Dans une profession où la conception l'emporte souvent sur la réalisation, un architecte de sécurité a inversé la tendance. Fort d'une expérience de deux décennies, il a longtemps cantonné son rôle à celui de dessinateur de systèmes, sans toucher au code. L'arrivée des modèles d'IA capables de générer des programmes a changé la donne. Il a adopté une approche de « vibe coding », où l'expertise métier guide la machine, et a pu développer un ensemble d'outils sur mesure pour son équipe.

Une pratique qui redonne le pouvoir de créer

L'architecte, dont le nom est Rakkhi Joy, explique que dans les environnements agiles modernes, la sécurité est souvent perçue comme un frein. Les évaluations de risques manuelles créent des goulots d'étranglement. En utilisant un assistant de développement basé sur un modèle de langage avancé – Claude Code – il a pu transformer des patrons de sécurité abstraits en logiciels fonctionnels. Il n'avait pas besoin de se souvenir de la syntaxe d'une API moderne ; il suffisait qu'il sache pourquoi cette API devait inclure un en-tête de sécurité spécifique. L'IA se chargeait du « comment », lui laissant le « quoi » et le « pourquoi », c'est-à-dire l'essence de la stratégie de sécurité.

Un outil nommé ISRA-Agent

Le fruit de ce travail est une suite d'outils appelée ISRA-Agent. Elle automatise des tâches qui, auparavant, nécessitaient plusieurs jours de travail manuel chaque semaine, ou qui n'étaient tout simplement pas réalisables avec les moyens habituels. L'agent se distingue par quatre fonctionnalités principales :

  • Analyse par chaîne de raisonnement : l'outil ne se contente pas de donner une note de passage ou d'échec. Il déroule les étapes logiques d'une évaluation des risques, imitant le raisonnement interne d'un architecte senior.
  • Intégration de renseignements sur les menaces : en se connectant à des flux de renseignements en temps réel, l'outil évalue les risques en fonction du contexte géopolitique et technique actuel, et non sur la base de références statiques.
  • Distillation stratégique : les résultats techniques bruts sont transformés en schémas de sécurité réutilisables et en recommandations compréhensibles par les parties prenantes non techniques.
  • Injection de sécurité dans les API : l'outil va au-delà de l'évaluation en suggérant et en rédigeant des fonctionnalités de sécurité à intégrer directement dans les définitions d'API.

Vers une transformation du métier

Cette expérience soulève une question : la modélisation des menaces traditionnelle a-t-elle encore de la valeur ? Pour l'auteur, lorsque l'on donne aux architectes les moyens de construire leurs propres outils automatisés, ils passent du statut de gardiens à celui de multiplicateurs de forces. Le processus lui a paru incroyablement stimulant. Il prouve, selon lui, qu'une compréhension approfondie de l'architecture de sécurité, associée à l'IA générative, permet de bâtir une manière plus intelligente de sécuriser les organisations, où la vision de l'architecte est immédiatement traduite en code.

Cette approche, connue sous le nom de « vibe coding », pourrait bien redéfinir le rôle des experts en sécurité, en leur offrant la possibilité de redevenir des bâtisseurs, tout en conservant leur rôle de stratège.