Établir la norme : SCW publie gratuitement des règles de sécurité pour le codage par IA sur GitHub

Le développement assisté par IA n'est plus une perspective lointaine : il est là, et il transforme rapidement la manière dont les logiciels sont écrits. Des outils comme GitHub Copilot, Cline, Roo, Cursor, Aider et Windsurf font des développeurs les copilotes de leur propre travail, permettant des itérations plus rapides et accélérant tout, du prototypage aux projets de refactorisation majeurs.

Mais ce changement s'accompagne d'une tension bien connue : vitesse contre sécurité.

Chez Secure Code Warrior, nous avons beaucoup réfléchi à la manière d'aider les développeurs à rester en sécurité lorsqu'ils utilisent des outils de codage par IA. C'est pourquoi nous sommes ravis de lancer une solution simple, puissante et immédiatement utile : nos Règles de sécurité pour l'IA — une ressource publique et gratuite, accessible à tous sur GitHub. Vous n'avez pas besoin d'être client de Secure Code Warrior pour les utiliser ; nous proposons ces règles comme une base gratuite et communautaire que chacun peut adopter et étendre à ses propres projets.

Ces règles sont conçues pour agir comme des garde-fous, orientant les outils d'IA vers des pratiques de codage plus sûres, même lorsque les développeurs travaillent à une vitesse effrénée.

En résumé pour les plus pressés :

Alors que les outils de codage par IA comme Copilot et Cursor deviennent essentiels au développement moderne, la sécurité ne peut pas être une réflexion après coup. C'est pourquoi nous avons créé un ensemble de règles légères, axées sur la sécurité, conçues pour orienter la génération de code par IA vers des paramètres par défaut plus sûrs.

• Couvre le frontend web, le backend et le mobile
• Facile à intégrer dans les outils d'IA
• Public, gratuit et prêt à être adopté dans vos propres projets

Explorer les règles → https://github.com/SecureCodeWarrior/ai-security-rules

Faisons du codage sécurisé la norme, même avec une IA aux commandes.

1. Pourquoi les règles sont importantes à l'ère du codage assisté par IA

Les outils de codage par IA sont incroyablement utiles, mais pas infaillibles. Bien qu'ils puissent générer rapidement du code fonctionnel, ils manquent souvent de la nuance nécessaire pour comprendre les normes, conventions et politiques de sécurité spécifiques d'une équipe ou d'un projet donné.

C'est là que les fichiers de règles au niveau du projet entrent en jeu.

Les outils d'IA modernes comme Cursor et Copilot prennent en charge des fichiers de configuration qui influencent la manière dont le code est généré. Ces fichiers de règles agissent comme un murmure à l'oreille de l'IA, lui indiquant :

« Dans ce projet, nous ne concaténons jamais de chaînes SQL. »
« Privilégiez fetch avec des en-têtes sécurisés plutôt que des paramètres par défaut non sécurisés. »
« Évitez d'utiliser eval() à moins de vouloir un audit de sécurité. »

Ces règles ne sont pas une solution miracle, ni un substitut aux bonnes pratiques de revue de code et aux outils de sécurité. Elles peuvent cependant aider à aligner le code généré par l'IA sur les pratiques que les équipes suivent déjà, ou devraient suivre, pour un développement sécurisé.

2. Ce que nous avons construit (et ce que nous n'avons pas fait)

Nos règles de démarrage sont disponibles dès maintenant dans un dépôt GitHub public. Elles sont :

• Organisées par domaine – incluant le frontend web, le backend et le mobile
  
• Axées sur la sécurité – couvrant les problèmes récurrents comme les failles d'injection, la gestion non sécurisée, la protection CSRF, les flux d'authentification faibles, et plus encore
  
• Légères par conception – elles se veulent un point de départ pratique, et non un manuel exhaustif

Nous savons à quel point vos fenêtres de contexte IA sont précieuses et à quelle vitesse le code consomme ces jetons. Nous avons donc veillé à ce que nos règles restent claires, concises et strictement axées sur la sécurité. Nous avons délibérément choisi d'éviter les conseils spécifiques à un langage ou à un framework, préférant des pratiques de sécurité à fort impact et largement applicables, qui fonctionnent dans une grande variété d'environnements sans imposer de choix architecturaux ou de conception.

Ces règles sont conçues pour être facilement intégrées aux formats de configuration pris en charge par les outils d'IA, avec peu ou pas de refactorisation. Considérez-les comme un ensemble initial de politiques qui orientent l'IA vers des paramètres par défaut sécurisés.

3. Une nouvelle couche de défense

Voici ce que cela donne en pratique :

• Lorsque l'IA suggère du code traitant des entrées utilisateur, elle privilégie la validation et l'encodage plutôt qu'un traitement brut.
  
• Lors de la création de requêtes de base de données, elle est plus susceptible de recommander la paramétrisation plutôt que la concaténation de chaînes.
  
• Lors de la génération de flux d'authentification frontend, l'IA sera plus encline à promouvoir les meilleures pratiques de gestion des jetons plutôt que des astuces de stockage local non sécurisées.

Rien de tout cela ne remplace la gestion stratégique des risques au sein d'un programme de sécurité, y compris la montée en compétences continue en matière de sécurité. Cela n'élimine pas non plus le besoin de développeurs compétents en sécurité, surtout à mesure qu'ils sollicitent davantage les LLM et révisent le code généré par l'IA. Ces garde-fous ajoutent une couche de défense significative, surtout lorsque les développeurs travaillent rapidement, effectuent plusieurs tâches à la fois ou font un peu trop confiance à l'outil.

Quelle est la prochaine étape ?

Ce n'est pas un produit fini, c'est un point de départ.

À mesure que les outils de codage par IA évoluent, notre approche du développement sécurisé doit faire de même. Nos Règles de sécurité pour l'IA sont gratuites, adaptables et extensibles à vos projets. Nous nous engageons à faire évoluer ces ensembles de règles en continu, et nous serions ravis d'avoir vos retours — alors essayez-les et dites-nous ce que vous en pensez.

Explorer les règles sur GitHub
Lire le guide d'utilisation des règles dans SCW Explore

Le codage assisté par IA transforme déjà la façon dont nous construisons des logiciels. Assurons-nous qu'il soit sécurisé dès le départ.