Pourquoi confier une mission de sécurité à un agent ?

Un volume de CVE qui dépasse l'échelle humaine

Un projet .NET moderne embarque facilement plusieurs centaines de dépendances, directes et transitives. Chaque semaine, de nouvelles CVE (Common Vulnerabilities and Exposures) sont publiées sur tout ou partie de cet écosystème. Trier ça à la main — lire chaque avis, vérifier s'il concerne réellement le projet, juger la sévérité — ne passe simplement pas à l'échelle pour une équipe qui doit aussi livrer des fonctionnalités.

C'est le genre de tâche répétitive, à fort volume et à faible variance, qui se prête bien à un agent IA : rechercher, lister, croiser avec les dépendances réelles du projet, proposer une première hiérarchisation.

Ce que l'agentique change ici — et ce qu'elle ne change pas

Un agent peut scanner un lockfile entier en quelques secondes, croiser chaque paquet avec une base d'avisories, et produire une liste structurée. Ce qu'il ne fait pas tout seul, correctement : juger si une CVE est réellement exploitable dans le contexte du projet, décider si le correctif proposé est le bon, ou savoir ce qu'il a le droit de toucher sans validation.

Autrement dit : la recherche peut être déléguée, le jugement final non. C'est le fil conducteur de tout ce parcours.

Le fil rouge de ce parcours

Dans les modules suivants, on va suivre pas à pas une mission concrète confiée à un agent : trouver les CVE dans les dépendances d'un projet .NET, vérifier si le code est réellement exposé, et proposer un correctif — avec, à chaque étape, la question : qu'est-ce que l'agent a bien fait, qu'est-ce qu'il a raté, et qu'est-ce qui reste strictement de notre ressort.