Le code assisté par IA contient 4,4 fois plus de failles de sécurité que le code écrit par des humains

Sur 1 967 dépôts et 1 072 applications « vibe codées », State of Cyber mesure le coût réel de l'IA sur la sécurité du code.

PARIS, FRANCE, August 27, 2026 /EINPresswire.com/ -- State of Cyber, le laboratoire de recherche de Symbiotic Security, publie aujourd'hui « AI vs Humans: Security at Scale », l'une des plus vastes études menées à ce jour sur la façon dont l'IA transforme la sécurité des logiciels que nous utilisons tous. Pendant trois mois, le laboratoire a analysé 1 967 dépôts GitHub publics, scanné 1 072 applications « vibe codées » sur cinq plateformes populaires et passé l'ensemble au crible de dix scanners de sécurité indépendants. Au total, 87 826 vulnérabilités ont été recensées, depuis de simples anomalies à faible risque jusqu'à des failles critiques capables d'exposer des données confidentielles ou de donner à un attaquant le contrôle d'une application.

Le chiffre clé est difficile à ignorer. Les dépôts développés avec l'aide de l'IA comptaient en moyenne 42,3 vulnérabilités chacun, contre 9,6 pour le code écrit par des humains seuls. Soit 4,4 fois plus. Et il ne s'agit pas de quelques projets défaillants qui tireraient la moyenne vers le haut. Sept dépôts assistés par IA sur dix (70,5 %) présentaient au moins un problème de sécurité, contre environ la moitié (50,4 %) des dépôts écrits uniquement par des humains, et les problèmes se répartissaient sur 104 types de vulnérabilités différents. L'IA introduit à la fois plus de failles et une plus grande variété de failles.

Une seconde étude est allée au-delà du code source pour examiner des produits finis, en vérifiant 1 072 applications en production créées avec des outils d'IA de « vibe coding » sur Supabase. Les résultats sont encore plus préoccupants. 98 % des applications contenaient au moins une vulnérabilité, 29 % présentaient un problème élevé ou critique, et 16 %, soit environ une sur six, permettaient à un parfait inconnu de supprimer ou de modifier des données sans aucune authentification. Au total, l'audit a relevé 6 185 vulnérabilités, soit une moyenne de 5,9 par application.

Ce qui rend ce moment différent, c'est l'identité de ceux qui écrivent désormais des logiciels. Les outils de « vibe coding » permettent à presque n'importe qui de décrire une application en langage courant et d'obtenir du code fonctionnel en quelques minutes, le plus souvent sans la moindre revue de sécurité. C'est excellent pour la vitesse, et c'est précisément pour cela que le risque se propage aussi vite. Une seule requête peut mettre en ligne une base de données que n'importe qui peut lire ou modifier, sans que la personne qui l'a créée s'en aperçoive jamais.

Rien de tout cela ne signifie que les équipes devraient cesser d'utiliser l'IA pour écrire du code. Ce choix est déjà largement fait, et les gains de productivité sont réels. Le problème, c'est que les garde-fous n'ont pas suivi. Lorsque l'on écrit davantage de code, plus vite, par un plus grand nombre de personnes, et qu'on l'envoie directement en production, contrôler les problèmes après coup ne fonctionne plus. Il faut détecter les failles pendant que le code est encore en train d'être écrit.

Ces résultats mettent des chiffres sur une réalité que le secteur a mis du temps à admettre. L'IA est très douée pour écrire du code qui fonctionne, et bien moins pour écrire du code qui est sûr. Cet écart ne se réduit pas à mesure que les modèles progressent. D'autres travaux de recherche indépendants aboutissent au même constat : environ la moitié du code généré par IA contient une faille exploitable, une proportion qui n'a quasiment pas bougé alors même que les modèles sont devenus bien plus performants.

Pour les responsables de la sécurité qui doivent gérer tout cela, l'étude change la question de fond. L'IA permet à chaque développeur de livrer beaucoup plus de code : les équipes qui n'examinent le code qu'une fois livré cherchent donc davantage de problèmes dans un volume bien plus important, avec moins de temps pour le faire. La conclusion est simple. La sécurité doit intervenir plus tôt, au moment même où le code est écrit.

C'est un enjeu particulièrement aigu pour les entreprises européennes. Entre le règlement européen sur l'IA (AI Act), la directive NIS2 et le règlement DORA pour le secteur financier, les organisations doivent démontrer qu'elles maîtrisent la façon dont leurs logiciels sont conçus, tout en adoptant l'IA aussi vite que leurs concurrents. Faire les deux à la fois est impossible si la sécurité reste une étape ajoutée à la fin. Elle doit être intégrée au processus de développement lui-même.

Les données des deux études ont été collectées entre janvier et mars 2026 au moyen de traitements automatisés à grande échelle, dans le respect des principes de divulgation responsable : aucune donnée n'a été exfiltrée, stockée ou partagée au-delà de ce qui était nécessaire pour documenter et signaler chaque vulnérabilité. L'intégralité des résultats est publiée sur state-of-cyber.org.

À propos de Symbiotic Security

State of Cyber est le laboratoire de recherche de Symbiotic Security (state-of-cyber.org). Symbiotic Security intègre des garde-fous de sécurité et de conformité directement dans le développement assisté par IA : son produit Symbiotic Code détecte et corrige les vulnérabilités pendant que le code s'écrit, avec n'importe quel modèle. Les premiers clients ont réduit leurs vulnérabilités générées par IA jusqu'à 93 %. Pour en savoir plus : symbioticsec.ai.

L'équipe Symbiotic Security sera présente aux Assises de la Cybersécurité, au Grimaldi Forum de Monaco, du 7 au 10 octobre 2026, où cette recherche sera au cœur des échanges. Les responsables sécurité présents à Monaco peuvent rencontrer Symbiotic Security pour voir les garde-fous en temps réel à l'œuvre. Pour convenir d'un rendez-vous sur place, écrivez à marketing@symbioticsec.ai ou rendez-vous sur symbioticsec.ai.

Darren McNelis
Symbiotic Security
+1 251-309-3711
email us here
Visit us on social media:
LinkedIn