Suite à l’entrée en vigueur du Cyber Resilience Act dans l’Union européenne, ce vendredi 11 septembre 2026, voiciles commentaires de Paul Davis, Field CISO chez JFrog à ce sujet. Tribune.
« Le passage à une chaîne d’approvisionnement logicielle agentique crée un écart fondamental en matière de traçabilité et de conformité, que les cadres traditionnels ne peuvent combler. Respecter la fenêtre de signalement de vingt-quatre heures imposée par le Cyber Resilience Act européen est désormais pratiquement impossible sans contrôles et politiques de conformité automatisés.Cet enjeu se multiplie lorsqu’on prend en compte la façon dont les agents IA autonomes transforment le mode de fabrication des logiciels.
Par défaut, les agents IA cherchent à accomplir leurs tâches par le chemin le plus rapide possible, ce qui peut conduire à des pratiques risquées telles que le recours à des paquets publics non vérifiés et le contournement des contrôles traditionnels. Sans gouvernance sur ce que ces agents consomment au moment de l’ingestion, les organisations font face à un angle mort agentique invisible et à haute vélocité. Si un composant compromis entre en production, et s’il n’existe aucune traçabilité ni piste d’audit indiquant quand, comment et pourquoi ce composant se trouve en production, les équipes ne peuvent ni retracer ce qui s’est passé, ni pourquoi, ni qui en est responsable.
Pour rappel, toute organisation produisant des logiciels utilisés par un utilisateur final dans l’UE est soumise à tout ou partie des obligations liées au CRA. Le non-respect de ces obligations peut entraîner de lourdes amendes et des coûts supplémentaires. C’est un sujet à prendre au sérieux, non seulement pour les organisations basées en Europe, mais pour toute organisation ou entreprise qui fournit des logiciels utilisés par des utilisateurs finaux.
Les organisations doivent évoluer vers un modèle intégrant une protection native de la chaîne d’approvisionnement logicielle, une surveillance continue, une remédiation plus rapide et un contrôle renforcé. Cela nécessite un système d’enregistrement automatisé reliant directement l’intention et le prompt initial d’un agent au binaire final publié. Ce niveau de visibilité est indispensable pour que les fabricants puissent non seulement identifier les vulnérabilités et en rendre compte au titre du CRA, mais aussi préparer les rapports en vue d’audits ultérieurs. »
