45% du code généré par l'IA contient des vulnérabilités : Comment auditer des projets codés à la vibe

Une étude a montré que le code généré par l'IA est 1,7 fois plus susceptible d'avoir des problèmes majeurs et 2,74 fois plus prone aux vulnérabilités de sécurité que le code écrit par l'homme. Si vous avez construit quelque chose avec Cursor, Claude Code ou GitHub Copilot, votre projet a probablement au moins l'un des cinq trous de sécurité les plus courants. Voici ce qu'ils sont et comment les trouver.

Pourquoi le code IA est vulnérable

Les outils de codage IA optimisent pour « ça marche ? » pas « c'est sécurisé ? » Quand vous demandez à Cursor « d'ajouter l'authentification utilisateur », il génère du code qui authentifie les utilisateurs. Il n'ajoute pas automatiquement la limitation de débit, l'assainissement des entrées, la protection CSRF ou la gestion sécurisée des sessions — parce que vous n'avez pas demandé ces choses.

L'IA écrit exactement ce que vous décrivez. La sécurité nécessite de décrire des choses auxquelles vous ne pensez pas naturellement — les cas limites, les entrées malveillantes, les modèles d'accès non autorisés. Si ce n'est pas dans votre prompt, ce n'est pas dans votre code.

Les 5 vulnérabilités les plus courantes

1. Clés API en dur dans le code frontend. L'IA place fréquemment les clés API directement dans le JavaScript côté client ou les composants React. N'importe qui peut ouvrir les DevTools du navigateur et les voir. Correction : Déplacez toutes les clés vers des variables d'environnement (fichiers .env) et accédez-y uniquement du côté serveur. Temps : 15 minutes.

2. Aucune sécurité au niveau des lignes sur les bases de données. Si vous utilisez Supabase (courant dans le vibe coding), le code généré par l'IA donne souvent à chaque utilisateur authentifié l'accès aux données de tous les autres utilisateurs. Correction : Activez la sécurité au niveau des lignes et ajoutez des stratégies par utilisateur. Temps : 30 minutes.

3. Aucune validation d'entrée côté serveur. Les formulaires acceptent n'importe quoi — scripts, charges utiles surdimensionnées, tentatives d'injection SQL. L'IA ajoute la validation côté client (que les utilisateurs peuvent contourner) mais ignore la validation côté serveur. Correction : Ajoutez des schémas Zod ou une validation similaire sur chaque point de terminaison API. Temps : 30 minutes par point de terminaison.

4. Aucune limitation de débit. N'importe qui peut frapper votre API 1 000 fois par seconde. Pas d'accélérateur, pas de protection contre les abus. Correction : Ajoutez une limitation de débit via Upstash Redis ou similaire. Temps : 20 minutes.

5. Routes non protégées. Les pages de tableau de bord, les panneaux d'administration et les points de terminaison de données utilisateur se chargent sans vérifier si l'utilisateur est connecté. Correction : Ajoutez des middleware d'authentification à chaque route protégée. Temps : 15 minutes.

Comment auditer votre projet

Parcourez cette liste de vérification pour tout projet construit avec des outils de codage IA :

Recherchez les clés codées en dur dans tout votre codebase. Exécutez : grep -r "sk-" . && grep -r "api_key" . && grep -r "secret" . dans le répertoire de votre projet. Les correspondances dans les fichiers frontend sont des vulnérabilités critiques.

Vérifiez chaque point de terminaison API pour la validation d'entrée. Ouvrez chaque fichier de route API. S'il utilise directement req.body sans validation, il est vulnérable.

Vérifiez la sécurité de la base de données. Si vous utilisez Supabase, vérifiez l'onglet Authentification → Stratégies. S'il n'y a pas de stratégies RLS, chaque utilisateur peut voir les données de tous les autres utilisateurs.

Testez l'authentification sur chaque page. Ouvrez votre navigateur en mode incognito (non connecté) et naviguez vers chaque page de votre application. Si une page de tableau de bord ou spécifique à l'utilisateur se charge, cette route n'est pas protégée.

Vérifiez la limitation de débit. Essayez de frapper votre point de terminaison API 100 fois successivement en utilisant un simple script. Si les 100 réussissent, vous n'avez pas de limitation de débit.

Pour une liste de vérification de sécurité complète, consultez notre guide complet pour sécuriser les applications vibe-coded. Pour les erreurs les plus courantes et leurs corrections, lisez 5 erreurs de sécurité que tout vibe coder commet.

Le changement de mentalité

L'IA écrit du code qui fonctionne. Vous devez vous assurer que le code est sûr. Ce sont deux compétences différentes. Chaque prompt vers un outil de codage IA doit inclure les exigences de sécurité aux côtés des exigences fonctionnelles. « Ajouter l'authentification utilisateur avec limitation de débit, validation d'entrée et routes protégées » produit un code beaucoup plus sécurisé que « ajouter l'authentification utilisateur ».

Notre Prompt Optimizer peut vous aider à ajouter automatiquement ces spécifications de sécurité à n'importe quel prompt de codage.

Divulgation : Certains liens dans cet article sont des liens d'affiliation. Nous ne recommandons que les outils que nous avons personnellement testés et utilisons régulièrement. Consultez notre politique de divulgation complète.