Senior engineers are spending their week cleaning up AI-generated code

Dans la plupart des entreprises technologiques américaines, les machines écrivent aujourd'hui la majeure partie du code livré chaque semaine. Le métier de l'ingénieur s'est déplacé vers la relecture de ce que l'IA produit — et cette relecture donne au code de bonnes notes. Les dirigeants jugent le code généré par IA de meilleure qualité que celui produit par leurs propres équipes, louant sa structure propre, son style cohérent et son faible nombre de bugs évidents au moment de la soumission.

Le même code se comporte moins bien une fois qu'il tourne. Les incidents en production ont augmenté au cours de l'année écoulée. Les ingénieurs seniors passent davantage de temps à corriger ce que l'IA a généré. Une large majorité d'organisations a essuyé au moins une panne en production liée au code IA au cours des six derniers mois, et une part non négligeable de ce code repart en réparation peu après sa livraison.

La confiance arrive avant l'inspection. Le schéma commence par une confiance précoce. La plupart des équipes disent livrer souvent du code généré par IA en production sans le vérifier ligne à ligne. Le code se lit bien, il passe donc la revue rapidement, et l'étape d'inspection — là où beaucoup de défauts de sécurité sont normalement attrapés — devient silencieuse.

Les LLM produisent du code qui fonctionne dans des conditions propres et prévisibles. Les points faibles apparaissent dans les cas limites, la concurrence, les appels d'API dépréciés et les changements d'état complexes. Ces lacunes restent enfouies dans la source et n'émergent que lorsque de vrais utilisateurs sollicitent le système. Un relecteur qui examine une pull request a peu de chances de les repérer.

Des failles de sécurité qui émergent sous charge. De nouvelles vulnérabilités de sécurité ont touché environ trois organisations sur dix au cours des six derniers mois. Les échecs d'intégration, les problèmes de conformité et les soucis d'intégrité des données ont frappé des proportions similaires. Selon l'étude New Relic, le code généré par IA introduit près de deux fois plus de problèmes critiques en runtime que le code humain relu par des pairs. Les défaillances se répartissent en de nombreux petits problèmes simultanés, chacun laissant une signature dans les données de production : dérive de schéma et hausse des taux d'erreur entre services pointent vers des ruptures d'intégration ; des motifs anormaux dans l'authentification et les traces révèlent des faiblesses de sécurité. Le fil rouge : ces signes apparaissent après le déploiement, bien au-delà de l'étape de revue.

Les limites de l'inspection au moment de la revue. Un relecteur lit la source. La production produit la trace. La source montre comment le code est construit ; la trace montre comment il se comporte sous charge réelle, avec de vraies dépendances et de vrais cas limites. Les outils de codage IA génèrent le code à partir de la source seule.