2026-03-10 12:33:00
Cybersécurité & agents IA : comment dépasser le buzz pour auditer son code sans risque
À mesure que les systèmes d'information gagnent en complexité, la cybersécurité devient un goulot d'étranglement pour la plupart des entreprises. Auditer chaque ligne de code, chaque plugin métier, à la main : c'est souvent tout simplement impossible. Alors on se tourne vers l'IA, qui promet d'analyser tout ça à une vitesse fulgurante. Sauf que lui confier les clés telle quelle pose deux problèmes qu'on esquive trop souvent : l'hallucination (détecter de fausses failles, ou rater les vraies) et l'exécution incontrôlée (du code arbitraire qui tourne, des données qui fuitent).
Voilà pourquoi je vous parle aujourd'hui d'un sujet qui dépasse le buzz : comment construire une infrastructure d'audit fiable, qui sépare ce qu'un outil d'analyse automatique — fiable, prévisible, toujours le même résultat pour le même code — sait faire, de ce qu'une IA sait faire. Et qui ne confond jamais les deux.
Un peu d'histoire, vite fait
L'audit de code assisté par machine ne date pas de ChatGPT. Il s'est construit par couches, chacune corrigeant les limites de la précédente.
Les outils d'analyse automatique classiques
Des règles figées qui passent le code au crible sans jamais l'exécuter. Fiables et sans risque — mais rigides, aveugles au contexte métier, et souvent trop bavards : beaucoup d'alertes à trier à la main.
L'IA généraliste en renfort
On colle le code dans un chatbot. Ça repère des patterns évidents, mais ça hallucine tout autant : impossible de distinguer une vraie faille d'une invention sans tout relire soi-même.
Les scanners « IA native »
Des outils dédiés combinent règles et LLM (Semgrep, Snyk, Copilot Autofix). Mieux, mais encore trop souvent en boîte noire, avec l'exécution du code analysé qui reste un angle mort.
L'architecture agentique hybride
Une chaîne d'agents spécialisés et cloisonnés : l'IA ne fait plus que qualifier ce qu'un outil d'analyse automatique a déjà trouvé — elle n'exécute jamais rien elle-même.
C'est cette dernière étape qui change la donne. Pas parce que le modèle serait devenu meilleur analyste tout seul, mais parce qu'on a arrêté de lui demander d'être à la fois l'outil et le garde-fou.
Pourquoi c'est si important
Un LLM généraliste, seul face à du code, fonctionne comme un expert qui lit en diagonale : il saisit très bien les concepts, mais peut ignorer la structure profonde du programme — et s'il doit tester lui-même le code, il peut carrément halluciner des résultats. Ce n'est pas une hypothèse théorique, la communauté open source vient d'en payer le prix concret.
Le message est cohérent des deux côtés : une IA lâchée seule sur de l'audit de sécurité génère du bruit, parfois au point de rendre un programme entier ingérable. La même IA, cadrée et branchée en aval d'un outil d'analyse automatique, double quasiment le taux de détection. Ce n'est pas le modèle qu'il faut changer — c'est l'architecture autour de lui.
Ce que ça donne, concrètement, sur Dolibarr
Je développe des modules Dolibarr depuis des années, avec leur lot habituel de points sensibles : des données saisies par l'utilisateur mal contrôlées, des requêtes vers la base construites à la main, des extensions qui touchent aux données d'un client. Voici comment cette architecture s'applique avant une publication Dolistore ou une mise en prod chez un client.
🔎 L'audit pré-publication Dolistore
Un outil d'analyse automatique passe le module au crible sans jamais l'exécuter. C'est la phase sans risque : une lecture froide du code, aucune hallucination possible à ce stade.
🧠 La qualification par une IA
Chaque point signalé (une donnée non vérifiée, une requête suspecte, une faille d'affichage) est relu par une IA qui tranche : fausse alerte à ignorer, ou vraie faille à corriger.
🔒 Le bac à sable pour tester sans risque
Un module tiers, un correctif client, une extraction de données à valider : tout tourne dans un environnement jetable et cloisonné, jamais directement sur l'installation du client.
📄 Le rapport, jamais l'exécution automatique
L'IA résume ce qu'elle a trouvé et propose une correction. Elle ne modifie jamais le code en production — la décision finale reste entre les mains du développeur.
Auditer du code avec de l'IA, ce n'est pas brancher un chatbot sur son dépôt et espérer le meilleur. C'est construire une chaîne où l'outil automatique fait ce qu'il sait faire — lire la structure sans jamais se tromper — et où l'IA fait ce qu'elle sait faire : comprendre le contexte, jamais l'exécuter.
Ce qu'il faut retenir
Une infrastructure d'audit agentique bien construite ne remplace ni les experts en cybersécurité ni les développeurs — elle leur offre un multiplicateur de force : des temps d'analyse réduits drastiquement, un audit continu possible sur chaque nouveau module avant son déploiement, et des données qui restent chez vous grâce à un premier tri effectué localement, qui limite ce qui part réellement vers une IA externe.
Je développe des modules Dolibarr depuis des années (30+ créations, 19 publiées sur le Dolistore), et j'intègre progressivement ce type d'architecture pour auditer mes propres modules avant publication.
Une question sur votre projet ? Écrivez-moi à massaoud@dzprod.net.
Massaoud Bouzenad — AI Strategist & Dolibarr Expert