Développement logiciel IA soucieux de la sécurité avec Windsurf x Aikido

Auteurs : Brian Smitches, Responsable de l'ingénierie des déploiements partenaires chez Windsurf | Jin Wong, Ingénieur de déploiement partenaire chez Windsurf | Tarak, Responsable de la croissance chez Aikido

Les équipes de développement modernes font bien plus que simplement écrire du code. Désormais, avec l'aide de l'IA, les organisations de développement logiciel orchestrent sa création, sa maintenance et sa livraison à une échelle sans précédent. 

Des outils comme Windsurf et Devin de Cognition aident les développeurs tout au long du cycle de vie du développement logiciel (SDLC) en augmentant les capacités humaines avec des agents de raisonnement multi-étapes capables d'écrire du code. Windsurf vous permet d'intervenir directement dans votre base de code au sein de l'IDE de votre machine locale, tandis que Devin (le premier ingénieur logiciel IA au monde) vous aide à déléguer des tâches à des flottes d'agents autonomes, multipliant ainsi le volume de production par ingénieur. 

Bien que l'augmentation de la vélocité de développement soit au cœur de la proposition de valeur de ces outils d'IA, les clients soucieux de la sécurité veulent s'assurer que l'utilisation d'outils d'IA n'introduit pas de risques supplémentaires. L'atténuation des conséquences imprévues telles que les erreurs de configuration, les vulnérabilités ou les exploitations est essentielle pour garantir que vous puissiez rester sécurisé à la vitesse de l'innovation. C'est là qu'interviennent les plateformes de sécurité dédiées aux développeurs comme Aikido Security. 

Cet article explore comment intégrer la sécurité directement dans votre SDLC et vos pipelines de développement basés sur l'IA, en utilisant des outils comme Windsurf (IDE compatible IA), Aikido (sécurité axée sur les développeurs) et Devin (agent autonome). Ensemble, les bons outils, les bonnes personnes et les bons processus garantissent un développement logiciel efficace avec une posture de sécurité élevée.

Pourquoi votre SDLC a besoin d'une fondation axée sur la sécurité

En l'absence d'une posture de sécurité solide, les organisations sont confrontées à des risques, avec ou sans outils d'IA. Ceux-ci incluent, sans s'y limiter :

• Violations de données
• Menaces internes
• Attaques de la chaîne d’approvisionnement logicielle 
• Exploitations adverses

De nombreuses entreprises ont adopté les processus DevSecOps ou SecDevOps pour intégrer les pratiques de sécurité tout au long du pipeline de développement. S'assurer que les mesures de sécurité sont une priorité plutôt qu'une réflexion après coup protège contre les pertes financières, les sanctions réglementaires et les atteintes à la réputation.

Les systèmes d'IA sont très intelligents lorsqu'ils intègrent une bonne connaissance du contexte et une ingénierie des prompts appropriée. Les offres d'IA comme Windsurf et Devin permettent aux clients de définir un comportement personnalisé pour l'IA afin de les aider à traiter les problèmes de sécurité de manière proactive et réactive. Lorsque vous augmentez vos agents d'IA avec le contexte et les outils des offres de sécurité comme Aikido, vous débloquez des avantages tels que le "shift left" de la sécurité, le triage des vulnérabilités en temps réel avec un agent autonome, et la maturation de votre pipeline DevSecOps global.

IDE alimentés par l'IA : Là où le développement sécurisé commence

Windsurf intègre Cascade, un agent d'IA collaboratif, directement dans votre IDE afin de minimiser les perturbations des processus de développement normaux. L'agent peut être utilisé dans l'éditeur Windsurf (basé sur VS Code) ou comme plugin pour la suite d'IDE JetBrains. 

Cascade comprend le contexte de votre base de code, peut planifier et implémenter des modifications multi-fichiers, et fournir des suggestions de code en ligne. De manière critique, Windsurf a été conçu avec une philosophie "human-in-the-loop" (humain dans la boucle) pour se prémunir contre une IA entièrement autonome dans un environnement de développement traditionnellement manuel. 

Avec les développeurs aux commandes de leurs workflows et de leur collaboration avec l'IA, ils réalisent les avantages du développement logiciel agentique sans renoncer au contrôle. L'humain peut examiner les modifications suggérées par l'IA un extrait de code à la fois et peut éventuellement revenir à des points de contrôle précédents dans leur conversation. Le partenariat transparent entre le développeur humain et l'agent de codage crée un flux intuitif qui peut améliorer votre sécurité et votre efficacité.

Windsurf améliore davantage Cascade en offrant des mécanismes permettant aux utilisateurs de définir des normes et des pratiques de sécurité uniques pour leur développement quotidien à l'agent d'IA. Avec les personnalisations Windsurf (Windsurf Customizations), Cascade s'adapte aux directives spécifiques de l'équipe, aux normes de codage et aux détails d'implémentation. Les règles Windsurf (Windsurf Rules) vous permettent de codifier le style et la structure dans votre espace de travail, tandis que les workflows Windsurf (Windsurf Workflows) transforment les modèles de prompts répétitifs en playbooks réutilisables et partageables. 

