Un allié de taille : comment les outils de codage par IA et les développeurs sensibilisés à la sécurité peuvent collaborer en toute sécurité

Le code généré par l'IA peut être truffé de vulnérabilités et de défauts, mais les outils de codage assistés par IA restent utiles s'ils sont associés à des développeurs humains sensibilisés à la sécurité.

Alors que 2023 a été marquée par une effervescence intense et une popularité fulgurante pour la dernière itération de l'intelligence artificielle, l'IA générative, il est clair que cette technologie transformatrice ne fait que commencer. La plupart des experts prédisent que 2024 lui permettra d'atteindre des sommets encore plus élevés.

Étant donné que l'écriture de code dans plusieurs langages a été l'une des premières démonstrations des capacités de l'IA générative, il n'est pas surprenant que des enquêtes récentes révèlent que jusqu'à 93 % des équipes de développement intègrent des outils d'IA dans leur flux de travail. Ce n'est que récemment que ces équipes ont commencé à subir les effets secondaires négatifs de ce choix, car le code créé par l'IA peut être rempli de vulnérabilités exploitables.

En réalité, les outils de codage par IA ne sont pas, à l'heure actuelle, capables de reconnaître de manière fiable ce qu'est un code vulnérable, et encore moins d'éviter ces mêmes erreurs lors de la génération de nouveau code. Dans une étude approfondie menée par l'Université du Maryland, l'UC Berkeley, Google et d'autres, des chercheurs ont étudié 11 modèles d'IA appartenant à quatre familles différentes et les ont chargés de détecter des vulnérabilités dans du code informatique généré par des outils d'IA. Avec des taux de faux positifs élevés et une faible précision dans la détection des vulnérabilités, les chercheurs ont conclu que l'IA n'était tout simplement pas prête à assumer ce rôle. Et elle ne le sera peut-être jamais, car même après avoir tenté d'ajuster les modèles en les alimentant avec de nombreux exemples de code sécurisé, les modèles ont continué à échouer à des taux inacceptablement élevés.

Dans une autre étude menée par l'Université du Québec, des chercheurs ont demandé à l'IA générative populaire, ChatGPT, de générer 21 programmes et applications différents dans divers langages. Bien que toutes les applications codées par l'IA aient fonctionné comme prévu, seules cinq étaient sécurisées d'un point de vue cybersécurité. Les autres présentaient des vulnérabilités dangereuses que des attaquants auraient pu utiliser pour compromettre toute organisation les ayant déployées.

Humains et IA, unissons nos forces !

Ceux qui étudient le développement de l'IA ne devraient pas être trop surpris par ces études, ainsi que par beaucoup d'autres ayant obtenu des résultats similaires, moi y compris. Les IA génératives peuvent créer du nouveau contenu en s'appuyant sur de grands modèles de langage, qui sont essentiellement d'énormes bases de données de connaissances humaines compilées que l'IA sait naviguer et analyser rapidement pour proposer de nouvelles réponses. Le problème est que ces modèles contiennent à la fois les bons et les mauvais aspects de tout ce que les humains ont créé.

En matière de code, le résultat est que de nombreuses vulnérabilités et mauvaises pratiques sont incluses dans ces grands modèles de langage. Chaque vulnérabilité OWASP est absolument dissimulée dans ces modèles, ainsi que des milliers d'autres. Si un humain a commis une erreur en codant une application vulnérable, il est fort probable qu'elle soit incluse dans les modèles utilisés par les IA. Et il y a de fortes chances qu'une IA les utilise également lors de la génération de nouvelles applications complexes.

Alors, quelle est la solution ? Pouvons-nous toujours bénéficier de la rapidité offerte par le codage par IA tout en générant du code sécurisé ? Oui, mais seulement lorsque les humains et l'IA font équipe, chacun apportant ses meilleures compétences.

Malgré tous ses exploits, l'IA ne comprend pas vraiment le contexte. Vous pouvez lui demander de programmer, par exemple, l'infrastructure d'une boutique en ligne, mais elle ne sait pas ce que vous essayez de vendre, comment présenter les bons produits aux bons visiteurs, ni aucune des complexités de votre chaîne d'approvisionnement backend. L'écriture de code prenant tout cela en compte est bien plus adaptée aux développeurs humains, dont la mission principale est de créer des programmes qui aident à résoudre des problèmes métier. Les humains, surtout ceux qui travaillent dans leur secteur depuis longtemps, sont très doués pour résoudre ce genre de problèmes. Mais même les meilleurs programmeurs ont parfois besoin d'une mise à jour sur les rouages des implémentations complexes.

Par exemple, dans le récent Stack Overflow Developer Survey, 63 % des développeurs interrogés ont déclaré passer au moins 30 minutes par jour à chercher des réponses sur la manière d'implémenter un aspect d'une application ou d'un programme en cours de construction. Ce changement cognitif, où l'humain doit passer d'un processus créatif à un processus plus répétitif ou axé sur la recherche, consomme beaucoup de temps productif chaque jour.

C'est là que les outils d'IA sont les mieux équipés pour donner un coup de main virtuel. Si un développeur humain travaille sur un programme global comme la boutique en ligne mentionnée plus haut et qu'il bloque sur un aspect de l'implémentation, c'est là qu'un outil d'IA peut aider. Par exemple, écrire du code pour connecter une base de données de produits à une application de chaîne d'approvisionnement peut être fait extrêmement rapidement par une IA, sans que celle-ci ait besoin de comprendre le contexte global ou la mission du projet. Il est également beaucoup moins probable qu'elle introduise des vulnérabilités si elle n'est chargée que d'aspects fondamentaux du code.

Faire confiance, mais vérifier

Associer les développeurs humains aux outils d'IA, en permettant à chacun d'exploiter ses points forts, est une stratégie gratifiante qui peut accélérer le processus de codage tout en limitant certains dangers liés aux vulnérabilités induites par l'IA. Confier à l'IA des éléments plus petits du processus de création de code est moins risqué, mais des vulnérabilités peuvent toujours apparaître.

C'est pourquoi il est crucial que les développeurs suivent une formation en sécurité. Si un humain comprend à la fois le contexte global du projet et les meilleures pratiques de sécurité, il peut rapidement vérifier que toute partie du code générée par l'IA est correcte et exempte de vulnérabilités ou d'autres problèmes, comme des failles de logique métier. Un temps précieux sera économisé car le développeur n'a pas à chercher comment créer cette partie du code, il doit simplement s'assurer qu'elle est sécurisée et corriger les éventuelles failles.

Les outils d'IA sont impressionnants et peuvent grandement accélérer le développement. Cependant, ils ne sont pas capables d'écrire du code sécurisé de manière fiable, et des études récentes suggèrent qu'ils pourraient ne jamais atteindre cet objectif. Ils restent néanmoins incroyablement utiles, à condition d'être associés à des développeurs qualifiés, formés et sensibilisés à la sécurité.