Une étude de grande ampleur portant sur plus de 6 000 correctifs logiciels a révélé que les corrections générées par l’IA ne fournissent souvent pas de solution fiable. Selon les résultats, environ la moitié des correctifs examinés n’ont pas abouti d’une manière ou d’une autre, ce qui met en évidence les risques liés au fait de considérer la génération automatisée de code comme un substitut à l’ingénierie et aux tests de sécurité.
Les recherches indiquent qu’un correctif peut sembler fonctionner tout en créant de nouveaux problèmes. Certaines corrections ont introduit des bugs supplémentaires, tandis que d’autres ont perturbé des fonctionnalités existantes ailleurs dans l’application. Dans d’autres cas, le correctif a éliminé le symptôme visible, mais laissé une faiblesse sous-jacente que les attaquants pouvaient contourner.
Pourquoi les corrections automatisées doivent être contrôlées
Les outils d’IA peuvent produire du code rapidement et aider les développeurs à répondre aux vulnérabilités dans des délais serrés. Cependant, un correctif généré ne constitue pas nécessairement une remédiation complète. Les modèles peuvent mal comprendre comment une vulnérabilité est déclenchée, négliger les interactions avec le code environnant ou optimiser le résultat pour un cas de test étroit plutôt que pour le comportement global du logiciel.
Les résultats de l’étude soulignent la différence entre faire disparaître une vulnérabilité lors d’un test et l’éliminer en pratique. Un correctif qui passe une validation de base peut tout de même réduire la fiabilité, créer un défaut distinct ou laisser accessible un autre vecteur d’attaque.
Implications pour les équipes de développement
Les organisations qui utilisent le développement assisté par l’IA devraient considérer les correctifs générés comme des brouillons nécessitant une évaluation humaine. Les équipes de sécurité et les développeurs devraient examiner la modification proposée, tester les fonctionnalités affectées, évaluer les éventuels contournements et vérifier que la vulnérabilité d’origine est entièrement corrigée. Les tests de régression et la validation indépendante de la sécurité sont particulièrement importants pour les correctifs appliqués à des systèmes largement utilisés ou sensibles.
Les correctifs générés par l’IA peuvent rester utiles pour accélérer l’analyse et le développement, mais l’étude suggère qu’ils ne devraient pas être déployés automatiquement. Un examen attentif et des tests rigoureux demeurent des étapes essentielles du processus de gestion des vulnérabilités.