De l’innovation numérique à la gestion des risques logiciels

L'IA générative comme nouvelle surface applicative

L'intégration de modèles d'IA générative (LLM — Large Language Models) dans les applications métiers crée une catégorie de vulnérabilités qui n'existait pas dans les référentiels de sécurité traditionnels. Le prompt injection — l'équivalent de l'injection SQL pour les LLMs — permet à un utilisateur malveillant d'injecter des instructions dans le prompt traité par le modèle pour modifier son comportement, exfiltrer des données contextuelles, ou contourner des restrictions. Les attaques de data poisoning ciblent les données d'entraînement ou de fine-tuning pour introduire des biais ou des comportements malveillants dans le modèle. Le model inversion tente de reconstruire des données d'entraînement à partir des réponses du modèle.

L'OWASP a publié en 2023 un Top 10 spécifique aux applications LLM, couvrant ces nouvelles classes de vulnérabilités. Les équipes de sécurité qui accompagnent les projets d'intégration d'IA générative doivent se former spécifiquement à ces risques, qui diffèrent fondamentalement des vulnérabilités applicatives classiques.

Le low-code et no-code : démocratisation et risques

Les plateformes low-code et no-code (Microsoft Power Platform, Salesforce Flow, Appian, OutSystems) permettent à des utilisateurs non-développeurs de créer des applications fonctionnelles sans écrire de code. Cette démocratisation du développement répond à des besoins réels de productivité mais crée des applications hors des processus de gouvernance sécurité habituels : pas de revue de code, pas de tests SAST, pas de gestion des dépendances, pas de processus de décommissionnement formel.

Les risques spécifiques incluent : des flux automatisés qui partagent des données sensibles avec des services externes non approuvés, des applications qui accèdent à des sources de données sans contrôle d'autorisation au niveau objet, et des configurations de partage qui exposent des données à des utilisateurs non autorisés. La gouvernance du low-code/no-code doit définir des standards de sécurité adaptés à ces environnements et des processus de revue proportionnés à la sensibilité des données traitées.

L'edge computing et les APIs comme nouvelles frontières

Le déploiement de logiques applicatives sur l'edge (CDN workers, fonctions serverless edge, traitement à la périphérie du réseau) rapproche le code des utilisateurs mais éloigne les équipes de sécurité du périmètre de contrôle. Des logiques métier qui s'exécutent sur des centaines de points de présence distribués sont plus difficiles à auditer, à mettre à jour en urgence, et à monitorer que des applications centralisées.

La prolifération des APIs — internes, partenaires, publiques — continue d'augmenter la surface applicative exposée. L'OWASP API Security Top 10 documente des vulnérabilités dont certaines (BOLA, BFLA — Broken Function Level Authorization) sont structurellement favorisées par l'architecture API-first qui dissocie les contrôles d'accès de la logique de présentation.

Une posture anticipatoire face à l'innovation

La réponse à l'accélération de l'innovation numérique ne peut pas être le refus ou le ralentissement systématique. Elle doit être une posture anticipatoire : identifier les nouvelles technologies avant leur adoption généralisée, former les équipes de sécurité sur leurs risques spécifiques, définir des standards de sécurité adaptés avant le déploiement à grande échelle, et créer des processus d'exception qui permettent l'innovation rapide avec un niveau de risque maîtrisé.

Le modèle du "security champion" dans les équipes d'innovation — un membre de l'équipe formé à la sécurité des nouvelles technologies adoptées — est plus réactif que le modèle de la revue centrale par l'équipe sécurité, qui ne peut pas absorber le rythme de l'innovation dans toutes les équipes simultanément.