Skip to main content

Rapport de Snyk sur l'état de préparation des organisations par rapport à l'IA

Une enquête menée auprès de membres d'équipes technologiques a révélé que la plupart d'entre eux pensaient que leurs organisations étaient prêtes pour les outils de codage basés sur l'IA, mais craignaient que ces outils n'entraînent un risque pour la sécurité. Les organisations n'ont pas adopté certaines mesures de préparation de base, notamment en ce qui concerne la mise en œuvre d'une validation de principe ou la formation des développeurs. Les participants directement exposés aux outils de codage basés sur l'IA et au code généré par l'IA dans leurs workflows quotidiens étaient plus préoccupés par la qualité du code issu de l'IA et par les risques qu'il induit.

Télécharger le rapport complet

Introduction

D’après le rapport 2023 de Snyk sur la sécurité du code généré par l’IA, 96 % des codeurs exploitent des outils d’IA générative dans leurs workflows. Les organisations qui conçoivent des logiciels savent qu'elles doivent adopter ces outils pour rester compétitives ainsi que pour attirer et retenir les talents. L'intégration des outils de codage basés sur l'IA dans le cycle de développement des logiciels pose divers problèmes de sécurité et d'exploitation. Dans quelle mesure les leaders technologiques et leurs équipes sont-ils prêts à entrer dans cette nouvelle ère où les outils de codage basés sur l'IA jouent un rôle prépondérant ? Et comment se préparent-ils à ce changement important au niveau de la manière dont le code des logiciels est écrit ? 

Snyk a posé, à plus de 400 technologues, une série de questions destinées à évaluer le degré de préparation par rapport à l'IA de leurs organisations et à mesurer leurs perceptions des outils de codage basés sur l'IA. L'enquête a porté sur trois groupes : les cadres technologiques occupant des postes de direction, les équipes de sécurité des applications et les développeurs/ingénieurs. Ces groupes avaient des points de vue différents sur la sécurité des outils de codage et le code basés sur l'IA, sur l'efficacité des politiques de sécurité du code généré par l'IA et sur l'état de préparation des organisations au codage basé sur l'IA. Dans ce rapport, nous présentons les résultats les plus marquants de cette étude.

Partie 1

Les organisations sont convaincues d'être prêtes pour l'IA, en particulier les dirigeants

Les organisations sont généralement convaincues qu'elles sont bien préparées pour l’adoption de l'IA. Quand surviennent des questions portant directement ou indirectement sur l'état de préparation à l'IA, la majorité des organisations optent pour une adoption rapide de l'IA au point de court-circuiter l'analyse standard des cas d'utilisation et les tests de produits avant la phase de déploiement. De leur côté, les participants issus de la direction semblent particulièrement convaincus du niveau de préparation de leur entreprise vis-à-vis l’adoption de l'IA et de la sécurité des outils d'IA qui y sont utilisés.

Ces cadres supérieurs sont davantage convaincus que leur organisation est prête pour les outils de codage basés sur l'IA

Dans quelle mesure votre organisation est-elle préparée pour les outils de codage basés sur l'IA ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Extrêmement bien préparée

Très bien préparée

Bien préparée

Plutôt bien préparée

Pas bien préparée du tout

Un excellent niveau de préparation pour l'IA ? Les CISO et les CTO se sentent deux fois mieux préparés que les développeurs

Parmi les trois types de rôles sondés, la plupart des participants ont déclaré que leur organisation était « extrêmement bien préparée » ou « très bien préparée » pour l'adoption d'outils de codage basés sur l'IA. Moins de 4 % des participants ont déclaré que leur organisation n'était pas bien préparée. Les cadres supérieurs interrogés sont toutefois plus confiants que les autres groupes de participants en ce qui concerne la préparation de leur organisation au déploiement et à l'adoption d'outils de codage basés sur l'IA. 40,3 % d'entre eux considèrent que leur organisation est « extrêmement bien préparée », contre seulement 26 % des membres des équipes AppSec (sécurité des applications) et 22,4 % des développeurs. Il n'y avait pas de différence significative entre les CISO et les CTO, ce qui semble contre-intuitif étant donné l'accent mis sur la sécurité et les risques par les CISO. Cela pourrait s'expliquer par la pression intense exercée sur les dirigeants en charge des technologies, les incitant à déployer rapidement des outils de codage basés sur l'IA et à accélérer les processus de développement logiciel. La réticence des autres groupes reflète probablement des préoccupations plus pratiques liées à des problèmes de préparation spécifiques concernant la sécurité, la formation, la qualité du code et d'autres détails inhérents à la couche d'implémentation.

