Un correctif de sécurité généré par IA a ouvert une faille chez Snowflake

La société de sécurité Wiz a révélé le 17 août qu’une correction produite automatiquement par GitHub Copilot Autofix — une fonction qui propose des corrections de failles dans le code — avait en réalité réintroduit une vulnérabilité dans le code de l’éditeur Snowflake. En remplaçant une pratique sûre par une écriture risquée, ce « correctif » a permis d’exécuter des commandes arbitraires dans la chaîne d’automatisation qui teste et déploie le code. Un agent autonome de Wiz l’a exploité pour récupérer un jeton d’accès à l’outil interne Jira de Snowflake, exposant plusieurs projets pendant cinq jours en juin avant que Snowflake ne corrige. Ce que cela change concrètement : les outils qui écrivent ou corrigent du code par IA raisonnent en imitant des schémas fréquents et peuvent réintroduire des pratiques dangereuses, avec assurance. Si vos équipes ou vos prestataires utilisent un assistant de code, exigez que ses productions passent les mêmes contrôles (relecture, analyse automatisée) que le code écrit à la main. Un correctif ne doit jamais partir en production au seul motif qu’il vient d’une IA.