Leo pensait avoir trouvé un raccourci formidable pour le développement de logiciels.
Au début de cette année, Leonel Acevedo, fondateur d'une start-up spécialisée dans les logiciels de marketing destinés à la génération de prospects et programmeur débutant, a lancé une application SaaS (Software-as-a-Service) entièrement développée à l'aide d' , une IA. Il n'a jamais touché directement au code lui-même. Au lieu de cela, il s'est contenté de saisir des consignes, ou des instructions, dans un outil d'IA et a laissé le système faire le travail. Il a ensuite fièrement fait part au monde entier de son exploit dans un post « » sur X.
Grosse erreur.
Deux jours plus tard, sa création était prise d'assaut. Des pirates ont saturé ses clés d'interface de programmation d'applications (API), provoquant ainsi un engorgement du système qui gère la communication entre les applications. Ils ont contourné ses systèmes d'abonnement, qui sont destinés à bloquer toute personne n'étant pas un utilisateur payant. Ils ont alors commencé à créer des entrées aléatoires dans sa base de données, démontrant ainsi qu'ils pouvaient manipuler les données comme bon leur semblait.
« La moitié des internautes s'acharne à faire planter mon application simplement parce que j'ai rendu publique une erreur que j'ai commise », a écrit Acevedo, qui a rapidement désactivé l'application. « Savez-vous ce qu’il y a de pire ? « Ils le font pour le plaisir. »
L'implosion fut rapide et instructive.
Le « Vibe coding », qui consiste à utiliser des modèles d’IA pour créer des applications complètes à partir de consignes en langage naturel , est désormais devenu une méthode courante de développement logiciel. « Il n’a jamais été aussi facile de se lancer dans la programmation », a déclaré Andrew Ng, fondateur de Google Brain, lors d’une intervention intitulée « » ( ) à la conférence Build organisée par Snowflake lundi. Mais les délais de développement rapides et les faibles coûts qui rendent le « vibe coding » si séduisant comportent également des risques, car ils entraînent l'intégration de code généré automatiquement et non vérifié dans des pipelines, sans ou avec très peu de contrôle de sécurité informatique. En conséquence, de plus en plus de particuliers et d'organisations sont appelés à utiliser des logiciels comportant un nombre record de dysfonctionnements susceptibles de paralyser leurs activités, ainsi que des failles de sécurité que les pirates informatiques peuvent facilement détecter et exploiter.
« Si vous êtes un bon programmeur, l’IA peut vous être d’une grande aide, car vous savez ce que vous recherchez et comment la guider », a déclaré Erlend Oftedal, directeur technique senior chez RSA Conference (RSAC) Research, spécialisé dans la sécurité des applications. « Mais si vous n’êtes pas doué en programmation, cela ne fera qu’empirer les choses, car vous ne savez pas comment vérifier ce que vous développez. » « Vous ne faites que produire à la chaîne. »
Le « vibe coding » : les bonnes vibrations, les mauvaises, et tout ce qui touche au capital-risque
Si le terme « vibe coding » est récent – il a été inventé récemment par le chercheur en IA Andrej Karpathy et, la semaine dernière encore, le site a désigné « » comme mot de l’année –, la pratique consistant à utiliser l’IA pour guider la création de code n’est quant à elle pas nouvelle.
«L’accès à la programmation n’a jamais été aussi facile. »Andrew Ng, fondateur de Google Brain
En réalité, cela remonte au début de l’année 2010s, lorsque des chercheurs ont commencé à utiliser les réseaux neuronaux de l’apprentissage automatique — des logiciels s’inspirant librement du fonctionnement du cerveau — pour la complétion de code et la synthèse de programmes. Cela a ouvert la voie à des outils tels que DeepCoder en 2016 et aux premiers modèles « sequence-to-sequence » de Google ; dès le début de l'année 2020s, des systèmes tels que Codex d'OpenAI et GitHub Copilot ont permis de démocratiser la programmation assistée par l'IA.
Voici désormais la dernière avancée en date de cette longue évolution : des outils génératifs tels qu’ , ChatGPT, GitHub Copilot, Claude d’Anthropic et Cursor (utilisé par Acevedo) rendent le codage encore plus rapide et plus facile — et le rendent ainsi plus attractif pour les entreprises. L'année dernière, plus de 90 % des développeurs travaillant dans des moyennes et grandes entreprises ont reconnu utiliser l'IA pour générer du code, selon une enquête « » menée par Checkmarx et Censuswide. Et selon une enquête menée par GitHub ( 2024 ), 30 % à 40 % des organisations encouragent désormais activement le « vibe coding », sans doute dans le but de réduire les coûts et d'accélérer les cycles de développement logiciel (SDL).
Pour être honnête, les éditeurs de logiciels ont toujours commercialisé des logiciels avant qu'ils ne soient tout à fait prêts, dans le but de devancer leurs concurrents sur le marché. Les nouveaux systèmes d'exploitation et applications sont connus pour comporter de nombreux bogues fonctionnels et de sécurité, dont la correction peut prendre des mois aux entreprises. La pratique risquée consistant à appliquer les correctifs au ralenti est devenue endémique au sein de l'. Mais ce qui inquiète aujourd’hui les experts en sécurité, c’est que le codage assisté par l’IA puisse générer des vulnérabilités à une telle échelle que bon nombre d’entre elles ne seront jamais identifiées ni corrigées : .
