Ton appli vibe-codée cache des failles de sécurité
Pourquoi ça compte pour toi
Si tu utilises l'IA pour coder rapidement (vibe-coding), tu dois savoir que les modèles génèrent souvent du code fonctionnellement correct mais criblé de failles. Une vulnérabilité SQL inaperçue pendant des mois peut donner accès à tes données à des attaquants. C'est ton appli, ta responsabilité.
Ce qu'il faut retenir
- 1.Bob Starr a mis son site en ligne sans vérifier le code : une injection SQL dormante l'attendait des mois plus tard
- 2.L'IA génère du code qui fonctionne, mais ne respecte pas les bonnes pratiques de sécurité par défaut
- 3.Faire coder par l'IA ne remplace pas une revue de code et des audits de sécurité de base
Tu galères avec le jargon ?
Lis la version réécrite en mode débutant — toutes les idées, sans le jargon.
Vibe-coding : la fausse liberté
Imagine : tu as une idée, tu discutes avec Claude ou ChatGPT, en 30 minutes tu as une appli fonctionnelle. Elle marche, elle fait ce qu'on lui demande. Tu la mets en ligne, fier de toi. Problème : personne n'a vérifié les fondamentaux.
C'est exactement ce qui s'est passé avec Bob Starr. Son site « Boomberg » (qui affiche où va l'argent des impôts en tech) a tourné des mois avec une brèche SQL par injection. Un attaquant aurait pu lire ou modifier les données en toute tranquillité. Starr l'a découvert par hasard bien après la mise en ligne.
Pourquoi l'IA te laisse tomber ici
Les modèles IA sont entraînés sur du code public. Beaucoup de code public est écrit vite, mal sécurisé. Résultat : l'IA reproduit les mauvaises habitudes. Elle te génère du code qui compile, qui s'exécute, qui paraît logique. Mais elle n'applique pas les règles de sécurité par défaut.
C'est comme si quelqu'un te construisait une maison en 48h : les murs tiennent, la plomberie marche, mais les serrures sont du toc.
Ce qu'il faut faire
Si tu vibe-codes :
- ▸Fais relire le code par quelqu'un qui s'y connaît en sécurité (ou forme-toi toi-même aux bases)
- ▸Pour un site web : teste les injections SQL, XSS, CSRF
- ▸Demande explicitement à l'IA de respecter les bonnes pratiques (« génère ce code en suivant OWASP »)
- ▸Ne mets pas en production sans audit, même minimaliste
À retenir : l'IA c'est un accélérateur de développement, pas un substitut aux fondamentaux. La sécurité n'est pas automatique.
Et concrètement pour toi ?
Choisis ton profil — la lecture de l'article change selon qui tu es.
Pour toi, retiens que l'IA code ce qu'on lui demande, pas forcément ce qui est sûr. C'est comme un stagiaire qui obéit bien mais ignore les règles—il te faut quelqu'un qui comprend le risque pour superviser.
Source
Pour aller plus loin
Cet article t'a donné envie d'approfondir ? Deux formations Noésis t'attendent :
Explorer les thèmes de cet article :