Pourquoi le code produit avec l'IA est une surface d'attaque à part entière
Le vibe coding accélère la production. C'est documenté. Ce qu'on mesure moins bien, c'est ce que cette vitesse produit du point de vue sécurité.
Une étude portant sur plus de 100 LLMs en conditions réelles (Veracode, 2025) révèle que, lorsque les modèles ont le choix entre une méthode sécurisée et une méthode non sécurisée pour écrire du code, ils choisissent l'option la moins sécurisée dans 45 % des cas. Pas par malveillance. Par optimisation de la réponse la plus probable, qui est souvent la plus courante, pas la plus robuste.
Pour aller plus loin sur les workflows de développement assisté par IA qui encadrent ce risque, la page Vibe Coding détaille les niveaux d'adoption et les pratiques de review recommandées selon le profil de l'équipe.
Vulnérabilités fréquentes dans le code IA
68 à 73 % des extraits de code générés automatiquement contiennent des failles : injections SQL mal filtrées, secrets d'identification exposés dans le code source, gestion des permissions trop permissive, dépendances tierces non vérifiées. Ces patterns reviennent dans tous les benchmarks publics.
Faille critique sur Claude Code
Vulnérabilité documentée permettant d'exfiltrer des données depuis l'ordinateur du développeur via des requêtes DNS. Patchée, mais révélatrice du fait que la surface d'attaque dépasse le code produit pour inclure les outils eux-mêmes.
EscapeRoute · serveur MCP Anthropic
Faille permettant la lecture et l'écriture de fichiers arbitraires sur le disque du développeur. Cas typique des risques générés par les chaînes d'outils IA complexes, où chaque connecteur ajoute une surface exploitable.
Les menaces offensives documentées en 2026
L'IA générative ne pose pas seulement un problème du côté de ce qu'on produit. Elle transforme aussi ce à quoi on fait face.
Phishing hyper-personnalisé
50 % des DSI et RSSI placent le phishing IA en tête de leurs menaces les plus redoutées (rapport Darktrace, 2026). Un phishing assisté par IA est 4,5 fois plus efficace qu'un phishing classique. Les LLMs analysent les données publiques d'une cible (LinkedIn, presse, site web) et génèrent des emails parfaitement rédigés, avec le bon niveau de vocabulaire et les bonnes références internes. Pour une ETI dont les équipes communiquent publiquement sur leurs projets IA, l'exposition est directe.
Deepfakes vocaux et fraude au président
En 2025, plusieurs PME françaises ont été victimes d'arnaques par deepfake vocal : un appel imitant précisément la voix du dirigeant pour ordonner un virement d'urgence. Les montants perdus variaient de 50 000 à 500 000 euros. La qualité des synthèses vocales atteinte en 2026 rend cette menace accessible à des groupes sans ressources techniques importantes.
Scan automatisé de vulnérabilités
En juin 2025, le système XBOW a soumis des centaines de vulnérabilités, dont certaines critiques, sur plusieurs programmes de bug bounty, en mode totalement automatisé. Ce qui prenait des semaines à un chercheur humain prend maintenant quelques heures à un agent IA. Les attaquants bénéficient du même levier.
Ce que l'IA permet du côté défense
73 % des DSI et RSSI affirment que l'IA améliore significativement leur rapidité et leur efficacité opérationnelle en cybersécurité (rapport Darktrace, 2026). 77 % des organisations ont intégré l'IA générative dans leur dispositif de cyberdéfense.
Ce n'est pas symétrique avec l'offensive, mais c'est réel.
Signaux faibles en temps réel
Les SIEM augmentés par IA corrèlent des événements hétérogènes : comportements réseau anormaux, accès inhabituels, patterns d'exfiltration lents. Ils génèrent des alertes contextualisées que les équipes humaines auraient mis des heures à produire. La vitesse de détection est le principal levier que l'IA apporte aux défenseurs.
Analyse automatisée du code généré
Des outils comme Snyk, Semgrep ou Veracode intègrent désormais des analyses IA capables de détecter les vulnérabilités dans le code généré avant mise en production. C'est la réponse directe au problème des 45 % : instrumenter le pipeline pour que le code IA soit audité par un autre système IA avant d'atteindre la production.
Incidents et opérations SOC accélérés
67 % des organisations ont déployé une IA agentique pour des opérations de sécurité autonomes ou semi-autonomes. Quarantaine automatique d'endpoints compromis, corrélation d'indicateurs de compromission, génération de rapports d'incident : ces tâches passent en mode semi-automatique dans les équipes qui ont instrumenté leur SOC.
Comment sécuriser un projet vibe coding : méthode opérationnelle
L'ANSSI a publié en février 2026 une documentation de référence sur la sécurisation des IA génératives en entreprise. Appliqués au contexte vibe coding, les principes se déclinent en quatre pratiques non négociables.
Review systématique avant tout déploiement
Aucun code généré par IA ne va en production sans review humaine. C'est la règle de base, et elle ne souffre pas d'exception pour du code exposé à des utilisateurs ou à des données sensibles. Le gain de temps du vibe coding ne compense pas le coût d'une fuite de données ou d'une compromission.
Audit automatisé dans le pipeline CI/CD
Intégrer un outil d'analyse statique (Semgrep, Snyk, Sonar) dans la chaîne d'intégration continue. Chaque commit de code généré par IA déclenche une analyse automatique. Les vulnérabilités critiques bloquent le déploiement. Les équipes non-techniques qui utilisent Lovable ou Bolt.new doivent exiger ce filet de sécurité auprès de leur intégrateur.
Contrôle des dépendances tierces
Le vibe coding tend à intégrer des librairies tierces sans vérification de leur origine, de leur maintenance ou de leur réputation de sécurité. Chaque dépendance ajoutée par l'IA doit être vérifiée manuellement ou via un outil de contrôle (Dependabot, Renovate).
Principe du moindre privilège
Le code généré accorde souvent des permissions trop larges par défaut : accès en écriture là où une lecture suffit, rôles admin par commodité. Revoir systématiquement les permissions des services, des APIs et des bases de données avant le passage en production.
Erreurs qui créent les incidents les plus fréquents
Croire que le code fonctionne = le code est sécurisé
C'est l'erreur la plus courante chez les vibe coders non-techniques. Un code peut renvoyer les bons résultats et contenir une injection SQL exploitable en parallèle. Les tests fonctionnels ne remplacent pas les tests de sécurité.
Committer des secrets dans le code source
Les LLMs ont tendance à placer les clés API, identifiants de base de données et tokens dans le code directement. C'est pratique pour le développement. C'est catastrophique si ce code est poussé sur un dépôt GitHub public ou partagé. Un scanner de secrets (GitGuardian, TruffleHog) doit faire partie du workflow de base.
Négliger la mise à jour des dépendances
Les librairies utilisées dans un MVP vibe coding sont souvent verrouillées à la version du moment de la génération. Six mois plus tard, certaines contiennent des CVE critiques. Un processus de mise à jour régulière est la seule protection.
Former uniquement les développeurs
Les profils non-techniques qui font du vibe coding (marketeurs, PM, founders) sont les moins équipés pour évaluer la sécurité du code qu'ils produisent. L'ANSSI recommande de ne pas limiter la sensibilisation aux équipes IT.