Pourquoi mon scanner de sécurité ne détecte-t-il pas la catégorie de vulnérabilités que mon assistant IA signale le plus souvent ?

Selon le rapport 2026 de Veracode sur la sécurité du code généré par l'IA (GenAI Code Security Report), les assistants de codage basés sur l'IA introduisent une faille de sécurité dans 44 à 72 % des tâches de génération, selon le langage utilisé. Les outils SAST existants ont été conçus et optimisés pour détecter des modèles de code écrits par des humains ; ils ne prennent pas en compte les signatures de vulnérabilité récurrentes et spécifiques à chaque modèle générées par un outil d’IA donné. Une étude comparative inter-modèles publiée en juillet 2026 sur arXiv a révélé que différents modèles de langage (LLM) concentrent les risques dans des classes de CWE (Common Weakness Enumeration) prévisibles et distinctes, même dans des bases de code sans aucun lien entre elles, et que les scanners actuels ne disposent pas de profils tenant compte des modèles pour exploiter cette régularité. Endorlabs a confirmé en 2026 que les scanners à modèles fixes ne détectent pas les failles qui dépendent du contexte inter-fichiers, ce qui correspond précisément aux points de défaillance les plus fréquents du code généré par l’IA. À l’heure actuelle, aucun scanner destiné à la production ne propose de profils adaptés au modèle ayant généré le code.