Lumières sur la sécurité

mardi 22 septembre 2026

Ces dernières années, les réseaux neuronaux alimentés par de grands modèles de langage sont rapidement passés du statut de simple assistant conversationnel à celui de véritables outils de travail, activement utilisé dans de nombreux domaines.

Le développement fulgurant de l'intelligence artificielle générative fait l'objet de vifs débats, et ses effets sont déjà visibles partout : de la création de contenus publicitaires à la transformation de nombreux processus professionnels. En tant que technologie issue de l'industrie numérique, l’IA a naturellement eu un impact particulièrement rapide sur le secteur informatique, notamment sur le développement logiciel.

Dans le milieu professionnel, le cycle de développement logiciel est encadré par des normes strictes : revues de code obligatoires, tests en plusieurs étapes et audits du code source. Dans ce contexte, les réseaux neuronaux sont devenus un excellent outil pour automatiser certaines tâches routinières. Ils peuvent, par exemple, générer du code standard ou contribuer à la création de tests automatisés.

Cependant, en dehors des grandes entreprises et des passionnés de longue date, le développement rapide de l’IA a donné naissance à un phénomène tout à fait différent : le « vibe coding ». Ce terme désigne une approche du développement logiciel permettant à une personne, souvent peu compétent dans la programmation classique, de créer un logiciel entièrement fonctionnel sans jamais écrire une seule ligne de code. Il suffit de formuler les tâches pour l'assistant IA en langage clair.

L’euphorie suscitée par cette « démocratisation » du développement a dépassé les expériences domestiques et a créé un marché pour un développement rapide. Il est devenu plus facile que jamais de transformer une idée en un produit fonctionnel, chacun a donc la possibilité d'assembler de manière indépendante des services Web, des applications mobiles ou des chatbots fonctionnels en quelques heures seulement. Parallèlement, le secteur de la sécurité informatique a été confronté à une augmentation exponentielle des vulnérabilités des logiciels générés. L'un des problèmes réside dans le fait que les assistants IA se concentrent exclusivement sur les fonctionnalités immédiates : ils génèrent du code censé simplement répondre aux souhaits de l'utilisateur. Avec cette approche, la sécurité, la stabilité et l'efficacité algorithmique globale sont négligées, et l'auteur du projet est tout simplement incapable d'évaluer les défauts architecturaux cachés.

Dans cet article du projet « Lumières sur la sécurité », nous allons explorer comment la prolifération des langages de programmation basés sur l'IA impacte la sécurité de l'écosystème numérique et les risques que représentent les vulnérabilités de ces logiciels pour les utilisateurs finaux.

Opérateur de boîte noire

Pour comprendre pourquoi les solutions créées à l'aide du vibe coding présentent des risques fondamentaux, il est nécessaire d'en examiner la cause profonde. Cette vulnérabilité découle de deux failles majeures : l'une liée à l'humain, l'autre au réseau neuronal.

Le premier facteur est l'incompétence totale du concepteur du programme face à son propre code. Le programmeur qui fait du vibe coding travaille dans une ignorance complète du programme, comme s'il s'agissait d'une boîte noire. Cette approche diffère fondamentalement du travail d'un programmeur professionnel, même lorsqu'il utilise des API et des bibliothèques propriétaires. Toute interface tierce possède une documentation rigoureuse, des types de données fixes et des spécifications claires, mais surtout, le développeur bénéficie de solides compétences en ingénierie et d'une compréhension des relations de cause à effet.

En revanche, le programme créé par l'IA ne présente pas de telles limites. L'auteur ne perçoit que l'interface utilisateur (une interface fonctionnelle, des boutons, des formulaires) et ignore tout de la logique de traitement des données sous-jacente. Sans connaître le fonctionnement interne, le programmeur n'est pas en mesure de simuler une menace et de tester la réaction de l'application face à des actions inhabituelles ou malveillantes de la part d'attaquants. Il ne peux pas se poser la question : « Que se passe-t-il si un attaquant transmet un nombre négatif ou une chaîne de caractères au lieu du JSON attendu ?» Le programme fonctionne normalement, mais reste totalement vulnérable aux actions non conventionnelles des attaquants.

Le second facteur réside dans la nature même de l'intelligence artificielle. Il est important de se rappeler qu'un réseau neuronal n'est pas un programmeur et ne possède pas de raisonnement d'ingénieur ; c'est un compilateur probabiliste doté d'une base de connaissances colossale, dont la logique repose sur des échelles mathématiques. L'IA ne crée pas de code à partir de zéro sur la base de considérations de sécurité et d'optimisation, mais génère plutôt la séquence de caractères la plus probable en fonction des téraoctets de données sur lesquels elle a été formée. En réalité, peu importe pour un réseau neuronal qu’il s’agisse d’écrire du code critique, un article de blog ou la recette d’un plat inexistant.

