L'IA écrit du code plus rapidement que les équipes de sécurité ne peuvent le vérifier. Une nouvelle étude de la Linux Foundation, sponsorisée et participée par ActiveState, révèle que 58 % des équipes publient du code plus vite que les revues de sécurité ne peuvent suivre ; par ailleurs, 60 % des répondants déclarent que les assistants de programmation basés sur l'IA ont augmenté le nombre de paquets externes dans leurs bases de code. Toutefois, les équipes ne vérifient les dépendances indirectes, ou « dépendances transitives », introduites par ces paquets que dans environ la moitié des cas.
ActiveState est le sponsor et contributeur de cette nouvelle étude. L'étude est soutenue par l'Open Source Security Foundation (OpenSSF) et la LF AI & Data Foundation. ActiveState a publié lundi les résultats de l'étude intitulée « State of AI Impact on Software Security and Cybersecurity 2026 ». L'étude indique qu'un écart croissant se creuse entre la vitesse du développement logiciel piloté par l'IA et la capacité des organisations à protéger la sécurité du code qu'elles produisent.
Des études indiquent que ces défis deviennent de plus en plus urgents à mesure que l'IA accélère à la fois la génération de code et la détection de vulnérabilités, laissant aux organisations de moins en moins de temps pour identifier et corriger les problèmes avant qu'ils ne soient exploités par des attaquants. La vulnérabilité PHP2Shell d'octobre 2026 illustre cette urgence : des correctifs d'urgence ont été publiés quelques heures seulement après la divulgation de la faille, et des tentatives d'exploitation ont déjà été signalées. Selon les recherches, à mesure que la vitesse de détection et d'exploitation des vulnérabilités augmente, les organisations font face à une pression croissante pour s'assurer que les revues de sécurité, les audits des dépendances et les correctifs suivent le rythme.
Cette enquête a couvert 172 professionnels de la sécurité provenant d'entreprises et de projets open source. Elle a également révélé que l'IA constitue également une partie de la solution, mais avec certains compromis. Les répondants ont indiqué que 30 % des vulnérabilités détectées au cours de la dernière année ont été identifiées à l'aide d'outils d'assistance par IA ; 69 % des répondants ont déclaré que ces outils ont considérablement amélioré leur posture de sécurité. En moyenne, les outils d'IA ont accéléré le travail de sécurité de 17 %, mais les faux positifs sur les vulnérabilités ont augmenté la charge de travail des professionnels de 30 %, soulignant la nécessité d'équilibrer les gains d'efficacité apportés par l'IA et une supervision de sécurité efficace.
Abby Kearns, PDG d'ActiveState, déclare : « Les assistants de programmation IA ne se contentent pas d'écrire du code ; ils choisissent également vos dépendances, et cette étude montre que les équipes n'ont vérifié qu'environ la moitié du contenu qui en découle. Cela correspond à ce que nous entendons chaque semaine de la part de nos clients. Ralentir les développeurs ne résout pas le problème. La solution consiste à déterminer avant l'intégration dans le dépôt quels éléments sont dignes de confiance, afin que les développeurs et leurs outils IA puissent commencer à partir de composants déjà approuvés par les équipes de sécurité. »
Les autres principales découvertes incluent :
- Les compétences sont en danger. 82 % des répondants estiment que la dépendance excessive aux outils IA affaiblit les compétences en sécurité des développeurs.
- La préoccupation dépasse la préparation. Pour chaque menace liée à l'IA mesurée, plus de professionnels expriment une préoccupation que de déclarer être prêts. L'écart le plus important concerne l'automatisation de l'exploitation de vulnérabilités et les tests de fuzzing par l'IA, avec une différence de 41 points de pourcentage.
- La chaîne d'approvisionnement occupe la première place sur la liste des préoccupations. Les attaques contre la chaîne d'approvisionnement constituent le problème le plus préoccupant pour les experts en sécurité, avec 93 % ; suivies de l'injection de prompts, avec 90 % ; et de la charge de maintenance liée aux mises à jour fréquentes des composants, avec 87 %.
- La responsabilité n'est pas clairement définie. Seuls 30 % des équipes disposent d'un poste dédié aux menaces de sécurité liées à l'IA, et environ un tiers des équipes ont une politique de sécurité formelle incluant l'IA.
- La clarté des responsabilités rapporte des résultats. Parmi les équipes ayant un poste dédié à la sécurité de l'IA, 75 % déclarent être suffisamment préparées pour faire face à des attaques adversariales contre les systèmes d'IA ; ce chiffre s'élève à 50 % parmi l'ensemble des répondants.
- La revue humaine n'est pas une exigence par défaut. Parmi les équipes disposant d'une politique de sécurité pour l'IA, seulement 57 % exigent une revue humaine du code généré par l'IA.
L'étude indique que ces résultats, pris ensemble, suggèrent qu'à mesure que l'adoption de l'IA augmente, il est nécessaire de définir plus clairement les responsabilités en matière de sécurité et de renforcer la gouvernance. L'étude souligne également qu'établir des postes dédiés, élaborer des politiques claires et mettre en œuvre correctement les outils est associé à un niveau de préparation plus élevé ; toutefois, cette enquête n'a pas prouvé que ces pratiques en étaient la cause.
Laura Guazzelli, architecte sécurité pour les systèmes AI/ML/LLM/Agentic à l'OpenSSF, déclare : « Alors que l'IA accélère le développement logiciel, les organisations doivent également gouverner et protéger les codes produits avec la même prudence. Cela commence par comprendre où l'IA introduit des risques dans la chaîne d'approvisionnement logicielle, identifier qui est responsable de répondre à ces risques, et s'assurer que les pratiques de sécurité suivent l'évolution des méthodes de construction logicielle. »
Le rapport recommande que les organisations désignent un responsable clair pour les menaces liées à l'IA, établissent une politique formelle de sécurité de l'IA et intègrent une revue humaine du code généré, tout en renforçant le contrôle sur les dépendances directes et transitives. Sur la base de ces constatations, ActiveState recommande d'appliquer une gouvernance dès l'introduction des composants open source, permettant à l'équipe de sécurité de déterminer quels composants peuvent entrer dans la chaîne d'approvisionnement logiciel avant qu'ils ne soient intégrés par les développeurs ou les assistants IA.
Le rapport complet « État des lieux de l’impact de l’IA sur la sécurité logicielle et la cybersécurité en 2026 » est disponible sur le site de la Linux Foundation, avec les résultats de l’étude et des recommandations pratiques : https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
À propos d'ActiveState
ActiveState affirme que l'entreprise s'engage à garantir la sécurité de la chaîne d'approvisionnement logicielle dès la source à l'ère du codage par l'IA. Grâce à ActiveState Curated Catalog — un dépôt privé et validé de composants open source — les équipes de sécurité peuvent déterminer quels éléments sont autorisés à entrer dans les logiciels d'entreprise avant qu'ils ne soient introduits par les développeurs ou des assistants de programmation IA. L'entreprise indique que cela permet aux équipes de sécurité de reprendre le contrôle tout en préservant la vitesse de développement des équipes d'ingénierie. Curated Catalog est compatible avec les dépôts d'artefacts, les scanners et les assistants de programmation IA déjà utilisés par les équipes. Pour plus d'informations, consultez activestate.com.
Source du message : ActiveState