Semaine Réalité : Le coding assisté par IA bute sur la sécurité

Fin avril 2026, la communauté du développement IA a pris un uppercut. On a créé des outils puissants. Mais la sécurité ? Pas encore au point. Cinq annonces et études ont révélé un écosystème coincé entre vitesse d’innovation et dettes de sécu.

Les chiffres qui font mal

Le stat choc : 20 % des apps réelles codées avec IA contiennent des failles graves. Pas de la théorie. Ça tourne en prod aujourd’hui, d’après Wiz Research à Google Cloud Next.

Détaillons : accès foireux, endpoints data exposés, creds qui fuitent dans le code généré. Des milliers d’apps héritent de ces bombes des IA copilot.

Pire : ce 20 % pourrait être rose. D’autres études voient plus bas.

Le benchmark qui cogne : 23,8 %

SecureVibeBench a lancé 105 défis coding tirés de vulns réelles OSS-Fuzz. Objectif : fixer le bug sans recréer la CVE historique.

Cinq IA ont joué : OpenHands, Claude Sonnet 4.5 et trois autres. Meilleur score : 23,8 % de solutions fonctionnelles ET sécurisées.

Soit 76,2 % d’échecs : code qui plante ou qui réinjecte la vuln, ou les deux.

Pas un piège. Tests fair-play avec fuzzing dynamique. Bugs vrais : overflows, buffers mal gérés, race conditions. Ceux qui finissent en CVE.

Pourquoi ce décalage ?

Les annonces de la semaine montrent un trend. Wiz intègre du scanning direct dans l’IDE. Red Gate liste cinq patterns foireux en code DB IA, avec le delete prod Replit en exemple. Lovable avoue 10 % de failles dans son propre code auto-généré.

Les boîtes qui codent à l’IA assument. Elles fixent des garde-fous.

Mais l’asymétrie tooling saute aux yeux. Les gros comme Wiz, Red Gate, Vercel ajoutent scans et policies. Et le solo dev sur Cursor pour un side project ? Le CEO non-tech qui bricole des tools internes ?

(D’ailleurs, The New Stack a profilé des C-level en "LLM-only dev". Un CEO a sorti un BBS vibe-codé : 23 Mo RAM, 500 users, zéro incident en un an. Vrai. Mais survivorship bias ou pas ?)

Le cadre de l’effondrement de confiance

Forrester, dans sa note, cadre le breach Vercel/Context.ai comme symptôme. Pas un accident isolé. Critique : options comme labelliser "sensitive" les env vars créent des failles systémiques.

Argument fort : la sécu périmètre SaaS ? Un leurre. Quand ta plateforme gère code IA, secrets, logs et deploy, la "trust boundary" s’évapore.

Impacts pour ton stack

Si tu codes avec IA, change de mindset dès maintenant :

1. Considère tout code IA buggy. Teste comme du code junior. SAST, analyse dynamique, fuzzing obligatoire.

2. Liste tes tools IA. L’AI-BOM de Wiz ? Hygiène basique. Track models, frameworks, extensions IDE. Claude, Copilot, Cursor, Gemini : profils sécu différents.

3. Refuse les defaults mous. Labelliser manuellement les vars sensibles ? Red flag. Sécu implicite, pas opt-in. Scans auto sur code IA aussi.

4. Prépare le 76 %. 23,8 % de succès ? Assume que l’IA loupe la sécu. Associe review, static analysis, hardening runtime. Pas d’IA solo.

5. Priorise les zones hot. DB code, auth, API layers : blast radius max. Verrouille d’abord.

Le bilan constructif

Pas anti-IA. Des CEO comme Moshe Bar ou OutSystems prouvent : on accélère sans sacrifier la qualité. À condition de designer pour ça.

Ça veut dire :

• Scanner sécu intégré à l’IDE pré-commit
• Remediation via extensions IDE
• Inventaire live des models IA
• Tests code IA comme deps externes
• Pression vendors : sécu par défaut

Red Agent de Wiz, patterns Red Gate, benchmark SecureVibeBench ? Pas fin du monde. Infra qu’on devait bâtir. Sauf qu’on la pose après l’IA chez des millions de devs.

Pattern de la semaine : prise de conscience tardive, remédiation rapide. Reste à voir combien d’apps traînent leurs 20 % de vulns en prod.

Le décryptage

Wiz à Google Cloud Next : Trio Red Agent (tests offensifs), AI-BOM (inventaire models), scanning inline sur code Lovable. Remediation native dans Claude Code/Cursor. 20 % apps IA avec failles graves.

SecureVibeBench : 105 défis C/C++ de 41 projets OSS-Fuzz. Code fonctionnel ET sécurisé ? Top : 23,8 %. Reste : KO func ou vulns réinjectées.

Analyse DB Red Gate : Cinq patterns critiques code DB IA. Replit delete prod + 10 % failles Lovable.

CEO vibe-coding : Codenotary CEO sort BBS LLM-only, 500 users, 23 Mo, zéro fail. OutSystems CEO A/B vs Claude.

Forrester trust collapse : Breach Vercel/Context.ai tue le mirage SaaS périmètre. Platforms qui mixent gen code/secrets/logs cassent shared responsibility.

Cette semaine confirme : coding IA est là, productif. On apprend à le sécuriser. Parfois à la dure.