Les CTO et les CISO sont plus favorables à une adoption rapide des outils de codage basés sur l'IA

32,5 % des cadres supérieurs interrogés estiment qu’une adoption rapide des outils de codage basés sur l'IA est « essentielle ». Autrement dit, ils sont presque deux fois plus nombreux à considérer cette adoption comme urgente que les participants AppSec. Les développeurs sont plus enthousiastes que les responsables AppSec, mais ne sont toujours pas aussi enthousiastes que les cadres dirigeants. On peut attribuer cela aux fortes demandes émanant du conseil d'administration et des PDG pour que les directeurs techniques adoptent rapidement l'IA.

Dans quelle mesure est-il important pour votre organisation d'adopter des outils de codage basés sur l'IA le plus rapidement possible ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Extrêmement important

La plupart des participants pensent que les politiques de sécurité relatives aux outils de codage basé sur l'IA sont bonnes

Dans les trois groupes interrogés, la majorité des participants, notamment plus des deux tiers des cadres dirigeants et des développeurs, estiment que les politiques mises en place par leur organisation vis-à-vis des outils de codage basés sur l'IA sont appropriées. Seul un très faible pourcentage d'entre eux ont jugé ces politiques trop restrictives. En revanche, un pourcentage beaucoup plus élevé de spécialistes de la sécurité ont jugé les politiques insuffisantes, ce qui révèle que les participants des domaines AppSec et sécurité perçoivent encore des risques dans les pratiques de sécurité du codage basé sur l'IA au sein de leur organisation.

Comment décririez-vous les politiques de sécurité de votre organisation vis-à-vis des outils de codage basés sur l’IA ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Insuffisant

Approprié

Excessif

Pour 63,3 % des participants, la sécurité du code généré par l'IA est excellente

Environ deux tiers des personnes interrogées estiment que la sécurité du code généré par l'IA est « excellente » ou « bonne ». Seuls 5,9 % d’entre elles l'ont jugée « mauvaise ». Dans l’ensemble, la population sondée a une opinion positive sur le code généré par l'IA, ce qui est cohérent avec les impressions positives vis-à-vis des politiques régissant l'utilisation et l'adoption des outils de codage basés sur l'IA.

Comment évaluez-vous la sécurité du code généré par l’IA ?

Mauvais

5%

Correct

30%

Bon

44%

Excellent

19%

Partie 2

Les organisations se préoccupent de la sécurité du codage basé sur l'IA, sans pour autant s'y préparer correctement

Malgré des réponses très positives concernant l'état de préparation de leur organisation, les politiques de sécurité, la qualité du code basé sur l'IA et les risques associés, les personnes interrogées citent toujours la sécurité comme principal obstacle à l'adoption des outils de codage basés sur l'IA. En contradiction apparente avec cette idée, ils ne prennent pas non plus les mesures de base qui permettraient de minimiser les risques et de préparer leur organisation, par exemple en mettant en place des POC et en formant les développeurs aux outils de codage basés sur l'IA.

Les préoccupations liées à la sécurité restent le principal obstacle à l'adoption des outils de codage basés sur l'IA

Les trois types de participants s'accordent à dire, pour environ 58 % d’entre eux, que les craintes liées à la sécurité constituent la principale préoccupation de leur organisation concernant l'adoption d'outils de codage basés sur l'IA. À l'inverse, moins de la moitié des personnes interrogées considèrent un éventuel manque d'adhésion de la part de la direction comme un obstacle. Ce résultat reflète le point de vue général des spécialistes AppSec et, dans une moindre mesure, celui des développeurs. Il contredit néanmoins la perception généralement positive dont jouissent les outils de codage basés sur l'IA et le niveau de préparation associé dans les organisations, exprimée par la majorité des personnes interrogées.

Quels obstacles votre organisation a-t-elle rencontrés lors de l'adoption des outils de codage basés sur l’IA ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Adhésion limitée de la part des dirigeants

Craintes liées à la sécurité

Faible taux d’adoption par les développeurs

Manque de préparation et de formation

Moins de 20 % des organisations ont effectué des POC pour les outils basés sur l'IA

Le processus standard permettant d’introduire de nouvelles technologies et de nouveaux outils dans une organisation consiste à effectuer une analyse des fonctionnalités et des coûts, puis à réaliser un exercice de « preuve de concept » avec une petite partie de l'équipe. C'est de cette manière que l'équipe d'ingénierie de la plateforme Pinterest a abordé l'adoption d’un outil de codage basé sur l'IA. Notre enquête a révélé que moins de 20 % des organisations ont entrepris des POC dans le cadre de leurs étapes de préparation à l'adoption d'outils de codage basés sur l'IA. Parmi toutes les étapes de préparation envisagées, les POC étaient de loin les moins utilisées. En moyenne, les organisations étaient trois fois moins susceptibles de recourir à une POC qu'à d'autres méthodes. 

