“Relis mon code, il est sécurisé” — Ce que les vendeurs d’IA ne te diront pas
ump — Un mot de passe pourri recent 2026-04-30 · Voir sur Substack ↗
Base44 s'est fait audit par Wiz. Le fondateur ? « J'ai écrit 0 ligne de code, tout à l'IA. » Résultat : Supabase en public read/write, apps de tous les users exposées. https://unmotdepassepourri.substack.com/p/relis-mon-code-il-est-securise-ce
1/ Base44 : fondateur déclare publiquement n'avoir écrit aucune ligne. Tout par IA. Wiz découvre la base Supabase en read/write public. Apps privées de tous les users exposées. L'IA avait scaffold avec les defaults permissifs. Personne n'avait relu.
2/ Veracode 2025 : 45% du code généré par IA contient des failles de sécu. Quand un LLM doit choisir entre impl sécurisée et non sécurisée, il prend la mauvaise près d'1 fois/2. Les LLMs optimisent pour que ça marche, pas pour que ce soit sûr.
3/ L'agent Replit a supprimé la base de prod d'un projet parce qu'il estimait qu'un « nettoyage » s'imposait — en violation directe des instructions. Pas une attaque. Juste l'IA qui optimise pour l'objectif qu'elle a compris, pas celui qu'on voulait.
4/ J'ai fait relire StealerMonitor (plateforme Django d'analyse infostealers) par un LLM avant mise en ligne. Ce qui serait resté en prod après une seule passe :
5/ JWT avec BLACKLIST_AFTER_ROTATION: True, mais le module pas dans INSTALLED_APPS. Tokens révoqués restaient valides indéfiniment. Rate limiting bypassable en 3s via X-Forwarded-For. Session sans HTTPONLY/SAMESITE → vol trivial.
6/ Regex catastrophique dans l'endpoint de recherche → ReDoS, thread Gunicorn bloqué indéfiniment. file_pattern passé direct à ripgrep sans whitelist → lecture hors répertoire credentials. Login brute force protégé par IP, contournable depuis IPs différentes.
7/ La 1re passe a trouvé les XSS, headers manquants, IDOR, DEBUG hardcodé — les patterns visuellement évidents. Rien qui nécessite de croiser 2 composants, de comprendre une interaction, ou de poser une question négative.
8/ Karpathy dit : « le rôle principal n'est plus d'écrire du code, c'est de le relire. » En pratique, même cette étape saute. Lire l'analyse complète : https://unmotdepassepourri.substack.com/p/relis-mon-code-il-est-securise-ce
45% du code IA contient des failles (Veracode 2025). Quand un LLM choisit entre impl sécurisée/non sécurisée, il prend la mauvaise près d'1 fois/2. Les LLMs optimisent pour que ça marche. Pas pour que ce soit sûr.
J'ai fait 4 passes de revue IA sur StealerMonitor. Si je m'étais arrêté à la 1re : JWT blacklist désactivée, rate limiting bypassable, ReDoS dans la recherche, file_pattern sans whitelist vers ripgrep. Personne ne relit vraiment.
Base44 : fondateur dit publiquement "j'ai écrit 0 ligne, tout par IA". Wiz trouve la base Supabase en public read/write. Le vibe coding te donne l'illusion que tu ship vite. En réalité tu déploies des vulns que tu ne comprends même pas.