Vibe Coding : l'app à un milliard et la dette sécuritaire dont personne ne parle
Le développement prompt-to-app explose. Les fuites de données aussi. 38 millions d'enregistrements exposés via Power Apps, 125 millions via Firebase, 40 % du code généré par IA jugé vulnérable.
« Génère-moi une app à un milliard » est un super prompt. Jusqu'à ce que les données de vos clients se retrouvent sur internet.
Le vibe coding, construire des logiciels par prompts en langage naturel et assistants IA, est passé de tendance Twitter à réalité d'entreprise en moins de deux ans.
Les incidents
En 2021, UpGuard a découvert que les portails Microsoft Power Apps exposaient 38 millions d'enregistrements via des flux OData anonymes chez 47 organisations. Dans Firebase, des chercheurs ont identifié environ 125 millions de fiches utilisateurs extractibles. En 2025, Passion.io a exposé 3,6 millions d'enregistrements (12,2 To) via une base de données non protégée.
Pourquoi les apps vibe-codées cassent différemment
La sécurité est dans la configuration, pas dans le code source. L'autorisation vit dans l'UI, pas sur le serveur. Les connecteurs amplifient les privilèges. Le code généré par IA introduit de nouveaux risques de supply chain, 205 000 noms de paquets hallucines, 40 % de code Copilot vulnérable.
Ce que les entreprises doivent faire
Refuser par défaut. Chaque point de données et chaque connecteur doit exiger une permission explicite.
Traiter chaque connecteur comme un rayon d'explosion. Identités de service séparées par application, moindre privilège, audit trimestriel.
Contrôler la publication, pas seulement la construction. Checks de sécurité pré-publication obligatoires.
Tout journaliser. Sans traçabilité, pas de réponse aux incidents ni de preuve de conformité.
hegyon.ai gouverne la couche entre vos collaborateurs, vos données et l'IA. Chaque flux est régi par vos politiques. Chaque interaction est journalisée. Car à l'ère du vibe coding, le plus grand risque n'est pas le mauvais code, ce sont les données non gouvernées.