Réponse rapide
Le code généré par l'IA n'est pas sécurisé par défaut. Le rapport 2026 de Veracode relève un taux moyen de réussite aux tests de sécurité de 56 % sur les modèles suivis, soit environ 44 % de tâches ayant produit du code avec une vulnérabilité connue, et ce taux a à peine bougé en un an. Quelqu'un doit relire ce code avant sa mise en production, et savoir qui s'en charge est une décision de recrutement.
Les assistants de programmation à base d'IA écrivent désormais une grande part du code qui arrive en production, et livrer plus vite s'accompagne rarement d'un plan pour vérifier ce qui a été généré. Cet article distingue ce que montrent les données (le code écrit par l'IA échoue souvent à des tests de sécurité de base et la vérification est en retard sur la génération) de ce qu'elles ne montrent pas (que la plupart des sites web sont vulnérables, ou que le recrutement seul provoque des failles). L'angle recrutement est une évaluation propre à OpenWorks et il est signalé comme tel.
Le code généré par l'IA est-il sécurisé par défaut ?
Non. Dans le GenAI Code Security Report 2026 de Veracode, le taux moyen de réussite aux tests de sécurité sur les modèles suivis est de 56 %, ce qui signifie qu'environ 44 % des tâches de génération de code ont produit du code avec une vulnérabilité connue. Le premier rapport affichait 55 %.
Donnée
Taux moyen de réussite aux tests de sécurité du code généré par l'IA : 56 % sur plus de 100 modèles suivis lors de quatre mesures, contre 55 % dans le premier rapport. Les tests utilisaient des tâches de programmation standardisées sans consigne spécifique de sécurité. Plus : veracode.com/resources/analyst-reports/2026-genai-code-security-report
Veracode, 2026 GenAI Code Security Report (2026)
Deux limites comptent. Les tests ont porté sur des modèles bruts, sans les outils, garde-fous ni relecture humaine qu'une équipe de production ajouterait ; le chiffre décrit donc ce que le modèle écrit, pas ce qu'une entreprise met en ligne. L'étude ne mesure pas non plus combien de sites web en production sont vulnérables.
Quelqu'un relit-il vraiment le code que l'IA écrit ?
Pas de façon systématique. Dans la State of Code Developer Survey 2026 de Sonar, auprès de plus de 1 100 développeurs, 48 % disent toujours vérifier le code assisté par l'IA avant de le valider, alors que 96 % ne lui font pas pleinement confiance sur le plan fonctionnel. Ils indiquent aussi que l'IA représente 42 % du code qu'ils valident. Ces chiffres sont autodéclarés et proviennent d'un éditeur de logiciels de revue de code, et le 96 % porte sur l'exactitude fonctionnelle, pas sur la sécurité.
Donnée
48 % des développeurs interrogés disent toujours vérifier le code assisté par l'IA avant de le valider ; 42 % de leur code validé est assisté par l'IA (donnée déclarée par les développeurs). Enquête autodéclarée. Plus : sonarsource.com/company/press-releases/sonar-data-reveals-critical-verification-gap-in-ai-coding/
Sonar, State of Code Developer Survey (2026)
Les failles du code écrit par l'IA apparaissent-elles dans des logiciels réels ?
Oui, dans un nombre limité, croissant et sous-estimé de cas. Le Vibe Security Radar de Georgia Tech remonte des avis publics de vulnérabilités jusqu'aux outils de programmation à base d'IA. Il a confirmé 74 cas : environ 18 répartis sur sept mois de 2025 et 56 durant les trois premiers mois de 2026, dont 35 pour le seul mois de mars. Les chercheurs décrivent ce total comme un plancher, car le traçage repose sur des marqueurs qui peuvent être supprimés.
Donnée
74 cas publics de vulnérabilités confirmés et rattachés à des outils de programmation à base d'IA entre mai 2025 et mars 2026, dont 35 pour le seul mois de mars 2026. Le total est un plancher : le traçage repose sur des marqueurs comme les mentions de coauteur, qui peuvent être supprimés. Plus : cc.gatech.edu/news/bad-vibes-ai-generated-code-vulnerable-researchers-warn
Georgia Tech SSLab, Vibe Security Radar (2026)
Pourquoi la relecture du code généré par l'IA est-elle une décision de recrutement ?
