Code généré par IA

Audit du code généré par IA : qui a vérifié ce que l’IA a écrit ?

Cursor, GitHub Copilot, Lovable, Bolt.new ou v0 livrent en quelques heures ce qui prenait des semaines. La revue de sécurité, elle, n’est pas fournie. Notre audit de code lit le code écrit par l’IA et trouve les contrôles manquants, les clés exposées et les paquets à risque.

Réserver l’audit de code Vérifier gratuitement

Nous lisons le code, nous n’attaquons rien. L’audit de code n’est pas un test d’intrusion.

Les noms de produits cités sont des marques de leurs titulaires. Nous ne sommes pas liés à ces éditeurs.

Pourquoi le code IA a ses propres failles

Les assistants IA écrivent du code qui fonctionne. Qu’il soit sûr, ils le vérifient rarement. Schémas typiques du code généré par IA :

ExempleExemple fictif, aucune donnée client.

Route d’API sans contrôle d’autorisation

Emplacement
app/api/invoices/[id]/route.ts, ligne 14
Constat
La route vérifie seulement que l’utilisateur est connecté. N’importe quel client peut consulter les factures des autres clients par leur identifiant.
Recommandation
Vérifier côté serveur, avant la requête, que la facture appartient au compte de l’utilisateur.
  • CVSS 6,5
  • CWE-639
  • OWASP A01:2025

Les erreurs typiques en détail : Vibe coding : le code généré par IA est-il sûr ?

Ce que nous vérifions : OWASP Top 10:2025

Chaque constat est rattaché à une catégorie de l’OWASP Top 10:2025 et noté selon CVSS 3.1. Catégories typiques du code généré par IA :

Comment ça se passe

  1. 01

    Transmettre le code

    Accès en lecture au dépôt ou archive chiffrée. Accord de confidentialité (NDA) au préalable et, si le code contient des données personnelles, contrat de sous-traitance (art. 28 RGPD).

  2. 02

    Les agents IA vérifient

    Des outils comme semgrep, gitleaks et osv-scanner fournissent des signaux, des agents spécialisés lisent le contexte.

  3. 03

    Contrôle qualité (quality gate)

    Un second agent tente de réfuter chaque constat. Seul ce qui est prouvé entre dans le rapport.

  4. 04

    Rapport

    Constats avec fichier et ligne, note CVSS et recommandation concrète, en 2 jours ouvrés.

Chaque étape en détail : Méthodologie

Ce que vous recevez

Audit de code, audit d’application ou les deux ?

L’audit de code trouve les causes dans le code source, pour 890 € HT. L’audit d’application teste l’application en fonctionnement de façon automatisée avec deux comptes de test, pour 490 €. L’audit complet réunit les deux et confirme les constats du code dans l’application, pour 1 690 €.

Test de sécuritégratuitAudit d’application490 €Audit de code890 €Audit complet1 690 €EnterpriseSur demande
Ce qui est vérifié
TLS, en-têtes de sécurité, cookiesinclusinclusen partieinclusinclus
Connexion, sessions, limites de débitnon inclusinclusinclusinclusinclus
Droits d’accès : l’utilisateur A voit-il les données de B ?non inclusinclusen partieinclusinclus
Injections (SQL, XSS, SSRF)non inclusen partieinclusinclusinclus
Secrets et clésen partieen partieinclusinclusinclus
Supply chain, Docker, CI/CDnon inclusnon inclusinclusinclusinclus
Ce que vous recevez
Note et nombre de constatsinclusinclusinclusinclusinclus
Rapport avec plan d’action priorisénon inclusinclusinclusinclusinclus
Notation CVSS 3.1non inclusinclusinclusinclusinclus
Restitution et contre-vérificationnon inclusnon inclusnon inclusinclusinclus
Cadre
AccèsURL et adresse e-mailAdresse + 2 comptes de testAccès en lecture au codeAdresse, accès de test et codesur mesure
Délaien général sous 2 heures (jours ouvrés)1 jour ouvré2 jours ouvrés4 jours ouvréssur mesure

Mise en ligne imminente ? Audit de sécurité avant mise en production

Questions fréquentes

Le code généré par IA est-il moins sûr que le code écrit à la main ?

Pas par principe. Mais les assistants IA reprennent volontiers des schémas non sécurisés et des dépendances obsolètes, et omettent les contrôles que personne n’a explicitement demandés. Nous auditons le code IA avec la même rigueur que le code écrit à la main.

Quels outils couvrez-vous : Cursor, GitHub Copilot, Lovable, Bolt.new, v0 ?

Tous. Nous auditons le code produit, pas l’outil. Ce qui compte, c’est le langage : entre autres TypeScript/JavaScript, Python, PHP, Go, Java, Kotlin et C#/.NET avec les frameworks courants.

Un scanner automatique comme npm audit suffit-il ?

Non. npm audit signale les failles connues des dépendances. Il ne voit ni les contrôles d’autorisation manquants, ni les secrets exposés, ni les règles de base de données trop larges. Nous combinons plusieurs outils avec des agents IA qui lisent le contexte, et chaque constat est contre-vérifié.

Combien coûte l’audit et combien de temps prend-il ?

L’audit de code coûte 890 € HT à prix fixe. Vous recevez le rapport 2 jours ouvrés après le paiement et la remise du code, en express sous 24 heures (jours ouvrés).

Mon code sert-il à entraîner une IA ?

Non. Pour l’analyse, nous utilisons Claude d’Anthropic (États-Unis) ; le fournisseur d’IA ne s’entraîne pas sur votre code. Les dépôts de code sont conservés dans un espace privé dans l’UE, et nous les supprimons après la mission ; les délais figurent dans la politique de confidentialité.

Est-ce un test d’intrusion ?

Non. Nous lisons le code et n’attaquons rien. Un test d’intrusion attaque un système en fonctionnement. Les deux se complètent.

Du code IA en production ? Faites-le auditer.

Vérifier gratuitement Réserver l’audit de code

Tous les prix sont HT. Réservé aux professionnels. Nos CGV s’appliquent.