4 conseils pour sécuriser le développement assisté par l’IA générative

Selon Gartner, d’ici l’année prochaine, l’IA générative (GenAI) sera un partenaire essentiel des équipes dans 90 % des entreprises. Dans le développement d’applications en particulier, nous constatons que les développeurs font appel à des assistants de programmation comme Github Copilot et Google Gemini Code Assist pour créer des logiciels à une vitesse sans précédent.

Mais si la GenAI peut décupler la productivité et accélérer le travail, elle présente également de nouvelles menaces et de nouveaux défis pour les équipes de sécurité des applications. Les données d’entraînement utilisées par les grands modèles de langage (LLM) comprennent du code de qualité variable. Ces modèles sont donc tout aussi susceptibles d’introduire des vulnérabilités et des imperfections que des développeurs juniors. À la différence de ces derniers, toutefois, ces technologies génèrent du code en quelques secondes.

La GenAI ne tient pas non plus compte des politiques et des bonnes pratiques de l’entreprise. Elle ne peut donc pas respecter les exigences de conformité ni les consignes de sécurité propres à l’organisation. Les membres de l’équipe peuvent également exposer involontairement des données sensibles en les saisissant dans des LLM.

Comme nous le constatons, ces nouvelles technologies posent de nombreux défis de sécurité que les équipes doivent prendre en compte. Les équipes AppSec d’aujourd’hui doivent adopter des stratégies capables de suivre la rapidité et l’ampleur de la GenAI et d’accompagner les équipes de développement sans les ralentir.

La sécurité au rythme de la GenAI

Comment faire évoluer votre programme AppSec et l’adapter aux spécificités des cycles de développement pilotés par la GenAI ?

Snyk a collaboré avec l’équipe d’experts AppSec de Deloitte pour créer un nouveau guide qui aide les entreprises à comprendre les effets de l’utilisation croissante de la GenAI. Découvrez les principaux enseignements de Deloitte et Snyk sur le renforcement de la sécurité des applications, tout en favorisant le développement continu de la GenAI et son utilisation en toute sécurité :

Éliminez les obstacles grâce à des technologies pensées pour les développeurs

Les outils de programmation assistée par la GenAI séduisent les développeurs par leur simplicité d’utilisation. Il leur suffit de saisir une consigne pour obtenir presque instantanément une réponse, puis d’ajouter le code généré au dépôt. Si la sécurité complique ce processus, les développeurs risquent davantage de contourner complètement ces contrôles. Parmi les obstacles technologiques courants, on trouve les outils de sécurité qui obligent les développeurs à revenir en arrière parce que des vulnérabilités ont été détectées trop tard dans le pipeline, ou encore les interfaces centrées sur les équipes de sécurité qui contraignent les équipes de développement à passer d’une plateforme à l’autre pour corriger les problèmes. À l’inverse, intégrer des outils de sécurité conçus pour les développeurs, qui s’intègrent naturellement à leurs workflows et fonctionnent de concert avec les outils de programmation assistée par l’IA, favorise un développement logiciel plus sûr avec l’aide de la GenAI.

Expliquez, grâce à la formation, la raison d’être des garde-fous

Selon certaines estimations, 80 % des développeurs contournent les mesures de sécurité liées au code généré par l’IA, car ils ont tendance à faire davantage confiance à la GenAI qu’aux programmeurs humains. Il est donc essentiel de leur expliquer, dans le cadre de formations, pourquoi ils doivent utiliser des outils de sécurité en temps réel en complément de leurs assistants de programmation IA. Les équipes de sécurité devraient également les former à l’utilisation des LLM (et à ce qu’il ne faut PAS en faire), notamment en précisant quels types de données peuvent être copiés-collés dans une consigne.

Mettez en place des processus adaptés à la GenAI

Votre équipe a probablement déjà constaté que la GenAI augmente considérablement le volume de code intégré aux dépôts. Il est donc plus important que jamais d’établir des processus simples pour détecter et corriger les problèmes de sécurité à un rythme adapté à cette hausse du volume de code. Pensez à améliorer et à renforcer vos processus de communication entre les équipes de développement et de sécurité, d’examen des analyses de code et de priorisation des vulnérabilités.

Adaptez vos politiques aux outils de GenAI

Il est également important de définir des politiques claires concernant la GenAI. Des politiques adaptées rehaussent les exigences liées à l’utilisation quotidienne de l’IA par les équipes et imposent des contrôles de sécurité rigoureux. Elles peuvent notamment définir les cas d’utilisation acceptables, la sélection et l’utilisation des données, la confidentialité et la sécurité des données, ainsi que les obligations réglementaires applicables. Il est également judicieux de prévoir une fréquence de mise à jour de ces politiques, à mesure que de nouveaux outils sont adoptés au sein de votre organisation et que les pratiques de développement évoluent.

Faites évoluer votre programme AppSec pour relever les défis de l’IA

En établissant des politiques et des garde-fous solides en matière d’IA, vous donnez à votre organisation les moyens de réussir face aux futures versions et évolutions de ces technologies. En associant les services d’automatisation et d’orchestration Secure by Design de Deloitte à une plateforme de sécurité des applications qui vous permet de détecter et de corriger automatiquement, dès le début du cycle de développement, des problèmes tels que les vulnérabilités critiques et les vulnérabilités zero-day, les entreprises peuvent :

• Renforcer la sécurité des applications en toute sécurité à chaque étape du cycle de développement logiciel, et automatiser les workflows depuis une plateforme unique

• Intégrer des outils et des processus automatisés pour favoriser l’adoption par les développeurs

• S’appuyer sur des outils de sécurité et une automatisation basés sur l’IA afin que les développeurs et les équipes de sécurité puissent collaborer et corriger facilement les problèmes dès leur apparition, en une fraction du temps habituellement nécessaire, tout en réduisant les risques

• Bénéficier d’une aide à la correction des vulnérabilités pour résorber les retards

• Accélérer l’intégration et l’adoption grâce à un accompagnement rapide et cohérent pour déployer une plateforme de sécurité des applications et sécuriser votre code propriétaire, y compris celui généré par les assistants de programmation IA, vos dépendances open source, vos conteneurs et votre infrastructure as code.

Pour en savoir plus sur la manière de faire évoluer votre programme de sécurité des applications face aux nouveaux défis du développement piloté par la GenAI, téléchargez notre livre blanc Application Security at Scale for GenAI.