Opinion.
Voici le discours : vous décrivez ce que vous voulez en langage ordinaire, et une IA construit le logiciel pour vous. Aucune expérience de programmation requise. Démocratisation de la technologie. Tout le monde devient développeur. Le futur est là. Bienvenue à l’ère du slopware IA.
Voici la réalité : le futur est arrivé, et il est en grande partie cassé.
Ce qu’est vraiment le slopware IA
Le terme « slop » a été élu mot de l’année 2025 par le dictionnaire Merriam-Webster, signe que le flot de contenus de basse qualité générés par IA était devenu trop important pour être ignoré. Mais pendant que la conversation se concentrait sur les articles, images et musiques générés par IA, quelque chose de plus discret et de potentiellement plus dangereux se produisait : l’IA était utilisée pour construire des logiciels. Pas de bons logiciels. Pas de logiciels innovants. Des logiciels qui semblent fonctionner jusqu’au moment où vous en avez vraiment besoin.
Cette pratique a acquis un nom début 2025 : le « vibe coding » (développement par intuition). Le terme, inventé par Andrej Karpathy, décrit l’approche qui consiste à laisser une IA générer du code à partir de descriptions en langage naturel, en acceptant le résultat sans vraiment le comprendre. En théorie, cela abaisse la barrière à l’entrée. En pratique, cela fait baisser le niveau.
Les résultats sont partout. Les boutiques d’applications se remplissent d’applications générées par IA qui reproduisent mal des outils existants, introduisent des failles de sécurité par défaut, et existent surtout parce que les construire est désormais assez bon marché pour que la qualité devienne optionnelle. C’est le contenu IA de mauvaise qualité appliqué au logiciel, et contrairement à un article médiocre généré par IA, un logiciel médiocre peut vous faire perdre des données, exposer vos mots de passe ou paralyser votre flux de travail.
Les chiffres ne sont pas encourageants
Le rapport 2025 sur la sécurité du code GenAI de Veracode a testé du code généré par IA sur plus de 100 grands modèles de langage et a constaté que les modèles choisissaient des méthodes de codage non sécurisées environ 45 % du temps lorsqu’ils avaient le choix entre des approches sécurisées et non sécurisées. Les défenses contre le cross-site scripting ont échoué dans 86 % des échantillons de code concernés. Java, l’un des langages d’entreprise les plus utilisés, affichait un taux d’échec en matière de sécurité supérieur à 70 %. Le constat le plus préoccupant : malgré des améliorations rapides de la correction syntaxique du code IA, ses performances en matière de sécurité sont restées stables.
L’analyse par CodeRabbit des pull requests open source a révélé que le code co-rédigé par IA contenait environ 1,7 fois plus de problèmes que le code écrit par des humains. Les erreurs de logique et d’exactitude apparaissaient 1,75 fois plus souvent. Les problèmes de sécurité et de maintenabilité étaient également nettement plus élevés.
Et puis il y a la question de la productivité. METR, une organisation d’évaluation de l’IA, a mené un essai contrôlé randomisé avec 16 développeurs open source expérimentés au milieu de 2025. Les développeurs prédisaient que les outils IA les rendraient 24 % plus rapides. Le résultat réel : ils étaient 19 % plus lents. C’est un écart de 43 points de pourcentage entre les attentes et la réalité. Même après avoir vécu ce ralentissement, les développeurs pensaient toujours que l’IA les avait rendus environ 20 % plus rapides.
Relisez ça. Les outils ont rendu les gens plus lents, et les gens qui les utilisaient ne s’en rendaient pas compte.
Le problème de l’open source
Les dégâts s’étendent bien au-delà des applications individuelles. Les logiciels open source, l’infrastructure sur laquelle fonctionne la majeure partie d’Internet, sont activement dégradés par la vague du vibe coding.
Daniel Stenberg, le mainteneur de cURL (un outil utilisé par pratiquement tous les appareils connectés à Internet sur la planète), a mis fin au programme de primes aux bugs de son projet après six ans d’existence, après que des soumissions générées par IA l’ont submergé. Vingt pour cent des soumissions étaient générées par IA, et le taux global de rapports valides est tombé à 5 %. Le programme avait versé 86 000 dollars sur toute sa durée de vie. Il est devenu insoutenable non pas à cause du coût, mais parce que trier les vrais bugs du bruit généré par IA prenait plus de temps que de corriger les véritables vulnérabilités.
