Au cours des dernières années, la programmation assistée par intelligence artificielle, également connue sous le nom de vibe coding, s’est imposée comme une pratique courante dans le développement logiciel. Selon le State of Cloud Security Report 2025 de Palo Alto Networks, 99 % des organisations utilisent déjà des agents d’IA dans leurs processus de développement. Cependant, le dernier rapport de Unit 42, l’unité d’intelligence sur les menaces de cette société leader en cybersécurité, met en garde contre les risques potentiels pour la sécurité si cette approche est mise en œuvre sans contrôles adéquats.

Ces solutions permettent aussi bien aux développeurs professionnels qu’aux citizen developers — utilisateurs sans formation technique avancée en revue de code ou cybersécurité — de générer rapidement des volumes importants de code opérationnel. Toutefois, le logiciel produit peut contenir des vulnérabilités cachées, des mauvaises pratiques de sécurité ou des dépendances peu fiables, qui ne sont pas détectées lors des phases initiales de test, et ne n’apparaissent que lorsque l’application est déjà en production.

Du développement assisté au risque automatisé

Selon Unit 42, le problème principal ne réside pas dans la technologie elle-même, mais dans la fausse impression de sécurité qu’elle peut donner en masquant des failles de sécurité difficiles à détecter en début de processus. Le vibe coding ou code créé par IA a souvent « l’air correct » et remplit sa fonction, mais n’est pas conçu intrinsèquement pour respecter les standards de secure coding.

En introduisant des modifications importantes dans la façon dont apparaissent les vulnérabilités, de nombreuses failles de sécurité trouvent leur origine directement dans la phase de développement. Lors de la génération automatique du code à grande vitesse, la probabilité d’intégrer des erreurs augmente, ce qui peut conduire à des vulnérabilités telles que :

• Développement d’applications non sécurisées provoquant une faille de sécurité.
• Lógica de la plateforme peu sûre, conduisant à l’exécution de code non autorisé.
• Lógica de la plateforme permettant d’éluder l’authentification.
• Suppression incorrecte d’une base de données, entraînant la perte de données.

De plus, ces outils peuvent devenir des cibles privilégiées pour les cybercriminels, qui cherchent à manipuler leur comportement via différentes techniques telles que l’injection d’instructions dans les programmeurs ou l’utilisation de fragments de code provenant de sources externes hébergeant des logiciels malveillants.

Garantir la « pérennité du code » : une priorité stratégique

Pour faire face à ces enjeux, Unit 42 a présenté le cadre SHIELD, conçu pour réintroduire des principes de conception sécurisée dans la programmation assistée par intelligence artificielle. Ce cadre fournit aux organisations une ligne directrice pratique permettant d’équilibrer la productivité du vibe coding avec une gestion efficace des risques, afin que l’innovation ne se traduise pas par une augmentation de la surface d’attaque :

• S – Séparation des responsabilités : Les plateformes de vibe coding peuvent accorder des privilèges excessifs. Évitez les fonctions incompatibles et limitez la présence des agents d’IA à des environnements de développement et de test.
• H – Humain dans la boucle : Exigez une révision humaine obligatoire et l’approbation des PR pour tout code critique.
• I – Validation des entrées/sorties : Séparez les instructions fiables des données non fiables et appliquez des validations de sécurité (SAST) avant la fusion du code.
• E – Renforcement par des modèles d’assistance axés sur la sécurité : Utilisez des agents spécialisés pour valider la sécurité, analyser les secrets et vérifier les contrôles avant le déploiement.
• L – Principe du moindre privilège : Appliquez le principe du moindre privilège en limitant les accès et les commandes destructives.
• D – Contrôles techniques défensifs : Mettez en place des SCA (Software Composition Analysis) et désactivez l’auto-exécution pour renforcer la supervision et la sécurité lors du déploiement.

Bien que le vibe coding représente une évolution naturelle du développement logiciel, Palo Alto Networks met en garde contre le fait que de nombreuses organisations relâchent l’application de principes de sécurité consolidés, comme celui du « moindre privilège », en faveur de la rapidité et de la fonctionnalité. Ainsi, cette pratique ne devrait pas être adoptée sans une revue approfondie des enjeux de sécurité, car la protection ne peut se limiter aux phases finales du cycle de vie de l’application. Elle doit être intégrée dès la conception et la génération initiale du code pour garantir un développement sécurisé et fiable.