Il est possible que les organisations considèrent que les POC sont superflues. Il faut également noter que ce constat est valable pour tous les participants, aussi bien AppSec, CTO/CISO que Dév./Ing. Alors que la majorité des personnes interrogées ont indiqué que leur organisation avait introduit davantage d'outils et de contrôles de sécurité pour se préparer aux outils de codage basés sur l'IA, plus d'un tiers des organisations n'ont pas pris ce type de précaution. Cela signifie qu'elles se sentent suffisamment sûres de leurs pratiques de développement de logiciels existantes pour faire face aux nouveaux défis posés par l'IA ou que les outils de codage de l'IA n'introduisent pas nécessairement plus de risques dans le cycle de vie du développement logiciel.

Quelles mesures de préparation votre organisation a-t-elle prises avant d'adopter des outils de codage basés sur l’IA ?

CTO/CISO

AppSec/Sec

Dév./Ing.

POC

Examen de sécurité

Formation aux outils basés sur l’IA

Création de politiques et de procédures en matière d'IA

Introduire des contrôles de sécurité, des outils et des révisions de code supplémentaires

Aucune de ces réponses

Seulement 44,8 % des organisations ont dispensé une formation concernant les outils de codage basés sur l'IA à la plupart de leurs développeurs.

Une formation adéquate est essentielle à l'adoption de toute nouvelle technologie susceptible d'engendrer un risque élevé en matière de sécurité. Pourtant, bien moins de la moitié des personnes interrogées ont déclaré que leur organisation avait formé la plupart des développeurs à l'utilisation des outils de codage basés sur l'IA. Cela peut s'expliquer par la facilité d'utilisation des outils ou par le fait que nombre d'entre eux intègrent des scans de sécurité dans le cadre du workflow. Cela dit, les outils de codage n'offrent pas de formation expliquant aux utilisateurs comment repérer les erreurs commises par les outils, bien que ces failles de sécurité soient courantes et bien documentées.

Pourcentage de développeurs ayant reçu une formation aux outils de codage basés sur l’IA

0-25 %

20%

26-50 %

34%

51-75 %

30%

76-100 %

14%

Partie 3

Les personnes dont le travail est plus étroitement lié au code ont davantage de doutes concernant les problèmes de sécurité

Les équipes AppSec ont tendance à avoir une vision plus négative des risques de sécurité associés à l'IA et de la manière dont leur organisation gère ces risques. Elles ont notamment une moins bonne opinion de la sécurité du code généré par l'IA, perçoivent davantage les risques liés aux outils basés sur l'IA et sont moins satisfaites des politiques de sécurité de leur organisation en matière d'IA.

Les équipes AppSec sont trois fois plus susceptibles de considérer la sécurité du code généré par l'IA comme « mauvaise »

Bien qu'ils ne représentent qu'un faible pourcentage du total des réponses, les spécialistes AppSec et sécurité étaient trois fois plus enclins que les cadres dirigeants et significativement plus nombreux que les développeurs à déclarer que le code généré par l'IA était « mauvais ».  Cette divergence laisse supposer que les personnes chargées de corriger et de sécuriser le code sont probablement plus souvent sensibilisées aux défaillances des outils basés sur l'IA que les développeurs, qui passent peut-être à côté des vulnérabilités et des erreurs de code, et que les cadres dirigeants, qui touchent rarement au code. À l'opposé, les CTO et CISO ont nettement plus tendance à penser que la qualité du code généré par l'IA est « excellente » que les développeurs qui travaillent quotidiennement avec ce type de code. D’après les conclusions de Snyk et des recherches universitaires, il est probable que les développeurs aient une vision plus réaliste de la qualité réelle du code généré par l'IA et qu'ils soient plus souvent exposés aux défauts et aux problèmes courants dans ce type de code.

Ces résultats soulèvent plusieurs questions. Premièrement, les organisations ont-elles généralement sous-estimé les risques liés aux outils de codage basés sur l'IA ? Les personnes interrogées, toutes fonctions confondues, ont en moyenne attribué une note élevée à la qualité du code généré par l'IA, et ce en dépit de nombreux travaux de recherche universitaire montrant que le code généré par l'IA présente systématiquement un risque pour la sécurité et nécessite des révisions de code et des mesures correctives supplémentaires. (Voir le webinar Snyk pour un « exploit » de piratage en direct d’un code généré par l'IA). Deuxièmement, si les CTO et les CISO surestiment la qualité du code généré par l'IA, cela est-il dû au fait qu'ils reçoivent des informations imparfaites ou qu'ils ont peu de contacts directs avec ceux qui travaillent avec les outils en question ? Et pourquoi ne sont-ils pas sur la même longueur d'onde que les développeurs ?

