10 prédictions clés : Secure Code Warrior sur l'influence de l'IA et du Secure-by-Design en 2025

Alors que nous nous tournons vers 2025, au sortir d'une année passionnante et exigeante, l'intersection de l'IA et du développement logiciel continuera de façonner la communauté des développeurs de manière significative.

Les organisations sont confrontées à des décisions difficiles concernant l'utilisation de l'IA pour soutenir la productivité, la durabilité et le retour sur investissement en matière de sécurité à long terme. Il est devenu évident pour nous au cours des dernières années que l'IA ne remplacera jamais totalement le rôle du développeur. Des partenariats entre l'IA et les développeurs aux pressions (et à la confusion) croissantes autour des attentes en matière de « Secure-by-Design », examinons de plus près ce à quoi nous pouvons nous attendre au cours de l'année à venir :
‍

Réécrire l'équation de l'IA : non pas l'IA à la place du développeur, mais l'IA + le développeur

« Alors que les entreprises sont incitées à prendre des mesures drastiques de réduction des coûts en 2025, il ne surprendrait personne que les développeurs soient remplacés par des outils d'IA. Mais comme ce fut le cas lors des débuts de l'IA générative, et maintenant avec des années de mises à jour et d'autres à venir, ce n'est toujours pas un moteur de productivité autonome et sûr, surtout lors de la création de code. L'IA est une technologie hautement disruptive avec de nombreuses applications et cas d'usage incroyables, mais elle ne remplace pas suffisamment les développeurs humains qualifiés. Je suis d'accord avec la prédiction de Forrester selon laquelle ce passage au remplacement de l'humain par l'IA en 2025 est voué à l'échec, surtout à long terme. Je pense que la combinaison IA + développeur est plus susceptible d'y parvenir que l'IA seule. »

‍

L'IA apporte un mélange de risques et d'opportunités

« En 2025, nous verrons apparaître de nouveaux cas de risques liés au code généré par l'IA, notamment les effets néfastes de problèmes connus tels que le « hallucination squatting », les bibliothèques empoisonnées et les exploits affectant la chaîne d'approvisionnement logicielle. De plus, l'IA sera davantage utilisée pour détecter les failles dans le code, ainsi que pour écrire des exploits, comme vient de le démontrer le Project Zero de Google. En revanche, je pense que nous verrons également les premiers niveaux de maturité atteints par les développeurs en entreprise, capables d'exploiter ces outils dans leur travail sans ajouter trop de risques supplémentaires. Cependant, cela restera l'exception plutôt que la règle, et cela dépendra de la capacité de leur organisation à mesurer activement les risques liés aux développeurs et à ajuster leur programme de sécurité en conséquence. Dans l'environnement de menaces en évolution rapide que 2025 apportera certainement, ce sont les développeurs qualifiés et conscients des enjeux de sécurité, utilisant des outils de codage IA approuvés, qui seront capables de produire du code plus rapidement, tandis que les développeurs ayant une faible sensibilisation à la sécurité et des compétences générales ne feront qu'introduire davantage de problèmes, et ce, plus rapidement. »

‍

Sortir de l'ombre de l'IA

« Le paysage législatif autour de l'IA évolue rapidement pour tenter de suivre les avancées fréquentes de la technologie et son taux d'adoption. En 2025, les responsables de la sécurité doivent s'assurer qu'ils sont prêts à se conformer aux directives potentielles. Une combinaison des éléments suivants — comprendre la nature de l'« IA fantôme » et s'assurer qu'elle n'est pas utilisée dans l'organisation, suivie de l'utilisation stricte d'outils approuvés et vérifiés installés sur les systèmes de l'entreprise — s'avérera être le plus critique pour les organisations au cours de l'année à venir. Cela conduira à une meilleure évaluation du groupe de développement, afin de comprendre comment les soutenir au mieux pour qu'ils développent continuellement leurs prouesses en matière de sécurité et les appliquent à tous les aspects de leur travail. »

‍

La position des outils d'IA en matière de sécurité sera une mesure clé pour les développeurs

« À l'heure actuelle, c'est le Far West en ce qui concerne les outils de codage basés sur les LLM. De nouveaux ajouts apparaissent constamment, chacun vantant de meilleurs résultats, une meilleure sécurité et une productivité accrue. À l'approche de 2025, nous avons besoin d'une norme permettant d'évaluer chaque outil d'IA en fonction de sa position en matière de sécurité. Cela inclut les capacités de codage, à savoir sa capacité à générer du code avec des modèles de codage bons et sûrs qui ne peuvent pas être exploités par des acteurs malveillants. »

‍

L'IA rendra plus difficile l'entrée des développeurs juniors sur le marché du travail