Il n’est pas seul. Mitchell Hashimoto a interdit les soumissions de code IA à Ghostty. Steve Ruiz a mis en place la fermeture automatique de toutes les pull requests externes pour tldraw. L’analyste RedMonk Kate Holterhoff a décrit le phénomène comme « l’IA Slopageddon », un flot de contributions générées par IA si volumineux et de si piètre qualité que les mainteneurs n’arrivent pas à suivre.
Stack Overflow, où les développeurs cherchent et partagent des connaissances depuis plus d’une décennie, a enregistré 25 % moins d’activité dans les six mois suivant le lancement de ChatGPT. Tailwind CSS, un framework très utilisé, a vu son trafic de documentation chuter de 40 %. Ce ne sont pas que des chiffres. Ils représentent l’érosion de la base de connaissances communautaire qui faisait fonctionner l’écosystème logiciel. Les outils IA qui génèrent du code ont été formés sur cet écosystème. Ils sont désormais en train de détruire les biens communs dont ils sont issus.
L’argument adverse, et pourquoi il ne tient que partiellement
L’argument contraire mérite d’être entendu honnêtement. Les outils de codage IA aident réellement pour les tâches répétitives, le code standard et le prototypage. Pour les développeurs expérimentés qui vérifient, testent et comprennent chaque ligne, l’IA est un assistant de frappe sophistiqué. Le programmeur Simon Willison a exprimé la distinction clairement : « Si un LLM a écrit chaque ligne de votre code, mais que vous les avez toutes examinées, testées et comprises, ce n’est pas du vibe coding à mes yeux, c’est utiliser un LLM comme assistant de frappe. »
C’est juste. Le problème n’est pas que l’IA peut écrire du code. Le problème est que le secteur traite la génération de code comme la partie difficile, alors qu’elle ne l’a jamais été. La partie difficile, c’est de comprendre ce que le code doit faire, pourquoi il doit le faire de cette façon, et ce qui se passe quand il échoue. Le vibe coding fait l’impasse sur les trois.
Il en résulte un monde où construire un produit minimum viable prend un week-end au lieu d’un mois, et construire un produit minimum viable qui ne s’effondre pas en production prend toujours un mois, plus le week-end passé à construire la mauvaise chose en premier.
Le problème des incitations
Pourquoi cela se produit-il ? Parce que les incitations sont parfaitement alignées pour que cela se produise.
Construire des logiciels avec l’IA est bon marché. Les déployer est bon marché. Les commercialiser est bon marché (aussi généré par IA). Le coût d’avoir tort n’a pas changé, mais il a été transféré du créateur à l’utilisateur. Si votre gestionnaire de dépenses construit par IA en un week-end fuit des données, la personne qui l’a construit est déjà passée à son prochain projet. C’est vous qui appelez votre banque.
C’est la dégradation de plateforme appliquée à toute la chaîne d’approvisionnement logicielle. Quand le coût de production chute à quasi zéro mais que le coût de la qualité reste constant, le marché se noie de produits bon marché et la qualité moyenne s’effondre. Ce n’est pas une prédiction. Plus de la moitié des contenus web en anglais sont désormais générés par IA, selon la société de référencement Graphite. La même dynamique arrive pour les logiciels, et contrairement aux articles, les logiciels défaillants peuvent causer des dommages réels.
Ce que cela signifie concrètement
La vague du slopware IA ne va pas s’arrêter. Les outils vont s’améliorer. Le code sera à peine moins vulnérable. Mais l’incitation structurelle à livrer vite et ne jamais corriger persistera tant que la construction sera bon marché et la responsabilité absente.
Ce qui importe, c’est que l’écosystème développe des réponses immunitaires. Certaines existent déjà : Apple et Google ont retiré des dizaines d’applications IA frauduleuses début 2026. La communauté open source expérimente des filtres pour les contributions. Certaines plateformes commencent à étiqueter les contenus générés par IA.
