Le 28 octobre 2026, a16z a publié « The New Security Agenda », une enquête auprès de 100 responsables de la sécurité des systèmes d'information (CISO) dans des entreprises de plus de 1 000 salariés. Quatre-vingt-sept pour cent prévoient une hausse des dépenses de cybersécurité en 2027, près de la moitié s'attendent à voir leurs équipes de sécurité grandir, et seulement 4 % prévoient des réductions. L'argent et les effectifs progressent tous les deux, mais le plus intéressant dans cette enquête est l'écart entre la hausse des budgets et le déploiement réel.
Un agenda qui change : les sept premières priorités de 2027 concernent toutes l'IA
Dans les souvenirs des répondants sur les priorités de 2026, la gestion de l'exposition et des vulnérabilités ainsi que le SIEM arrivaient en tête. Pour 2027, les sept initiatives les plus citées concernent toutes l'IA. La sécurité des agents d'IA internes, l'automatisation des SOC et la sécurité offensive progressent le plus, suivies de près par la sécurité du code, la remédiation et la gouvernance de l'IA. Près de la moitié des répondants placent la sécurité du code d'IA parmi leurs cinq premières priorités pour 2027, contre environ 25 % en 2026.
Beaucoup de pilotes, peu de production
Seuls 18 % des entreprises ont des outils de SOC fondés sur l'IA en production, et 13 % ont mis en production la sécurité offensive fondée sur l'IA ou la remédiation de l'exposition et des vulnérabilités assistée par l'IA. Les projets d'achat avancent plus vite : 45 % prévoient un nouvel achat ou une mise à niveau pour la sécurité des agents d'IA internes dans les douze mois, 42 % pour la sécurité offensive et 38 % pour l'usage et la gouvernance de l'IA. Quatre-vingt-trois pour cent des répondants jugent importants des tests plus fréquents de la posture de sécurité, mais aujourd'hui seuls 18 % déclarent que la plupart des tests offensifs tournent en continu contre des actifs de production, tandis que 52 % s'y attendent d'ici un an. Trouver plus vite ne veut pas dire corriger plus vite : 70 % veulent vérifier par un nouveau test que les vulnérabilités ont bien été corrigées, 67 % veulent prioriser la remédiation selon l'exploitabilité validée, et 57 % veulent des correctifs ou des tickets de remédiation générés automatiquement.
Les fournisseurs établis d'abord, les start-up seulement pour combler un manque
Quarante-quatre pour cent des répondants regardent d'abord les nouvelles capacités de leur plateforme de sécurité existante, et seuls 21 % commencent par un fournisseur natif de l'IA ; 47 % déclarent ne choisir une start-up que lorsqu'elle résout un manque de capacité que leur fournisseur actuel ne peut pas traiter. L'autre face du tableau est la surface d'attaque elle-même : 92 % des entreprises utilisent déjà des outils d'IA générative pour les salariés en production, 83 % utilisent des assistants de codage ou des agents, et 55 % ont des serveurs MCP ou des intégrations d'agents en production. Quarante-sept pour cent s'inquiètent le plus de voir des salariés coller des données sensibles dans des outils d'IA, 46 % craignent que des agents dépassent leurs autorisations ou soient compromis, et 63 % disent que les contrôles de sécurité ont déjà ralenti au moins une partie du déploiement de l'IA.
Cette enquête doit être lue avec une réserve : a16z est un investisseur, plusieurs entreprises citées dans l'article font partie de son portefeuille, et les chiffres proviennent de 100 répondants qui se décrivent eux-mêmes et se souviennent de 2026, et non d'un recensement de toute l'industrie. Sa valeur tient à la direction indiquée : la bataille des budgets de sécurité est passée de la question d'acheter ou non des outils de sécurité fondés sur l'IA à celle de savoir qui peut prouver que les problèmes ont bien été corrigés. Pour les acheteurs, la question de sélection de l'année prochaine n'est pas une liste de fonctionnalités, mais de savoir si un fournisseur peut faire tourner, dans leur propre environnement, la boucle complète qui va de la découverte à la correction puis à un nouveau test.
