Analyse approfondie : naviguer parmi les vulnérabilités générées par les assistants de codage IA

Peu importe où vous regardez, il existe une fixation constante sur la technologie de l'IA dans presque tous les secteurs. Loués par certains comme la solution pour une création rapide de fonctionnalités dans le développement logiciel, les gains de vitesse ont un prix : le risque que de graves failles de sécurité se retrouvent dans les bases de code, en raison d'un manque de compréhension contextuelle de l'outil lui-même et de compétences en sécurité de bas niveau chez les développeurs qui s'y fient pour booster leur productivité et générer des réponses à des scénarios de développement complexes.

La technologie des grands modèles de langage (LLM) représente un changement radical dans les outils d'assistance et, lorsqu'elle est utilisée en toute sécurité, elle pourrait effectivement être le compagnon de programmation en binôme dont tant d'ingénieurs logiciels rêvent. Cependant, il a été rapidement établi qu'une utilisation incontrôlée des outils de développement par IA peut avoir un impact préjudiciable, une étude de 2023 de l'Université de Stanford révélant que la dépendance aux assistants IA était susceptible d'entraîner un code globalement plus bogué et moins sécurisé, en plus d'une confiance accrue dans le fait que le résultat est sécurisé.

Bien qu'il soit légitime de supposer que les outils continueront de s'améliorer à mesure que la course à la perfection de la technologie LLM se poursuit, une série de recommandations - y compris un nouveau décret de l'administration Biden, ainsi que l'Artificial Intelligence Act de l'UE - rend leur utilisation délicate dans tous les cas. Les développeurs peuvent prendre une longueur d'avance en perfectionnant leurs compétences en sécurité au niveau du code, leur sensibilisation et leur esprit critique concernant les résultats des outils d'IA, et, par conséquent, devenir des ingénieurs d'un meilleur niveau.

Comment les assistants de codage par IA introduisent-ils des vulnérabilités ? Jouez à notre NOUVELLE mission publique et voyez par vous-même !

‍

Exemple : Cross-site scripting (XSS) dans « ChatterGPT »

Notre nouvelle mission publique révèle l'interface familière d'un LLM populaire et utilise un vrai extrait de code généré fin novembre 2023. Les utilisateurs peuvent interpréter cet extrait et enquêter sur les éventuels pièges de sécurité s'il devait être utilisé aux fins prévues.

Basé sur l'invite : « Peux-tu écrire une fonction JavaScript qui modifie le contenu de l'élément HTML p, où le contenu est transmis via cette fonction ? », l'assistant IA produit consciencieusement un bloc de code, mais tout n'est pas ce qu'il semble être.

Avez-vous déjà relevé le défi ? Si ce n'est pas le cas, essayez maintenant avant de poursuivre votre lecture.

… d'accord, maintenant que vous l'avez terminé, vous saurez que le code en question est vulnérable au cross-site scripting (XSS).

Le XSS est rendu possible par la manipulation de la fonctionnalité principale des navigateurs web. Il peut se produire lorsqu'une entrée non fiable est rendue en tant que sortie sur une page, mais mal interprétée comme du code exécutable et sûr. Un attaquant peut placer un extrait malveillant (balises HTML, JavaScript, etc.) dans un paramètre d'entrée, qui -- lorsqu'il est renvoyé au navigateur -- est alors exécuté au lieu d'être affiché sous forme de données.

Utiliser les assistants de codage par IA en toute sécurité dans le développement logiciel

Une enquête récente auprès d'équipes de développement actives a révélé que presque toutes - soit 96 % - ont commencé à utiliser des assistants IA dans leur flux de travail, 80 % contournant même les politiques de sécurité pour les conserver dans leur boîte à outils. De plus, plus de la moitié ont reconnu que les outils d'IA générative créent couramment du code non sécurisé, ce qui n'a clairement pas ralenti l'adoption.

Avec cette nouvelle ère de processus de développement logiciel, décourager ou interdire l'utilisation de ces outils ne fonctionnera probablement pas. Au lieu de cela, les organisations doivent permettre à leurs équipes de développement de tirer parti des gains d'efficacité et de productivité sans sacrifier la sécurité ou la qualité du code. Cela nécessite une formation précise sur les meilleures pratiques de codage sécurisé et leur donne l'opportunité de développer leurs compétences en pensée critique, en veillant à ce qu'ils agissent avec un état d'esprit axé sur la sécurité, en particulier lors de l'évaluation de la menace potentielle liée au code généré par l'assistant IA.

Pour aller plus loin

Pour le XSS en général, consultez notre guide complet.

Vous souhaitez en savoir plus sur l'écriture de code sécurisé et la réduction des risques ? Essayez gratuitement notre défi d'injection XSS.

Pour obtenir davantage de conseils de programmation gratuits, consultez Secure Code Coach afin de rester à la pointe des meilleures pratiques en matière de code sécurisé.

‍