Les applications web créées par IA exposent des données sensibles en clair

L’attrait de la création instantanée d’apps se heurte à la sécurité de base

Les générateurs d’applications assistés par IA ont rendu possible pour presque n’importe qui de créer et déployer une application web en quelques minutes. Cette vitesse fait partie de leur attrait. Elle est aussi, de plus en plus, une partie du problème.

Selon un article de Wired fondé sur une recherche de la société de cybersécurité RedAccess, des milliers d’applications publiques créées avec des outils comme Lovable, Replit, Base44 et Netlify présentaient peu ou pas de sécurité significative. Dans plus de 5 000 cas, les applications étaient accessibles à toute personne connaissant ou devinant l’URL. Environ 40 % des applications examinées exposaient des informations sensibles, selon Dor Zvi, cofondateur de RedAccess.

Les données exposées décrites dans le rapport ne sont pas anodines. Zvi a indiqué que les données comprenaient des informations médicales, des données financières, des présentations d’entreprise, des documents stratégiques et des journaux de chatbots clients. Wired a également indiqué avoir vérifié que plusieurs des applications exposées montrées dans les captures d’écran étaient toujours en ligne et accessibles.

Il ne s’agit pas seulement de bugs

Le point le plus important du rapport est que nombre de ces défaillances n’étaient pas des défauts de code subtils. Il s’agissait de cas d’absence, ou de quasi-absence, de contrôle d’accès. Certaines applications auraient permis à n’importe qui disposant d’un navigateur d’accéder aux données. D’autres reposaient sur des barrières fragiles, comme autoriser un visiteur à se connecter avec n’importe quelle adresse e-mail.

Cette distinction compte, car elle change le modèle de menace. Les équipes de sécurité ont l’habitude de rechercher des failles exploitables dans les logiciels. Ce que décrit RedAccess est plus fondamental: des applications mises en ligne sans véritable notion de qui devrait être autorisé à entrer.

En ce sens, le risque créé par les applications “vibe-coded” ne tient pas seulement au fait que l’IA puisse introduire de nouveaux bugs. C’est aussi que l’outil abaisse tellement la friction pour publier du logiciel que certains créateurs sautent entièrement les décisions de sécurité fondamentales.

Comment ces apps ont été trouvées

RedAccess a indiqué que le processus de recherche était étonnamment simple. Les plateformes mentionnées dans l’article permettent d’héberger des applications sur les domaines de l’entreprise elle-même plutôt que sur des domaines contrôlés par les utilisateurs. Les chercheurs ont ensuite utilisé de simples recherches Google et Bing ciblant ces domaines, combinées à d’autres mots-clés, pour identifier un grand nombre d’applications créées par IA.

Ce détail devrait inquiéter à la fois les fournisseurs de plateformes et les organisations qui utilisent ces outils en interne. Il suggère que les applications exposées n’étaient pas cachées dans des recoins obscurs du web. Elles étaient repérables par des méthodes de recherche ordinaires. Une fois repérables, toute couche d’authentification absente ou faible devient une voie directe d’exposition des données.

Pourquoi cela pourrait être un problème organisationnel plus large

Zvi a décrit le schéma de fuite en termes inhabituellement forts, affirmant que des organisations exposent des données privées via des applications de vibe-coding et qualifiant cela de l’un des plus grands événements jamais observés en matière d’informations sensibles ouvertes à n’importe qui dans le monde. Même en tenant compte de la rhétorique souvent associée aux divulgations de sécurité, le schéma sous-jacent est significatif.

La diffusion des outils de développement IA dans les entreprises signifie que la création logicielle n’est plus limitée aux équipes d’ingénierie traditionnelles. Les chefs de produit, analystes, marketeurs et équipes opérationnelles peuvent désormais assembler des outils internes ou des prototypes destinés aux clients avec un simple prompt et un bouton de déploiement. Cela change qui écrit le logiciel, mais pas ce que le logiciel peut exposer.

Si un employé relie une application créée par IA à des données internes et la publie avec les paramètres par défaut, le résultat peut être une fuite à grande échelle sans qu’aucun attaquant malveillant n’ait besoin de franchir un périmètre. L’application elle-même devient la brèche.

Le changement culturel derrière le problème

Une partie de l’histoire est technique, mais une autre est culturelle. Les plateformes de codage IA sont vendues sur l’immédiateté. Elles promettent que le logiciel peut être produit comme des présentations ou des documents: rapidement, de manière itérative, et sans grande formation spécialisée. Cette promesse est puissante, surtout dans les organisations qui veulent expérimenter plus vite.

Mais un logiciel n’est pas seulement un artefact créatif. C’est aussi une surface d’accès. Plus il devient facile de créer des apps, plus il devient facile de créer des apps non sécurisées à grande échelle. En ce sens, l’article de Wired ressemble moins à un problème isolé de fournisseur qu’à un signal d’alerte précoce sur une nouvelle forme de shadow IT.

Le problème est amplifié lorsque l’hébergement, le déploiement et la découvrabilité sont intégrés dans le même flux de travail. Si un utilisateur peut générer une app, connecter des données et la publier sur le domaine d’une grande plateforme en quelques minutes, alors la gouvernance doit intervenir plus en amont. L’examen de sécurité après déploiement peut être trop tardif.

Ce qui devrait se passer ensuite

L’article ne fournit pas de réponses officielles de toutes les plateformes citées, donc la conclusion la plus défendable est plus large qu’une seule entreprise. Les écosystèmes de création d’apps IA ont besoin de réglages par défaut plus stricts en matière d’authentification et d’exposition des données. Les utilisateurs ont besoin d’avertissements plus clairs sur ce qui devient public. Et les organisations doivent traiter les constructeurs d’apps par prompts comme de véritables environnements de développement logiciel, pas comme de simples outils de productivité inoffensifs.

La leçon générale est simple. Quand la création d’apps devient instantanée, la sécurité ne peut plus rester optionnelle ou supposée. La vraie percée des outils logiciels IA ne se mesurera pas seulement à la vitesse à laquelle ils publient du code. Elle se mesurera à leur capacité à empêcher des créateurs inexpérimentés de publier leurs données avec ce code.

Cet article s’appuie sur un reportage de Wired. Lire l’article original.