Sécurité
Code IA : une faille connue dans 45 % des tâches
Le rapport GenAI Code Security 2025 de Veracode et une étude du METR rappellent que la vitesse ne suffit pas sans changement de méthode.
Selon le 2025 GenAI Code Security Report de Veracode, dans 45 % des tâches de génération de code testées (80 tâches, plus de 100 modèles), le modèle a introduit une faille de sécurité connue du Top 10 OWASP. Le code compile presque toujours ; il n'est sûr que dans un peu plus d'un cas sur deux.
Un an plus tard, rien n'a bougé
L'édition 2026, publiée le 28 juillet, confirme le plafond (Veracode). Sur l'ensemble des modèles suivis depuis le début de la série, le taux de réussite en sécurité est de 56 %, contre 55 % dans le premier rapport : environ 44 % des tâches produisent encore une faille connue. Le meilleur modèle de l'échantillon, GPT-5.5, atteint 68 %, et six des onze nouveaux modèles testés plafonnent entre 50 et 53 %.
Trois idées reçues ne résistent pas aux données :
- Les modèles spécialisés en code ne sont pas plus sûrs : 51 % de réussite, contre 52 % pour les modèles généralistes.
- La taille ne change presque rien : 53 % pour les modèles de plus de 100 milliards de paramètres, 51 % pour les autres.
- Le raisonnement aide un peu : 56 % pour les modèles à raisonnement, 51 % sans.
Où ça casse
Les écarts tiennent surtout au type de faille. Les modèles évitent bien l'injection SQL (83 % de réussite) et choisissent correctement leurs algorithmes de chiffrement (87 %). Ils échouent en revanche sur le cross-site scripting (15 %) et l'injection dans les journaux (12 %), deux failles qui demandent de suivre le chemin des données dans l'application. Java reste de loin le langage le plus à risque, avec un taux moyen de 30 % dans l'édition 2026, même s'il est le seul à progresser nettement.
La vitesse, autre angle mort
Un essai contrôlé randomisé mené par le METR début 2025 a mesuré un ralentissement de 19 % chez 16 développeurs open source expérimentés travaillant avec l'IA sur 246 tâches réelles (METR). Avant l'étude, ils prévoyaient un gain de 24 % ; après coup, ils pensaient encore avoir gagné 20 %.
En février 2026, le METR a publié les résultats d'une seconde étude, sur 57 développeurs et plus de 800 tâches (METR). Les tâches avec IA y prendraient 18 % de temps en moins pour les développeurs déjà présents en 2025, et 4 % de moins pour les nouveaux, avec des intervalles de confiance qui incluent un ralentissement. Le METR juge lui-même ce résultat peu fiable : de nombreux développeurs ont refusé de travailler sans IA, ce qui sous-estime sans doute le gain réel.
Ce que ça change pour les développeurs
- Relire et tester le code généré reste indispensable, en priorité sur les entrées utilisateur, l'affichage HTML et les journaux.
- Brancher l'analyse dans la boucle de l'agent : des outils comme Sonar avec Gitar vérifient le code au moment où l'agent l'écrit, pas seulement en fin de chaîne (voir notre article).
- Choisir le modèle aussi sur sa sécurité : l'écart entre 50 % et 68 % de réussite se traduit directement en charge de correction.
- Mesurer avant de généraliser : les gains viennent de l'organisation du travail, pas seulement de l'outil.
Les limites
Veracode teste les modèles bruts, sans agent, sans garde-fous et sans revue humaine (communiqué) : en production, ces protections réduisent le risque. Veracode vend aussi des outils d'analyse de code. Les études du METR portent sur des développeurs open source expérimentés travaillant sur leurs propres dépôts, un cadre qui ne représente pas tout le métier.
Sources : Veracode, 2025 GenAI Code Security Report ; Veracode, 2026 GenAI Code Security Report, 28 juillet 2026 ; METR, juillet 2025 ; METR, février 2026.
Une erreur dans cet article ? Signalez-la · Notre politique de corrections
