StackHawk lance Wingman pour corriger automatiquement les vulnérabilités pendant le codage

Présentation

StackHawk a annoncé le 17 septembre 2026 le lancement de Wingman, un outil d’intelligence artificielle destiné à détecter, corriger et valider les vulnérabilités d’applications pendant les sessions de codage assistées par IA. Le service s’installe directement dans les environnements de génération de code tels que Claude Code, Cursor, GitHub Copilot, Codex et Antigravity. Selon l’entreprise, plus de 7 000 failles ont déjà été corrigées automatiquement pour les premiers utilisateurs, avec un taux de persistance de 98 % % après validation.

Fonctionnement technique

Wingman s’appuie sur la plateforme de tests d’applications de StackHawk, exposée sous forme de AI skills, de hooks et de règles. Lorsqu’un agent IA (par ex. Copilot) termine une fonctionnalité, Wingman déclenche automatiquement le déploiement de l’application en cours d’exécution, puis exécute une batterie de tests de sécurité sans intervention humaine. Les résultats sont renvoyés à l’agent qui a produit le code, qui applique alors les correctifs suggérés. Un second scan confirme la résolution de la faille avant que Wingman ne transmette un statut « clean » au pipeline d’intégration continue (CI). Chaque série de tests est liée à un commit précis, créant ainsi une attestation cryptographique du code livré.

Le modèle tarifaire est fixé à 10 $ par utilisateur et par mois, incluant un nombre illimité d’applications mais limité à 50 scans par utilisateur chaque mois. Cette contrainte technique impose aux équipes de prioriser les analyses critiques et de planifier les scans en fonction du rythme de développement.

Analyse d’impact et limites

Sur le plan sécuritaire, l’intégration de la détection et de la correction au cœur du processus de codage réduit le temps entre l’introduction d’une faille et sa résolution, limitant ainsi le « security debt » accumulé dans les pipelines traditionnels. En déplaçant le point de contrôle du « gate » du CI vers la boucle de génération de code, Wingman répond à la montée en puissance du code produit par l’IA, où les équipes DevSecOps peinent à suivre le volume de tickets.

Cependant, la dépendance à un modèle d’IA pour proposer des correctifs soulève plusieurs questions. Premièrement, la précision des suggestions dépend de la qualité des signatures de vulnérabilité intégrées dans la plateforme ; des faux positifs ou des correctifs inadaptés pourraient introduire des régressions non détectées si le scan de validation échoue à les identifier. Deuxièmement, la limitation à 50 scans mensuels par utilisateur peut devenir un goulot d’étranglement dans des environnements à forte cadence de commits, obligeant les équipes à choisir entre profondeur d’analyse et couverture.

Enfin, le coût fixe de 10 $ par utilisateur rend le service accessible aux petites équipes, mais l’échelle d’utilisation (nombre d’applications, fréquence des scans) doit être évaluée pour éviter des dépenses disproportionnées par rapport aux économies de tickets résolus. En l’absence de données publiques sur le taux de faux négatifs, les organisations devront mesurer l’efficacité de Wingman dans leurs propres contextes avant de l’adopter à grande échelle.