Discussion :

[Anthony]

85 % des développeurs s'inquiètent des risques de sécurité liés au fait de s'appuyer sur la GenAI pour développer des logiciels, et sur la perte de pensée critique due à l'utilisation d'assistants de codage IA

La plupart des développeurs (85 %) et des équipes de sécurité (75 %) ont des inquiétudes en matière de sécurité quant au fait de s'appuyer sur l'IA générative (GenAI) pour développer des logiciels, révèle un rapport de Legit Security.

Ces inquiétudes sont soulignées par une étude de 2023 portant sur les capacités de génération de code informatique de ChatGPT, le chatbot d'IA générative d'OpenAI. Le rapport de l'étude a en effet révélé que ChatGPT génère non seulement du code informatique peu sûr, mais ne vous le dira pas à moins que vous ne le lui demandiez. Le chatbot ne fournirait donc des conseils utiles pour améliorer la qualité du code qu'après avoir été invité à remédier aux problèmes détectés par l'utilisateur. Les auteurs mettent ainsi en garde contre les risques d'une surconfiance en ChatGPT

Le récent rapport de Legit Security, basé sur une enquête menée auprès de plus de 400 professionnels de la sécurité et développeurs de logiciels en Amérique du Nord, révèle que 96 % des professionnels de la sécurité et du développement de logiciels déclarent que leurs entreprises utilisent des solutions basées sur l'IA générative pour créer ou fournir des applications.

Parmi ces répondants, 79 % indiquent que toutes ou la plupart de leurs équipes de développement utilisent régulièrement l'IA générative. Cependant, 84 % des professionnels de la sécurité sont préoccupés par l'utilisation des assistants de codage et citent les codes inconnus et/ou malveillants comme leur principale préoccupation. Tandis que 98 % estiment que les équipes de sécurité ont besoin de mieux maîtriser la façon dont les solutions basées sur la GenAI sont utilisées dans le développement. 94 % déclarent avoir besoin de moyens plus efficaces pour gérer l'utilisation de l'IA générative dans les efforts de recherche et de développement de leur entreprise.

« Alors que l'IA générative transforme le développement logiciel et s'intègre de plus en plus dans le cycle de vie du développement, il existe de réelles préoccupations en matière de sécurité parmi les développeurs et les équipes de sécurité », déclare Liav Caspi, cofondateur et directeur technique chez Legit. « Notre recherche a révélé que les équipes doivent trouver un équilibre entre les innovations de la GenAI et les risques qu'elle introduit en exposant leurs applications et leur chaîne d'approvisionnement logicielle à de nouvelles vulnérabilités. Bien que l'IA générative soit sans aucun doute l'avenir du développement logiciel, les organisations doivent être conscientes de ses nouveaux risques et s'assurer qu'elles disposent de la visibilité et du contrôle appropriés sur son utilisation. »

Les développeurs sont plus nombreux que les professionnels de la sécurité à s'inquiéter de la perte d'esprit critique due à l'utilisation de l'IA dans le développement de logiciels (8 % contre 3 %). 95 % des répondants prévoient que les développeurs de logiciels seront plus dépendants de l'IA générative au cours des cinq prochaines années, aucun ne prévoyant une diminution de la dépendance.

Outre ces précédentes inquiétudes liées l'utilisation de l'IA dans le développement de logiciels, des questions se posent également quant à l'efficacité réelle de la technologie. Les assistants d'IA de codage font-ils vraiment gagner du temps aux développeurs ? Une étude révèle que ces outils n'augmentent pas la vitesse de codage, mais augmentent significativement le taux de bogues. L'étude, réalisée par Uplevel, révèle notamment que l'utilisation de GitHub Copilot a entraîné une augmentation de 41 % des bogues, soulevant des inquiétudes quant à la qualité du code. En outre, malgré la diminution des heures de travail pour les groupes de contrôle et de test, ceux qui ont utilisé GitHub Copilot n'ont pas été soulagés de l'épuisement professionnel, ce qui indique l'efficacité limitée de l'outil dans la réduction du stress lié au travail. En somme, les développeurs passeraient donc plus de temps à examiner le code généré par l'IA, ce qui pourrait contrebalancer tout gain de temps.

Source : "Use and Security of GenAI in Software Development" (Etude de Legit Security)

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous les conclusions de cette étude de Legit Security crédibles ou pertinentes ?

