Définir la norme : SCW publie des règles de sécurité gratuites pour le codage AI sur GitHub

Le développement assisté par l'IA n'est plus à l'horizon : il est là, et il redéfinit rapidement la façon dont les logiciels sont écrits. Des outils tels que GitHub Copilot, Cline, Roo, Cursor, Aider et Windsurf transforment les développeurs en leurs propres copilotes, permettant des itérations plus rapides et accélérant tout, du prototypage aux grands projets de refactoring.

Mais ce changement s'accompagne d'une tension familière : rapidité contre sécurité.

Chez Secure Code Warrior, nous avons beaucoup réfléchi à la manière d'aider les développeurs à rester en sécurité lorsqu'ils travaillent avec des outils de codage basés sur l'IA. C'est pourquoi nous sommes ravis de lancer quelque chose de simple, puissant et immédiatement utile : notre Règles de sécurité de l'IA — une ressource publique et gratuite accessible à tous sur GitHub. Vous n'avez pas besoin d'être un client de Secure Code Warrior pour les utiliser ; nous fournissons ces règles sous la forme d'une base communautaire gratuite que chacun peut adopter et étendre à ses propres projets.

Ces règles sont conçues pour servir de garde-fou, incitant les outils d'IA à adopter des pratiques de codage plus sûres, même lorsque les développeurs évoluent à une vitesse vertigineuse.

Résumé pour les plus pressés :

Alors que les outils de codage d'IA tels que Copilot et Cursor deviennent essentiels au développement moderne, la sécurité ne doit pas être une question secondaire. C'est pourquoi nous avons élaboré un ensemble de règles légères et axées sur la sécurité, conçus pour guider la génération de code d'IA vers des valeurs par défaut plus sûres.

• Couvre le frontend Web, le backend et les appareils mobiles
• Accès facile aux outils d'IA
• Public, gratuit et prêt à être intégré à vos propres projets

Découvrez les règles → https://github.com/SecureCodeWarrior/ai-security-rules

Faisons du codage sécurisé la valeur par défaut, même avec l'IA au clavier.

1. Pourquoi les règles sont importantes à l'ère du codage assisté par l'IA

Les outils de codage de l'IA sont incroyablement utiles, mais ils ne sont pas infaillibles. Bien qu'ils puissent générer rapidement du code fonctionnel, ils n'ont souvent pas les nuances nécessaires pour comprendre les normes, conventions et politiques de sécurité spécifiques d'une équipe ou d'un projet donné.

C'est là que les fichiers de règles au niveau du projet entrent en jeu.

Les outils d'IA modernes tels que Cursor et Copilot prennent en charge les fichiers de configuration qui influencent la façon dont le code est généré. Ces fichiers de règles agissent comme un murmure à l'oreille de l'IA et lui indiquent :

« Dans ce projet, nous ne concaténons jamais de chaînes SQL. »
« Préférez la récupération avec des en-têtes sécurisés aux valeurs par défaut non sécurisées. »
« Évitez d'utiliser eval () sauf si vous souhaitez un audit de sécurité. »

Ces règles ne constituent pas une solution miracle, ni un substitut à de solides pratiques de révision du code et à des outils de sécurité, mais elles peuvent aider à aligner le code généré par l'IA sur les pratiques que les équipes suivent déjà ou devraient suivre pour un développement sécurisé.

2. Ce que nous avons construit (et ce que nous n'avons pas construit)

Nos règles de démarrage sont disponibles dès maintenant dans dépôt GitHub public. Ils sont :

• Organisé par domaine, y compris le frontend Web, le backend et le mobile
  
• Axé sur la sécurité : couverture des problèmes récurrents tels que les failles d'injection, la manipulation non sécurisée, la protection CSRF, les faibles flux d'authentification, etc.
  
• Légers de par leur conception, ils sont conçus comme un point de départ pratique et non comme un livre de règles exhaustif

Nous connaissons la valeur de vos fenêtres contextuelles d'IA et la rapidité avec laquelle le code consomme ces jetons. Nous avons donc veillé à ce que nos règles soient claires, concises et strictement axées sur la sécurité. Nous avons délibérément pris la décision d'éviter les directives spécifiques à un langage ou à un framework, en optant plutôt pour des pratiques de sécurité largement applicables et à fort impact qui fonctionnent dans un large éventail d'environnements sans avoir d'opinion sur l'architecture ou le design.

Ces règles sont écrites pour être facilement intégrées dans les formats de configuration pris en charge par les outils d'IA, avec peu ou pas de refactorisation. Considérez-les comme un ensemble de politiques de départ qui incitent l'IA à adopter des paramètres par défaut sécurisés.

3. Une nouvelle couche de défense

Voici à quoi cela ressemble en pratique :

• Lorsque l'IA suggère un code qui gère les entrées de l'utilisateur, elle privilégie la validation et l'encodage, et non le simple traitement.
  
• Lors de la création de requêtes de base de données, il est plus probable de recommander le paramétrage, et non la concaténation de chaînes.
  
• Lors de la génération de flux d'authentification frontaux, l'IA sera plus susceptible de promouvoir les meilleures pratiques en matière de gestion des jetons, et non des piratages de stockage local non sécurisés.

Rien de tout cela ne remplace la gestion stratégique des risques pour les développeurs dans le cadre d'un programme de sécurité, y compris le renforcement continu des compétences en matière de sécurité. Cela n'élimine pas non plus le besoin de développeurs compétents en matière de sécurité, d'autant plus qu'ils demandent de plus en plus de LLM et examinent le code généré par l'IA. Ces garde-fous ajoutent une couche de défense significative, en particulier lorsque les développeurs agissent rapidement, effectuent plusieurs tâches à la fois ou font simplement un peu trop confiance à l'outil.

Quelle est la prochaine étape ?

Il ne s'agit pas d'un produit fini, mais d'un point de départ.

À mesure que les outils de codage de l'IA évoluent, notre approche en matière de développement sécurisé doit également évoluer. Notre Règles de sécurité de l'IA sont libres d'utilisation, adaptables et extensibles à vos projets. Nous nous engageons à faire évoluer ces règles en permanence, et nous aimerions avoir votre avis. Essayez-les et dites-nous ce que vous en pensez.

Découvrez les règles sur GitHub
Consultez la directive relative aux règles d'utilisation dans SCW Explore

Le codage assisté par l'IA redéfinit déjà la façon dont nous créons des logiciels. Faisons en sorte qu'il soit sécurisé dès le départ.