Adoption sécurisée des outils d’IA : perceptions et réalités

Dans notre dernier rapport, Snyk a interrogé des spécialistes de la sécurité et du développement logiciel, des cadres dirigeants aux développeurs d’applications, sur la préparation de leur entreprise à l’adoption des outils de codage par IA générative et sur leur adoption. Si les organisations se sentaient prêtes et estimaient que les outils de codage par IA et le code généré par l’IA étaient sûrs, elles n’ont pas pris certaines mesures élémentaires pour les adopter en toute sécurité. Au sein des équipes, les personnes qui travaillent directement sur le code doutent davantage de la sécurité de l’IA que les cadres dirigeants. Cette enquête a été menée auprès de 459 professionnels de l’informatique dans le monde, notamment des CTO, des CISO, des développeurs, des ingénieurs et des spécialistes AppSec. Snyk prévoit de continuer à recueillir des données tout au long de l’année 2024 afin de mieux comprendre la préparation des entreprises à l’IA, ainsi que leurs perceptions des risques et des défis liés à l’IA.

Cet article de blog vous présente le sujet. Consultez notre page Web interactive pour découvrir d’autres résultats, des graphiques utiles et le rapport complet de Snyk sur la préparation des organisations à l’IA.

Moins de 20 % des organisations ont réalisé des POC d’outils d’IA

Bien qu’il soit courant de réaliser des preuves de concept (POC) avant de déployer de nouvelles technologies, moins de 20 % des organisations ont suivi cette étape pour les outils de codage par IA. La grande disponibilité de ces outils et leur faible barrière à l’entrée ont probablement favorisé une adoption au cas par cas, sans POC permettant de repérer les risques et de définir des garde-fous de sécurité adaptés. Si de nombreuses organisations ont renforcé leurs mesures de sécurité, plus d’un tiers ne l’ont pas fait, ce qui laisse penser qu’elles jugent leurs pratiques actuelles suffisantes ou estiment que les outils d’IA n’introduisent pas de risques importants. C’est surprenant, compte tenu du bouleversement majeur que le code généré par l’IA entraîne dans le cycle de vie du développement logiciel (SDLC).

Les cadres dirigeants sont plus optimistes que les autres quant à la préparation à l’IA

Les cadres dirigeants se sont montrés très confiants quant à la préparation de leur organisation aux outils de codage par IA : 40,3 % l’ont jugée « tout à fait prête », contre 26 % des membres des équipes de sécurité des applications et 22,4 % des développeurs. Cette confiance peut s’expliquer par la pression exercée sur les responsables technologiques pour déployer rapidement des outils d’IA. Elle peut aussi tenir au fait que les dirigeants n’utilisent pas directement ces outils et n’examinent pas régulièrement le code généré par l’IA ; ils connaissent donc peu les risques associés.

AppSec s’inquiète le plus du code « mauvais » généré par l’IA et des politiques de sécurité

Les équipes de sécurité des applications (AppSec) sont deux fois plus susceptibles que les développeurs et les ingénieurs de juger « mauvaise » la sécurité du code généré par l’IA. À l’inverse, les cadres dirigeants sont plus optimistes : 29,8 % la jugent « excellente ». Cet écart montre une fois de plus que les personnes chargées de corriger et de sécuriser le code sont davantage conscientes des vulnérabilités et des erreurs introduites par les outils d’IA. Les spécialistes AppSec sont trois fois plus susceptibles que les cadres dirigeants de qualifier d’« insuffisantes » les politiques de sécurité de l’IA de leur organisation. Cela révèle un décalage entre les personnes qui élaborent et appliquent les politiques de sécurité et celles qui supervisent l’adoption des technologies à plus grande échelle.

Les craintes liées à la sécurité constituent le principal frein à l’adoption de l’IA

Si presque tout le monde estime que l’IA appliquée au code est inévitable, une part importante des répondants exprime des préoccupations persistantes. Tous groupes confondus, les craintes liées à la sécurité sont le principal frein à l’adoption des outils de codage par IA, cité par environ 58 % des répondants. Ce constat contredit largement d’autres résultats de l’enquête, selon lesquels le code généré par l’IA est généralement sûr. Ces préoccupations partagées soulignent la nécessité de mettre en place des politiques et des mesures robustes, ainsi que de planifier plus précisément l’adoption et d’en définir les critères. 

Conclusion : il est possible d’améliorer l’adoption de l’IA et les pratiques de sécurité

La majorité des organisations adoptent des outils de codage par IA. Le code généré par l’IA s’impose dans le cycle de vie du développement logiciel et s’intègre profondément aux flux de travail des développeurs. Toutefois, ces outils sont récents et peuvent présenter des risques sérieux. Les préoccupations plus marquées des développeurs et des spécialistes AppSec concernant le code et les outils d’IA en témoignent, alors que les cadres dirigeants restent très favorables au codage par IA. Pour que les risques liés au codage par IA soient bien compris et maîtrisés, les CTO, les CISO et leurs équipes devraient élaborer des guides et des critères d’adoption de l’IA, et adopter une approche plus systématique pour introduire de nouveaux outils d’IA dédiés au code et à la gestion des technologies. Voici quelques mesures recommandées :

• Mettre en place un processus officiel de POC pour les outils d’IA.

• Donner la priorité aux retours des équipes AppSec sur la sécurité du code et les risques liés aux outils.

• Veiller à ce que toute personne utilisant les outils ou intervenant sur le code reçoive une formation suffisante.

• Recueillir et analyser les exemples de code généré par l’IA présentant des défauts afin d’améliorer les processus de sécurité et d’assurance qualité.

• Réaliser régulièrement des enquêtes pour harmoniser les points de vue de tous les groupes sur la préparation à l’IA et la sécurité.

N’oubliez pas de consulter notre page Web interactive pour découvrir d’autres résultats, des graphiques utiles et télécharger le rapport complet de Snyk sur la préparation des organisations à l’IA.