« Les développeurs font face à plus de barrières à l'entrée que jamais auparavant. Avec des effectifs hybrides et distribués et le niveau de compétences requis pour les postes de débutants, la barre continue de monter chaque année pour les développeurs juniors. En 2025, les employeurs commenceront à attendre des développeurs juniors qu'ils possèdent déjà les compétences et les connaissances nécessaires pour intégrer et optimiser les outils d'IA en toute sécurité dans leur flux de travail dès leur arrivée, plutôt que de consacrer du temps à la formation en cours d'emploi. Au cours de l'année prochaine, les développeurs qui ne parviendront pas à apprendre à exploiter les outils d'IA dans leur flux de travail de développement subiront des conséquences importantes sur leur propre évolution de carrière et rencontreront des difficultés à obtenir des opportunités d'emploi. Ils risquent d'entraver leur « droit de coder », ce qui les empêchera de participer à des projets plus complexes, car la maîtrise de l'IA sécurisée deviendra finalement essentielle. »

‍

Le manque de temps empêchera les organisations d'atteindre le « Secure by Design »

« Les développeurs ont besoin de suffisamment de temps et de ressources pour monter en compétences et se familiariser avec les bons outils et pratiques afin d'atteindre le « Secure by Design ». À moins que les organisations n'obtiennent l'adhésion des responsables de la sécurité et de l'ingénierie, leurs progrès seront entravés, voire totalement bloqués. Lorsque les organisations tentent de réduire les coûts ou de restreindre les ressources, elles privilégient souvent les efforts de remédiation immédiats aux solutions à long terme, en se concentrant sur des outils de remédiation polyvalents qui font certaines choses « correctement », mais tout le reste de manière « médiocre ». En 2025, ce déséquilibre créera une disparité plus grande entre les organisations qui privilégient le développement logiciel sécurisé et celles qui veulent simplement une solution rapide pour suivre le rythme d'un paysage en mutation. »

‍

Les audits de sécurité de la chaîne d'approvisionnement joueront un rôle essentiel dans l'atténuation des risques mondiaux

« Tous les fournisseurs tiers et d'externalisation commenceront à faire l'objet d'un examen plus approfondi. Vous pouvez avoir le meilleur programme de sécurité en interne, mais si les entreprises auxquelles vous sous-traitez ne pratiquent pas le « Secure by Design », l'ensemble du cadre de sécurité peut être compromis. Par conséquent, les organisations vont auditer intensivement leurs efforts d'externalisation, faisant pression sur les chefs d'entreprise pour qu'ils suivent des directives strictes en matière de sécurité et de conformité industrielle. En fin de compte, le succès des équipes de sécurité dépend d'une vision holistique à 360 degrés, incluant une approche unifiée à travers l'organisation et tous les partenaires externes. »

‍

L'IA sera déterminante pour « faire le tri dans le bruit »

«Les équipes de développement sont confrontées à un taux élevé de faux positifs avec les scanners de vulnérabilités. Comment peuvent-elles savoir si les vulnérabilités qui leur sont assignées représentent un réel risque de sécurité ? En 2025, l'IA sera un outil crucial pour aider les développeurs à « faire le tri » dans la remédiation du code, en offrant une compréhension plus approfondie du code lui-même. En s'appuyant sur l'apprentissage automatique, l'IA peut mieux hiérarchiser les menaces réelles en fonction du contexte, réduisant ainsi le temps consacré à l'amélioration de la précision des alertes de sécurité. Cela permettra aux équipes de se concentrer sur les vulnérabilités qui présentent un risque réel, améliorant l'efficacité globale et permettant des cycles de développement plus rapides et plus sécurisés. »

‍

L'analyse comparative sera la solution pour atteindre les objectifs de sécurité dès la conception

« L'absence de référence en matière de sécurité sera préjudiciable aux organisations en 2025, car elles n'auront aucune base claire pour mesurer leurs progrès dans le respect des normes de sécurité dès la conception. Sans système d'analyse comparative pour évaluer l'adhésion des équipes aux pratiques de codage sécurisé, ces organisations risquent d'introduire par inadvertance des vulnérabilités pouvant mener à une faille majeure. En cas d'incident, elles n'auront probablement pas le temps de mettre en place un tel système et seront contraintes d'accélérer leurs initiatives sans avoir évalué la maturité de leurs équipes, exposant ainsi l'organisation à des risques accrus. »

‍

La dette technique au prix du code généré par l'IA

« Ce n'est un secret pour personne : le secteur souffre déjà d'un problème massif de dette technique, et ce, avec du code déjà écrit. Avec la dépendance aveugle des développeurs envers un code généré par l'IA intrinsèquement non sécurisé, couplée à une supervision limitée, la situation ne fera qu'empirer. Il est fort possible que cette dynamique entraîne une multiplication par dix des CVE signalées l'année prochaine. »

‍

Pour réussir en 2025, les organisations doivent adopter l'IA de manière responsable et sécurisée, tout en investissant dans la formation et l'atténuation des risques pour leurs équipes. Alors que l'année prochaine marquera le premier anniversaire de l'engagement Secure-by-Design de la CISA, les entreprises qui conserveront leur avantage concurrentiel seront celles qui privilégieront une approche de développement sécurisé pour mieux éliminer les risques liés à l'IA, aux tiers et aux menaces émergentes.