Étude Snyk : l'IA ne peut pas encore être utilisée seule pour sécuriser les applications

Introduction
Une étude de Snyk (VulnBench JS 1.0) montre que les modèles d’IA, bien qu’utiles en AppSec, restent moins fiables que les outils SAST déterministes et doivent être combinés avec eux.

Points clés
- Variabilité des détections : près de 50 % des vulnérabilités détectées uniquement par l’IA n’apparaissent qu’une fois sur cinq exécutions identiques, révélant une forte instabilité des résultats.
- Fiabilité sur les vulnérabilités connues : 85 % des failles déjà répertoriées et correctement identifiées par les modèles sont retrouvées à chaque exécution, confirmant que l’IA excelle surtout sur les vulnérabilités connues.
- Performance globale : la meilleure configuration d’IA atteint 81 % de couverture des vulnérabilités de référence avec un score F1 de 75,4 %, nettement inférieur aux outils SAST classiques, d’où la recommandation de les utiliser en complément plutôt qu’en remplacement.