Agents IA aux pipelines : qui contrôle vraiment ma CI/CD

J'ai regardé les incident reports de 2026 sur la chaîne logicielle, et franchement, ça change les règles du jeu. Les attaquants ne visent plus que les dépôts de code. Ils compromettent les outils eux-mêmes, les registries npm, les modèles IA intégrés aux pipelines. Et c'est là que ça devient personnel : des agents autonomes écrivent, testent, déploient du code en production sans friction supervisée. La vraie question que je me pose ? Si 50% du code sera généré par l'IA d'ici fin 2026, comment je preuve que ce qui sort de mon CI/CD vient bien de moi, et pas d'une IA compromise ? Provenance, traçabilité, gouvernance agentic : c'est technique, mais c'est un enjeu de résilience IT dont on parle très peu en pratique. Certains disent que sans source of truth unique et sans policy stricte sur les agents non-humains, on avance à découvert. Quels arbitrages faites-vous aujourd'hui entre la vélocité que l'IA apporte et cette couche de gouvernance que personne n'avait prévue ?