Près de la moitié des organisations interrogées (49,8 %) ont confirmé ou soupçonné qu'un agent IA au sein de leur environnement avait effectué une action non intentionnelle, imprévue ou non autorisée au cours de l'année écoulée.
Il ne s'agit pas d'une prédiction. C'est ce que nous ont confié des professionnels de la sécurité et de la technologie lors d'une enquête menée auprès de plus de 380 organisations concernant leur expérience des 12 derniers mois.
L'IA agentique a progressé rapidement. Les données montrent qu'elle a progressé plus vite que la capacité de la plupart des organisations à la gouverner.
Le déploiement a devancé la gouvernance
86,4 % des répondants déclarent qu'au moins un agent IA est en activité au sein de leur organisation. Plus de la moitié en utilisent dix ou plus. Il ne s'agit pas de projets pilotes ou d'expérimentations en bac à sable. Ce sont des systèmes en production qui accèdent aux données de l'entreprise, invoquent des outils, appellent des API et déclenchent de véritables processus métier, enchaînant souvent ces étapes dans des séquences qu'aucune équipe n'a conçues.
76,8 % des répondants affirment que leurs agents invoquent d'autres agents ou outils qui appellent eux-mêmes des API. Une seule instruction utilisateur peut générer une chaîne complexe à travers plusieurs systèmes et services, l'intention initiale étant éloignée de plusieurs étapes de l'action finale. Pour les équipes de sécurité habituées aux requêtes individuelles et au contexte de session unique, cette architecture représente un changement fondamental.
49,8 % des organisations ont confirmé ou soupçonné qu'un agent IA avait effectué une action non autorisée au cours de l'année écoulée.
Que s'est-il passé dans ces cas-là ? Les réponses figurent dans le rapport complet, mais le schéma qu'elles décrivent n'est pas une menace théorique. Il implique des appels d'API externes, des modifications de données et, dans certains cas, un accès à des données auxquelles l'agent n'aurait pas dû avoir accès. Il s'agit d'un impact opérationnel, et non d'un risque futur.
Trois lacunes qui définissent le problème
L'enquête identifie trois lacunes spécifiques en matière de capacités qui expliquent pourquoi les actions imprévues des agents deviennent une réalité opérationnelle documentée.
La lacune en matière de visibilité.
Seules 12,5 % des organisations peuvent suivre systématiquement le parcours complet d'un agent à travers tous les agents, de l'instruction initiale aux décisions de l'agent, en passant par les outils, les API et le résultat final. Plus de 60 % auraient besoin d'heures ou de jours de travail manuel pour reconstituer ce qu'un agent spécifique a fait la veille. Pour la réponse aux incidents, ce délai est le cœur du problème. Un agent peut répéter une action, invoquer plusieurs services ou modifier des données sans attendre la fin d'un cycle de travail humain.
12,5 % des organisations peuvent suivre systématiquement le parcours complet d'un agent à travers tous les agents.
La lacune en matière de confinement.
Seules 17,5 % des organisations peuvent arrêter automatiquement un agent qui commence à se comporter de manière inattendue en production. La majorité ne peut intervenir que manuellement ou en mettant l'application hors ligne. Les contrôles de détection qui se déclenchent après qu'un agent a déjà agi ne constituent pas un confinement, mais ils permettent d'enregistrer ce qui s'est passé.
La lacune en matière d'infrastructure.
32,9 % des répondants ont découvert au moins un serveur MCP non autorisé, fantôme ou mal configuré au cours des 12 derniers mois ; 54,3 % l'ont confirmé ou soupçonné. Le protocole MCP permet aux agents de découvrir et d'utiliser des capacités externes. Il les aide également à accéder aux API, bases de données et services de l'entreprise. Une couche MCP que les équipes de sécurité ne peuvent pas inventorier, vérifier ou surveiller constitue une surface d'attaque qu'elles ne peuvent pas défendre.