En réalité, c'est déjà le cas. Dans une récente étude de Veracode intitulée « » (), 45 % des plus de 100 exemples de code générés par l'IA testés ont échoué aux tests de sécurité et présentaient des risques critiques pour la sécurité des applications web.
Ces inquiétudes n'empêchent pas les fournisseurs et les investisseurs de se lancer dans l'aventure du « vibe coding ». En effet, les start-ups spécialisées dans les outils de programmation par ambiance ont récemment attiré d'importants financements en capital-risque, notamment Anysphere, l'éditeur de Cursor, qui a levé 900 millions de dollars ; Replit, qui a obtenu 250 millions de dollars ; et Lovable, qui a levé 200 millions de dollars.
Bien qu'ils ne soient pas exclusivement axés sur la sécurité, bon nombre de ces outils intègrent des fonctionnalités telles que l'analyse de sécurité, qui examine le code à la recherche de failles exploitables, et la protection automatique des clés API, qui détecte et bloque les identifiants exposés avant qu'ils ne puissent être utilisés à mauvais escient. Cependant, elles ont tendance à se limiter à la détection des problèmes plutôt qu’à vérifier si les mesures de protection sous-jacentes fonctionnent réellement.
Les plus grands preneurs de risques chez Vibe Coding
L'essor de ces nouveaux outils détermine également qui prend les plus grands risques en matière de « vibe coding ». Pieter Danhieux, cofondateur et PDG de Secure Code Warrior, a déclaré que les start-ups avaient tendance à adopter cette approche de manière plus dynamique, tandis que les grandes entreprises s'en tiennent au codage assisté, le résultat final faisant toujours l'objet d'une vérification par un humain.
«Développer une application contenant des données sensibles sans disposer des compétences nécessaires pour la sécuriser, c’est courir à la catastrophe. »Pieter Danhieux, cofondateur et PDG de Secure Code Warrior
« Je pense que le “vibe coding” est largement répandu dans les petites start-ups où l’on trouve un fondateur brillant sur le plan technique qui souhaite aller vite, et où l’on commence en gros à développer des applications et à les déployer sans vraiment les examiner », a déclaré M. Danhieux.
Les grandes entreprises, a-t-il expliqué, se montrent plus prudentes. Leurs développeurs ont beau recourir à l'IA pour créer de petits morceaux de code réutilisables, ils vérifient tout de même les résultats avant le déploiement.
Bien qu'elles semblent plus sûres, M. Danhieux a averti que ces contrôles risquaient de ne procurer qu'un faux sentiment de sécurité.
Une étude de Secure Code Warrior intitulée « Research » a révélé que 86 % des développeurs ne font pas du codage sécurisé une priorité, et que plusieurs outils LLM populaires peinent à résoudre les défis liés au codage sécurisé, en particulier ceux relevant de catégories plus subjectives telles que l’authentification et les erreurs de configuration de sécurité, a déclaré M. Danhieux.
Les lacunes de Vibe Coding et les données sensibles
La langue et les types de vulnérabilité jouent un rôle déterminant, a fait remarquer M. Danhieux. Les modèles permettent généralement de détecter des erreurs simples, telles que des fautes d'orthographe dans le code ou des problèmes évidents qui suivent un schéma bien défini. Mais ils sont confrontés à des problèmes plus profonds liés à la conception même du système, notamment la question de savoir si une application vérifie correctement qui est autorisé à faire quoi. Cela crée un angle mort, car le code généré par l'IA peut paraître irréprochable à première vue, tout en recelant des failles qui exposent les utilisateurs à des risques.
«C'est là le danger. » Vous obtenez un code qui semble convaincant, qui fonctionne en production, mais qui n'a jamais fait l'objet d'une révision en bonne et due forme. Les bogues se cachent à la vue de tous. »Erlend Oftedal, directeur technique principal, RSA Conference (RSAC) Research
Cette même dynamique commence également à se manifester en dehors du développement d’applications, dans des schémas d’abus tels que « » ou « VibeScamming », où des outils d’IA en langage naturel sont délibérément utilisés pour générer et faire évoluer rapidement des pages de hameçonnage et des infrastructures frauduleuses qui semblent légitimes mais contournent les signaux de confiance traditionnels.
« Les développeurs chevronnés pourraient repérer ces vulnérabilités cachées, mais les novices n'auraient probablement ni l'expérience ni l'intuition nécessaires pour y parvenir », a déclaré M. Danhieux. Il cite un cas récent qui met en évidence ce risque. Au printemps dernier, une analyse complète réalisée par portant sur 1 645 projets créés sur la plateforme de programmation Lovable AI a mis en évidence 303 points d'accès vulnérables répartis sur 170 applications développées à l'aide de cet outil, soit environ 10 % des projets analysés.