Comment évaluez-vous la sécurité du code généré par l’IA ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Excellent

Les cadres dirigeants sont deux à cinq fois moins susceptibles de penser que les outils de codage basés sur l'IA présentent un risque pour la sécurité

Si les personnes interrogées s'accordent généralement à dire que les outils de codage basés sur l'IA n'entraînent pas de risques importants, il existe une disparité bien marquée quand il s’agit d’estimer que l'IA ne présente pas de risques du tout. Dans notre enquête, 19,4 % des cadres dirigeants ont déclaré que les outils de codage basés sur l'IA n'étaient « pas du tout risqués », alors que seulement 4,1 % des membres des équipes AppSec étaient d'accord avec ce point de vue. Les développeurs avaient un point de vue plus proche de celui des AppSec, 8,8 % des développeurs/ingénieurs interrogés estimant que les outils de codage basés sur l'IA ne présentent qu'un risque minimal. En revanche, 38,3 % des spécialistes AppSec estiment que les outils de codage de l'IA sont « très risqués » ou pires, alors que seulement 29,8 % des cadres dirigeants sont d'accord avec ce point de vue. On pourrait expliquer ce résultat par le fait que les équipes AppSec, dont le travail est plus étroitement lié aux mesures correctives quotidiennes visant à réparer le code défectueux et les vulnérabilités, sont confrontées à beaucoup plus de problèmes de sécurité émanant des outils basés sur l'IA que les cadres dirigeants, dont la fonction est généralement plus éloignée des activités quotidiennes de sécurité et de codage.

Comment évaluez-vous le risque de sécurité que l'utilisation des outils de codage basés sur l’IA fait courir à votre organisation ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Pas risqué du tout

Les spécialistes AppSec sont trois fois plus susceptibles de juger insuffisantes les politiques de sécurité en matière d’IA

Les professionnels AppSec doutent des politiques de sécurité de leur organisation en ce qui concerne les outils de codage basés sur l'IA. Par rapport aux CTO et aux CISO, il y a trois fois plus de professionnels AppSec qui considèrent que leurs politiques relatives aux outils de codage basées sur l'IA sont « insuffisantes ». À titre de comparaison, les développeurs et les ingénieurs semblent manifester une opinion intermédiaire, seulement 19 % des personnes interrogées dans cette catégorie ayant déclaré que les politiques de leur organisation en matière d'IA étaient insuffisantes, contre 30,1 % dans les équipes AppSec. En d'autres termes, plus un membre de l'organisation technologique est éloigné des processus de sécurité, moins il est susceptible d'approuver les politiques de sécurité en matière d'IA. Cela suggère probablement que les équipes AppSec voient plus de risques. Cela pourrait également signifier qu'elles estiment que les politiques de sécurité en matière d’IA doivent être élaborées d'une manière logique, compatible avec les exigences de sécurité des applications. Les cadres dirigeants sont ceux qui ont le plus tendance à penser que ces politiques sont excessives. Ce raisonnement pourrait traduire leur volonté d'accélérer l'adoption des outils de codage basés sur l'IA, comme cela a été exprimé dans d'autres questions de l'enquête.

Comment décririez-vous les politiques de sécurité de votre organisation vis-à-vis des outils de codage basés sur l’IA ?

CTO/CISO

AppSec/Sec

Dév./Ing.

Insuffisant

Approprié

Excessif

Conclusion

Les organisations manifestent des attitudes divergentes par rapport à leur état de préparation concernant l'IA et elles ne prennent pas les mesures de base nécessaires pour s’y préparer.

Bien préparées ou pas ? Les personnes interrogées ont une opinion généralement positive de l'état de préparation vis-à-vis des outils de codage basés sur l'IA au sein de leur organisation. En général, elles pensent que leurs politiques de sécurité sont suffisantes et que le code généré par l'IA est sûr. Dans l'ensemble, elles estiment être prêtes pour l'adoption de l'IA. Elles restent toutefois partagées sur la question de la sécurité des outils de codage basés sur l'IA. Quel que soit leur rôle, les préoccupations liées à la sécurité sont perçues comme le plus grand obstacle à l'entrée des outils de codage basés sur l'IA. En ce qui concerne les processus pratiques de préparation, moins d'un cinquième des personnes interrogées ont déclaré que leur organisation avait recours à des preuves de concept (POC pour « proof of concept »), une étape essentielle pour l'adoption d'une nouvelle technologie. Par ailleurs, moins de la moitié des participants ont déclaré que la majorité de leurs développeurs avaient reçu une formation aux outils de codage basés sur l'IA. Ces contradictions peuvent trahir des lacunes en matière de planification et de stratégie, ainsi qu'une carence en termes de structuration par rapport à l'adoption de l'IA. 

