Agents IA : 4M de développeurs. Qui vérifie le code ?

Ce qui s'est passé

OpenAI a vécu une semaine chargée. Codex, leur agent de codage IA, est passé de 3 millions à plus de 4 millions de développeurs hebdomadaires au cours des deux premières semaines d'avril. Ils ont lancé GPT-5.5, leur nouveau modèle de pointe, présenté comme leur modèle de codage le plus performant à ce jour, résolvant 58,6 % des problèmes GitHub réels sur le benchmark SWE-Bench Pro en une seule passe. Ils ont également lancé Codex Labs, un programme qui intègre des ingénieurs OpenAI directement au sein des équipes d'entreprise, accompagné de partenariats avec de grands intégrateurs de systèmes pour faire passer Codex de l'expérimentation aux workflows de production.

La même semaine, ProjectDiscovery a publié son rapport 2026 AI Coding Impact Report. 100 % des professionnels de la sécurité interrogés ont signalé une augmentation de la productivité d'ingénierie au cours de l'année écoulée, et près de la moitié attribuent l'essentiel de cette accélération aux outils de codage IA. Mais voici le chiffre qui devrait vous inquiéter : 78 % de ces mêmes professionnels classent « l'exposition de secrets » comme le principal défi de sécurité introduit ou amplifié par le codage assisté par IA. Les deux tiers d'entre eux passent plus de la moitié de leur temps à valider manuellement des résultats au lieu de corriger quoi que ce soit.

Nous avons donc un outil de codage IA qui ajoute un million de nouveaux développeurs toutes les deux semaines, pendant que les équipes de sécurité sont déjà à bout.

Le fossé dont personne ne parle franchement

Je veux être prudent ici. Nous utilisons nous-mêmes des outils de codage IA dans notre travail. Ils sont véritablement utiles pour le code générique, la mise en place de tests et l'exploration de bases de code inconnues. Lorsque nous développons des applications cloud-natives et des API pour des clients entreprise, les assistants IA peuvent faire gagner un temps précieux sur le code d'infrastructure répétitif.

Mais il y a une différence entre utiliser ces outils avec des garde-fous et traiter leur résultat comme fiable. En ce moment, l'industrie tend fortement vers la seconde option.

Les recherches 2026 de GitGuardian ont révélé que les commits assistés par IA sur les dépôts GitHub publics divulguaient des secrets à un taux environ deux fois supérieur au taux humain de référence, soit environ 3,2 % contre 1,5 % pour les commits écrits par des humains. Les tests de Veracode sur plus de 100 LLMs ont montré que le code généré par IA contient 2,74 fois plus de vulnérabilités que le code écrit par des humains. Un cabinet de forensique ayant évalué des dizaines d'applications construites par IA entre janvier et avril 2026 a constaté que 54 % des bases de code présentaient des vulnérabilités d'injection SQL et que 91 % n'avaient aucune journalisation de sécurité significative.

Ce ne sont pas des cas marginaux. C'est le résultat médian quand les équipes livrent du code généré par IA sans revue appropriée.

Pourquoi cela concerne votre équipe dès maintenant

La vitesse à laquelle Codex est intégré dans les workflows d'entreprise, voilà la vraie histoire. Ce ne sont plus seulement des développeurs individuels qui utilisent l'autocomplétion. OpenAI s'associe à de grands cabinets de conseil pour déployer Codex au sein d'organisations d'ingénierie entières. Ils ont lancé des plugins d'entreprise, des intégrations CI/CD et un navigateur intégré pour les serveurs de développement locaux. Codex peut désormais lire la sortie de votre terminal pendant qu'il travaille.

C'est une large surface d'attaque. D'après nos travaux de tests de pénétration avec des studios de jeux et des plateformes de voyage, nous observons toujours le même schéma : plus le code est livré vite, plus les vulnérabilités sont créatives. Ce n'est pas toujours l'évident. Ce sont des rôles IAM trop larges dans du Terraform généré, des tokens codés en dur dans des fichiers .env qui se retrouvent committés parce que personne n'a relu le scaffold initial de l'IA, ou des endpoints d'API sans limitation de débit parce que le modèle n'a pas pensé à l'ajouter.