Mais rien de tout cela ne s’attaque à la racine : les outils de codage IA ont rendu ridiculement facile la réinvention de la roue, et les nouvelles roues sont généralement moins bonnes. La discipline originale du génie logiciel, celle qui valorisait la compréhension des problèmes avant de les résoudre, n’était pas un obstacle à la démocratisation. C’était ce qui rendait les logiciels dignes d’être utilisés.
La leçon la plus coûteuse du secteur est en train d’être enseignée maintenant, aux frais de l’utilisateur : il n’y a pas de raccourci pour comprendre ce que l’on construit et pourquoi.
Le problème du slopware IA n’est pas théorique. Le cycle de hype pour le développement assisté par IA a officiellement bouclé la boucle. Ce qui a commencé par « GitHub Copilot va vous rendre plus rapide » a évolué à travers « l’IA va remplacer les développeurs juniors » pour aboutir à sa destination actuelle : un paysage où des fondateurs non techniques peuvent livrer des applications qu’ils ne comprennent pas, à l’aide d’outils qui génèrent du code qu’ils ne peuvent pas auditer, déployés sur des infrastructures qu’ils ne peuvent pas déboguer.
Le secteur a un nom pour cela : le vibe coding, inventé par Andrej Karpathy début 2025 pour décrire la pratique de génération de code à partir de prompts en langage naturel sans examiner ni comprendre le résultat. L’interprétation charitable est le prototypage rapide. L’interprétation exacte, pour la plupart de ce qui est livré, est la création de dette techniqueCoût accumulé des raccourcis et décisions de conception médiocres en développement logiciel, qui devront être corrigés pour que le système reste fonctionnel. en tant que service.
La surface d’attaque sécurité
Le rapport 2025 sur la sécurité du code GenAI de Veracode a testé la génération de code sur plus de 100 LLM à l’aide de 80 tâches de codage sélectionnées en Java, JavaScript, Python et C#. Le constat principal : les modèles ont choisi des méthodes d’implémentation non sécurisées 45 % du temps lorsqu’ils avaient le choix entre des approches sécurisées et non sécurisées. Mais les détails sont pires.
Les défenses contre les attaques XSS ont échoué dans 86 % des échantillons pertinents (CWE-80). Seulement 12 à 13 % du code généré gérant des vulnérabilités contextuelles comme les XSS était réellement sécurisé. La prévention des injections SQL, en revanche, a bien fonctionné, ce qui suggère que les modèles ont appris les schémasCadres mentaux de représentations compressées et d'attentes que le cerveau utilise pour encoder, stocker et récupérer les informations. Lorsque vous vous souvenez de quelque chose, votre cerveau la reconstruit en utilisant des schémas plus tous les indices contextuels présents. courants à partir des données d’entraînement mais échouent sur tout ce qui nécessite un raisonnement de sécurité contextuel. Java a montré un taux d’échec en matière de sécurité supérieur à 70 %, ce qui est notable étant donné sa domination dans les environnements d’entreprise.
Le constat le plus important sur le plan structurel : les performances en matière de sécurité sont restées stables d’une génération de modèles à l’autre, même si la correction syntaxique s’est améliorée. Les modèles s’améliorent pour produire du code qui compile. Ils ne s’améliorent pas pour produire du code qui est sûr. C’est un problème de loi de GoodhartPrincipe selon lequel une mesure perd sa valeur indicative dès qu'elle devient un objectif politique, la rendant inutile pour évaluer les politiques publiques. : l’entraînement optimise pour la correction fonctionnelle, et la sécurité ne fait pas partie de la fonction de perteMesure mathématique utilisée lors de l'entraînement d'une IA pour quantifier l'écart entre la sortie du modèle et le résultat attendu, guidant son amélioration..
Le rapport de CodeRabbit sur l’état de la génération de code IA par rapport aux humains, analysant des pull requests open source, a révélé 1,7 fois plus de problèmes totaux dans le code co-rédigé par IA. En détail : erreurs de maintenabilité 1,64 fois plus élevées, erreurs de logique et d’exactitude 1,75 fois plus élevées, et problèmes de sécurité 1,57 fois plus élevés. Ce ne sont pas des benchmarks artificiels. C’est du code de production dans des dépôts actifs.