Plus les données d’entraînement sont nombreuses et diversifiées, plus la probabilité d’obtenir un résultat erroné et dangereux est élevée. Le réseau neuronal fait la moyenne des expériences de millions de dépôts ouverts sur Internet, où se sont accumulés au fil des ans des méthodes obsolètes, des erreurs graves et du code hérité. En conséquence, l'IA produit une solution typique qui répond aux besoins de l'utilisateur, mais qui recèle des vulnérabilités datant d'il y a vingt ans.

Héritage numérique du passé : d'où l'IA tire-t-elle ses mauvaises habitudes ?

Il existe une dangereuse illusion : celle de croire que les réseaux neuronaux des géants de la tech sont entraînés exclusivement sur du code de référence stérile. En réalité, les bases de données utilisées pour entraîner les modèles de langage (LLM) représentent un amas colossal de données héritées de l'ensemble du secteur informatique au cours des dernières décennies.

Un lecteur attentif pourrait se demander : les développeurs d'IA ne pourraient-ils pas simplement purger ces données des éléments inutiles et du code obsolète ? En pratique, un tel nettoyage exhaustif est impossible à l'échelle de ces systèmes. Pour qu'un modèle de langage de grande taille comprenne la syntaxe et la sémantique des programmes, traduise du Python en C++ et conserve le contexte, il lui faut des milliards de jetons de données. Si l'IA est entraînée uniquement sur du code « parfait » (par exemple, le noyau Linux, des bases de données d'entreprise anonymisées ou des bibliothèques de référence), la taille de l'ensemble d'entraînement serait considérablement réduite. Le modèle n'accumulerait tout simplement pas suffisamment de données pour acquérir la flexibilité nécessaire à une utilisation universelle. Il risquerait de devenir un ouvrage de référence rigide, capable de générer seulement un nombre restreint de modèles, et perdrait sa capacité à résoudre de manière créative les problèmes non standard des utilisateurs.

Par ailleurs, le « code poubelle » peut également constituer un précieux manuel. Pour un réseau neuronal, un code erroné ou défectueux n'est pas une erreur à supprimer de la base de données, mais un élément de contexte crucial. Pour qu'un réseau neuronal soit flexible, comprenne le contexte et, surtout, puisse jouer le rôle de correcteur – en identifiant et corrigeant les erreurs d'autrui – il doit savoir à quoi ressemblent ces erreurs. Le modèle doit traiter des millions d'exemples de code divers, de configurations non sécurisées et d'approches obsolètes provenant de forums techniques pour apprendre à les reconnaître.

Cependant, cette architecture présente un inconvénient. Même après un filtrage rigoureux, appliqué bien entendu par les développeurs, l'IA demeure un compilateur probabiliste, et non un générateur de logique parfaite. Un réseau neuronal est dépourvu de pensée d'ingénierie et ne comprend pas la sécurité au niveau conceptuel ; il se contente de rechercher des schémas statistiques et de calculer des chaînes de mots en fonction de leurs pondérations mathématiques. Lorsqu'un développeur pratiquant le vibe coding formule une tâche superficielle (par exemple, « créer rapidement une fonction pour envoyer des données au serveur »), l'IA peut privilégier une solution simple et courante issue de ses données d’entraînement, où les contrôles de sécurité sont souvent désactivés au profit de la simplicité et des performances immédiates du code.

De ce fait, des erreurs système vieilles de vingt ans ou des solutions manifestement défaillantes sont massivement reproduites dans des applications créées par des réseaux neuronaux, simplement parce que, à la demande de l'utilisateur, l'algorithme a assemblé un résultat probable à partir des schémas présents dans ses données d’entraînement. Examinons certaines de ces erreurs :

