Le spécialiste de la sécurité applicative Snyk a annoncé le 7 mai l'intégration des modèles Claude d'Anthropic à sa plateforme de sécurité IA. Claude arrive ainsi dans les processus de sécurité que les équipes de développement d'entreprise utilisent déjà.
À première vue, cela ressemble à une annonce de plus autour d'une intégration IA. L'enjeu se lit surtout dans les chiffres. Snyk revendique 4.500 clients entreprises dans le monde. Dans les environnements de production, 65% à 70% du code serait désormais généré par IA, et près de la moitié de ce code contiendrait des vulnérabilités. Chaque modèle d'IA déployé par une entreprise ajoute aussi environ trois fois plus de composants logiciels, dont 82% issus de paquets tiers.
La détection n'est plus le goulot d'étranglement
Jason Clinton, Deputy CISO d'Anthropic, a résumé le problème dans l'annonce: en sécurité IA, la détection n'est pas le goulot d'étranglement.
Depuis des années, les outils AppSec se battent surtout sur la détection. SAST, DAST, SCA, scans IaC, analyses de conteneurs et contrôles de dépendances peuvent signaler une ligne de code risquée, un paquet open-source touché par un CVE ou une image mal configurée. La difficulté vient ensuite: le développeur doit comprendre l'alerte, la prioriser et livrer un correctif avant que de nouveaux signalements ne s'accumulent.
Avec l'IA qui écrit du code, cette file d'attente change d'échelle. Les alertes ne suivent plus le rythme d'un développeur qui écrit quelques centaines de lignes par jour. Copilot, Claude, Cursor et des agents de génération de code peuvent pousser des milliers de lignes dans un dépôt en quelques secondes, avec des paquets, des images de conteneurs et des appels d'outils. Même un scanner rapide ne suffit pas si la remédiation ne suit pas.
Manoj Nair, Chief Innovation Officer de Snyk, le dit plus directement: l'IA accélère la façon dont les développeurs écrivent du code, tandis que la sécurité traditionnelle prend du retard.
L'intégration de Claude vise donc moins à détecter davantage qu'à corriger. Snyk veut transformer les résultats des scanners en pull requests que les développeurs peuvent relire et fusionner dans leur IDE et leur workflow Git habituels.
Deux niveaux de produit
L'annonce décrit deux niveaux. Le premier est l'utilisation de Claude dans l'AI Security Platform existante de Snyk, sur le code, les dépendances, les conteneurs et les artefacts générés par IA, y compris les prompts d'agents et les définitions d'outils. Claude sert à découvrir les vulnérabilités, les prioriser et automatiser la correction.
Le second est Snyk Evo, un nouveau produit de red-teaming pour agents et outils IA. Il simule des attaques par prompt injection, des fuites de données et les limites de politique autour des appels d'outils au runtime.
Ce second niveau devient central avec la diffusion de MCP. Quand des milliers d'agents appellent des milliers d'outils dans une entreprise, chaque définition d'outil devient une surface d'attaque. Anthropic a déjà publié une recherche sur 11 CVE liés à MCP. La leçon est claire: la couche protocole comme la couche application ont besoin d'une protection runtime de niveau entreprise. Snyk Evo vise cet espace.
Pourquoi Claude
Snyk ne dit pas explicitement pourquoi Claude plutôt qu'un autre modèle, mais la logique apparaît.
D'abord, Claude bénéficie d'une solide réputation en compréhension de code. Claude Mythos d'Anthropic a obtenu de bons résultats sur SWE-bench Pro, ce qui correspond précisément au besoin de Snyk: comprendre l'intention d'un morceau de code et produire une modification qui peut réellement être fusionnée.
Ensuite, Anthropic avance elle-même dans l'AppSec. Project Glasswing a réuni AWS, Apple, Cisco, Google, JPMorgan, Microsoft et d'autres autour de modèles Mythos Preview non publiés pour rechercher des vulnérabilités critical. Une ancienne faille OpenBSD est aussi citée dans ce contexte. Pour Snyk, cela revient à amener l'expérience AppSec de Claude dans les pipelines clients.
Enfin, l'économie devient plus défendable. Un fournisseur AppSec doit éviter que le coût des modèles dépasse les revenus d'abonnement. Les limites plus élevées de l'API Claude pour Opus et les rate limits renforcés sur Pro, Max et Team améliorent l'équation pour des intégrations profondes.
Le signal de fond
Au fond, ce produit utilise une IA, Claude, pour corriger du code écrit par une autre IA, qu'il s'agisse de GitHub Copilot, Cursor ou d'un agent codegen interne.
L'IA réduit le coût apparent de production du code, mais la dette de sécurité peut croître encore plus vite. Les entreprises devront soit recruter davantage pour combler l'écart, soit faire intervenir une autre IA dans la correction.
Avec 4.500 clients entreprises, Snyk mise sur la deuxième voie. L'intégration est disponible et doit monter en puissance au cours de 2026. La vraie mesure ne sera peut-être pas la taille de ce contrat, mais la part de code d'entreprise qui passera bientôt par une chaîne en trois étapes: l'IA écrit, l'IA relit, l'IA corrige.
Sources: Snyk Embeds Anthropic's Claude to Advance AI-Powered Security for Software Development (GlobeNewswire / Yahoo Finance); CocoLoop, Snyk embeds Anthropic's Claude to scale AI-native application security (TipRanks)