Si l'on creuse un peu plus loin, les participants à l'enquête ont manifesté des divergences notables en fonction de leur rôle, au niveau de leur perception de la qualité du code, de la sécurité des outils et de l'état de préparation général de leur organisation. Les cadres dirigeants ont une vision plus positive des outils de codage basés sur l'IA et de l'état de préparation que les personnes dont le travail est plus étroitement lié au code ou aux processus et politiques de sécurité. On peut en particulier noter que les membres des équipes de sécurité ont une vision moins positive de la sécurité des outils de codage axés sur l'IA, ce qui suggère que ce groupe influent est exposé à un plus grand nombre de problèmes découlant du codage basé sur l'IA et qu'il réagit en conséquence. 

Les contradictions susmentionnées témoignent d'une planification insuffisante ou d'une stratégie incohérente vis-à-vis de l'adoption des outils de codage basés sur l'IA, ainsi que d'un manque de structuration au niveau de la détermination et du respect des conditions préalables requises, potentiellement à cause d’une absence de visibilité cohérente dans l’ensemble de l'organisation. Cette situation peut s’expliquer par le fait que, comme dans le cas des smartphones et de certains logiciels grand public, le processus d’adoption ait d'abord été rapide et incontrôlé avant d'être institutionnalisé par les organisations informatiques. Il est ainsi possible que les déploiements aient été initialement chaotiques et difficiles à maîtriser par la suite. En fin de compte, les organisations devraient envisager une approche plus structurée de l'adoption et de la sécurité des outils de codage basés sur l'IA, plus proche des processus d'adoption d'autres types de logiciels d'entreprise. Il faudrait également que cette approche permette de dissiper les craintes en matière de sécurité et de répondre aux préoccupations majeures des développeurs et des équipes de sécurité. Il faudra pour cela mettre en place des contrôles et des équilibres plus efficaces et adopter une approche plus complète, méthodique et programmatique pour déployer un changement aussi fondamental dans le processus de développement des logiciels.

Les leaders technologiques attentifs aux enseignements de cette enquête pourraient tirer parti des actions suivantes :

Mettre en place une procédure POC formelle pour l'adoption des outils basés sur l’IA

Accorder plus de poids aux recommandations des personnes les plus directement exposées aux problèmes de sécurité du code et aux risques liés aux outils

Documenter et auditer toutes les instances d'outils de génération de code basés sur l’IA afin de mieux informer les processus de sécurité et d'assurance qualité

Effectuer régulièrement des sondages auprès des trois groupes d’employés, portant sur des sujets liés au codage basé sur l'IA

Envisager de faire appel à des experts pour obtenir des conseils sur les meilleures pratiques en matière d'IA

Gagner l'adhésion des dirigeants grâce à des outils qui mettent en valeur le ROI (retour sur investissement) des outils de sécurité IA

Adopter des outils de sécurité qui permettent de prévenir et de résoudre les incidents de sécurité dès le début du cycle de développement

Adopter des outils et des pratiques de sécurité IA conviviaux pour les développeurs, qui évitent de les ralentir et s'intègrent dans les workflows existants

Renforcer la sensibilisation et la formation au code généré par l'IA et aux outils correspondants afin d'améliorer la vigilance et le discernement Utiliser un assistant de codage basé sur l'IA (Google Gemini) qui s'intègre directement à Snyk et à sa vaste base de connaissances

Méthodologie

Pour ce rapport, nous avons interrogé 406 professionnels de l'informatique des quatre coins de la planète. Snyk a limité l'enquête aux personnes interrogées ayant décrit leur rôle comme « CTO », « CISO », « développeur », « ingénieur », « sécurité » ou « AppSec ». Snyk a l'intention de continuer à collecter des données pour cette enquête lors d'événements en ligne et hors ligne tout au long de l'année 2024 afin de dresser un tableau encore plus complet concernant l'état de préparation des entreprises vis à vis de l'IA, ainsi que les différences en termes de perception des risques, de l'état de préparation et des défis liés à l'IA.

Télécharger le rapport complet