Une IA davantage personnalisée et dotée d'outils de sécurité comme le plugin Aikido Windsurf aide les logiciels écrits par les utilisateurs à se conformer à vos normes de sécurité et aux meilleures pratiques.

Agents autonomes : Comment tirer parti d'ingénieurs logiciels IA supplémentaires 

Bien que les développeurs seront toujours nécessaires pour les tâches critiques et créatives, les agents autonomes tels que Devin gagnent de plus en plus en popularité pour des tâches plus circonscrites et répétitives. Vous pouvez considérer Devin comme l'équivalent IA d'un ingénieur logiciel junior qui s'adapte élastiquement aux changements de vos besoins en développement logiciel.

Grâce à Devin, les clients réalisent des migrations à grande échelle en un temps record, réduisent l'interminable arriéré de bugs et de demandes de fonctionnalités, et trient automatiquement les vulnérabilités signalées. 

Globalement, Devin aide les organisations à accélérer en allégeant la charge des équipes de développement existantes, et les organisations lui font confiance grâce à sa diligence dans l'exécution de tests et d'outils d'analyse de sécurité locaux avant d'initier des Pull Requests.

Comme Devin est conçu pour fonctionner en mode 1:N, il est intégré aux systèmes de collaboration existants, tels que Jira, Slack et Linear, où il peut recevoir des tâches assignées. Une fois sa tâche terminée, Devin crée une Pull Request et un journal d'audit de toutes ses recherches et de son travail afin que les développeurs puissent examiner la session. De plus, l'examen des Pull Requests résultantes dans leur outil de gestion de code source avec des outils de sécurité comme Aikido peut vous aider à accroître la confiance dans la livraison du code produit. 

Désormais, vos ingénieurs peuvent se concentrer sur les tâches ambiguës ou à haut risque, tandis que votre flotte d'agents répond aux demandes de fonctionnalités, aux bugs et aux vulnérabilités de sécurité identifiées par des systèmes de sécurité comme Aikido.

Le rôle d'Aikido

Tout en accélérant le développement dans les IDEs alimentés par l'IA et en orchestrant le développement logiciel avec des agents autonomes, Aikido garantit que la vitesse ne se fait pas au détriment de la sécurité.

Dans tout environnement de développement, même ceux augmentés par l'IA, des vulnérabilités de sécurité apparaîtront inévitablement. Un fichier de configuration commité pourrait inclure une clé API de test. Des Dockerfiles utilisés pour des tests locaux pourraient par inadvertance exposer un accès réseau étendu en staging. Des routes générées par l'IA et destinées à l'échafaudage peuvent atteindre la production sans authentification. Des modèles d'infrastructure-as-code pourraient sur-provisionner l'accès. Même de petits détails comme des traces de pile verbeuses ou des identifiants de test codés en dur peuvent entraîner des vulnérabilités réelles.

C'est pourquoi Aikido est conçu sur le principe de sécuriser le logiciel partout où vous le construisez, l'hébergez et l'exécutez, détectant les vulnérabilités de toutes tailles avant qu'elles ne deviennent des incidents.

En pratique, cela signifie qu'Aikido se connecte à vos outils et environnements de développement, des IDEs et pipelines CI aux artefacts de build et à l'infrastructure cloud, et vérifie continuellement les vulnérabilités. Il fournit des retours directement dans vos workflows existants, qu'il s'agisse de détecter des secrets avant un commit, de bloquer des builds CI sur des problèmes critiques, ou de révéler des risques de dépendance dans une pull request. Aikido applique sa propre IA pour aider à filtrer le bruit, à prioriser les découvertes à fort impact et à corriger automatiquement les vulnérabilités tout au long du SDLC.

En rejoignant les développeurs là où ils travaillent déjà, Aikido facilite l'action sans interrompre le flux de développement. En détectant les problèmes tôt à chaque étape, et même en temps réel, il permet aux équipes de se concentrer sur ce qu'elles font de mieux : livrer d'excellents logiciels. Les équipes peuvent avancer à toute vitesse dans le développement assisté par l'IA, confiantes dans la sécurité du code qu'elles écrivent, génèrent et livrent.

‍

‍

Comment utiliser Windsurf et Aikido

Augmenter Windsurf et Devin avec Aikido ne nécessite aucune configuration ou intégration complexe. Si Aikido est déjà connecté à votre dépôt distant, il surveillera les commits et les pull requests, que le code ait été développé dans Windsurf, par Devin, ou par un développeur dans Notepad ++.