« On fait confiance aux agents pour agir avant même que les organisations ne puissent voir ou contrôler leurs actions. »
La réalité sur le terrain
En septembre 2026, Salt Labs a publié une étude démontrant qu'un simple e-mail malveillant pouvait pirater la plateforme d'IA agentique Manus et accéder aux e-mails, au stockage cloud et aux dépôts de code connectés d'un utilisateur, sans vol de mot de passe ni clic sur un lien. L'attaque consistait à intégrer une charge utile JavaScript obfusquée dans un e-mail. Lorsque Manus traitait l'e-mail, il décodait et exécutait la charge utile, établissait un reverse shell vers l'infrastructure de l'attaquant et exposait les jetons OAuth des services connectés de l'utilisateur.
Le garde-fou de la plateforme a détecté l'attaque. Il n'a pourtant pas pu empêcher l'exécution du code.
Cette recherche constituait une preuve de concept pour une plateforme donnée. L'enquête permet de chiffrer l'ampleur du problème. Seules 17,5 % des organisations sont capables de contenir automatiquement un agent au comportement suspect en production. Le garde-fou de Manus s'est déclenché au bon moment, mais il était déjà trop tard. Pour la plupart des organisations, il ne s'agit pas d'un cas isolé. C'est l'architecture qu'elles utilisent actuellement.
« Le garde-fou a détecté l'attaque. Il n'a pourtant pas pu empêcher l'exécution du code. »
Autre point de tension : le code généré par l'IA
L'enquête met également en lumière un problème situé en amont de l'exécution des agents : le code qui construit et fait fonctionner les systèmes agentiques est de plus en plus généré par des assistants IA, et les failles de sécurité dans ce code sont détectées trop tard dans le cycle de développement.
83,5 % des personnes interrogées estiment que le code généré ou assisté par l'IA contribue à une partie de leurs vulnérabilités de sécurité applicative. Le rapport complet montre à quel stade du cycle de développement ces problèmes sont réellement détectés et quel est l'écart entre le moment de la génération et celui du déploiement au sein des organisations interrogées. Le problème ne vient pas des assistants de codage en soi. Il s'agit d'un problème de positionnement de la sécurité dans le pipeline, et pour la plupart des organisations, la réponse est : trop tard.
Le rapport détaille les assistants utilisés, les lacunes en matière de contrôle et ce à quoi ressemble concrètement une approche de développement assisté par l'IA sécurisée dès la conception.
Comment combler cet écart
Les organisations capables de répondre aux trois questions suivantes seront les mieux placées pour déployer l'IA agentique sans s'exposer aux risques décrits dans l'enquête :
- Quels agents existent et à quoi ont-ils accès ?
- Qu’a fait cet agent, et pouvons-nous reconstituer ses actions en quelques minutes plutôt qu’en quelques jours ?
- Pouvons-nous arrêter un agent avant qu’une action involontaire ne devienne irréversible ?
Répondre à ces questions ne consiste pas à ralentir l’adoption de l’IA. Il s’agit de rendre l’autonomie des agents durable, en donnant à l’IA l’accès nécessaire pour accomplir ses tâches, tout en permettant aux équipes de sécurité de visualiser, de gouverner et de contenir ses activités.
Le rapport complet détaille les données sous-jacentes : identité et gouvernance des agents, visibilité et confinement des chemins d’accès, exposition de l’infrastructure MCP, sécurité du codage par IA, maturité des programmes de sécurité des API, ainsi que la télémétrie de production de Salt Labs issue de centaines d’environnements clients, incluant les premières observations sur la manière dont les chemins d’API connectés aux agents croisent déjà les activités réelles des attaquants.
Obtenir le rapport complet
Le rapport « The State of Agentic AI and API Security 2H 2026 » est disponible dès maintenant sur https://salt.security/api-security-trends. Le rapport complet inclut des données par chapitre, des analyses sectorielles, des recommandations pour les RSSI et une analyse de la télémétrie de production de Salt Labs provenant de centaines d’environnements clients. Téléchargez le rapport ici