Introduction : Le phénomène Vibe Coding

En février 2025, Andrej Karpathy, ancien directeur de l’IA chez Tesla et membre fondateur d’OpenAI, lançait un terme qui allait révolutionner le monde du développement : le « vibe coding ». Cette approche consiste à décrire une application en langage naturel et à laisser l’intelligence artificielle (Cursor, Lovable, Replit Agent, etc.) générer l’intégralité du code sans relire véritablement chaque ligne.

Le phénomène a connu une adoption explosive. Selon les données de Y Combinator, 25% des startups de la promotion Winter 2025 disposaient de codebases générées à 95% par l’IA. Le terme est devenu le mot de l’année 2025 selon le dictionnaire Collins, symbole d’une transformation profonde de notre rapport à la création technologique.

Dans mon expérience chez PromptBuildLab, j’ai accompagné de nombreux entrepreneurs et développeurs dans leur adoption de ces outils. La promesse est irrésistible : transformer une idée en prototype fonctionnel en 20 minutes, contre plusieurs semaines auparavant. Mais derrière cette façade séduisante, je constate quotidiennement des dérives préoccupantes que la communauté francophone peine à identifier.

Les risques de sécurité majeurs

Les vulnérabilités OWASP dans le code IA

Une étude majeure de Veracode (GenAI Code Security Report 2025) a analysé plus de 100 modèles de langage (LLM) a travers 80 taches de codage distinctes. Les résultats sont alarmants :

Langage	Taux d’échec securite	Niveau de risque
Java	72%	CRITIQUE
C#	45%	ELEVE
JavaScript	43%	ELEVE
Python	38%	MODÉRÉ

Tableau 1 : Taux d’échec de sécurité par langage (Veracode 2025)

Ces vulnérabilités ne sont pas marginales. Elles concernent les failles les plus critiques du classement OWASP Top 10, notamment les injections SQL (CWE-89) et les attaques XSS (CWE-80). L’IA échoue à se défendre contre les XSS dans 86% des échantillons de code concerné.

Le Slopsquatting : la nouvelle menace

Le « slopsquatting » (contraction de « slop » – code IA de mauvaise qualité – et « squatting ») représente une évolution inquiétante des attaques sur la chaîne d’approvisionnement logicielle. Les attaquants enregistrent des noms de packages que les modèles d’IA ont tendance à halluciner, puis attendent que des développeurs les installent sur recommandation de l’IA.

En 2024, le chercheur Bar Lanyado a démontré la faisabilité de cette attaque en publiant un package Python vide nommé « huggingface-cli » – un nom que les LLM hallucinent fréquemment. Résultat : plus de 30 000 téléchargements authentiques en trois mois, dont un README d’Alibaba copiant la commande hallucinée.

Métrique	Valeur
Taux d’hallucination packages (LLM)	5-38%
Packages malveillants créés (2023)	20-35%
Téléchargements huggingface-cli (PoC)	30 000+

Tableau 2 : Statistiques du slopsquatting (AI Incident Database)

Les arnaques et dérivés du marché

Le parallèle entre le vibe coding et la frénésie crypto de 2017-2021 est de plus en plus souvent évoqué. Les mêmes patterns émergent : promesses de richesse rapide, influenceurs reconvertis, terminologie hype (« moon », « just vibe bro », « no code needed »).

L’abus des outils AI par les cybercriminels

Proofpoint, leader en cybers securite, a publié en août 2025 des recherches révélant l’exploitation massive de Lovable.dev par des cybercriminels. Les constats sont sans appel :

• Des dizaines de milliers d’URL malveillantes créées mensuellement depuis février 2025

• Plus de 5 000 organisations impactées par des campagnes de phishing

• Distribution de kits de phishing MFA (Tycoon) et de « wallet drainers » crypto

• Sites clones de marques légitimes (Microsoft, UPS, banques) en quelques minutes

Les chercheurs de Proofpoint ont pu créer des sites de phishing fonctionnels sans rencontrer aucun garde-fou éthique de la part de la plateforme. L’absence de restrictions permet même aux utilisateurs novices de concevoir des sites pleinement fonctionnels contenant des scripts malveillants.

Les formations « get rich quick »

Une nouvelle vague d’influenceurs – souvent les mêmes qui promouvaient les crypto-monnaies il y a quelques années – vendent des formations « Deviens millionnaire avec le vibe coding ». Ces programmes promettent monts et merveilles sans nécessiter de compétences techniques, propageant des templates « copier-coller » qui s’avèrent être des arnaques.

Dans mon accompagnement de fondateurs non-techniques, je vois régulièrement des entrepreneurs séduits par ces promesses. Ils se lancent dans des projets critiques (fintech, healthtech) sans comprendre les implications sécuritaires, croyant que l’IA remplace l’expertise technique. C’est une erreur fondamentale qui peut couter tres cher.