• Identifiants codés en dur : L'IA peut intégrer directement des mots de passe de test, des clés de chiffrement secrètes ou des jetons d'API dans le code du programme. Le développeur pratiquant le vibe coding copie ce morceau de code dans l'environnement de production, sans se soucier du fait que tout attaquant qui accède aux fichiers de l'application compromettra instantanément l'infrastructure associée.
• Cryptographie obsolète et algorithmes faibles : Les réseaux neuronaux suggèrent régulièrement l'utilisation de normes de hachage obsolètes (telles que MD5 ou SHA-1) pour protéger les données. De plus, l'IA génère souvent ce code sous une forme très simplifiée, sans utiliser de « sel » cryptographique (données aléatoires ajoutées au mot de passe avant le hachage). En conséquence, la sécurité s'est affaiblie : les hachages de mots de passe simples et courants sont récupérés par des attaquants à l'aide de bases de données existantes, et les algorithmes eux-mêmes sont vulnérables aux attaques par recherche de collisions.
• Des simplifications importantes au nom de la fonctionnalité : Pour garantir le bon fonctionnement du code dès la première exécution et éviter de submerger l'utilisateur d'erreurs, l'IA peut désactiver certaines fonctions, comme la vérification du certificat SSL lors des communications réseau. L'auteur du projet ne verra jamais ces vulnérabilités, mais pour un pirate informatique, cela augmente considérablement la surface d'attaque.

Ainsi, un programme compilé par un compilateur probabiliste, bien que fonctionnel, présente souvent une implémentation interne extrêmement faible, ce qui en fait une cible facile.

Code Avalanche : Pourquoi la redondance nuit à l’audit

Un autre problème fondamental du codage par vibe coding est qu'il déforme considérablement l'échelle du développement. Les programmeurs de la vieille école et les ingénieurs professionnels se souviennent bien de l'époque où chaque octet de mémoire valait son pesant d'or, et où les programmes spatiaux les plus complexes ou les applications emblématiques étaient condensés en quelques kilo-octets de code. Cela exigeait une discipline rigoureuse, une compréhension approfondie de l'architecture et une optimisation réfléchie de chaque décision.

À l'ère de la programmation de l'IA, le concept de compacité algorithmique a complètement disparu. Les réseaux neuronaux génèrent des milliers de lignes de code en quelques secondes, permettant à une seule personne de créer en une journée la quantité de logiciel qui nécessitait auparavant un mois de travail pour toute une équipe. À partir d'une requête textuelle, l'IA construit instantanément des structures de programmation complexes et redondantes. De ce fait, un projet modeste peut prendre des proportions colossales en quelques jours seulement : c’est ce qu’on appelle une « avalanche de code ».

Du point de vue de la sécurité informatique, cette redondance représente une vulnérabilité majeure, car le code source devient totalement opaque. Alors que dans un de nos articles précédents nous avons expliqué en détail l'importance de la vérification du code source pour la sécurité des produits, le vibe coding élimine complètement cette barrière de protection. Même un véritable développeur est physiquement incapable de lire et de comprendre l'immense quantité de texte que le réseau neuronal a produit pour lui en une demi-heure. Des erreurs logiques, des défauts d'implémentation cachés et des fonctions utilitaires surgissent inévitablement de ces interminables amas de code. En fin de compte, le projet perd non seulement le programmeur, mais aussi les tests et les audits, et par conséquent la sécurité.

Un tremplin idéal pour une attaque de la chaîne d'approvisionnement (Supply Chain Attack)

L'attaque de la chaîne d'approvisionnement a toujours été considérée comme l'un des incidents de cybersécurité les plus dangereux. Le danger de cette méthode réside dans le fait que l'attaquant ne pirate pas le produit fini, mais infiltre plutôt son processus de production et le système de distribution automatisée des mises à jour. De ce fait, les projets créés en utilisant du vibe coding constituent une cible idéale.

En réalité, le vibe coding repose entièrement sur les technologies cloud : Les plateformes d’IA enregistrent automatiquement le code dans des référentiels en ligne et permettent de déployer des sites web ou des chatbots finalisés sur des serveurs de production distants en un seul clic. Le développement et l'amélioration constants des programmes s'effectuent également via le cloud. C'est là qu'une faille s'ouvre pour les attaquants. Si un pirate informatique vole à un développeur pratiquant le vibe conding le mot de passe de son compte de développement cloud, il peut facilement accéder au projet et y installer une porte dérobée malveillante. Il suffit à un attaquant de générer du code destructeur à l'aide de la même IA, afin qu'il imite parfaitement un projet spécifique. Le programmeur, agissant comme un maillon invisible de la chaîne, ne détectera jamais les chaînes de caractères étrangères dans le flux de code. Lors de la prochaine mise à jour automatique du programme via le cloud, une porte dérobée s'infiltrera dans l'environnement de production, et le créateur du projet ne se rendra même pas compte à quel moment son site web ou son programme est devenu une arme entre les mains de pirates.

