Les fondements de la confiance : sécuriser l’avenir du code généré par l’IA

L’intelligence artificielle générative (GenAI) est déjà devenue la technologie phare des années 2020 : les utilisateurs s’en servent pour tout, de la création d’itinéraires de voyage à la composition musicale. Aujourd’hui, les développeurs logiciels adoptent massivement la GenAI pour écrire du code, alléger leur charge de travail et récupérer un temps précieux. Il est toutefois important qu’ils tiennent compte des risques de sécurité que peuvent introduire les outils de codage GenAI.

En tant que leader de la sécurité des développeurs, Snyk croit en un développement fondé sur la GenAI qui soit à la fois rapide et sécurisé. C’est pourquoi nous sommes fiers d’annoncer aujourd’hui que Codieum, Tabnine, TabbyML et Qodo font partie des premiers membres de notre programme GenAI en pleine expansion. Cette initiative vise à nouer des partenariats avec les principales solutions de génération de code du secteur afin de sécuriser ensemble la technologie qui alimente l’ère de la GenAI. Nous voulons renforcer la confiance dans le développement logiciel assisté par l’IA en intégrant les capacités de sécurité de Snyk à ces outils de codage IA de premier plan.

Les développeurs misent pleinement sur la GenAI

Les développeurs cherchent constamment à travailler plus vite et plus efficacement, ce qui explique l’adoption rapide et généralisée du codage avec la GenAI. Selon GitHub, 92 % des développeurs basés aux États-Unis utilisent des outils de codage IA comme Gemini Code Assist de Google, GitHub Copilot et CodeWhisperer d’Amazon, au travail comme en dehors.

Il n’est pas étonnant que ces outils soient si populaires auprès des développeurs : ils affirment que les assistants de codage GenAI contribuent à améliorer la qualité du code, à générer de meilleurs cas de test et à accélérer l’adoption des langages de programmation. Mais une question dérangeante reste en suspens pour bon nombre de développeurs qui ont rejoint la révolution GenAI : le code produit par ces outils est-il sécurisé ?

Problèmes de sécurité courants dans le code généré par l’IA

Dans notre rapport 2023 sur la sécurité du code généré par l’IA, nous avons constaté que plus de la moitié des développeurs (56,4 %) rencontrent fréquemment des problèmes de sécurité dans le code généré par l’IA. En effet, les modèles d’IA sont souvent entraînés sur des données open source susceptibles de contenir des erreurs et/ou des vulnérabilités. En outre, 80 % des développeurs contournent les politiques de sécurité du code IA, ce qui pose problème aux équipes AppSec qui peinent souvent à suivre le rythme du développement assisté par l’IA.

On estime à 35 millions le nombre de développeurs dans le monde, contre seulement quatre millions environ de spécialistes de la sécurité et quelque trois millions de postes non pourvus. Ce déséquilibre signifie que les équipes de sécurité ne disposent tout simplement pas des effectifs nécessaires pour suivre le rythme de la production de code des développeurs. Le code GenAI peut donc présenter de nombreux problèmes de sécurité, notamment :

• Erreurs : code qui ne fonctionne pas comme prévu ou qui contient des erreurs.

• Hallucinations : code incohérent ou sans rapport avec la saisie.

• Vulnérabilités : failles de sécurité dans le code que les pirates peuvent exploiter.

• Empoisonnement des données : données d’entraînement de l’IA délibérément manipulées par des acteurs malveillants.

• Injections de prompt : prompts manipulés qui poussent l’IA à générer des résultats involontaires ou dangereux.

Chez Snyk, notre mission est de sécuriser TOUT le code, qu’il soit écrit par un développeur ou par un outil basé sur l’IA. Fidèles à notre approche « shift left », nous pensons que la meilleure façon d’y parvenir consiste à donner aux développeurs les moyens d’agir tout au long du SDLC, en sécurisant les applications de manière proactive et sans friction.

Snyk intègre la sécurité au code généré par l’IA

Dans le développement logiciel, la GenAI fait actuellement un peu figure de Far West, avec très peu de réglementations ou d’exigences de conformité pour sécuriser les processus de codage assistés par l’IA. Dans le même temps, les développeurs ne vont pas renoncer aux assistants de codage IA au nom de la sécurité — et ils ne devraient pas avoir à le faire !

Dans le cadre de son prochain programme de partenariat GenAI, Snyk collaborera avec les principaux assistants de codage GenAI afin d’intégrer directement ses contrôles de tests et de correction de sécurité aux solutions de ses partenaires et à leurs extensions d’IDE. Cette intégration permettra aux développeurs de créer du code sans se soucier de la sécurité : Snyk pourra sécuriser en temps réel le code généré par l’IA, au fur et à mesure de sa production. Si des problèmes de sécurité sont détectés dans le code généré par l’IA, Snyk pourra les corriger rapidement avant qu’ils ne deviennent une menace réelle.

Dans notre rapport État de la sécurité open source 2023, nous avons constaté que 59 % des personnes interrogées craignent que les outils d’IA introduisent des vulnérabilités dans leur code, et que 50 % redoutent qu’ils y introduisent des violations de licences. Ce scepticisme à l’égard des assistants de codage réduit leur efficacité, car les développeurs doivent consacrer davantage de temps à examiner manuellement le code généré par l’IA pour y repérer les risques. Cela va bientôt changer.

Snyk aide les développeurs à innover et à gagner en productivité en renforçant leurs processus de développement GenAI avec des garde-fous intégrés de test statique de sécurité des applications (SAST), en temps réel. Ils peuvent utiliser l’IA en toute confiance pour explorer de nouvelles pistes, faire preuve de créativité et accélérer leurs processus sans perdre le sommeil à cause des risques de sécurité. À la clé : une expérience de travail plus satisfaisante et des développeurs plus heureux.

Sécuriser l’avenir des assistants de codage GenAI

Sécuriser le code généré par l’IA est essentiel pour permettre aux développeurs de tirer parti de la GenAI sans compromettre la sécurité. À mesure que l’adoption des outils d’IA progresse, l’intégration de contrôles de sécurité robustes sera indispensable aux processus de développement logiciel modernes et aux chaînes d’approvisionnement logicielles qu’ils produisent avec la GenAI.

Regardez notre table ronde DevSecCon, où Snyk et ses partenaires Early Access présentent les bonnes pratiques pour utiliser la GenAI afin de créer des logiciels sécurisés à grande échelle.