Comment l'IA transforme la revue de code

La revue de code a toujours été limitée par l'attention. En fin de journée, un relecteur survole un diff de 600 lignes et valide les parties qui lui semblent familières. Les grands modèles de langage changent la donne : ils lisent chaque ligne, à chaque fois, sans se fatiguer.

Ce que les relecteurs IA font bien

• Suivre les données d'un fichier à l'autre, du handler de requête jusqu'à l'appel à la base de données, là où se logent les bugs d'injection et de contrôle d'accès.
• Reconnaître des classes de vulnérabilités qui ne correspondent pas à un motif simple, comme une vérification de propriété manquante ou une race condition entre la vérification et l'utilisation.
• Expliquer une découverte en langage clair et proposer un correctif dans le style du code environnant.
• Rester cohérents : la pull request du vendredi après-midi est soumise aux mêmes règles que celle du lundi matin.

Là où les humains gardent la décision

Un relecteur IA ne connaît ni votre modèle de menace, ni vos obligations de conformité, ni quel service interne est en réalité exposé publiquement. Il peut se tromper avec assurance, surtout lorsqu'il ne voit qu'une partie du système. Les bons outils le rendent visible : ils citent les preuves, indiquent leur niveau de confiance et ne gonflent jamais le rapport avec des conseils génériques.

Des preuves plutôt que des opinions

Le changement le plus utile est le passage des opinions aux preuves. Une découverte qui cite la ligne exacte, nomme la CWE, décrit l'exploitation et montre le correctif se vérifie en une minute. Une découverte qui dit « pensez à valider les entrées » ne se vérifie pas. C'est autour de cette exigence que CodeAuditAgent est construit.

Intégrer la revue par IA à votre workflow

• Lancez un audit à l'ajout d'un dépôt, puis sur chaque pull request significative.
• Triez par sévérité et par niveau de confiance ; corrigez les découvertes critiques et élevées avant le merge.
• Gardez un relecteur humain pour la conception, la logique produit et tout ce que le rapport marque comme peu fiable.