Comment trouver des vulnérabilités dans le code avec des agents IA sans se ruiner

Récemment, je suis tombé sur deepsec, créé par l'équipe de Vercel Labs. L'idée m'a immédiatement passionné : les développeurs proposent d'utiliser des agents IA pour une analyse de sécurité approfondie des bases de code. Contrairement aux analyseurs statiques classiques (SAST) qui vous submergent souvent de faux positifs, celui-ci adopte une approche de recherche « intelligente ».

Le problème des outils legacy, c'est qu'ils repèrent des motifs mais passent à côté du contexte. Deepsec essaie de corriger ça.

Qu'est-ce que c'est exactement

En essence, c'est un wrapper pour gérer les analyses. Le système ne se contente pas de chasser les snippets de code dangereux avec des regex — il envoie les zones suspectes aux modèles de langage pour analyse. Les créateurs préviennent honnêtement que scanner un gros dépôt à pleine intensité peut revenir cher. Le README mentionne des coûts de plusieurs milliers, voire dizaines de milliers de dollars.

Les chiffres font peur, mais le raisonnement de Vercel est simple : un seul bug critique manqué en production pourrait coûter bien plus cher à l'entreprise.

Comment ça fonctionne

L'outil opère en plusieurs étapes. D'abord, un premier passage rapide s'exécute sans réseaux de neurones — la commande scan identifie simplement les zones potentiellement problématiques à l'aide de matchers. Cette phase ne coûte rien.

La vraie magie opère avec la commande process. C'est là que les agents prennent le relais. Ils récupèrent les résultats de la première étape et commencent à les démêler. L'agent détermine s'il y a réellement une vulnérabilité ou si c'est une fausse alerte. Pour les projets massifs, l'exécution peut être distribuée sur plusieurs workers.

Fonctionnalités que j'ai appréciées

Deepsec a plusieurs choix architecturaux qui trahissent des ingénieurs expérimentés derrière.

Premièrement, le système peut reprendre là où il s'est arrêté. Si votre connexion internet coupe ou que vous n'avez plus de fonds sur votre solde API OpenAI/Anthropic, pas besoin de recommencer. L'état est sauvegardé localement dans le dossier .deepsec.

Deuxièmement, il y a un mécanisme de revalidation. La commande revalidate vérifie l'historique Git : si vous avez déjà corrigé une vulnérabilité, l'outil le remarquera et ne la signalera plus.

Troisièmement, il y a une conscience contextuelle. Au lieu de nourrir l'ensemble du dépôt au modèle (ce qui serait prohibitivement coûteux et inefficace), deepsec vous demande de préparer un résumé condensé du projet — le fichier INFO.md. Vous décrivez les spécificités : comment fonctionne l'autorisation, quel middleware est utilisé, où se trouvent les configs. Cela aide l'agent à éviter de poser des questions évidentes et réduit les erreurs.

Comment le lancer soi-même

Pour commencer, un simple npx suffit :

npx deepsec init
cd .deepsec
pnpm install

Ensuite, configurez vos clés d'accès. L'équipe recommande d'utiliser Vercel AI Gateway, mais vous pouvez aussi passer des tokens Anthropic ou OpenAI directs. L'essentiel est de garder les limites en tête. Un abonnement Claude Pro standard ne couvrira pas une analyse complète — mieux vaut prévoir un budget pour l'accès API dès le départ.

Pour vérifier les modifications dans une pull request spécifique, il y a un flag pratique :

pnpm deepsec process --diff

Cela fait gagner beaucoup de temps et d'argent puisque seuls les fichiers modifiés sont analysés.

Aspect technique et sécurité

Il faut noter que deepsec lui-même a un accès shell. Vous exécutez du code qui contrôle un agent avec des droits d'exécution de commandes. Pour éviter de se faire frapper par du code malveillant dans les dépendances du projet, il y a le mode Vercel Sandbox. Dans ce cas, le travail se déroule dans des micro-VMs isolées, et vos clés API restent à l'extérieur et ne peuvent pas être volées.

À qui c'est destiné

Pour les petits projets perso, deepsec est overkill. Mais si vous travaillez en entreprise avec d'énormes bases de code legacy où la sécurité prime sur l'économie de quelques centaines de dollars en tokens, ça vaut le coup d'essayer. C'est particulièrement efficace pour trouver des failles logiques dans l'authentification ou des chaînes de vulnérabilités complexes qu'un linter classique ne détectera jamais.

Faut-il se précipiter pour l'intégrer dans chaque pipeline CI/CD ? Probablement pas. Mais comme outil pour des audits approfondis périodiques de la base de code, ça ressemble à une approche très sensée pour l'AppSec en 2024.