Global Security Mag : Quelle sera votre actualité lors de cette 26ème édition des Assises de la cybersécurité ?
Florent Mauzé : Cette édition des Assises intervient à un moment charnière pour la sécurité applicative. L’IA transforme profondément la manière dont les applications sont conçues, avec des volumes de code beaucoup plus importants et des cycles de développement toujours plus rapides. Le problème est que les approches traditionnelles de sécurité n’ont pas évolué au même rythme. Nous présenterons donc plusieurs évolutions majeures de Checkmarx One, avec un fil conducteur : comment permettre aux équipes de sécurité de suivre le rythme imposé par le développement assisté par IA, sans faire de compromis sur la précision ni sur le contrôle.
Nous mettrons notamment en avant Checkmarx Fusion, notre nouvelle approche du scan hybride, disponible en accès anticipé pour les clients Checkmarx. Fusion combine nos moteurs de sécurité applicative éprouvés et notre contexte de sécurité propriétaire avec les capacités de raisonnement de l’IA, notamment Claude, afin d’enrichir la détection des vulnérabilités.
L’objectif est de pouvoir élargir considérablement la couverture de détection, y compris sur des bases de code et des langages nouveaux ou générés par l’IA, tout en conservant la précision attendue par les entreprises. Cette approche permet notamment de confirmer les véritables vulnérabilités et de réduire les faux positifs. Elle affiche aujourd’hui un score F1 de 0,741, soit près de quatre fois la moyenne de sa catégorie.
Nous présenterons également les évolutions de notre famille d’agents Assist et notre approche de la sécurité applicative autonome. Developer Assist permet désormais d’intégrer la détection, la correction et la vérification des vulnérabilités directement dans l’environnement de développement, avant même que le code ne soit soumis. Les agents Triage Assist et Remediation Assist prennent ensuite le relais pour analyser les vulnérabilités du portefeuille applicatif, identifier celles qui représentent réellement un risque et proposer des correctifs prêts à être intégrés.
Global Security Mag : Quels sont les points forts des solutions que vous allez présenter à cette occasion ?
Florent Mauzé : Le principal point fort de notre approche est de faire travailler ensemble les technologies de sécurité éprouvées et l’IA, plutôt que de les opposer. Avec Checkmarx Fusion, nous combinons nos moteurs de sécurité applicative, développés sur plus de 20 ans de recherche, avec les capacités de raisonnement de l’IA et notre contexte de sécurité propriétaire. Fusion croise les résultats de plusieurs moteurs pour confirmer les véritables vulnérabilités et réduire les faux positifs. C’est essentiel dans un contexte où les volumes de code augmentent très rapidement. Il y a également un enjeu particulièrement important pour le marché français : celui de la confiance et du contrôle des données. Pour les entreprises des secteurs réglementés, l’architecture de Fusion permet d’exécuter les scans dans leur propre environnement cloud, via Amazon Bedrock, afin que le code source reste dans leur périmètre d’infrastructure. Cela répond directement aux exigences de résidence des données et de conformité, qui ont jusqu’à présent constitué un frein à l’adoption à grande échelle des solutions de sécurité basées sur l’IA. Notre approche est donc de couvrir toute la chaîne : détecter avec davantage de précision, comprendre le risque réel, puis accélérer la remédiation. Le tout avec un impératif qui devient central avec l’IA : permettre aux entreprises d’aller plus vite sans perdre le contrôle de leur code, de leurs données et de leur sécurité.
Global Security Mag : Cette 26ème édition des Assises de la cybersécurité aura pour thème « Osons ! » ; comment Checkmarx répond à cet impératif ?
Florent Mauzé : Pour nous, « oser » signifie accepter de remettre en question des modèles qui ont longtemps fonctionné, mais qui atteignent aujourd’hui leurs limites. Pendant des années, la sécurité applicative a essentiellement consisté à détecter les vulnérabilités, à les remonter aux développeurs puis à attendre qu’elles soient corrigées. Cette approche devient difficilement tenable lorsque l’IA permet de produire du code à une vitesse sans précédent.
