Harness lance des agents IA pour analyser, trier et corriger les vulnérabilités à vitesse machine

Harness, la société de plateforme de livraison de logiciels basée à San Francisco, a lancé une suite d’agents de sécurité IA le 19 août 2026 — AI SAST, triage et remédiation agentiques, un agent Zero-Day dédié et le patching virtuel — conçus pour réduire l’écart entre la découverte d’une vulnérabilité et la mise à disposition d’un correctif, passant de semaines à quelques heures.

L’argument repose sur une asymétrie que les défenseurs continuent de perdre. Dans le billet d’ingénierie de Harness détaillant le lancement, l’entreprise cite le rapport Edgescan 2026 sur les statistiques des vulnérabilités, qui indique une moyenne de 55 jours pour remédier à une vulnérabilité, face aux délais des attaquants (suivis par le Zero Day Clock) qui peuvent exploiter une faille dès six heures après sa divulgation. Même après rédaction d’un correctif, le rapport DORA 2025 indique que le délai entre le commit et la mise en production dépasse une semaine. Les défenseurs réduisent une fenêtre mesurée en heures avec un processus qui dure des semaines.

Les modèles de pointe exercent désormais une pression des deux côtés de cet écart. L’analyse basée sur les LLM révèle beaucoup plus de résultats que l’analyse statique traditionnelle — les partenaires du projet Glasswing d’Anthropic, qui donnent aux partenaires de sécurité l’accès au modèle Claude Mythos Preview pour rechercher des vulnérabilités dans des logiciels critiques, ont constaté environ dix fois plus de vulnérabilités détectées lors des tests. Mais la visibilité sans traitement ne fait qu’alourdir le backlog : Comcast, participant à Glasswing, a découvert que 44 % de ses découvertes LLM critiques et à haute sévérité étaient des faux positifs, et que seules 36 % des critiques et 33 % des hautes sévérités étaient confirmées exploitables.

“Nous sommes à un point où les mêmes modèles d’IA qui aident nos clients à livrer des logiciels plus rapidement sont également utilisés par les attaquants pour découvrir et exploiter des vulnérabilités plus vite”, a déclaré Rahul Sood, directeur général de la sécurité des applications chez Harness, dans l’annonce de l’entreprise. “La seule façon de combler cet écart est de faire de la sécurité une composante de première classe du pipeline de livraison lui‑même.”

Ce que font réellement les agents

La couche d’analyse scanne délibérément le compromis entre analyse déterministe et probabiliste, un choix de conception notable compte tenu de l’enthousiasme actuel de l’industrie pour l’utilisation des LLM sur les bases de code. L’AI SAST de Harness associe un moteur de flux de données déterministe à une couche de confiance IA qui classe chaque découverte comme risque confirmé, risque potentiel ou sûr dans le contexte. Les propres benchmarks de l’entreprise, comparés au corpus OWASP Java, affirment que la couche a réduit les faux positifs de 79 % (de 454 à 95) et a augmenté la précision de 74 % à 93 % tout en conservant un rappel de 91 %. Concernant les références d’objet directes non sécurisées (une classe de contrôle d’accès défectueuse que l’analyse de flux de données ne peut pas voir structurellement, faute d’entrée malformée à faire correspondre), Harness revendique un rappel de 71 % à 99 % de précision sur un corpus de 390 cas en Go, Java et Python. Il s’agit de benchmarks fournisseurs auto‑déclarés, mais l’argument sous‑jacent est solide : un scanner probabiliste qui renvoie des résultats différents sur le même code à deux reprises, facturé à la requête, ne convient pas au filtrage continu en CI/CD. Harness positionne plutôt le scan LLM pour des recherches ponctuelles et propose LLM Scan Orchestration aux équipes souhaitant exécuter leurs propres scanners LLM nativement dans le pipeline.

En aval, l’Agent de triage priorise les découvertes en combinant CVSS, EPSS et analyse de la portée : Harness trace désormais les chemins d’appel jusqu’à la fonction vulnérable précise, de sorte qu’une dépendance n’est signalée que si cette fonction exacte est atteignable. L’Agent de remédiation rédige ensuite un correctif, le valide dans le pipeline afin d’éviter de casser les builds, et ouvre une pull request revue par un humain. Les développeurs conservent l’autorité de fusion.

L’Agent Zero-Day est la composante visant directement le problème des six heures. Il surveille les zero‑days nouvellement divulgués, identifie chaque artefact et pipeline affectés dans l’environnement du client (la cartographie du rayon d’impact, selon l’entreprise, passe de jours à secondes) et produit un correctif validé prêt à être examiné, contournant totalement la file de triage. Le patching virtuel couvre la fenêtre résiduelle : lorsqu’un test d’API découvre une vulnérabilité, Harness déploie une règle de protection sur sa couche de protection des applications web et des API sans modifier le code, protégeant la production en quelques minutes pendant que le correctif permanent est rédigé, puis retire le patch une fois le correctif déployé.

Toutes les six capacités sont désormais disponibles dans la plateforme Harness, les agents de remédiation et zero‑day s’appuyant sur la gouvernance existante du pipeline : portes de politique, approbations et chaîne de responsabilité sur chaque artefact.

L’évolution de Harness vers la sécurité applicative agentique

Le lancement prolonge une trajectoire de sécurité qui a commencé lorsque Harness a fusionné avec la société de sécurité API Traceable en février 2025, une opération qui a placé le co‑fondateur de Traceable, Sanjay Nagaraj, à la tête du volet sécurité des applications de l’entreprise combinée. En juillet 2026, la société a déployé Agent DLC, une couche de gouvernance pour le cycle de vie du développement d’agents IA : scan primitif, nomenclature des composants IA, découverte d’agents et pare‑feu IA appliquant des politiques contre l’injection d’instructions et l’abus d’outils en temps réel. Quelques jours plus tard, elle a élargi son partenariat avec Kong afin d’intégrer la découverte et la protection IA dans le AI Gateway de Kong, répertoriant chaque modèle, serveur MCP et outil qui y transitent.

Unite.AI a suivi la même accélération du côté offensif, depuis Claude transformant un benchmark cyber en trois intrusions réelles jusqu’à la découverte d’IBM selon laquelle l’IA a joué un rôle dans un quart des violations malveillantes, et du côté défensif, les modèles de cyber‑défense Daybreak d’OpenAI déployés sur Amazon Bedrock. La mise en jeu de Harness est que le pipeline de correction, et pas seulement la détection, est l’endroit où la vitesse machine doit arriver ensuite.

Le fait que les agents rédigeant leurs propres correctifs gagnent la confiance des entreprises dépendra du harnais de validation qui les entoure, une leçon renforcée lorsque Copilot Autofix a ouvert une injection de shell dans le pipeline CI/CD de Snowflake. La réponse de Harness est architecturale : les agents proposent, le pipeline valide, et un humain fusionne.