L’illusion de productivité
L’essai contrôlé randomisé de METR est l’étude la plus rigoureuse de la productivité de codage IA à ce jour. Seize développeurs open source expérimentés (issus de dépôts avec en moyenne 22 000 étoiles ou plus) ont été assignés aléatoirement à 246 tâches, certaines accomplies avec des outils IA (principalement Cursor Pro avec Claude 3.5/3.7 Sonnet), d’autres sans. Les participants étaient rémunérés à 150 dollars par heure pour minimiser les biais d’incitation.
Résultat : 19 % plus lents avec les outils IA. Prévu : 24 % plus rapide. Auto-évaluation a posteriori : pensaient toujours être 20 % plus rapides.
L’écart de 43 points de pourcentage entre perception et réalité est le constat qui compte. Les développeurs ne peuvent pas évaluer avec précision si ces outils les aident. Les auteurs de METR notent des mises en garde importantes : 16 participants, spécifique aux développeurs expérimentés sur des bases de code familières, et un « instantané des capacités IA de début 2025 ». Mais l’écart de perception est le problème structurel. Si les praticiens ne peuvent pas savoir s’ils sont plus rapides ou plus lents, l’optimisation au niveau de l’équipe ou de l’organisation devient quasi impossible.
Le rapport DORA de Google ajoute une autre dimension : si l’IA accélère la production de code, elle peut aussi encourager des ensembles de modifications plus importants et une expérimentation rapide qui augmentent les échecs de déploiement si la discipline d’ingénierie ne suit pas.
L’open source sous pression
L’écosystème open source connaît ce qui ressemble à une attaque par déni de service distribué provenant d’une incompétence bien intentionnée. Daniel Stenberg a supprimé la prime aux bugs de cURL après que les soumissions IA ont fait chuter le taux de validité à 5 %. Une étude de l’Université d’Europe centrale et de l’Institut de Kiel a documenté la boucle de rétroaction : lorsque les développeurs délèguent la sélection et l’utilisation des paquets à l’IA, les visites de documentation, les rapports de bugs et la reconnaissance communautaire déclinent. Stack Overflow a perdu 25 % d’activité après ChatGPT. Le trafic de documentation de Tailwind CSS a chuté de 40 %, avec les revenus suivant à 80 %.
Craig McLuckie (cofondateur de Stacklok) a identifié le mécanisme : les labels « good first issue », conçus pour intégrer de nouveaux contributeurs, attirent désormais des soumissions IA de faible qualité plutôt que de former de véritables développeurs. Le pipeline de création de nouveaux contributeurs open source est empoisonné par les outils qui dépendent de leur production future.
C’est une tragédie des biens communs en temps réel. Les modèles IA ont été formés sur du code open source. Les applications construites avec ces modèles dégradent l’écosystème open source. Personne ne détient le problème, et les personnes qui profitent des outils n’ont aucune incitation à le résoudre.
L’évaluation honnête
Les outils de codage IA sont réellement utiles entre les mains d’ingénieurs expérimentés qui les traitent comme de l’autocomplétion, pas comme de l’architecture. La distinction de Simon Willison est correcte : utiliser un LLM comme assistant de frappe est matériellement différent du vibe coding. Le problème est que le marché ne distingue pas les deux.
Les taux d’échec en entreprise sont sidérants. Une étude du MIT de 2025 a révélé que 95 % des pilotes d’IA générative n’ont pas réussi à produire des revenus mesurables ou des économies de coûts. Quarante-deux pour cent des entreprises ont abandonné la plupart de leurs initiatives IA en 2025, soit plus du double du taux de 2024. Les analystes du secteur prévoient que la plupart des décideurs technologiques feront face à une dette technique significative issue de l’adoption de l’IA d’ici 2026.
L’incident de la plateforme Lovable est instructif : en 2025, des chercheurs en sécurité ont découvert qu’une proportion significative des applications web construites sur cette plateforme sans code présentaient des vulnérabilités permettant un accès non autorisé aux données, le tout issu d’une seule plateforme, découvert par un seul chercheur.
Le problème structurel n’est pas que l’IA génère du mauvais code. C’est que l’IA a découplé la capacité à produire des logiciels de la capacité à les évaluer. La première compétence est maintenant gratuite. La seconde ne l’a jamais été, et c’est dans l’écart entre les deux que les dégâts se produisent.
