Le blog Sécurité des applications construites avec l’IA
Code généré, agents, accès aux données, chaîne logicielle : des articles courts et sourcés. Chacun se termine par une action à mener.
À la uneFinance régulée
Le décès d’un porteur de parts ouvre un dossier fait d’actes notariés, de vigilance sur les ayants droit, d’écritures au registre et de paiements. Un agent d’IA peut lire, extraire et préparer. Inscrire et payer restent des décisions humaines, prises sur l’action exacte.
Raoul Barmat9 min
Finance régulée
Le décès d’un porteur de parts ouvre un dossier fait d’actes notariés, de vigilance sur les ayants droit, d’écritures au registre et de paiements. Un agent d’IA peut lire, extraire et préparer. Inscrire et payer restent des décisions humaines, prises sur l’action exacte.
Raoul Barmat9 min
Gouvernance
Le 5 novembre, la Commission a précisé l’article 50 du règlement sur l’IA et nommé les agents de codage. Leur code n’a pas à être marqué. Un agent placé devant des personnes doit dire qu’il est une IA, sauf si c’est manifeste.
Raoul Barmat8 min
Finance régulée
DORA ne parle pas d’agents de code, et n’en a pas besoin : ses règles sur le développement, les changements et les prestataires informatiques s’appliquent déjà au code qu’ils écrivent. Ce qu’elles impliquent, et les questions à poser avant de signer.
Raphaël Prasquier8 min
Chaîne logicielle
Depuis 2025, des paquets npm piégés pilotent les agents installés sur le poste, leur greffent de faux serveurs MCP et écrivent dans leur configuration pour se relancer. Et les agents ajoutent parfois eux-mêmes des paquets. Qui les approuve, à quel âge, verrouillés comment ?
Raphaël Prasquier8 min
Agents & accès
Jetons, comptes de service, serveurs MCP, agents achetés sur étagère : chaque agent agit avec des droits que quelqu’un a accordés, parfois sans le voir. Deux questions repèrent les plus exposés. Le refus se décide dans le service, et l’accord humain porte sur l’action exacte.
Aurélien Noce8 min
Gouvernance
Une levée de fonds, une cession ou le questionnaire d’un grand compte finit par ouvrir le code. Ce qu’on y cherche, comment répondre sans enjoliver, et ce que prouvent vraiment un scan, un test d’intrusion, une certification ISO 27001 ou un rapport SOC 2.
Raoul Barmat6 min
Code généré
L’application tourne, des clients paient, et personne n’a tout relu. Avant de réécrire, figez ce qu’elle fait, triez par rayon d’impact et décidez qui relit. Ce que disent vraiment les études, et par où commencer cette semaine.
Aurélien Noce8 min
Infrastructure
Une suppression par l’API tient en une requête. Une restauration jamais répétée prend un temps que personne ne connaît. Deux mesures, une liste de ce que la sauvegarde oublie et un exercice d’une semaine répondent à la question avant l’incident.
Raphaël Prasquier7 min
Agents & accès
Le 30 octobre 2026, l’ANSSI a publié deux pages et sept principes pour sécuriser un système d’IA agentique. Ce sont des recommandations. Leur fil : des contrôles que le modèle ne peut pas outrepasser. Voici les décisions qu’elles appellent, principe par principe.
Aurélien Noce8 min
Code généré
Le contrôle automatique d’une plateforme lit la configuration et vérifie que des règles d’accès existent. Il ne sait pas qui doit voir quelle facture. Ce test-là se fait avec deux comptes, une requête modifiée et une règle écrite en une phrase.
Raphaël Prasquier8 minLe scan gratuit
Nous examinons ce que vos équipes et prestataires livrent avec l’IA : code, infrastructure et accès aux données. Un humain relit chaque constat.
Demander le scan gratuitScan gratuit. Des failles détectées ? Le rapport détaillé est payant.