Il faut donc oser changer de paradigme : passer de la détection à la prévention, et de la prévention à la remédiation autonome. Pourquoi attendre qu’une vulnérabilité soit détectée dans un pipeline ou dans une application en production si elle peut être identifiée et corrigée au moment même où le code est écrit ? Les chiffres montrent d’ailleurs l’urgence de cette évolution. Selon notre étude 2026 Future of Application Security https://checkmarx.com/report-future-of-appsec-2025/ , 96 % des développeurs utilisent désormais des outils de développement assistés par IA, alors que seulement 18 % intègrent une approche de sécurité continue pendant l’écriture du code. « Osons ! », c’est donc aussi oser faire de la sécurité une capacité native du développement assisté par IA, et non plus un contrôle supplémentaire qui intervient après coup.
Global Security Mag : Comment les technologies doivent-elles évoluer pour répondre aux problématiques cyber (IA, Quantique et Post-Quantique ?)
Florent Mauzé : L’IA comme le quantique nous obligent à repenser la cybersécurité avec une logique d’anticipation plutôt que de réaction. Avec l’IA, le développement applicatif s’accélère considérablement : 49 % du code utilisé en production est désormais généré par l’IA selon notre rapport 2026 Future of Application Security
https://checkmarx.com/report-future-of-appsec-2025/ . La sécurité doit donc être capable de fonctionner à la même vitesse, en combinant automatisation, contexte et raisonnement.
Le quantique pose une problématique différente, mais tout aussi structurante. Les mécanismes cryptographiques actuels comme RSA ou ECC seront à terme vulnérables à un ordinateur quantique suffisamment puissant. Et le phénomène de « harvest now, decrypt later » signifie que certaines données sensibles peuvent déjà être collectées aujourd’hui pour être déchiffrées demain. Les entreprises doivent donc commencer dès maintenant par inventorier leurs usages cryptographiques, y compris dans le code, les bibliothèques, les dépendances et les composants d’infrastructure. C’est une condition indispensable pour savoir ce qui devra évoluer. La deuxième priorité est la crypto-agilité : les architectures doivent permettre de remplacer un algorithme cryptographique sans devoir refondre les applications. Enfin, l’hybridation, combinant cryptographie classique et post-quantique, constitue une approche pragmatique pour accompagner progressivement la transition tout en préservant l’interopérabilité. Chez Checkmarx, nous travaillons notamment sur cette capacité de visibilité au niveau du code. La dernière version de CxSAST propose des requêtes permettant de cartographier les algorithmes cryptographiques utilisés et d’identifier ceux qui sont trop faibles ou, au contraire, adaptés aux exigences de l’ère post-quantique.
Qu’il s’agisse de l’IA ou du quantique, le véritable enjeu est finalement le même : construire des systèmes capables d’évoluer rapidement lorsque les technologies et les menaces changent.
Global Security Mag : Quel message souhaitez-vous transmettre à nos lectrices et lecteurs, aux RSSI, CISO, DPO, DSI, Responsables Cyber ?
Florent Mauzé : mon message serait de ne pas chercher à lutter contre la vitesse de l’IA avec davantage de processus manuels. Ce serait une bataille perdue d’avance. L’IA est une formidable opportunité pour les entreprises, mais cela signifie aussi que les équipes de sécurité doivent changer leur manière de travailler. Si chaque nouvelle ligne de code générée par l’IA doit être contrôlée manuellement, le modèle ne passera tout simplement pas à l’échelle.
Il faut donc automatiser ce qui peut l’être, tout en conservant le contrôle humain là où il apporte réellement de la valeur. Je dirais surtout aux responsables cyber de ne pas attendre que les pratiques de développement aient changé pour adapter leur modèle de sécurité. Le développement assisté par IA est déjà une réalité. La question est comment le faire sans créer une dette de sécurité impossible à maîtriser.