Évaluation d'OpenWorks, et non résultat d'étude : le code généré ajoute un travail de relecture qu'une personne dotée d'un jugement en sécurité doit assumer. Les chercheurs de Georgia Tech conseillent de relire la production de l'IA avec le même soin que la pull request d'un développeur junior, surtout pour la gestion des entrées et l'authentification. Une équipe qui adopte des assistants d'IA tout en gardant le même plan de recrutement a plus de code à vérifier et personne de plus pour le faire.
- Des ingénieurs seniors avec du temps réservé à la relecture. La gestion des entrées et l'authentification sont les zones signalées par les chercheurs de Georgia Tech.
- Une analyse automatisée intégrée au pipeline de livraison, avec une personne désignée responsable des résultats. L'analyse 2026 de Veracode recommande de vérifier le code au sein du flux de travail.
- Un ingénieur ou un analyste doté d'un jugement en sécurité, qui trie les constats et décide ce qui bloque une mise en production.
- Un responsable clair des correctifs, pour que les constats ne s'accumulent pas en dette de sécurité.
Quels rôles couvrent la couche de relecture dans une équipe qui utilise l'IA pour écrire du code ?
Quatre rôles se partagent le travail : l'ingénierie senior lit le code, le DevOps exécute l'analyse, un analyste sécurité trie les constats et un responsable de livraison répond des correctifs et de la validation. Le tableau montre ce que chacun couvre et son écart fréquent, selon le jugement d'OpenWorks.
| Rôle | Ce qu'il couvre | Écart fréquent (avis OpenWorks) |
|---|---|---|
| Ingénieur senior | Lit le code généré avant la fusion | La relecture saute sans temps réservé |
| Ingénieur DevOps | Exécute l'analyse dans le pipeline | L'analyse existe, personne n'en répond |
| Analyste sécurité | Trie les constats, fixe les seuils | Les constats s'accumulent sans décision |
| Responsable livraison | Répond des correctifs et de la validation | Les correctifs passent après les fonctions |
Point clé
Le code généré par l'IA exige une couche de relecture, et cette couche a des noms : qui lit le code, qui répond de l'outil d'analyse, qui décide de ce qui bloque une mise en production. Inscrire ces rôles au plan de recrutement avant la prochaine livraison assistée par l'IA est l'étape de recrutement qui comble l'écart de vérification.
Questions fréquentes
Le code généré par l'IA est-il moins sécurisé que celui écrit par des personnes ?
Les sources examinées ici ne comparent pas les deux directement. Veracode mesure la fréquence à laquelle le code généré par l'IA échoue à des tests de sécurité (environ 44 % des tâches en 2026) et Georgia Tech recense des avis réels rattachés à des outils d'IA. Aucune n'établit de référence pour le code écrit par des personnes, donc un classement n'est pas étayé.
Les données montrent-elles que la plupart des sites créés avec l'IA sont vulnérables ?
Non. Veracode a testé des modèles sur des tâches standardisées, pas des sites en production, et Georgia Tech a confirmé 74 cas publics jusqu'en mars 2026, un total que ses chercheurs qualifient de plancher. Les données justifient d'exiger une relecture, pas d'affirmer quelle part des sites est vulnérable.
Qui doit répondre de la relecture du code généré par l'IA ?
OpenWorks recommande de désigner un responsable par livraison, en général un ingénieur senior ou un responsable de livraison, et qu'un ingénieur DevOps ou un analyste sécurité prenne en charge l'analyse automatisée et le tri des constats. Il s'agit d'une recommandation propre à OpenWorks, pas d'un résultat des études citées.
Une équipe nearshore peut-elle couvrir la couche de relecture ?
Oui, si les rôles sont définis avant le début de la recherche et que les ingénieurs travaillent sur les fuseaux horaires des États-Unis et du Canada, car la relecture bloque les mises en production et appelle des réponses le jour même. OpenWorks indique une moyenne d'environ 3 semaines entre la première consultation et l'intégration.
OpenWorks, dont le siège est à Langford (C.-B.), place des ingénieurs nearshore sur des rôles spécialisés, dont le cloud, le DevOps et la sécurité, sur les fuseaux horaires des États-Unis et du Canada. La moyenne est d'environ 3 semaines entre la première consultation et l'intégration, la garantie de remplacement de 90 jours s'applique à tous les modèles d'engagement, et OpenWorks affiche 98 % de rétention et 0 % de rotation à 12 mois. Pour une équipe qui livre du code assisté par l'IA, ces chiffres décrivent la rapidité avec laquelle les rôles de relecture sont pourvus, la façon dont le risque d'un mauvais appariement est couvert et la durée pendant laquelle les personnes restent sur la base de code.