Les applications construites par IA sont fragiles : pourquoi les petits changements brisent l'isolement des données et les autorisations

Les développeurs utilisant des outils de codage IA comme Claude Code et Cursor rencontrent un problème récurrent : les applications construites par IA sont fragiles lorsqu'elles évoluent. De petites modifications cassent silencieusement des fonctionnalités critiques — connexion, autorisations, isolation des données. Un développeur a partagé un exemple concret : une application utilisateur simple où le changement de compte affichait les données d'autres utilisateurs. L'IA n'a pas écrit de code incorrect en soi ; elle n'a simplement pas compris les règles de propriété.

Problème central : l'IA génère à partir de la structure, pas de l'intention

La cause profonde est que les modèles d'IA génèrent du code basé sur des motifs structurels, et non sur l'intention métier originale du système. Ainsi, même des ajouts mineurs peuvent entraîner des échecs de sécurité ou d'autorisation non évidents.

Solutions pratiques partagées

Le développeur a trouvé trois mesures qui ont fonctionné :

• Rendre les règles de propriété explicites : Définir exactement qui possède chaque enregistrement (par exemple, clé étrangère user_id avec cascade).
• Appliquer les autorisations au niveau de l'API : Ne jamais se fier aux vérifications côté frontend. Utiliser un middleware ou des gardes (par exemple, authorize('owner', $record)) dans chaque route.
• Ne pas laisser l'IA inférer la logique métier à partir du code : Coder en dur les règles d'autorisation et de validation sans attendre du modèle qu'il les déduise d'exemples.

Pourquoi c'est important

Alors que de plus en plus de développeurs utilisent des agents IA pour amorcer des applications, comprendre ces modes de défaillance est essentiel. Sans contrôle, l'IA peut produire des applications qui semblent fonctionnelles mais qui présentent de graves problèmes d'isolation des données et d'escalade de privilèges. Le message a trouvé un écho dans la communauté r/ClaudeAI, indiquant qu'il s'agit d'un problème répandu.

Pour les équipes qui construisent avec l'IA, le message est clair : investissez dans une autorisation explicite au niveau de l'API dès le départ, et traitez le code généré par l'IA comme un premier brouillon nécessitant une révision de sécurité rigoureuse, en particulier autour de la propriété et des autorisations.