Voici ce que les débutants doivent savoir pour coder en vibe en toute sécurité.
Le terme « vibe coding » s’est propagé dans le monde de la tech depuis le début de l’année dernière, après qu’Andrej Karpathy, co-fondateur d’OpenAI, ait décrit son expérience consistant à générer du code en parlant simplement à un modèle d’IA sans vraiment penser au code lui-même. « Je vois juste des choses, je dis des choses, je lance des choses et je fais du copier-coller, et ça fonctionne la plupart du temps », a-t-il écrit dans le post X qui a donné naissance à ce terme.
Dans l’industrie technologique, le vibe coding est devenu la norme. Bien que ce soit un moyen puissant d’aller plus vite avec moins de ressources, générer du code avec une IA que vous ne comprenez pas entièrement ou que vous n’avez pas examinée peut présenter de graves risques de sécurité pour vous-même, vos appareils et quiconque utilise votre application. La société Apiiro, spécialisée dans la cybersécurité axée sur les IA, a analysé des entreprises du top Fortune 50 et a constaté que le vibe coding rend les ingénieurs quatre fois plus productifs mais entraîne dix fois plus de problèmes de sécurité. Donc ne codez pas en vibe sans suivre ces meilleures pratiques de sécurité de base.
1. Soyez précis dans la requête et créez un fichier Markdown
Considérez le modèle d’IA comme un génie paresseux. Beaucoup de modèles d’IA prendront des raccourcis rapides pour livrer techniquement ce que vous avez demandé, mais sans mettre en œuvre des mesures de sécurité ni vérifier le travail. Ne supposez pas que l’IA maintiendra les informations critiques privées, mettra en place les meilleures pratiques de cybersécurité ou vérifiera son code à la recherche d’exploits potentiels.
Formulez ce que vous voulez avec autant de précision que possible, en incluant des spécifications de confidentialité, des limites sur qui peut accéder à quelle partie de ce que vous créez et d’autres garde-fous et protections de sécurité que vous souhaitez ajouter au projet, comme le chiffrement. Vous pouvez aussi lui demander de se référer à la liste OWASP des vulnérabilités les plus courantes afin d’éviter ces problèmes avant même que le code ne soit écrit.
La plupart des modèles d’IA vous offriront la possibilité de créer des règles persistantes ou des fichiers de contexte, afin que vous n’ayez pas à répéter les mêmes instructions à chaque fois que vous vous asseyez pour construire. Créez un fichier Markdown (.md) avec n’importe quel modèle d’IA ou ajoutez des informations dans la section « Knowledge » de l’agent Lovable ou dans la section « Memory » si vous utilisez Replit. Les fichiers Markdown d’IA sont utiles pour ajouter des directives de sécurité car l’IA prendra en compte les instructions du fichier à chaque invite ou tâche. Et avant de commencer, choisir des outils de vibe-coding qui prennent en charge des journaux d’audit peut vous aider à suivre plus facilement chaque modification de votre projet.
2. Gardez les clés API et les mots de passe hors du chat (et du code)
Il n’est jamais prudent d’insérer directement des clés API ou des mots de passe dans une invite d’IA. Ce type de données sensibles ne doit jamais apparaître dans le code non plus, car si vous poussez votre code sur Github plus tard, toutes ces informations critiques seront accessibles à tous. Limiter ce à quoi votre outil d’IA a accès peut aussi aider à prévenir les attaques par injection de prompts.
Au lieu de cela, stockez les données sensibles dans un gestionnaire de mots de passe dédié et utilisez les onglets « variables d’environnement » ou « secrets » sur Replit, Lovable ou Vercel. C’est la méthode la plus simple et la meilleure pour les débutants complets.
Si l’outil d’IA que vous utilisez ne dispose pas déjà d’une fonction similaire intégrée, vous devrez créer un fichier backend de type variable d’environnement (.env) pour ces données et vous assurer que ce fichier ne soit jamais rendu public à aucun stade du processus. Cela signifie l’intégrer dans un fichier .gitignore et veiller à ce qu’il ne soit jamais visible sur le frontend de l’application ou du site web.
Pour vérifier que vous l’avez bien fait, vous pouvez utiliser TruffleHog, un outil qui analysera votre code pour s’assurer que vous n’avez pas accidentellement divulgué des informations sensibles.
3. Protéger les données de l’application
Si vous êtes en train de construire quelque chose qui impliquera beaucoup de données, cela peut impliquer l’utilisation d’un langage de requête structuré, ou SQL, pour gérer ces informations. Des applications grand public comme Spotify, par exemple, utilisent le SQL pour optimiser les performances de l’application lors de la transmission des données à l’utilisateur. Des bases de données SQL vulnérables peuvent conduire à des attaques par injection SQL, permettant à des pirates de dérober ou de supprimer ces données et de les remplacer par ce qu’ils veulent.
Dites à l’IA de paramétrer les requêtes, de nettoyer les entrées, d’utiliser les Server Actions pour les actions critiques, d’activer la sécurité au niveau des lignes (RLS) et de créer des politiques RLS si cela est applicable. Toutes ces tactiques rendent le code plus difficile à exploiter et protègent les données de votre application.
Il est également bon de s’assurer que l’IA utilise les dernières versions des bibliothèques existantes. L’IA peut aussi avoir halluciné l’existence de paquets qui n’existent pas ou pourraient en utiliser des malveillants par accident, alors restez vigilant à ce sujet aussi.
4. La limitation du débit est votre amie
Si vous avez déjà entendu parler des attaques DDoS, la limitation du débit est l’une des façons d’aider à protéger votre application contre ce type d’attaque. La limitation du débit peut les empêcher en limitant le nombre de fois où quelqu’un (ou un bot) peut effectuer une action spécifique.
La limitation du nombre de tentatives de mot de passe peut prévenir les attaques par force brute et le credential stuffing. Le niveau de limitation dépend de ce que fait votre application vibe. Si c’est une application gratuite comme un chatbot d’assistance, la limitation du débit pourrait protéger votre compte bancaire en limitant le nombre de jetons pouvant être utilisés par jour et par utilisateur. Si possible, appliquez la limitation d’abord par identifiant de compte, puis par adresse IP. Ainsi, les hackers ne peuvent pas spammer aussi facilement et votre limitation du débit ne peut pas être contournée par l’utilisation d’un VPN.
Les flux d’authentification par e-mail ou par téléphone et les CAPTCHA constituent d’autres mesures efficaces à ajouter à votre application pour aider à prévenir les activités indésirables.
5. Réviser et tester le travail de l’IA
Si vous n’arrivez pas à faire appel à un ingénieur logiciel professionnel pour examiner votre projet codé en vibe, demandez à l’IA d’évaluer son propre travail à la recherche d’éventuelles failles, y compris en le testant par rapport aux risques OWASP Top 10, même si vous lui avez déjà demandé d’y jeter un coup d’œil. Ensuite, utilisez d’autres modèles d’IA pour repérer d’éventuels problèmes.
Il existe également plusieurs outils capables d’évaluer des projets vibe, notamment Claude Code Security, Codex Security, Wingman de Stackhawk, CheckVibe, SafeToShip et le Vibe App Scanner. Mais la correction des bugs ne s’arrête pas une fois que vous avez déployé l’application, vous devrez donc surveiller votre appli ou votre site vibe pour déceler les problèmes et rester en sécurité.
