Codage Corporate Vibe : les risques de sécurité que votre entreprise doit connaître avant de passer à l’échelle supérieure

Vibe Coding résout un problème bien réel : l’arriéré informatique qui freine l’innovation en entreprise. Mais il existe un aspect de cette histoire rarement évoqué dans les publications enthousiastes sur LinkedIn, et que tout DSI, DTI ou responsable de la sécurité se doit de comprendre avant de laisser cette pratique se répandre sans contrôle au sein de son organisation.

Dans cet article, nous avons compilé les données les plus récentes sur les risques liés au codage informel en entreprise et expliqué ce qui différencie une adoption sûre d'une bombe à retardement informatique parallèle.

Le problème n'est pas l'IA qui génère du code, mais le fait de générer du code sans gouvernance.

Les outils de programmation Vibe sont conçus pour fournir rapidement des logiciels fonctionnels. Toutefois, cela ne signifie pas pour autant que la sécurité, le contrôle d'accès, la protection des données et la validation des entrées sont systématiquement intégrés au logiciel. La sécurité dépend des capacités de l'outil, des instructions utilisées et, surtout, de la validation humaine et des contrôles appliqués au processus.

Les chiffres permettent de quantifier le risque.

• Le rapport GenAI Code Security Report 2025de Veracode a évalué plus de 100 modèles de langages de programmation sur 80 tâches de programmation et a constaté que 45 % des échantillons de code générés par l'IA ont échoué aux tests de sécurité basés sur le Top 10 de l'OWASP.

• Une étude publiée dans les actes de la conférence IEEE-ISTAS 2025 a mis en évidence un autre signal d'alarme : après cinq cycles d'amélioration assistée par l'IA, le nombre de vulnérabilités critiques a augmenté de 37,6 % lors de l'expérience. Ce résultat remet en question l'idée selon laquelle le simple fait de demander à l'IA d'« améliorer » son propre code en accroît nécessairement la sécurité.

• Une expérience par Tenzaien décembre 2025 a testé cinq agents de codage, dont Cursor et Devin, sur la création de trois applications identiques. Sur les 15 applications produites, toutes présentaient au moins une vulnérabilité SSRF, en plus de 69 autres vulnérabilités identifiées dans l'ensemble de données.

Le codage vibratoire est le nouveau shadow IT

L'informatique parallèle, c'est-à-dire les systèmes créés ou mis en place par les différents services à l'insu de l'équipe informatique, a toujours constitué un risque connu. Vibe Coding porte ce risque à un tout autre niveau, car désormais, n'importe quel employé peut développer une application complète capable de traiter les données clients et de se connecter aux systèmes internes, sans même que le service de sécurité ne soit au courant de son existence.

L’ampleur du problème est déjà mesurable : les recherches en sécurité numérique ont recensé environ 380 000 applications web créées à l’aide d’outils d’IA générative et accessibles publiquement sur Internet sans aucun contrôle d’accès ni authentification. Parmi celles-ci, environ 5 000 ont entraîné la fuite de données sensibles, tant professionnelles que personnelles, allant des plannings de travail hospitaliers avec identification des médecins aux stratégies commerciales et aux rapports d’incidents de sécurité.

Le rythme de découverte de nouvelles vulnérabilités s'accélère également. Le projet Vibe Security Radar, géré par le laboratoire de logiciels et de sécurité des systèmes de Georgia Tech, a recensé 35 nouvelles entrées CVE (registre international des vulnérabilités) directement attribuées à du code généré par l'IA pour le seul mois de mars 2026, contre seulement six en janvier de la même année.

Pourquoi cela se produit-il dans les entreprises (même avec de bonnes intentions) ?

Ce schéma se répète dans la quasi-totalité des rapports d'incidents : un collaborateur d'un service métier, pas forcément du service informatique, utilise un outil de codage Vibe pour résoudre un problème réel et urgent. L'application fonctionne, apporte rapidement une réelle valeur ajoutée et est mise en service sans aucun contrôle de sécurité, car, techniquement, aucune procédure formelle n'est prévue à cet effet.

Les défaillances les plus courantes rencontrées dans ce type d'application sont les suivantes :

• Injection SQL via concaténation de chaînes au lieu de requêtes paramétrées, présente dans environ 34 % des applications codées avec vibe testées au premier trimestre 2026.
• Les clés API et les secrets sont exposés directement dans le code source.
• Absence de contrôle d'accès, les bases de données et les tableaux de bord administratifs étant publics par défaut.
• Absence de pistes d'audit, rendant impossible de savoir qui a accédé à quoi ou qui a modifié quoi.

