Crise du code IA : 31,6 % du code généré par l'IA est exploitable — Comment la plateforme Cytix, forte de 7 M$, gère le risque de changement

Les assistants de codage IA comme GitHub Copilot et les workflows agentiques ont transformé la façon dont les logiciels sont construits, mais ils ont également ouvert un nouveau front dangereux en cybersécurité. Des recherches publiées en 2026 montrent que 31,6 % des échantillons de code généré par l’IA sont totalement exploitables, et que 69 % des organisations ont déjà trouvé des vulnérabilités introduites par du code écrit par l’IA dans leurs systèmes . Une organisation sur cinq a subi un incident de sécurité grave lié à ce code .

Parallèlement, la vitesse du développement assisté par l’IA a rendu les processus de revue de sécurité traditionnels obsolètes. Les fenêtres de réponse aux vulnérabilités sont passées de plusieurs jours à une fourchette de 12 à 72 heures . L’échelle et la rapidité des changements font que les équipes de sécurité ne peuvent plus vérifier manuellement chaque pull request — et pourtant, le coût d’un seul changement risqué non détecté peut être catastrophique.

C’est dans ce contexte que Cytix, start-up de cybersécurité basée à Manchester, a levé 7 millions de dollars en Série A — clôturée le 12 août 2026 et menée par Northern Gritstone avec la participation d’Auriga Cyber Ventures et de NPIF II – PXN Equity Finance — pour apporter une nouvelle couche de contrôle au développement logiciel en entreprise . La plateforme de gestion des risques liés aux changements de l’entreprise est conçue pour répondre aux questions que les outils de scan conventionnels ne peuvent pas traiter : Quels changements sont vraiment importants ? Quel risque comportent-ils ? Et quelles preuves existent pour démontrer que la réponse était appropriée ?

Les cinq défis de cybersécurité du développement piloté par l’IA

Les recherches du Forum économique mondial, de Check Point, d’IOActive et d’autres grands organismes de cybersécurité convergent sur un ensemble de risques distincts et mesurables créés par le développement logiciel assisté par l’IA.

1. Code généré par l’IA exploitable. L’évaluation 2026 d’IOActive a révélé que 31,6 % des échantillons de code généré par l’IA sont totalement exploitables — ce qui signifie qu’un attaquant pourrait compromettre le système avec succès en utilisant la vulnérabilité. Les outils de sécurité traditionnels ne détectent ces failles que partiellement . Le rapport 2026 sur l’état de l’IA dans la sécurité et le développement d’Aikido a révélé que 69 % des organisations ont rencontré des vulnérabilités provenant de code écrit par l’IA, et qu’une sur cinq a subi un incident de sécurité grave en conséquence .

2. La vitesse dépasse les modèles de sécurité. Check Point Research rapporte que l’IA peut désormais raisonner sur le code suffisamment bien pour générer des exploits fonctionnels à grande échelle, comprimant les fenêtres de réponse aux vulnérabilités à 12–72 heures — contre le délai traditionnel de plusieurs jours . Les équipes de sécurité utilisant des processus de révision à rythme humain ne peuvent pas suivre le rythme des cycles de développement à vitesse machine.

3. Perte de contexte de risque. De nombreux outils de scan existants peuvent identifier des vulnérabilités individuelles, mais ils ne comprennent pas quels changements sont réellement importants pour l’entreprise, quel environnement ils ciblent et quel risque ils comportent . Cela entraîne une fatigue des alertes et une mauvaise hiérarchisation.

4. Exposition réglementaire. L’enquête Global Cybersecurity Outlook 2026 du Forum économique mondial a révélé que 87 % des responsables de la sécurité ont identifié les vulnérabilités liées à l’IA comme le risque cybernétique à la croissance la plus rapide au cours de l’année 2025 . Gartner estime que d’ici 2027, plus de 40 % des violations de données liées à l’IA proviendront d’une utilisation inappropriée de l’IA générative . Les organisations opérant sous le RGPD, SOC 2 ou des réglementations sectorielles spécifiques sont désormais confrontées à une pression croissante pour prouver qu’elles ont évalué le code généré par l’IA.

