Selon une étude de Veracode portant sur plus de 100 modèles, environ 45 % du code généré par l'IA introduit des vulnérabilités de sécurité du OWASP Top 10. Faire du « vibe coding » sans couche de relecture de sécurité est un risque réel qui a déjà coûté cher à plusieurs plateformes.
Le « vibe coding » est ce qui est arrivé de plus amusant à la création de logiciels : tu décris ce que tu veux, l'IA le construit, et tu ne touches même pas une ligne de code. De la magie pure. Mais toute magie a ses petites lignes en bas du contrat, et ici ces petites lignes font un peu peur : une grande partie de ce code magique arrive avec des failles de sécurité d'usine.
La donnée qui refroidit l'enthousiasme
L'entreprise de sécurité Veracode a mené l'expérience pour de bon : elle a fait générer du code par plus de 100 modèles d'IA, puis l'a audité. Le résultat ? Près de 45 % de ce code a introduit des vulnérabilités du OWASP Top 10 — la liste des failles de sécurité les plus classiques et les plus dangereuses du web. Presque la moitié. C'est comme commander à emporter et recevoir, une fois sur deux, un plat avec un ingrédient avarié. Ça ne te rend pas toujours malade, mais la probabilité est trop élevée pour être ignorée.
Pourquoi l'IA écrit du code non sécurisé (sans le vouloir)
Ce n'est pas que l'IA soit malveillante. C'est qu'elle a appris de millions d'exemples issus d'internet, et sur internet il y a autant de bon code que de code non sécurisé. De plus, quand elle construit, l'IA est en « mode optimiste » : elle pense à faire fonctionner la fonction, pas à la manière dont un attaquant pourrait en abuser. C'est comme un serrurier ultra-rapide qui installe la porte parfaite… mais qui oublie parfois d'y mettre la serrure. La porte s'ouvre et se ferme à merveille. Le problème, c'est qui d'autre peut l'ouvrir.
Ce n'est pas de la théorie : il y a déjà eu de vraies victimes
Tout cela n'est pas resté dans un rapport. Des cas de plateformes de vibe coding ont été mis au jour, où des identifiants et des données se sont retrouvés exposés, accessibles à quiconque savait où regarder. Quand tu génères à toute vitesse et que personne ne relit, une négligence ne reste pas sur ton écran : elle part en production, où le monde entier la trouve. La vitesse sans filet de sécurité n'est pas de la vitesse : c'est une chute au ralenti.
Le remède, ce n'est pas d'arrêter d'utiliser l'IA — c'est de lui adjoindre un gardien
La réponse n'est pas de tout reprogrammer à la main (ça n'a plus de sens). La réponse est d'ajouter un second cerveau qui relit ce que l'IA a construit, avant que ça n'arrive en production : qui traque le secret exposé, la requête qui fuit des données, l'endpoint non protégé. Cette culture — construire vite mais avec un gardien de sécurité au-dessus de l'épaule — c'est ce qui sépare un projet sérieux d'un accident qui n'attend que d'arriver.
Comment nous, on le voit
Chez NeuralOS, nous partons d'une conviction : la discipline de sécurité ne devrait pas être un luxe réservé aux experts, mais quelque chose qui vient en série. Construire avec l'IA doit être rapide ET sûr, pas l'un au détriment de l'autre. En fait, cette idée nous a menés à créer et à offrir un gardien de sécurité open source — parce que nous croyons que traquer le bug et apporter le correctif devrait être à la portée de quiconque construit avec l'IA, pas seulement de qui peut se payer une équipe de sécurité.