Cependant, il existe une autre méthode d'attaque de la chaîne d'approvisionnement, bien plus sophistiquée et propre à l'ère moderne : l'empoisonnement par le biais des « hallucinations » des modèles d'IA. Les réseaux neuronaux assemblent souvent des programmes comme un jeu de construction, à partir de milliers de modules préexistants créés par d'autres. Dans le même temps, l'IA a tendance à inventer des noms de bibliothèques inexistantes et à conseiller à l'utilisateur de les installer pour résoudre un problème. Les attaquants utilisent des scripts spécifiques qui interrogent continuellement l'IA et constituent une base de données de ces noms fictifs. Les attaquants enregistrent ensuite des paquets malveillants dans des dépôts publics officiels sous ces noms. Le développeur qui fait du vibe coding, suivant aveuglément les instructions du chat du réseau neuronal, copie la commande d'installation, et le pipeline de développement cloud télécharge automatiquement le module infecté directement dans le projet. Ainsi, une confiance aveugle dans les algorithmes et un manque d'expertise créent un terrain propice aux attaques malveillantes.

Pourquoi le « vibe coding » a sa place ?

Les menaces décrites semblent répandues, mais il n'y a pas lieu de surestimer les vulnérabilités du « vibe coding » ni de céder à la panique. Dans le secteur réel de la cybersécurité, les attaques contre le code sont bien étudiées, et les approches modernes de protection évoluent constamment pour y faire face, malgré l'apparition continue de tels programmes « artificiels ».

Tout d'abord, il convient de rassurer le lecteur : les logiciels commerciaux sérieux et de grande envergure ne reposent généralement sur une approche de programmation entièrement fondée sur le « vibe coding ». Le développement professionnel est régi par des normes architecturales strictes ; de ce fait, les applications développées en interne n’ont aucune chance d’être déployées sur les infrastructures des grandes entreprises ou sur leurs serveurs critiques.

La communauté informatique professionnelle excelle dans la délimitation claire des environnements de confiance et la neutralisation rapide des menaces potentielles.

Deuxièmement, l'invisibilité passive des logiciels vulnérables conçus par l'IA prend fin dès que l'analyse des anomalies et la surveillance comportementale commencent. Et c'est là qu'intervient la principale ligne de défense de l'utilisateur final : le logiciel antivirus complet. Peu importe qui a écrit le programme : un ingénieur certifié ou un réseau neuronal basé sur une requête textuelle. Les logiciels antivirus évaluent non pas la beauté du code, mais ses actions réelles au sein du système. Dès qu'un programme lancé par l'utilisateur présente une activité suspecte (par exemple, en accédant à des dossiers système ou en téléchargeant secrètement des modules tiers depuis le réseau), les algorithmes de sécurité bloquent immédiatement la menace grâce à une analyse heuristique.

Cependant, la principale défense contre les risques liés au « vibe coding » ne réside pas dans les filtres logiciels, mais dans une évolution des mentalités vis-à-vis de cette technologie. L’intelligence artificielle et les grands modèles linguistiques constituent des plateformes idéales et sans précédent pour l’apprentissage et le développement professionnel à condition d’être utilisés de manière réfléchie. L’apprentissage et la création ne sont fondamentalement pas équivalents à la production de produits semi-finis bruts pour gagner de l’argent rapidement. La fascination généralisée pour la reproduction aveugle des réponses de l'IA a engendré un phénomène préoccupant : la dévalorisation du travail d'ingénierie, où l'auteur du projet produit des résultats numériques médiocres sans même chercher à comprendre leur fonctionnement.

À l’inverse, une interaction consciente avec un modèle d'IA peut transformer radicalement les résultats. Lorsqu'une personne possède les compétences de base et communique avec le réseau neuronal dans un langage professionnel courant — en définissant clairement les limites architecturales, en exigeant le respect des normes de sécurité, en demandant la justification du choix des algorithmes et en décomposant les tâches, elle augmente considérablement les chances d’obtenir un code de meilleure qualité.

Un réseau neuronal est comme un miroir : une approche superficielle peut engendrer un chaos incontrôlé, tandis qu’une ingénierie rigoureuse transforme l’algorithme en un outil puissant et sécurisé.

La sécurité informatique à l’ère de l’intelligence artificielle repose sur une règle simple : si l’on ne peut pas contrôler entièrement la création d’un programme, on doit être capable de contrôler son exécution. Dans cette perspective, le maintien d'une bonne hygiène numérique et d'une protection antivirus complète demeure l'outil le plus fiable pour reprendre le contrôle de son environnement numérique.