Voici comment vous pouvez utiliser les deux outils ensemble :

1. Dans l'IDE : Codez plus intelligemment et plus sûrement
Windsurf intègre l'IA dans votre IDE. Aikido y intègre également la sécurité. Que le code provienne de vous ou d'un agent IA, Aikido garantit que l'arbre de travail respecte vos normes de sécurité en temps réel en vous aidant à :

• Détecter les secrets divulgués, tels que les jetons ou les identifiants, avant qu'ils ne soient commités
  
• Signaler les logiques risquées telles que les requêtes SQL brutes, les appels shell ou les validations d'entrée faibles
  
• Mettre en évidence les dépendances vulnérables, comme les bibliothèques open source

Avec Aikido intégré à l'IDE, vous obtenez un feedback immédiat sans changement de contexte, restant dans le flux tout en améliorant la sécurité.

2. Dans les CI et les PR : Une seconde paire d'yeux
Une fois le code sorti de l'éditeur, Aikido surveille vos pipelines CI et vos pull requests. Il analyse toutes les modifications, quel que soit l'auteur du code, vous aidant à :

• Vérifier à nouveau les vulnérabilités connues dans le code et les dépendances
  
• Valider les modifications apportées à l'infrastructure ou aux configurations de service
  
• Bloquer les fusions si des problèmes critiques sont détectés
  
• Filtrer le bruit de faible priorité pour ne voir que ce qui compte
  

Les résultats apparaissent en ligne dans la pull request ou dans les vérifications de statut CI. C'est tout, aucune configuration supplémentaire n'est nécessaire !

3. Au moment de la compilation : Inspectez ce que vous livrez

La sécurité va au-delà du code source. Lorsque vous construisez des conteneurs ou des packages, Aikido se concentre sur les artefacts réels produits en :

• Scannant les images à la recherche de packages système obsolètes et de vulnérabilités courantes
  
• Signalant les bibliothèques introduites par la génération de code ou les exemples copiés
  
• Vérification du code packagé pour les risques de licence avant la publication
  
• Fonctionne sans que vous ayez besoin de déclarer ce qui a été généré par l'IA
  

C'est là que les problèmes apparaissent souvent à partir de packages inclus automatiquement ou d'échafaudages basés sur des modèles provenant de dépendances d'applications tierces.

4. Après le déploiement : Surveillez le cloud
Aikido surveille l'environnement où votre application s'exécute et recherche les erreurs de configuration courantes via :

• Validation de la configuration cloud sur AWS, GCP et Azure
  
• Détection des services exposés, des buckets publics et des permissions faibles
  
• Vérification de Kubernetes, du réseau et des configurations de déploiement
  
• Aucun agent requis et rien à installer

C'est particulièrement utile si le code d'infrastructure généré par l'IA atteint les environnements de staging ou de production sans un examen approfondi.

5. En production : Tests comme un attaquant
Aikido peut exécuter des tests réels contre votre application lorsqu'elle est en ligne, tout comme un utilisateur ou un attaquant pourrait le faire. Aikido peut :

• Tester les routes et les fonctionnalités en utilisant des identifiants valides
  
• Trouver les risques d'injection, les points d'accès exposés et les contrôles d'accès manquants
  
• Détecter les API non documentées ou exposées involontairement
  
• Bloquer le trafic suspect en temps d'exécution si activé

C'est là que vous détectez les problèmes qui n'étaient pas visibles lors de la code review mais qui apparaissent dans le comportement de l'application lorsqu'elle est en production.

En fin de compte, quelle que soit la cause de la vulnérabilité de sécurité, vous devriez avoir un plan de réponse rationalisé qui déplace la sécurité le plus en amont possible. Aikido est là pour faire remonter les problèmes et vous aider à gérer le risque en mettant à jour manuellement votre code source dans des applications comme Windsurf Editor ou via Devin.

Prochaines étapes

Lorsque vous êtes prêt à mettre ces idées en pratique, nous vous recommandons les points de départ ci-dessous pour comprendre comment tirer parti des capacités de l'IA pour développer des logiciels et des applications sécurisés :

• Démarrez avec Windsurf : https://www.windsurf.com/university
• Scannez votre code avec Aikido : https://integrations.aikido.dev/integrations/windsurf
• Découvrez la fonctionnalité DeepWiki de Devin sur les dépôts publics à l'adresse deepwiki.com
• Démarrez avec Devin à l'adresse app.devin.ai
• Découvrez les pratiques de développement sécurisé d'Aikido : https://www.aikido.dev/learn/secure-development
• Regardez le webinaire d'Aikido sur le Secure Vibe Coding : https://www.youtube.com/watch?v=xGDYPRPoFPA

Une dernière réflexion

L'IA ne remplace pas les développeurs, elle les augmente. Mais la vélocité sans sécurité est une juste raison de s'interroger, nous vous recommandons donc d'améliorer vos mécanismes de sécurité avant de maximiser la vélocité. Les applications sécurisées n'apparaissent pas par hasard ; elles sont le résultat de la combinaison d'une conception réfléchie, d'outils performants et de la priorisation des personnes.

L'intégration de la sécurité à chaque étape, de la conception à la production, est un facteur clé pour aider les équipes à livrer plus rapidement et en toute sécurité.