Voir aussi :

Les défis croissants du code généré par l'IA : le code généré par l'IA pourrait augmenter la charge de travail des développeurs et accroître les risques, selon Harness

Les failles de sécurité dans les applications d'IA montent en flèche, le nombre de vulnérabilités Zero Day liées à l'IA a triplé depuis novembre 2023, selon les dernières conclusions de Protect AI

Copilot Autofix : la réponse de l'IA aux problèmes de vulnérabilité du code, le nouvel outil d'analyse de GitHub, piloté par l'IA, promet de révolutionner la détection et la correction des vulnérabilités

[Jade Emy]

La société spécialisé dans la sécurité des IA Snyk dévoile l'AI Security Fabric : un système adaptatif permettant le déploiement d’innovations IA en toute sécurité et offrant une protection continue

Snyk, société spécialisée dans la sécurité des IA, dévoile l'AI Security Fabric, une plateforme assurant une défense continue tout au long du cycle de vie du développement logiciel (SDLC). En unifiant la visibilité, la prévention et la gouvernance, l'AI Security Fabric permet aux entreprises de commercialiser des logiciels basés sur l'IA en toute sécurité et à la vitesse de l'IA. La plateforme de sécurité des IA, AI Security Fabric, sécurise le développement d’IA générative dès la création de code mais également les agents et logiciels natifs IA. Elle organise la structure en trois vecteurs unifiés : la base (DevSecOps accéléré par l'IA), l'accélérateur (développement basé sur l'IA) et la frontière (logiciels natifs IA).

En 2024, un rapport de Legit Security, basé sur une enquête menée auprès de plus de 400 professionnels de la sécurité et développeurs de logiciels en Amérique du Nord, révèle que 96 % des professionnels de la sécurité et du développement de logiciels déclarent que leurs entreprises utilisent des solutions basées sur l'IA générative pour créer ou fournir des applications. En outre, le rapport montre que 85 % des développeurs s'inquiètent des risques de sécurité liés au fait de s'appuyer sur la GenAI pour développer des logiciels et 94 % déclarent avoir besoin de moyens plus efficaces pour gérer l'utilisation de l'IA générative dans les efforts de recherche et de développement de leur entreprise.

Dans ce contexte, Snyk, société spécialisée dans la sécurité des IA, dévoile l'AI Security Fabric, une plateforme assurant une défense continue tout au long du cycle de vie du développement logiciel (SDLC). En unifiant la visibilité, la prévention et la gouvernance, l'AI Security Fabric permet aux entreprises de commercialiser des logiciels basés sur l'IA en toute sécurité et à la vitesse de l'IA.

Aujourd'hui, les développeurs et les concepteurs utilisent non seulement l'IA pour écrire du code et alimenter des applications, mais ils sont également confrontés à une augmentation rapide des cybermenaces liées à l'IA. Ce système aide les entreprises à réduire les risques cumulés sans ralentir l'innovation. L'augmentation de la dette de sécurité, les nouveaux vecteurs d'attaque et le manque de gouvernance dans le développement basé sur l'IA aggravent les risques sur une surface d'attaque en constante expansion. Alors que l'infrastructure IA devient la trame de l'informatique moderne, les entreprises ont besoin d'une trame de sécurité qui assure une protection continue, et non ponctuelle.

La plateforme de sécurité des IA, AI Security Fabric, sert de moteur à cette vision, sécurisant le développement d’IA générative dès la création de code mais également les agents et logiciels natifs IA. Elle organise la structure en trois vecteurs unifiés : la base (DevSecOps accéléré par l'IA), l'accélérateur (développement basé sur l'IA) et la frontière (logiciels natifs IA).

Lorsque la création dépasse la vitesse humaine, les risques s'accélèrent également

Le passage au développement basé sur l'IA a bouleversé les modèles de sécurité traditionnels, créant une surface d'attaque fragmentée où convergent les menaces autonomes et les vulnérabilités héritées, ce qui multiplie les risques à la vitesse des machines. Snyk a identifié trois défis que l’AI Security adresse :

- Les vulnérabilités apparaissent à un rythme plus rapide : le volume de code explose en raison de l'adoption rapide des pratiques de codage assistées par l'IA. La sécurité doit aller au-delà de l'analyse réactive pour être « sécurisée dès le départ », en stoppant le flux de nouvelles vulnérabilités qui contribuent à l'augmentation des retards en matière de sécurité.