« Développer une application contenant des données sensibles d’ sans disposer des compétences nécessaires pour la sécuriser, c’est courir à la catastrophe », a-t-il déclaré.
Les technologies actuellement disponibles ne font que compliquer les choses, car elles ne sont pas encore à la hauteur pour détecter les problèmes de sécurité, en particulier lorsque le code est généré en grande quantité. Les outils basés sur l'IA pourraient bientôt faciliter la détection, mais cela ne suffira toujours pas, a déclaré M. Oftedal, de la RSAC.
« La plupart des entreprises pensent que leur de gouvernance de l’ , qui repose sur l’open source, couvre l’IA, mais ce n’est pas le cas », a-t-il déclaré. « C’est là le danger. » Vous obtenez un code qui semble convaincant, qui fonctionne en production, mais qui n'a jamais fait l'objet d'une révision en bonne et due forme. « Les bogues se cachent à la vue de tous. »
M. Oftedal a souligné que les développeurs eux-mêmes peuvent apporter leur contribution en incitant l'IA à écrire du code plus sécurisé ou à s'inspirer des approches en matière de sécurité adoptées par d'autres développeurs reconnus. Ils peuvent également demander à l'IA d'utiliser certains outils pour vérifier leur travail avant de le transmettre, a-t-il déclaré.
État des lieux : les mesures que les PDG et les responsables de la sécurité doivent prendre dès maintenant
Pour des experts tels que Danhieux et Oftedal, la voie à suivre passe d’abord par l’ , qui garantissent la transparence et le contrôle.
«Une initiative fonctionnelle de « sécurité dès la conception »… constitue le remède contre une dette technique incontrôlable et des mesures de sécurité coûteuses mises en place à un stade avancé. »Danhieux
Tout comme les dirigeants d’entreprise doivent connaître la vaste gamme d’ d’ordinateurs, de tablettes et d’autres terminaux présents sur leur réseau informatique, avec des données en temps réel sur les systèmes d’exploitation et la gestion des correctifs , les responsables de la sécurité des systèmes d’information doivent savoir quels modèles de codage basés sur l’IA leurs développeurs utilisent et fixer des limites, ont-ils déclaré. Les modèles plus anciens et moins coûteux peuvent générer un code moins sécurisé, et en l’absence de contrôle — notamment d’une liste des composants logiciels (SBOM) , qui permet de répertorier les composants d’une application et ses dépendances tierces —, les organisations ignorent souvent ce qui s’exécute dans leurs environnements.
« Peut-être allons-nous vers une situation où des restrictions seront imposées aux développeurs, leur indiquant qu’ils peuvent utiliser Claude version 3 et les versions ultérieures, ainsi que ChatGPT-4 et les versions ultérieures, mais rien d’antérieur, car nous savons que le code généré par ces outils ne sera pas sécurisé », a déclaré M. Danhieux.
La formation des développeurs constitue l'autre volet de l'équation. Ils doivent apprendre l'ingénierie des prompts et comment orienter les modèles vers des résultats plus sûrs, tout comme les écrivains apprennent à tirer de l'IA une prose de meilleure qualité. En attendant que des outils à l'échelle de l'entreprise puissent garantir le respect des règles au sein de chaque environnement de développement intégré, la sensibilisation et la formation constituent des solutions provisoires.
Mais pour Danhieux, le principe directeur est celui de la « sécurité dès la conception », ce qui signifie intégrer la sécurité dans les logiciels dès leur conception.
« Une initiative fonctionnelle de « sécurité dès la conception », mise en œuvre par des développeurs maîtrisant les questions de sécurité, constitue le remède contre une dette technique hors de contrôle et des mesures de sécurité coûteuses mises en place à un stade avancé », a-t-il déclaré. « Les acteurs malveillants disposent déjà d’un avantage sur les équipes de sécurité des entreprises, mais le fait de donner la priorité à la sécurité dès les premières étapes du cycle de développement logiciel (SDL) peut contribuer à faire pencher la balance en notre faveur. »
Selon M. Danhieux, la préoccupation à plus long terme réside dans le fait que le « vibe coding » continuera à évincer la création de logiciels des processus de développement des entreprises pour la faire entrer dans les salons, ce qui entraînera une augmentation des vulnérabilités susceptibles d’élargir le champ des menaces . Les développeurs professionnels ne sont peut-être pas parfaits, mais ils respectent tout de même les contrôles requis. Les programmeurs débutants ne le font pas, et à mesure que leurs logiciels se répandent, la surface d'attaque s'étend et la confiance dans le système s'effrite.
M. Danhieux estime qu’il est essentiel de combler cette lacune avant que le problème ne prenne encore davantage d’ampleur. »« Si nous ne résolvons pas ce problème de sécurité, je pense que notre situation va empirer d’ici quelques années », a-t-il déclaré.
M. Oftedal a lui aussi souligné l'urgence de la situation.
« Les bugs sont déjà là », a-t-il déclaré. « Si vous ne vous attaquez pas à ce problème dès maintenant, vous avez déjà pris du retard. »
