qui reportent ou sautent l’étape.
Le budget n’est plus le premier critère
Interrogés sur ce qui compte dans une nouvelle approche du test de sécurité, les dirigeants citent d’abord la possibilité de tester à la demande (39 %) et la rapidité des résultats (39 %).
Le coût par test arrive en dernier, à 27 %.
C’est un renversement utile à connaître si vous vendez ou achetez ce type de prestation.
La demande ne porte pas sur un pentest moins cher, mais sur un test qui suit le rythme de livraison.
69 % voudraient valider la sécurité à chaque release ou au moins chaque trimestre.
L’IA côté défense hérite du même problème de confiance
Le rapport contient un résultat contre-intuitif.
42 % des dirigeants citent les résultats hallucinés comme premier facteur de perte de confiance dans un test de sécurité piloté par IA.
Les vulnérabilités manquées n’arrivent qu’en second, à 32 %.
Un faux positif coûte donc plus cher en crédibilité qu’un oubli.
La logique se tient : une fausse alerte mobilise des humains pour vérifier une faille qui n’existe pas.
Même hiérarchie du côté des garde-fous demandés.
- Les deux contrôles les plus cités sont techniques : la capacité à couper toute activité de l’agent (39 %) et les garanties de résidence des données (38 %).
- La supervision humaine n’arrive qu’en troisième position (37 %).
Le message est clair : les décideurs préfèrent des limites codées en dur à une validation manuelle à chaque étape.
Des projets comme Shannon, pentester IA open source ou les travaux d’OpenAI sur la sécurité de Codex avancent sur ce terrain.
Le biais à garder en tête à propos de cette étude
Aikido vend une solution de test d’intrusion automatisé par agents IA.
L’étude conclut que le modèle manuel est cassé : la conclusion sert donc directement le produit.
Ce n’est pas une raison pour jeter les chiffres à la poubelle, qui viennent d’un institut tiers sur un panel identifié.
C’est une raison pour les attribuer systématiquement plutôt que de les présenter comme un constat neutre du marché.
Notre verdict :
Le sujet n’est pas la qualité du code produit par l’IA, mais le découplage entre un cycle de livraison de quelques heures et un cycle de validation de 2,6 semaines. Tant que cet écart reste, ajouter un pentest annuel de plus ne règle rien. La question à trancher en interne porte d’abord sur la fréquence de validation, ensuite sur l’outil qui la rend possible.
Combien de mises en production avez-vous poussées cette année sans validation de sécurité entre deux pentests programmés ?
Fondateur de LEPTIDIGITAL et SUPASST, je suis également consultant spécialisé en acquisition de leads B2B (SaaS). Passionné par le marketing digital, l’intelligence artificielle et le SEO. Avant de devenir indépendant, j’ai occupé des postes clés en tant que SEO Manager et responsable e-commerce pour plusieurs grandes entreprises (Altice Media, Infopro Digital, Voyage Privé et le Groupe ERAM). Sur le plan perso, je suis un curieux insatiable, également passionné par la photographie, le badminton et les voyages. Pour toute demande de partenariat, privilégiez LinkedIn ou email ([email protected]).
