Security Reviewis dead.Vibe-coding rewrote the rules.

Le problème n’est pas que l’IA écrit du code.
Le problème, c’est que personne ne sait plus le lire .

Un dev senior ne pouvait pas auditer 200 lignes par jour. Aujourd’hui l’agent en livre 5 000. Vous n’avez pas besoin d’une meilleure review. Vous avez besoin de sécurité au moment de la création.

• CWE-639

  Fuite multi-tenant

  Données cross-tenant accessibles via un lookup direct par ID.

  −
  Attrapé à l’agent-time · Claude Code
  avant5 lignes

  1-

  // GET /api/orders/:id

  2-

  const order = await db.order.findUnique({

  3-

    where: { id: req.params.id },

  4-

  });

  5-

  return res.json(order);

  après6 lignes

  1+

  // GET /api/orders/:id

  2+

  const order = await db.order.findUnique({

  3+

    where: { id: req.params.id, tenantId: req.user.tenantId },

  4+

  });

  5+

  if (!order) return res.status(404).end();

  6+

  return res.json(order);

  Scope tenant au niveau ligne, appliqué avant le lookup.

• CWE-840

  Bypass de remboursement

  Plafond d’autorisation absent : l’agent peut rembourser sans limite.

  +
  Attrapé à l’agent-time · Cursor
• CWE-837

  Idempotence absente

  Rejouer le webhook double la facturation du client.

  +
  Attrapé à l’agent-time · Windsurf
• CWE-532

  PII dans les logs

  Les logs structurés contiennent emails, noms et téléphones en clair.

  +
  Attrapé à l’agent-time · Copilot
• CWE-306

  Middleware d’auth ignoré

  Nouvelle route admin montée par erreur sur le router public.

  +
  Attrapé à l’agent-time · Cline
• CWE-1188

  Rollout de feature flag

  Le nouveau flag est par défaut ON en production avant que la garde d’audit ne soit câblée.

  +
  Attrapé à l’agent-time · Continue
• CWE-307

  Rate limit absent

  L’endpoint de login accepte des requêtes sans limite, terrain de jeu pour le credential stuffing.

  +
  Attrapé à l’agent-time · Gemini
• CWE-285

  Export tenant-wide

  L’endpoint admin d’export lit tous les tenants, pas seulement celui de l’appelant.

  +
  Attrapé à l’agent-time · Zed

La stack AppSec des années 2010 n’a jamais été conçue pour un monde où l’IA écrit la moitié du code.

Comparez ligne pour ligne : qui ils sont, ce qu’ils livrent, et là où nous les remplaçons.