Dans nos projets natifs iOS et Android, nous avons vu des assistants IA suggérer du code réseau qui bascule silencieusement vers HTTP lorsqu'un certificat échoue. Dans une application de santé traitant des données patients, ce genre de chose n'est pas juste un bug. C'est un incident de conformité. Lorsque nous développons des applications mobiles pour des secteurs réglementés, nous traitons chaque ligne de code généré de la même façon que le code d'un nouveau développeur junior : il est relu, il est testé, et il n'est pas livré tant qu'une personne qui comprend le domaine n'a pas donné son accord.

Ce que vous devriez vraiment faire

Voici la version pratique, basée sur ce que nous avons mis en œuvre dans nos propres projets :

Ajoutez dès aujourd'hui une porte de sécurité pour le code généré par IA. Si vous n'avez pas de hooks pre-commit exécutant du scan de secrets et du SAST de base, vous avez déjà du retard. Des outils comme Gitleaks et l'édition open source de Semgrep sont gratuits et prennent moins d'une heure à configurer. Ce seul changement permet d'attraper la catégorie la plus dangereuse d'erreurs de codage IA : les identifiants divulgués.

Arrêtez de traiter le résultat de l'IA comme une entrée de confiance. L'OWASP LLM Top 10 est explicite à ce sujet. Le résultat d'un modèle doit être validé et assaini de la même façon que vous traiteriez une entrée utilisateur provenant d'un formulaire. Si votre assistant IA génère une requête de base de données, elle doit être paramétrée. S'il génère un endpoint d'API, il faut une authentification. S'il écrit de l'infrastructure-as-code, quelqu'un doit vérifier que les permissions ne sont pas grandes ouvertes. Lorsque nous configurons la sécurité cloud et la protection DDoS pour nos clients, nous constatons régulièrement que les scripts d'infrastructure générés par IA adoptent par défaut des paramètres trop permissifs. Selon les données de menaces 2026 de CrowdStrike, 41 % du code backend généré par IA inclut des permissions trop larges.

Suivez quel pourcentage de votre base de code est généré par IA. Vous ne pouvez pas cadrer vos tests de sécurité si vous ne savez pas quelle part de votre code provient d'un modèle. C'est particulièrement important pour les équipes soumises au SOC 2, au RGPD ou à la HIPAA, où les pistes d'audit comptent et où « c'est une IA qui l'a écrit » ne satisfait pas les exigences de conformité.

Ne sautez pas les étapes fastidieuses sous prétexte que l'IA a été rapide. La revue de code existe pour une raison. Du code généré par IA qui compile et passe le linting peut quand même faire la mauvaise chose. Nous l'avons vu. Le code semble propre, les tests passent, et puis un pen tester trouve un chemin d'élévation de privilèges dès le premier jour.

La vue d'ensemble

Je ne pense pas que les outils de codage IA vont disparaître. Ils ne le devraient pas. Les gains de productivité sont réels. Mais nous traversons cette phase familière où l'adoption dépasse la sécurité, et les organisations qui mettent en place des garde-fous maintenant seront dans une bien meilleure position que celles qui s'agiteront après leur première brèche assistée par IA.

Le marché de l'assurance le remarque déjà. Les assureurs commencent à limiter les indemnisations pour les pertes cyber liées à l'utilisation de l'IA. Si votre couverture devient plus coûteuse ou plus restrictive parce que votre équipe a livré du code IA non relu, c'est un problème commercial, pas seulement technique.

Fort de nos plus de 30 ans d'expérience cumulée dans les jeux, le voyage et les logiciels d'entreprise, le schéma est toujours le même : chaque grande évolution technologique — qu'il s'agisse du cloud, des conteneurs ou des API — a traversé une phase où les capacités ont devancé la sécurité. Les équipes qui s'en sont sorties proprement étaient celles qui traitaient la sécurité comme faisant partie de l'adoption, et non comme quelque chose à ajouter après le premier incident.

Les agents de codage IA ne font pas exception. Utilisez-les. Mais vérifiez le résultat.

Si votre équipe livre du code généré par IA et que vous n'êtes pas sûr de votre posture de sécurité réelle, parlons-en.