La gouvernance n'est pas un frein à l'innovation, c'est ce qui permet son passage à l'échelle

La bonne nouvelle, c'est que le marché réagit déjà. Le pourcentage de services informatiques dotés d'une politique de gouvernance formelle pour le développement citoyen est passé de 42 % en 2024 à 78 % en 2026. Parallèlement, une étude de Gartner révèle que 61 % des responsables informatiques citent l'informatique parallèle comme leur principale préoccupation liée aux outils low-code et à l'IA générative non contrôlée.

Cela ne signifie pas abandonner le codage par ambiance ; cela signifie changer la question. Au lieu de « comment interdire cela ? », les entreprises matures se demandent « comment cela peut-il se produire en toute sécurité, dans le cadre de nos systèmes et de nos règles ? ».

L’adoption responsable du codage des vibrations par les entreprises repose sur quatre piliers :

1. Une connectivité native et réelle avec les systèmes existants (ERP, CRM, bases de données), au lieu d'applications isolées qui doivent être intégrées manuellement ultérieurement.
2. Les données constituent un contexte fiable, provenant d'une couche d'unification des données d'entreprise, et non de sources disparates ou de données saisies par l'utilisateur lui-même.
3. Le contrôle d'accès, l'audit et la conformité (y compris la LGPD) sont intégrés nativement à la plateforme et ne sont pas ajoutés ultérieurement par le biais d'un correctif.
4. Visibilité centralisée pour le domaine informatique, avec un suivi de ce qui est créé, par qui et à quel niveau d'exposition.

L’erreur la plus fréquente : confondre un « créateur d’applications » isolé avec une plateforme d’entreprise

La plupart des outils de prototypage rapide les plus populaires du marché ont été conçus pour permettre aux développeurs individuels ou aux petites équipes de créer rapidement des prototypes. Ils remplissent parfaitement cette fonction, mais n'ont pas été conçus pour fonctionner au sein de l'architecture de sécurité, de données et d'intégration d'une moyenne ou grande entreprise.

La principale différence réside dans l'emplacement où l'application « réside » après sa création :

• Outils de création d'applications autonomes : ils génèrent une interface fonctionnelle, mais déconnectée des données et systèmes réels de l'entreprise. Chaque intégration doit être développée manuellement, et la responsabilité de la sécurité et de la maintenance incombe entièrement au créateur de l'application.
• Plateformes de codage d'ambiance d'entreprise : elles sont nativement connectées à la couche de données, aux API, aux ERP et aux agents d'IA déjà existants dans l'entreprise, héritant automatiquement des politiques de sécurité, d'audit et de conformité déjà établies.

C’est cette différence qui empêche l’agilité du codage intuitif de se transformer en dette technique, en systèmes sans maintenance, sans documentation et sans responsable, que quelqu’un devra démanteler (ou en subir les conséquences) tôt ou tard.

Liste de vérification rapide avant de déployer Vibe Coding dans votre entreprise

Si la réponse à la plupart de ces questions est « non » ou « je ne sais pas », il est probable que votre entreprise possède déjà un certain degré d'informatique parallèle générée par le codage informel ; vous n'en avez simplement pas encore découvert l'origine.

Comment appliquer le codage vibratoire en toute sécurité, en pratique

La solution n'est pas de choisir entre rapidité et gouvernance. Il s'agit d'adopter une plateforme où ces deux aspects ne sont pas en concurrence, car la gouvernance est déjà intégrée à l'architecture elle-même et ne dépend pas de la bonne volonté du développeur.

C’est précisément le rôle de Skyone Studio Creator : un module Skyone Studio qui permet de créer des applications, des portails et des automatisations en langage naturel, et qui est nativement connecté à la couche de données (Lakehouse), aux intégrations (iPaaS) et aux agents d’IA déjà en place dans l’entreprise. Il hérite ainsi des mêmes politiques de sécurité, d’audit et de LGPD (Loi générale brésilienne sur la protection des données) que le reste de la plateforme. Concrètement, cela signifie que la rapidité du développement intuitif cesse d’être un risque lié à l’informatique parallèle et devient une extension encadrée de l’architecture informatique de l’entreprise. 

Écrit par Skyone