Failles du vibe coding : comment les sites générés par IA ouvrent des brèches aux pirates

Le vibe coding a permis à des millions de personnes de créer des applications sans savoir programmer : il suffit de décrire la tâche en langage courant et l'IA génère un code fonctionnel. C'est pratique, rapide et le résultat est souvent excellent. Mais cette accessibilité cache un problème auquel la plupart des débutants ne songent tout simplement pas : l'IA écrit du code qui fonctionne, mais pas toujours du code sûr.

L'histoire d'un site

Bob Starr, chef de projet dans le secteur technologique, a utilisé le vibe coding pour créer le site « Boomberg », un outil qui montrait clairement combien d'argent des impôts américains va aux entreprises technologiques. Satisfait du résultat, il a aussitôt mis le projet en ligne. C'est exactement ainsi que fonctionne le vibe coding : vite, de l'idée au produit, sans étapes intermédiaires.

Ce n'est que plusieurs mois plus tard que Starr a découvert un détail inquiétant : le code contenait une injection SQL. Il s'agit d'une faille classique par laquelle un attaquant peut lire ou modifier les données d'une base simplement en formulant une requête spéciale. La faille existait depuis le lancement ; personne ne l'avait remarquée.

« C'était une négligence manifeste de ma part.

Un angle mort total en adoptant une nouvelle technologie. Et je suis certain que d'autres commettent la même erreur », a reconnu Starr dans un entretien avec The Verge.

Pourquoi l'IA laisse passer les menaces

Les outils de programmation par IA sont optimisés pour une seule chose : que le code fasse ce qu'on lui demande. Ils produisent rapidement un résultat fonctionnel, mais la sécurité passe souvent au second plan, voire est totalement ignorée.

Le problème n'est pas la qualité de la génération. Le problème, c'est qu'un utilisateur sans expérience en développement ne sait pas quelles questions poser. Après avoir écrit son code, un ingénieur expérimenté vérifie toujours comment les données arrivent dans les requêtes vers la base, qui a accès aux fonctions d'administration et si des secrets ont atterri dans le dépôt. Pour la plupart des adeptes du vibe coding, ces questions ne se posent tout simplement pas.

Vulnérabilités typiques des projets conçus en vibe coding :

• Injections SQL : le code ne nettoie pas les saisies de l'utilisateur avant de les transmettre à la base
• Clés d'API exposées : les secrets se retrouvent directement dans le code source
• Dépendances obsolètes : utilisation de bibliothèques présentant des failles connues
• Endpoints non protégés : fonctions d'administration sans contrôle d'autorisation
• Failles XSS : affichage non sécurisé des données dans le navigateur

Ne pas sous-estimer l'ampleur

Le vibe coding a depuis longtemps dépassé le stade du phénomène de niche. Cursor, GitHub Copilot, Replit et Lovable ont attiré des dizaines de millions d'utilisateurs, dont beaucoup écrivent du code pour la première fois de leur vie. Une partie de ces projets sont des expériences personnelles sans utilisateurs réels. Mais d'autres sont déjà en ligne, traitent de vraies données et sont accessibles à tous.

Il faut comprendre que la faille trouvée par Starr n'a rien d'exotique. Les injections SQL figurent dans le OWASP Top 10 depuis plus de 15 ans et restent l'un des problèmes les plus répandus des applications web. L'IA les reproduit parce qu'elle a été entraînée sur du code qui en contenait.

L'histoire de Bob Starr est révélatrice précisément parce qu'il ne cherchait pas à brûler les étapes : il ne savait simplement pas ce qu'il fallait vérifier. C'est là le principal risque structurel du vibe coding : non pas la malveillance, mais l'ignorance systémique.

Ce que cela signifie

Le vibe coding abaisse le seuil d'entrée dans le développement, mais ne décharge pas de la responsabilité de ce que l'on publie sur le web. Si le projet traite des données d'utilisateurs ou est simplement accessible depuis internet, un audit de sécurité de base est obligatoire. Demander à la même IA de vérifier le code, étudier le OWASP Top 10 ou confier le projet à un spécialiste pour un audit rapide constitue déjà un bon début.