- Le temps nécessaire à l'exploitation des vulnérabilités diminue : selon Gartner, l'IA devrait accélérer l'exploitation des vulnérabilités de 50 % d'ici 20271. Les attaques automatisées ciblant toutes les expositions disponibles, les organisations doivent systématiquement réduire leur dette de sécurité afin de diminuer leur profil de risque.

- L'IA a un effet cumulatif sur les risques : le passage au développement natif de l'IA a déclenché une explosion de modèles non gérés et d'agents autonomes dans les workflows de livraison et dans les logiciels eux-mêmes. Cette « Shadow AI » crée une surface d'attaque fragmentée où le danger ne réside plus seulement dans le code, mais aussi dans l'action de l'IA elle-même. Un agent compromis peut enchaîner de manière autonome de nouvelles menaces avec des vulnérabilités précédemment « mises en veille », ce qui aggrave les risques plus rapidement que les équipes humaines ne peuvent y remédier.

De nouvelles données issues du rapport 2026 State of Agentic AI Adoption de Snyk, qui analyse des informations anonymisées provenant de plus de 500 environnements Evo d'entreprise, révèlent que le « Shadow AI » est beaucoup plus répandu que ne le pensent les organisations. Pour chaque modèle d'IA déployé, les entreprises introduisent généralement près de trois fois plus de composants logiciels cachés, notamment des ensembles de données et des outils tiers. Avec 82 % des outils d'IA provenant de packages externes, les entreprises élargissent sans le savoir une vaste chaîne d'approvisionnement logicielle non surveillée que les outils de sécurité traditionnels ne peuvent ni voir ni contrôler.

Une défense continue sans freiner l'innovation

Pour contrer ces risques cumulés, il est nécessaire de mettre en place une défense efficace et proche des enjeux business. Une récente étude Forrester Total Economic Impact a révélé que les organisations utilisant la plateforme de sécurité Snyk AI Security Platform, le moteur qui alimente l'AI Security Fabric, ont obtenu un retour sur investissement (ROI) de 288 % sur trois ans. En consolidant les outils existants et en accélérant les délais de correction de 60 %, la plateforme a permis à ces organisations de réduire leur dette de sécurité et de rentabiliser leur investissement en moins de six mois.

« Nos clients doivent pouvoir concevoir sans crainte à l'ère de l'IA, mais lorsque la création s'accélère au-delà de la vitesse humaine, le risque devient ingérable », a déclaré Peter McKay, PDG de Snyk. « Les entreprises n'ont pas seulement besoin de la sécurité des applications, elles ont besoin d'une structure de sécurité IA. Snyk est la seule entreprise à offrir les capacités, les conseils et l'innovation visionnaire nécessaires pour tisser cette structure, garantissant ainsi que la confiance est intégrée dans les logiciels dès le premier prompt jusqu'à la production. »

Instaurer la confiance grâce à la plateforme de sécurité Snyk AI

Snyk continue d'ajouter de nouvelles fonctionnalités et améliorations qui concrétisent cette vision de l'AI Security Fabric à travers les trois vecteurs unifiés de la plateforme Snyk AI Security :

DevSecOps accéléré par l'IA (stabilisation et réduction de la dette de sécurité) : Snyk aide ses clients à maîtriser les principes fondamentaux, de la visibilité à la gouvernance, afin de garantir la sécurité par défaut de l'ensemble de leur chaîne logistique logicielle.

- Prévention intégrée : Delta Findings fournit des commentaires immédiats sur les nouveaux risques dans l'IDE et les PR, tandis qu'une expérience PR Check améliorée intègre des tests de sécurité dans les workflows Git afin d'empêcher les risques d'entrer dans les référentiels.

- Correction plus rapide : accélère les corrections grâce au regroupement par dépendance (en donnant la priorité aux mises à niveau à fort impact) et à la notation du risque de rupture (pour éviter les perturbations de la compilation), tandis que Snyk Agent Fix permet d'effectuer des réparations par IA en un seul clic dans l'IDE et la demande d'extraction.

- La corrélation DAST et SAST comble le fossé entre les tests dynamiques et statiques, en reliant directement les vulnérabilités d'exécution à la ligne exacte du code source afin de permettre une correction plus efficace.

