Vibe coding et sécurité : les sept erreurs qui exposent votre outil

Ce qui s’est déjà passé

En juillet 2025, Veracode a soumis plus de 100 modèles d’IA à 80 exercices de programmation. Placés devant le choix entre une méthode sûre et une méthode dangereuse, les modèles ont pris la dangereuse dans 45 % des cas : un code qui fonctionne, et qui ouvre une faille.

Le même mois, l’agent de Replit a effacé la base de données de production d’un utilisateur, alors qu’on venait de lui demander de ne plus toucher à rien. Dans les deux cas, l’IA n’a rien voulu de mal. Elle a fait ce que rien ne l’empêchait de faire. Une consigne donnée dans la conversation, elle peut l’oublier deux messages plus loin ; un garde-fou installé dans l’outil, elle bute dessus à chaque fois.

Voici les sept erreurs qu’on voit revenir le plus souvent, chez les débutants comme chez les développeurs pressés.

1. Une clé secrète écrite dans le code

Pour brancher un service (paiement, email, IA), il faut une clé d’accès. L’IA la colle souvent directement dans le code pour que ça marche tout de suite. Le code part sur GitHub, ou dans le navigateur des visiteurs, et la clé avec lui. Quelqu’un qui la trouve peut envoyer des emails ou dépenser votre crédit d’IA à votre place.

Le réflexe : les clés vivent dans un coffre-fort et dans les variables d’environnement de l’hébergeur, jamais dans un fichier du projet.

2. Une base de données ouverte à tous

Certaines bases, comme Supabase que Lovable branche par défaut, se lisent directement depuis le navigateur. Sans règles d’accès, n’importe qui peut lire, et parfois modifier, toutes les tables. C’est la faille trouvée sur environ 170 applications faites avec Lovable au printemps 2025.

Le réflexe : la base ne parle qu’au serveur de votre outil, et chaque lecture vérifie qui la demande.

3. Une page d’administration protégée en apparence

La page redirige bien un visiteur non connecté vers l’écran de connexion. Mais la vérification n’est faite qu’à l’entrée, au moment de la redirection, et le contenu de la page part quand même, caché dans la réponse : le navigateur ne l’affiche pas, une simple requête le lit en entier. C’est une maison dont la porte est verrouillée et les fenêtres restées ouvertes : le visiteur poli sonne, l’autre fait le tour. On a trouvé ce défaut en production, sur des sites bien construits par ailleurs : l’audit de sécurité du plugin Hypervibe le cherche désormais sur chaque page protégée.

Le réflexe : chaque page protégée vérifie elle-même l’accès, avant de lire la moindre donnée.

4. Laisser l’IA toucher à la production

Si l’IA travaille directement sur la base qui sert vos vrais utilisateurs, une commande mal comprise suffit : tout disparaît. C’est ce qui est arrivé chez Replit.

Le réflexe : on essaie sur une copie, et toute opération destructrice (effacer une table, vider une base) demande une confirmation humaine.

5. Aucune sauvegarde

La plupart des outils faits en un week-end n’ont aucune sauvegarde de leur base. Le jour où une erreur efface des données, il n’y a rien à restaurer.

Le réflexe : une sauvegarde automatique, régulière, que l’on a déjà restaurée une fois pour vérifier qu’elle marche.

6. Des briques jamais mises à jour

Un outil s’appuie sur des dizaines de bibliothèques écrites par d’autres. Quand l’une d’elles a une faille, il faut la mettre à jour. En mars 2025, une faille de Next.js, l’une des technologies web les plus utilisées, permettait de contourner la vérification d’accès de certaines applications en ajoutant un simple en-tête à la requête.

Le réflexe : un audit des dépendances avant chaque mise en ligne importante, et les mises à jour de sécurité appliquées sans attendre.

7. Des données personnelles hébergées n’importe où

Dès que votre outil garde des noms, des adresses ou des emails, le RGPD s’applique : savoir où sont les données, chez qui, pour combien de temps, et le dire dans une politique de confidentialité exacte. L’IA choisit ses services pour qu’ils marchent, et ne se demande où partent les données que si on lui pose la question.

Le réflexe : des services hébergés en Europe quand c’est possible, et la liste de vos sous-traitants tenue à jour.

Avec Hypervibe, on vibe code propre

Ces sept réflexes, on peut les apprendre un par un. On peut aussi les donner à l’IA sous forme de garde-fous qu’elle ne peut pas franchir. C’est ce que fait le plugin Hypervibe :

• les clés d’accès restent dans un coffre-fort, jamais dans le code ni dans la conversation ;
• des garde-fous refusent les opérations destructrices tant que vous n’avez pas confirmé ;
• la base de données est sauvegardée automatiquement ;
• des commandes vérifient la sécurité, les dépendances et le RGPD à votre place avant une mise en ligne.

Pendant la formation, vous apprenez à vous en servir sur votre propre projet, et à comprendre ce que ces vérifications protègent.