5. IA fantôme et risques liés à la chaîne d’approvisionnement. Les vecteurs d’attaque actifs incluent désormais l’injection de prompt, la divulgation d’informations sensibles via des outils d’IA, et la compromission de la chaîne d’approvisionnement de l’IA — où des portes dérobées sont introduites dans des modèles ou des dépendances empoisonnées . Deloitte identifie l’IA fantôme — l’utilisation non gouvernée des outils d’IA par les employés — comme l’un des risques internes les plus pressants .

Comment fonctionne la plateforme de gestion des risques de changement de Cytix

Cytix positionne sa plateforme comme une « couche de décision sécurité » qui se situe entre le cycle de vie du développement logiciel (SDLC) et les fonctions risque, sécurité et conformité . Plutôt que d’ajouter un autre outil de scan à la pile, elle agit comme un point de contrôle par lequel chaque changement logiciel transite — comprenant le changement, décidant de l’action de sécurité, validant le risque et fournissant la piste de preuve pour les régulateurs . La plateforme fonctionne en quatre étapes :

Visibilité en temps réel. Cytix surveille en continu chaque changement logiciel — tickets, pull requests, diffs de code et versions — et les analyse pour en extraire le contexte : l’actif, l’environnement et l’historique. Elle maintient un graphe de connaissances persistant du paysage système afin que les équipes puissent voir quels changements comportent un risque réel dès leur apparition .

Évaluation instantanée des risques. Au lieu de traiter tous les changements de la même manière, la plateforme qualifie ce qui s’est passé et détermine la réponse proportionnée — que cela signifie plus de contexte, une revue de sécurité, un modèle de menace ou un test spécifique. Les changements à faible risque peuvent être automatiquement approuvés ; ceux à haut risque reçoivent l’examen approprié .

Validation et action guidées. La plateforme met en œuvre la réponse appropriée — pilotée par l’IA, examinée par un humain, ou délivrée par un partenaire via des partenariats de services gérés établis avec NCC Group et KPMG — garantissant qu’aucun changement risqué n’avance sans le traitement approprié .

Preuve de conformité. Chaque décision, action et résultat est définitivement attaché au changement qui l’a déclenché, créant un enregistrement unique et connecté d’assurance. Les équipes de gouvernance, risque et conformité peuvent prouver quels changements ont été évalués, ce qui a été fait et qui en était responsable — sur demande, et non sous la pression .

Pourquoi c’est important maintenant

Ben Armstrong, PDG de Cytix, résume le problème simplement : « Les outils existants peuvent vous dire quelles vulnérabilités vous avez, mais ils ne peuvent pas vous parler du risque. Nous avons lancé la plateforme de gestion des risques de changement de Cytix pour prendre le contrôle de ce risque » .

L’approche de la plateforme — consciente du contexte, basée sur le risque et productrice de preuves — reflète un changement plus large dans l’industrie de la cybersécurité. Alors que la génération de code par l’IA continue de s’accélérer, le fossé entre la vélocité du développement et l’assurance sécurité est le nouveau champ de bataille. Avec 7 millions de dollars de Série A, Cytix parie que les entreprises paieront pour une couche de politique et de preuve autour de chaque changement, avec des cabinets de conseil établis fournissant distribution et confiance .

Pour les responsables de la sécurité, les données sont claires : près d’un échantillon de code généré par l’IA sur trois est totalement exploitable, et la fenêtre pour répondre se mesure en heures, pas en jours. La question n’est plus de savoir si le développement accéléré par l’IA crée des risques, mais si votre modèle de sécurité est conçu pour les gérer.

Cet article a été publié le 13 août 2026. Il a été mis à jour pour refléter l’annonce de financement du 12 août 2026.