Une petite histoire de sécurité des données personnelles, de programmation par un LLM et de déviation des critiques. (Lue sur Twitter.)
Première étape, une personne inconnue annonce fièrement un « grindr [site de rencontres] pour lesbiennes » https://gouindr.onrender.com/ 1/4
Deuxième étape, de manière très prévisible, des gens examinent les échanges JSON entre le site et le navigateur et découvrent qu'on peut récupérer toutes les informations sur le profil qu'on regarde, à commencer par sa position actuelle. C'est d'autant plus grave que les données du site sont sensibles, à commencer par l'orientation sexuelle. 2/4
Troisième étape, la personne qui a fait le site (qui n'a laissé aucune information sur elle) insulte la personne qui a découvert la faille, la menace, et finit par fermer le site (son état actuel : « Site en maintenance parce que des hommes ne savent pas s'occuper de leurs affaires. », exemple typique de déviation des critiques, il n'y a pas un mot pour ça ?) 3/4
Leçon à en tirer : l'une des plus grosses faiblesses de la programmation faite par une personne ignorante mais munie d'un LLM est la sécurité. En effet, la personne ignorante peut vérifier si le logiciel ainsi « vibe-codé » fonctionne mais ne peut pas tester la sécurité. 4/4
@bortzmeyer plus généralement sa faiblesse est son ignorance tout court, secu, et tout les autres sujets d'attention qu'un pro observerait là où un amateur ne regarde que le fonctionnement.
Oct 11, 2026, 7:34 AM@altermachina @bortzmeyer Un jour, j'ai acheté un antivol pour remorque jaune. Il paraissait très fonctionnel avec une serrure moderne, je croyais être bien protégé.
Mon voisin avait acheté le même modèle ! Ben, la clef du mien ouvrait le sien.
@fmfcd @altermachina @bortzmeyer Arf c’est comme les clés des vieux combi Volkswagen… (askiparè)
@altermachina Les gens qui programment n'importe comment existaient avant l'IA, oui. Mais la nouveauté, c'est le discours dominant qui leur dit « vous n'avez plus besoin de programmeurs, n'importe qui peut produire du logiciel, maintenant », discours qui a nettement gonflé le nombre d'incompétents qui se lancent.
@bortzmeyer @altermachina la limite basse de Dunning-Kruger s'est encore décalée vers le zéro…
Oct 11, 2026, 8:56 AM@bortzmeyer le but des vibe codeureuses n'est pas la sécurité mais qu'on ne puisse les blâmer pour les failles
https://images.gregr.fr/2025-06-13-les-decideurs.html
@bortzmeyer Même dans cette situation, demander de l'aide à un LLM pour déployer et lancer SonarQube, et faire des pentests sur la préprod n'est certes pas la solution miracle mais peut un peu aider à fermer les failles les plus évidentes.
@Xyrop Cela suppose que l'auteur·e [sic] sache qu'il existe potentiellement des problèmes de sécurité et qu'ielle ait une idée de ses responsabilités. Justement ce qui manque.
@bortzmeyer j'ajouterai qu'une autre grosse faiblesse serait la responsabilité juridique du fournisseur de service.
Quand on fournit un service en ligne même gratuit (a fortiori) on a une responsabilité énorme et il faut en être conscient et agir en conséquence. La sécurité informatique en est une partie. La nature des données échangées et leur côté personnel / privé en est une autre.
@benjamin Et la réaction de l'auteure au signalement de sécurité montre en effet une grave irresponsabilité.
@bortzmeyer Je réponds en tant que lesbienne et product designer.
D'un côté j'entends l'énervement qu'un homme (à priori ?) vienne fouiller dans le code, car en effet les personnes saphiques sont quotidiennement confrontées à des hommes qui viennent mettre leur nez dans leurs affaires. Bon, maintenant pour leur défense, même si ça évolue ces dernières années, les hommes restent majoritaires dans l'informatique et le développement, donc statistiquement il était probable que l'un d'entre eux découvre la faille, d'autant plus que l'IAgen est un sujet de tension.
Maintenant, ce que je ne comprends pas, c'est qu'une lesbienne ayant des compétences adjacentes au développement (marketing, design, ou autre) produise un truc sans avoir en tête que la sécurité devrait ici être la préoccupation n°1. On sait que c'est un sujet sensible, on a vu assez d'outings et d'agressions pour ne pas le prendre en compte. Et on ne parle pas d'une fuite "lambda", on parle de la possibilité de retrouver physiquement une personne.
@desordre A priori, on ne connait pas le genre de la personne qui a signalé la faille.
@bortzmeyer Oui je fais une grosse supposition au vu du message de maintenance.
@desordre C'est pour cela que j'ai pris soin de rédiger l'histoire tout en épicène.
@desordre Le fil complet, si vous voulez tout voir : https://x.com/inesokew/status/2108670888568553970
@desordre Et effectivement, le signaleur parle de lui au masculin https://x.com/oevico/status/2108913332556333158
@desordre Mais c'est justement ce que je critiquais en parlant de déviation des critiques : placer la question sur l'identité et pas sur le fond.
@desordre Une bonne partie de la responsabilité pour cette erreur de conception est le discours « magique » sur la génération de programmes, utilisant souvent des arguments « progressistes » ou « de gauche » comme (souvent entendu) « n'importe qui va désormais pouvoir programmer, plus besoin des informaticiens, des grands prêtres, de la caste dominante ».
@desordre@tech.lgbt @bortzmeyer@mastodon.gougere.fr C’est pas qu’un problème d’IA vs non IA en plus. @purr@firefish.asso-purr.eu.org a posé une plainte la semaine dernière contre Recon, un gros site kink gay.
C’est exactement la même merde niveau sécu, et la boîte derrière, T101, qui est pas le petit truc du coin, se torche tout autant avec la sécu…
https://stiefelkopp.substack.com/p/i-told-recon-their-app-is-horribly
@aeris @purr @desordre Si, si, l'IA a une responsabilité spécifique : https://mastodon.gougere.fr/@bortzmeyer/117422283426095545