Développer des logiciels avec l’IA : 7 risques de sécurité

Avec développer des logiciels avec l’IA est rapide et productif – mais les assistants IA n’écrivent pas automatiquement du code sécurisé. Dans le benchmark de Veracode (2026), le code généré par l’IA n’a réussi les tests de sécurité qu’environ dans 56 % des cas en moyenne. Les principaux risques : code non vérifié, paquets logiciels inventés, identifiants dans le code, absence de contrôle des droits, entrées non filtrées, données confidentielles dans les assistants cloud et agents IA disposant de trop de droits.

Cela ne concerne depuis longtemps plus seulement les éditeurs de logiciels. Aujourd’hui, des services métiers, des fondateurs et des agences créent eux aussi leurs propres outils, portails clients ou automatisations avec l’IA – souvent sans développeuse ou développeur capable de comprendre le code. C’est précisément là que naissent les failles.

1. Du code que personne n’a vérifié

L’IA fournit du code qui fonctionne, et cela paraît convaincant. Son niveau de sécurité n’apparaît pas au premier coup d’œil. Veracode a constaté en 2025 que, dans 45 % des tâches de test, les modèles choisissaient la variante non sécurisée plutôt que la variante sécurisée ; ils étaient particulièrement faibles sur le Cross-Site-Scripting et l’injection de logs. L’autorité française ANSSI et le BSI recommandent donc explicitement de faire vérifier le code généré par l’IA par des humains.

2. Paquets logiciels inventés

Les modèles d’IA suggèrent parfois des bibliothèques qui n’existent pas du tout. Dans une étude présentée à la conférence USENIX Security 2025, environ 19,7 % des exemples de code générés contenaient au moins un nom de paquet inventé. Des attaquants enregistrent de tels noms et les remplissent de code malveillant (« slopsquatting »). Quiconque installe la suggestion sans la vérifier introduit lui-même le logiciel malveillant dans son système.

3. Identifiants dans le code

Les clés API, mots de passe de bases de données ou jetons se retrouvent rapidement directement dans le code — et avec lui dans le dépôt ou même dans le navigateur des utilisateurs. Les identifiants doivent être stockés dans une configuration sécurisée, jamais dans le code source.

4. Absence de vérification des droits

Un schéma typique : l’interface masque certaines fonctions aux utilisateurs ordinaires, mais l’interface technique en arrière-plan ne vérifie pas qui fait la demande. Quiconque connaît l’adresse peut récupérer les données d’autres clients. L’IA n’intègre de telles vérifications que si on les exige explicitement.

5. Entrées non filtrées

Les saisies de formulaires, les téléchargements de fichiers et les paramètres d’URL doivent être vérifiés et traités de manière sécurisée. À défaut, les classiques comme l’injection SQL ou le cross-site scripting menacent – précisément les erreurs pour lesquelles le code généré par l’IA a particulièrement souvent échoué lors du test Veracode.

6. Données confidentielles dans l’assistant cloud

Quiconque copie des données clients, des secrets d’affaires ou des identifiants dans un assistant cloud les transmet à un tiers. L’ANSSI et le BSI recommandent de ne pas confier de données sensibles à des assistants de programmation basés sur le cloud et de réaliser une analyse des risques avant leur utilisation. Ce qui est autorisé dans le contexte de l’entreprise est idéalement défini par une politique d’IA.

7. Agents IA avec trop de droits

Les agents de programmation peuvent exécuter des commandes, modifier des fichiers et installer des logiciels. Avec des droits trop étendus – par exemple l’accès à des données de production ou à des serveurs – une erreur ou une instruction manipulée peut causer de gros dégâts. Plus à ce sujet dans Prompt Injection.

Voici comment développer plus sûrement avec l’IA

Risque	Contre-mesure
Code non vérifié	Revue humaine avant chaque mise en production
Paquets inventés	Vérifier chaque nouvelle dépendance : existe-t-elle, qui la maintient ?
Identifiants dans le code	Gestion des secrets, vérification automatique dans le dépôt
Absence de vérification des droits	Vérifier les droits côté serveur, tests avec des comptes tiers
Entrées non filtrées	Mentionner les exigences de sécurité dans le prompt, analyse statique
Données sensibles dans le cloud	Directive, outils approuvés, le cas échéant modèles locaux
Agents avec trop de droits	Droits minimaux, aucune donnée de production, validations pour les commandes

Vous développez des logiciels avec l’aide de l’IA – seul, avec votre équipe ou avec un prestataire ? Nous vérifions cela. Un examen humain du code, des dépendances, des droits d’accès et de la configuration, avant que votre application ne soit mise en ligne ou ne traite des données clients. Contactez-nous.

Questions fréquemment posées

Le code généré par l’IA est-il peu sûr ?

Pas fondamentalement, mais souvent. Dans les benchmarks de Veracode, le code IA n’a réussi les tests de sécurité qu’en moyenne dans environ 56 % des cas. L’important est de savoir si le code est vérifié avant sa mise en production.

Qu’est-ce que le slopsquatting ?

Les attaquants enregistrent des paquets logiciels sous des noms que les modèles d’IA inventent souvent, puis les remplissent de code malveillant. Quiconque installe une telle suggestion sans vérification introduit le logiciel malveillant dans le projet.

Puis-je saisir des données d’entreprise dans un assistant de programmation IA ?

Les données confidentielles, les données clients et les identifiants d’accès ne devraient pas se retrouver dans des assistants cloud. L’ANSSI et le BSI recommandent une analyse des risques avant toute utilisation. Une politique IA définit des règles claires.

État : octobre 2026. Sources : Veracode GenAI Code Security Report 2025 et 2026, Spracklen et al. (USENIX Security 2025), ANSSI/BSI : AI Coding Assistants.