Les cas concrets de failles catastrophiques

Moltbook : 1,5 million de clés API exposées

En janvier 2026, Moltbook – le réseau social « viral » pour agents IA – a subi une violation catastrophique. Son fondateur, Matt Schlicht, avait déclaré publiquement : « Je n’ai pas écrit une seule ligne de code pour Moltbook. J’avais juste une vision de l’architecture technique, et l’IA l’a rendue réelle. »

Les chercheurs de Wiz ont découvert une base de données Superbase complètement exposée. Conséquences :

• 1,5 million de jetons d’authentification API exposés en clair

• 35 000 adresses email de propriétaires d’agents

• Messages privés entre agents, certains contenant des clés API tierces

• Acces en ecriture complet à toutes les tables de la base de données

Enrichlead : la faillite en 72 heures

Lionel Acevedo, fondateur d’Enrichlead, s’est vanté sur les réseaux sociaux que 100% du code de sa plateforme était généré par Curseur avec « zero code écrit à la main ». Résultat : dans les 72 heures suivant le lancement, des chercheurs en sécurité ont découvert des failles critiques permettant a quiconque de contourner les restrictions de paiement et de modifier les données utilisateurs.

L’erreur fondamentale : l’IA avait placé toute la logique de sécurité côté client (navigateur), ou les utilisateurs peuvent facilement la modifier. Le projet a été définitivement fermé.

Tea App : fuites de données massives

L’application de rencontre Tea, ciblant les femmes, a subi deux violations majeures exposant 72 000 images sensibles, incluant des photos de permis de conduire et selfies de vérification. Les fuites résultant d’une configuration Firebase incorrecte – un problème classique lorsque les développeurs ne comprennent pas les implications sécuritaires de leurs choix techniques.

Incident	Date	Impact
Moltbook	Jan 2026	1,5M calls API + 35K emails
Enrichlead	2025	Faille paiement, fermeture
Tea App	2025	72K images sensibles fuites
Lovable CVE	Mai 2025	170 apps production vulnerables

Tableau 3 : Récapitulatif des incidents majeurs de vibe coding

Bonnes pratiques et gouvernance

Face à ces risques, il est essentiel d’adopter une gouvernance rigoureuse sans sacrifier les bénéfices de productivité du vibe coding. Voici le framework que je recommande aux équipes que j’accompagne :

Le cycle de securite du vibe coding

Generer et Augmenter : Utiliser l’IA pour générer le code initial, mais traiter la sortie comme un « premier jet » sophistique, pas un produit fini.
Vérifier et Renforcer : Intégrer des outils de scan automatique (SAST, SCA, DAST) directement dans la pipeline CI/CD.
Valider Comportementalement : Tester l’application en cours d’exécution pour identifier les vulnérabilités de logique métier que les scanners statiques ne détectent pas.

Checklist de sécurité essentielle

• Ne jamais faire confiance aveuglément au code genere par l’IA

• Vérifier systématiquement les dépendances suggérées (risque de slopsquatting)

• Ne jamais coder en dur les secrets/clés API dans le code

• Activer les contrôles d’accès au niveau des lignes (RLS) sur les bases de données

• Déplacer la logique de securite cote serveur, jamais côté client

• Effectuer des revues de code humaines sur les fonctions critiques

• Tester les flux d’authentification et d’autorisation manuellement

Outils recommandés

Outil	Fonction	Catégorie
Snyk	Scan dependances + SAST	SCA/SAST
SonarQube	Analyse qualité code	SAST
Wiz	Sécurité cloud/IA	CSPM
Git Guardian	Détection secrets	Secrets Mgmt
OWASP ZAP	Test penetration DAST	DAST

Conclusion

Le vibe coding n’est pas intrinsèquement dangereux – il est puissant pour les prototypes et les side-projects. Cependant, l’histoire récente nous rappelle douloureusement que l’absence de garde-fous mène a des conséquences désastreuses.

L’OWASP a d’ailleurs ajouté une section « Next Steps » dans son Top 10 2025 intitule « Inappropriate Trust in AI Generated Code » – un signal clair que ces risques sont reconnus au plus haut niveau de la communauté securite.

Mon conseil final : utilisez l’IA comme un multiplicateur de force pour votre expertise technique, pas comme un substitut. Comprenez l’architecture, validez la sécurité, et n’oubliez jamais que derrière chaque ligne de code générée par l’IA, c’est votre responsabilité qui s’engage.

La fenêtre pour anticiper ces menaces se resserre. Les attaquants sont déjà là. Les organisations qui agissent maintenant seront bien mieux positionnées que celles qui attendent.

VIBE CODING : Le Nouveau Far West

Introduction : Le phénomène Vibe Coding