Sécurisation du développement basé sur l'IA (sécurisation dès la conception dans les agents de codage) : les fonctionnalités de Snyk sont directement intégrées aux assistants de codage IA afin de garantir la sécurité du code généré par l'IA dès sa conception.

- Barrières de sécurité IA étendues : de nouveaux flux de configuration en 60 secondes sont désormais également disponibles pour Gemini CLI et Claude Code.

- Échelle de l'entreprise : les équipes de sécurité peuvent désormais définir et distribuer de manière centralisée des garde-fous afin de garantir des normes de sécurité cohérentes.

- Corrections fluides : les développeurs peuvent déclencher une correction intelligente de bout en bout, de la génération à la demande d'extraction, sans quitter leur flux de travail.

Sécurisation des logiciels natifs IA (gestion des agents, des outils et de l'exécution autonome) : alors que nous entrons dans l'ère des agents et des systèmes non déterministes, Snyk aide les organisations à adopter l'IA en toute sécurité et à gérer l'avenir du développement de l'IA.

- Visibilité du Shadow AI : l'AI-BOM d'Evo s'intègre à l'inventaire des actifs pour détecter automatiquement les modèles et les dépendances. Elle est lancée parallèlement à une nouvelle étude sur les tendances en matière d'adoption de l'IA menée auprès de plus de 500 utilisateurs précurseurs.

- Sécurité agentique : le prototype MCP-Scan de Snyk Labs exploite l'analyse des flux toxiques pour atténuer l'empoisonnement des outils et l'injection rapide dans le protocole MCP (Model Context Protocol).

« A mesure que le développement basé sur l'IA s'accélère, la surveillance humaine seule ne suffit plus », a déclaré Gabriel Brolo Tobar, ingénieur senior en sécurité chez Yalo. « Nous considérons l’AI Security Fabric de Snyk comme un partenaire essentiel pour notre équipe d'ingénieurs, une première ligne de défense qui nous permet de prendre immédiatement le contrôle des problèmes. Ce partenariat est indispensable, car il nous permet d'adopter des architectures natives IA sans perdre le contrôle de notre posture de sécurité. »

Snyk permet aux organisations de passer d'un chaos non déterministe à la maîtrise grâce à sa roadmap produit prescriptive pour opérationnaliser la sécurité de l'IA. Cette feuille de route aide les dirigeants à combler le fossé entre la vitesse de développement et la gouvernance centralisée, transformant la sécurité de l'IA en un système opérationnel, et non en un ensemble d'outils. En comblant le fossé critique entre la vitesse de développement et la gouvernance de la sécurité, Snyk aide les entreprises à concrétiser cette feuille de route.

Cette annonce intervient dans un contexte où les assistants d'IA de codage accélèrent le développement de logiciels. Mais une étude de CodeRabbit montre que le code généré par l'IA présente nettement plus de défauts que le code écrit par des humains dans les principales catégories de qualité logicielle. Le rapport a révélé que les pull requests générées par l'IA contiennent en moyenne environ 1,7 fois plus de problèmes que celles écrites uniquement par des humains. Il a également identifié des taux plus élevés de défauts critiques et majeurs dans le code impliquant des outils d'IA.

A propos de Snyk

Snyk, entreprise spécialisée dans la sécurité de l'IA, permet aux entreprises qui s'appuient sur l'IA de développer et de sécuriser leur avenir, en leur garantissant une confiance totale dans l'IA pour innover sans limites. La plateforme de sécurité IA de Snyk intègre la protection directement au processus de création afin de sécuriser le code d’IA générative, les applications natives IA et les systèmes d'agents.

Source : Snyk

Et vous ?

Pensez-vous que cette annonce est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

L'activité IA et Machine Learning (ML) bondit de 91 % en un an : des milliers d'organisations exposées, sans cadre de gouvernance, d'après le rapport Zscaler ThreatLabz 2026 sur les menaces IA

Cloudflare a lancé de nouveaux outils Zero Trust dans sa plateforme Cloudflare One, afin d'aider les entreprises à adopter l'IA à grande échelle en toute sécurité

OpenAI présente Aardvark, un agent IA de sécurité autonome qui détecte et résout les vulnérabilités du code, conçu pour aider les développeurs à prévenir les problèmes de sécurité