What 2,000 Exposed Vibe-Coded Apps Reveal About the Limits of Most Security Stacks

Le Risque Émergent du « Vibe Coding » : Applications Shadow AI et Exposition des Données

Le développement d’applications via l’IA (ou vibe coding) permet à des employés non techniciens de créer des outils fonctionnels connectés aux systèmes de production de l’entreprise. Ce phénomène crée une nouvelle forme de « Shadow AI » où des applications personnalisées, souvent publiées sur l’internet public sans contrôle d’accès adéquat, exposent des données sensibles sans passer par les processus de sécurité habituels.

Points clés :

• Expansion rapide : Plus de 2 000 applications créées par des employés via des plateformes d’IA ont été identifiées comme étant publiquement accessibles, exposant des données critiques.
• Limites des outils traditionnels : Les solutions classiques (EDR, DLP, CASB, Firewall) échouent à détecter ces menaces, car elles ne voient pas les interactions au niveau de la session de navigation ou sur des appareils non gérés (BYOD).
• Risque métier : Contrairement au Shadow IT traditionnel (SaaS connu), ces applications sont construites sur mesure, connectées directement aux systèmes d’enregistrement (ERP, CRM) et échappent à toute gouvernance.

Vulnérabilités : Il n’existe pas de vulnérabilité logicielle (CVE) unique, mais plutôt une faille de conception systémique :

• Défaut de contrôle d’accès : Configuration par défaut permettant un accès administrateur à n’importe quel utilisateur disposant de l’URL.
• Exposition publique : Publication non sécurisée d’applications traitant des données confidentielles sur l’internet public.
• Intégrations non supervisées : Connexion directe via OAuth ou API entre des applications créées par des employés et des systèmes critiques, sans audit de sécurité.

Recommandations :

• Inventaire proactif : Interroger directement les collaborateurs sur les outils qu’ils ont développés, en privilégiant une approche de collaboration plutôt que de sanction.
• Cartographie des risques : Identifier les systèmes connectés à ces applications (OAuth, API) et supprimer immédiatement l’accès public pour les outils exposés.
• Définir un cadre approuvé : Établir une liste de plateformes autorisées et définir des standards minimaux d’authentification et de gestion des données.
• Visibilité au niveau de la session : Adopter des solutions capables de monitorer l’activité au niveau du navigateur et de la session, indépendamment du type d’appareil ou du réseau utilisé, pour assurer une découverte continue.

Source