Concrètement, qu'est-ce que l'AppSec agent-time ?

MCP signifie Model Context Protocol, le standard ouvert qui permet aux agents de code IA (Claude Code, Cursor, Windsurf, GitHub Copilot, Gemini CLI) d'appeler des outils externes en cours de session. CybeDefend s'enregistre comme serveur MCP. Quand votre agent s'apprête à écrire ou modifier du code, il appelle l'outil MCP de CybeDefend, qui lance nos scanners SAST avec reachability, SCA, IaC, secrets et logique métier sur ce diff en moins de 1,2 seconde. L'agent reçoit le verdict de sécurité, avec une suggestion de fix, avant de proposer la ligne. C'est fondamentalement différent du SAST post-commit : la sécurité tourne dans la boucle de l'agent, au moment de la création, pas après l'ouverture de la PR. Pas de configuration YAML, pas d'étape CI séparée, pas de réunion de revue. L'agent applique votre politique de sécurité comme il applique votre style de code : automatiquement, dans le prompt, avant la première sauvegarde.

En quoi est-ce différent d'un scanner SAST classique ?

Le SAST legacy s'exécute sur les commits et noie l'équipe dans 85 à 95 % de faux positifs, le niveau relevé par le NIST SAMATE pour l'analyse à base de patterns. Nous tournons à agent-time, sur le diff que votre agent s'apprête à pousser, avec reachability et conscience du framework. Même moteur, autre surface, jusqu'à 90 % de bruit en moins.

Quels agents IA sont supportés ?

Claude Code, Cursor, Windsurf, GitHub Copilot, Gemini CLI, Cline, Continue.dev et Zed. Plus un serveur MCP générique pour tout ce qui parle MCP.

Peut-on s'auto-héberger ? Et la résidence des données ?

Oui. Self-host sur l'offre Enterprise (image OCI unique ou tar air-gapped). Les régions EU et US sont entièrement isolées, vous choisissez où vivent vos données. SAS française basée à Lille, hébergement à Paris pour l'EU et en Iowa pour l'US.

Essai gratuit

Find, Fix, Repeat.Secure your

Votre agent IA livre 500 lignes pendant que vous lisez les 20 premières.

Installer gratuitement5 min · sans CB · No flaws, no bill

5/5

Claude CodeVibeDefend

Add an endpoint to update user profile

Partenaires, programmes et investisseurs

L’heure des comptes

Personne ne sait plus lire le code.

Votre meilleur reviewer lit 200 lignes par jour. Cursor seul en accepte près d'un milliard.

Lignes livrées par les agents IAVulnérabilités introduites

L'IA suggère

Les agents livrent seuls

≈1 Md de lignes acceptées / jour

Sources : Cursor, près d'1 Md de lignes acceptées/jour (Aman Sanger, 2025) · 43 % des vulnérabilités API exploitent la logique métier (Wallarm, 2026) · 45 % du code généré par IA contient une faille du top 10 OWASP (Veracode, 2025)

Pourquoi maintenant

Trois ans. Trois paradigmes. Votre stack AppSec est restée en 2023.

Ère Suggest

Copilot souffle. SAST scanne la nuit.

Les devs acceptent les suggestions plus vite que les relecteurs ne les lisent. L’AppSec scanne du code qu’aucun humain n’a écrit. Lent, mais encore auditable.

Sortie IAlignes / jour

Reviewhumaine

Garde-fouCI nocturne

editor · checkout.ts

const total = items.reduce((s, it) => s + it.price, 0);

if (total > 0) {

applyDiscount(cart, coupon);tab

}

2023

Ère Suggest

Copilot souffle. SAST scanne la nuit.

Les devs acceptent les suggestions plus vite que les relecteurs ne les lisent. L’AppSec scanne du code qu’aucun humain n’a écrit. Lent, mais encore auditable.

Sortie IAlignes / jourReviewhumaineGarde-fouCI nocturne

editor · checkout.ts

const total = items.reduce((s, it) => s + it.price, 0);

if (total > 0) {

applyDiscount(cart, coupon);tab

}

Le produit

Shift-left, par défaut.

Le chemin exact, en quatre actes.

Il cartographie ton code.

VibeDefend indexe votre code une seule fois en graphe : fichiers, fonctions, tenants, chemins de paiement. L'agent interroge la carte au lieu de grepper le diff.

156 fichiers218 arêtes42 règles

Il cartographie ton code.

VibeDefend indexe votre code une seule fois en graphe : fichiers, fonctions, tenants, chemins de paiement. L'agent interroge la carte au lieu de grepper le diff.

156 fichiers218 arêtes42 règles

Il connaît tes règles avant d'écrire.

Vos règles métier et vos frameworks de conformité se chargent dans le contexte de l'agent. La ligne sort conforme du premier coup.

tenant scopingaudit-on-writeOWASP · SOC 2 · GDPR

tenant scoping

audit-on-write

soft-delete only

refunds > 500€ → finance.manager

context → agent

✓ tenant scoping

✓ audit-on-write

✓ soft-delete only

✓ refunds > 500€ → finance.manager

Il bloque le destructeur.

Les actions dangereuses meurent au moment de l'action, pas dans un post-mortem. Secrets gardés, chemins protégés, suppressions risquées arrêtées net.

garde secretschemins protégéssuppression risquée

agent · vibedefend guard

Il scanne tout, et filtre le bruit avant ton agent.

Le scan tourne en continu sur chaque diff. Notre IA vérifie l'atteignabilité contre le graphe et classe les faux positifs sans suite.

scan continu110 → 3tokens -92%

Ce que les scanners ne voient jamais

Huit failles que seul l’agent peut attraper. Tuées avant la première sauvegarde.

Huit exemples parmi les erreurs que les agents commettent tous les jours, parce qu'ils n'ont pas votre logique métier.

43 % des vulnérabilités API exploitent la logique métier, pas des CVE (Wallarm, 2026). Ces huit-là ne déclenchent jamais un scanner. VibeDefend les réécrit dans le prompt.

La plateforme

Une seule couche. Toute votre stack AppSec.

Les meilleurs scanners open source, enrichis de nos règles, plus nos moteurs maison.

Le graphe de code

✓ Faux positifs filtrés✓ Compliance suivie✓ Agents monitorés✓ Tout centralisé

Autopilot

Zéro YAML. Vos règles, extraites de votre propre code.

“Mais qui écrit toutes ces règles ?” Nous. Autopilot lit votre graphe et rédige, sous forme de candidates, les règles que vous suivez déjà. Aucun ingénieur sécurité requis.

01
Parcourir le graphe
Il parcourt vos imports, appels, tenants et routes, chaque frontière que vous faites déjà respecter.
02
Proposer des règles candidates
Les patterns deviennent des règles sans YAML : nom, périmètre, sévérité, références dans le code.
03
Accepter · modifier · rejeter
Vous gardez la main. Vous passez les règles en revue une à une, validez en lot celles auxquelles vous faites confiance, et ignorez le reste.