Le code généré par l’IA et le vibecoding transforment la cadence de développement. Les équipes livrent plusieurs fois par jour, mais la validation de sécurité suit encore un rythme hebdomadaire, voire mensuel. Une étude récente d’Aikido Security, menée par Sapio Research auprès de 400 responsables sécurité et dirigeants techniques, quantifie ce décalage et ses conséquences.
Un fossé qui se creuse entre développement et sécurité
Selon l’enquête, 76 % des organisations déploient des changements importants en production chaque semaine ou plus souvent. Pourtant, seulement 21 % d’entre elles valident la sécurité à chaque mise en ligne. L’écart est saisissant. 79 % des répondants redoutent de passer à côté d’une faille introduite entre deux tests programmés. 2,6 semaines, c’est la durée moyenne d’un test d’intrusion, pour un coût d’environ 25 000 €. Quand le rapport arrive, l’application a déjà changé.
| Indicateur | Valeur |
|---|---|
| Organisations déployant chaque semaine | 76 % |
| Validation sécurité à chaque mise en ligne | 21 % |
| Incidents plus difficiles à cause de l’IA | 71 % |
| Résultats jugés périmés à réception | 48 % |
| Durée moyenne d’un test d’intrusion | 2,6 semaines |
| Coût moyen par test | ~25 000 € |
Pourquoi l’IA intensifie les menaces informatiques
L’intelligence artificielle ne se contente pas d’accélérer l’écriture du code. Elle modifie la nature des vulnérabilités à détecter. 71 % des organisations ont connu un incident plus difficile à détecter ou à corriger à cause de l’IA au cours des douze derniers mois. Chez les équipes qui livrent plusieurs fois par jour, ce taux atteint 86 %. 76 % ont dû stopper ou restreindre un comportement piloté par IA. Anton Osika, CEO de Lovable, résume : un utilisateur peut passer de l’idée à la production en quelques heures, mais un test de sécurité rend sa copie en semaines.
Les failles les plus fréquentes dans le code généré par IA incluent les injections XSS, les contrôles d’accès mal configurés et les vulnérabilités de logique métier. Voici une liste non exhaustive des types d’attaques cybernétiques qui échappent souvent aux tests manuels :
- Failles de logique métier complexes
- Contrôles d’accès mal paramétrés
- Vulnérabilités nécessitant plusieurs étapes pour être exploitées
- Injections SQL et XSS non détectées
- Manipulations de journaux vulnérables (CWE-117)
Andrew van der Stock, directeur exécutif de l’OWASP, confirme : le code, les dépendances et les comportements ont déjà évolué quand l’évaluation se termine.
Ce que les tests manuels ne couvrent plus
51 % des répondants jugent que les testeurs humains ratent souvent ou toujours certaines catégories de failles. Les vulnérabilités logiques, les accès mal configurés et les enchaînements d’actions sont les plus concernés. La cause est simple : un test manuel est borné dans le temps. Le testeur n’a pas le temps d’assimiler tout le contexte d’une application qui change chaque semaine. La sécurité des données en pâtit directement.
Le test à la demande devient la priorité
64 % des répondants disent que les délais de test pèsent sur les décisions de mise en production. Chez les équipes les plus rapides, ce taux grimpe à 92 %. Deux options, aucune satisfaisante : repousser la sortie ou accepter un risque identifié. 52 % des organisations n’ont pas de visibilité complète sur ce qui a réellement été testé, et 60 % ne retestent pas rapidement après un correctif. Un correctif non vérifié reste un pari risqué.
Le budget n’est plus le frein principal. 39 % des dirigeants placent la possibilité de tester à la demande et la rapidité des résultats en tête de leurs critères, contre 27 % pour le coût. La demande porte sur un test qui suit le rythme de la livraison.
La confiance dans l’IA défensive : un nouveau défi
Un résultat surprenant de l’étude : 42 % des dirigeants citent les résultats hallucinés comme premier facteur de perte de confiance dans un test de sécurité par IA, devant les vulnérabilités manquées (32 %). Un faux positif coûte plus cher en crédibilité qu’un oubli. Les garde-fous techniques (couper l’activité de l’agent, garantir la résidence des données) sont jugés plus importants que la supervision humaine.
La cybersécurité doit donc intégrer ces nouvelles contraintes. La protection numérique ne peut plus reposer sur un pentest annuel. Les risques IT imposent une validation continue. Pour approfondir, consultez notre analyse sur l’impact de GPT-5 sur la cyber et les priorités de la CNIL en 2026.
Le verdict de l’étude Aikido est clair : le problème n’est pas la qualité du code produit par l’IA, mais le découplage entre un cycle de livraison de quelques heures et un cycle de validation de 2,6 semaines. Tant que cet écart persiste, ajouter un pentest annuel de plus ne résout rien. La question à trancher en interne porte d’abord sur la fréquence de validation, ensuite sur l’outil qui la rend possible.
