Insecure Vibe Coding: When AI Writes Exploitable Software - Sana Talwar - NDC Oslo 2026

Insecure Vibe Coding: When AI Writes Exploitable Software - Sana Talwar - NDC Oslo 2026

Codage par vibes non sécurisé : quand l’IA écrit des logiciels exploitables - Sana Talwar - NDC Oslo 2026

Historique des titres
  • Insecure Vibe Coding: When AI Writes Exploitable Software - Sana Talwar - NDC Oslo 2026 — observé le 20261028-1453 UTC (YouTube)

par Sana Talwar · Voir la chaîne sur PSI

Sciences formelles & physiques IA — Modèles & Recherche UYQIntelligence artificielle (IA)UYQFIntelligence artificielle générative
🎙 Sana Talwar 👥 230K 📅 28 octobre 2026 ⏱ 42 min 👁 18 📄 expert opinion 🧭 2026-10-28
Disponible en : Français (actuel) English

Mots-clés

vibe codingsécuritéJWTinjection SQLargon2

Résumé

Cette conférence de Sana Talwar, enregistrée à NDC Oslo, aborde les risques de sécurité liés au « vibe coding », c’est-à-dire l’utilisation d’outils d’IA générative pour écrire du code rapidement. L’objectif est de montrer que ces outils optimisent pour que le code compile et fonctionne, mais pas nécessairement pour qu’il soit sécurisé. L’intervenante présente une application fictive nommée Confetti Club, qu’elle a elle-même construite avec l’aide de l’IA, et qu’elle analyse sous trois angles. La première faille concerne la validation de l’expiration des jetons JWT : une fonction de rafraîchissement désactive la vérification de l’expiration, ce qui est ensuite réutilisé par inadvertance dans un chemin d’autorisation, permettant à des jetons expirés d’accéder à des ressources protégées. La deuxième faille est une injection SQL due à une validation d’entrée qui se fait sur une représentation encodée de la donnée, tandis que la requête SQL utilise une version décodée, contournant ainsi le contrôle. Enfin, la troisième faille concerne le stockage des mots de passe : le code utilise SHA-256, un algorithme rapide, facile à brute-force, au lieu d’un algorithme spécialisé comme Argon2, qui est coûteux en calcul. Chaque démonstration montre que l’IA répond correctement à la demande fonctionnelle mais néglige les propriétés de sécurité. L’oratrice conclut en soulignant la nécessité de prompts plus précis et d’une revue de code attentive, et propose une checklist pour identifier ces problèmes.

226 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur de l’information est élevée : l’intervenante démontre concrètement trois types de vulnérabilités classiques apparaissant dans du code généré par IA, avec des démonstrations en direct et des correctifs expliqués. L’argumentation est solide : elle insiste sur le fait que les modèles d’IA sont entraînés sur des données hétérogènes incluant des exemples de code non sécurisés, et que les prompts des développeurs se concentrent sur le chemin nominal sans spécifier les exigences de sécurité. Elle souligne la distinction fondamentale entre « le code fonctionne » et « le code est sécurisé », et montre comment une même fonctionnalité peut être correcte du point de vue fonctionnel mais fausse du point de vue de la sécurité. La progression est logique et les exemples sont parlants.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est correcte : l’oratrice mentionne les recommandations d’OWASP (paramétrage des requêtes, Argon2 pour le stockage des mots de passe) et cite succinctement une étude de Veracode sur le taux de code non sécurisé généré par IA. Elle base ses affirmations sur des démonstrations pratiques et des concepts bien établis en sécurité informatique. Le titre « Insecure Vibe Coding » correspond exactement au contenu, qui illustre comment le code généré par IA peut être fonctionnel mais vulnérable. L’adéquation est donc parfaite.

223 mots

Adéquation titre / contenu

Le titre correspond parfaitement au contenu : trois démonstrations de logiciels générés par IA comportant des failles exploitables, avec des correctifs.

Qualité & fiabilité

8/10

Conférence technique de niveau professionnel, avec démonstrations pratiques de vulnérabilités réelles dans du code généré par IA. Références à OWASP et à une étude de Veracode. L'argumentation est cohérente et les correctifs sont expliqués.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

  • NDC Conferences — Site officiel des conférences NDC, où le talk a été enregistré.
  • NDC Oslo — Page de l'événement NDC Oslo, lieu de la présentation.

Apport & nouveautés

L’apport de cette conférence est de matérialiser de manière pratique des failles de sécurité récurrentes dans le code généré par IA, en montrant que même des développeurs avertis peuvent produire du code vulnérable si les exigences de sécurité ne sont pas explicitées dans les prompts. L’originalité réside dans la démonstration en direct et la proposition d’une méthodologie pour revoir le code généré par IA, avec une checklist concrète. Ce n’est pas une découverte théorique mais une sensibilisation appliquée aux outils d’IA.

Pour aller plus loin :

  • Injection SQL - Wikipédia — Une définition et des exemples de cette vulnérabilité classique.
  • JSON Web Token - Wikipédia — Pour comprendre le fonctionnement des JWT et les risques liés à leur validation.
  • Argon2 - Wikipédia — L’algorithme de hachage recommandé par OWASP pour les mots de passe, avec ses propriétés de résistance au brute-force.

141 mots

Profil radar

Le profil radar montre des scores élevés en qualité d'information, fiabilité et niveau technique, mais un score légèrement inférieur en quantité d'information, reflétant une présentation ciblée sur trois exemples précis plutôt qu'un panorama exhaustif.

Fiabilité 8/10