L'IA écrit la moitié du code ? Ça n'a jamais été mesuré

Deux chiffres ont voyagé ensemble toute la semaine dernière : l'IA écrirait désormais la moitié du code, et ce code raterait les tests de sécurité 44 % du temps. Les deux sont exacts. Un seul est une mesure.

Quatrième numéro de notre rubrique hebdomadaire. Le principe ne bouge pas : le chiffre est presque toujours juste, c'est le récit qu'on lui colle qui dérape. Cette fois, la presse n'y est pour rien, et c'est ce qui rend le cas intéressant. Le décalage s'est produit ailleurs, entre deux documents.

Le rapport, et ce qu'il emprunte

Le 28 juillet, Veracode publie son 2026 GenAI Code Security Report. Le constat central est net : sur plus de cent modèles suivis en quatre campagnes de tests, le taux de réussite aux épreuves de sécurité s'établit à 56 %, contre 55 % un an plus tôt. Sur la même période, la syntaxe est montée à près de 100 %.

Les reprises ont été fidèles. The Next Web titre « AI writes half our code now. It still fails security tests 44% of the time. » SD Times titre sur une sécurité qui n'a quasiment pas bougé en un an. Personne n'a escamoté le revers, ni dans les titres, ni dans les corps.

Reste la première moitié de la phrase. Le rapport écrit : « In organizations that have adopted AI coding tools, AI now authors roughly half of all committed code. » Ce chiffre-là, Veracode ne l'a pas mesuré. Il le cite, et le lien mène chez DX, un éditeur d'outils de mesure pour équipes techniques.

Chez DX, on ne lit pas le code, on pose une question

DX expose sa méthode sans détour : « Currently, we measure the "percentage of AI-generated code" by asking developers directly how much of their merged code they believe is written by AI. » On demande à des développeurs ce qu'ils croient avoir délégué.

L'entreprise pousse même la précaution plus loin. Elle précise interpréter ces données comme « estimates of the proportion of coding workload delegated to AI tools, rather than literal measures of code output ». Une estimation de charge de travail, donc, pas une mesure de production.

Elle signale aussi le biais dans les deux sens : sous-comptage quand des agents travaillent seuls, et sur-comptage « when developers treat AI use as a performance signal ». Dans une entreprise où l'usage de l'IA est bien vu, on a tendance à s'en attribuer un peu plus.

Estimer la part de code écrite par l'IA en interrogeant les développeurs, c'est mesurer la fréquentation d'une salle de sport en demandant aux abonnés combien de fois ils pensent y être allés. Le résultat dit quelque chose de réel, mais pas ce qu'on lui fait dire.

Car c'est bien là que le glissement se produit. DX parle d'estimations de la charge de travail déléguée, et précise que ce ne sont pas des mesures de production de code. Le rapport, lui, retient que l'IA rédige désormais la moitié du code commité. La mise en garde n'a pas survécu au trajet, et la déformation tient dans cet écart : pas un titre de presse mal tourné, la citation d'un document par un autre.

Un chiffre qui double en un trimestre

La série de DX vaut le détour. Au quatrième trimestre 2025, les développeurs déclaraient 22 %. Au premier trimestre 2026, 27,4 %, sur plus de 500 organisations. Au deuxième trimestre 2026, 51,9 % en moyenne, sur plus de 400 entreprises.

Une base de code ne se retourne pas en trois mois. Les millions de lignes déjà écrites ne s'évaporent pas parce qu'un outil est arrivé dans l'équipe. Ce qui peut doubler en un trimestre, en revanche, c'est l'idée qu'on se fait de son propre travail.

Le panel compte aussi : ce sont des entreprises déjà équipées en IA, clientes d'une plateforme qui mesure la performance des équipes techniques.

Deux chiffres qui ne se multiplient pas

Le 44 %, lui, est une vraie mesure. Encore faut-il savoir de quoi. Veracode soumet ses modèles à des tâches de génération de code bâties autour de familles de failles connues, dans des conditions standardisées et, la précision est décisive, « with no security-specific prompting ». Aucune consigne de sécurité n'est donnée au modèle : ce qu'on observe, c'est son réflexe par défaut sur un exercice où une faille est possible.

C'est autre chose que la part du code parti en production qui serait vulnérable, et rien dans le rapport ne mesure cette part-là. Le calcul que la phrase invite à faire de tête (la moitié du code, 44 % de failles, donc un cinquième de la base à réparer) ne repose sur rien du tout, puisque les deux pourcentages n'ont pas le même dénominateur.

Une moyenne entre deux mondes opposés

Le détail par type de faille est plus embarrassant encore. Les modèles réussissent à 87 % sur les algorithmes de chiffrement et à 83 % sur l'injection SQL. Puis ils tombent à 15 % sur le cross-site scripting et à 12 % sur l'injection de logs.

Ce ne sont pas des variations autour d'une moyenne, ce sont deux situations contraires rangées dans le même seau. Sur deux familles de failles parmi les plus classiques, les modèles sont devenus solides. Sur deux autres, ils échouent presque à tous les coups.

Un taux de 44 % obtenu en moyennant 87 et 12 ne décrit personne. C'est la statistique qui met dans la même case un quartier tranquille et un quartier qui brûle, pour conclure que la ville va moyennement. Le même écart sépare les langages : 63 % de réussite en Python, 30 % en Java.

Ce qui reste vrai

Rien de tout cela n'annule le constat de Veracode, qui est sérieux. En un an, les modèles ont progressé sur à peu près tout sauf sur la sécurité, restée à son point de départ. Chris Wysopal, cofondateur de l'entreprise, le pose ainsi : « models may be almost syntactically perfect, but they are still failing on nearly half of all tasks where security is needed. That number should be a red flag for any organization. »

Un code qui compile parfaitement et protège mal, c'est le sujet qu'on décryptait déjà en avril avec l'illusion de correction. Ce jour-là, on a repris les chiffres de volume qui circulaient sans aller regarder comment ils étaient fabriqués. C'est fait maintenant.

Quant à la part réelle de code écrite par l'IA, elle reste inconnue, et pas faute d'avoir cherché. Le plus vaste recensement publié à ce jour a passé au crible plus de 180 millions de dépôts (Khosravani et Mockus, 2026). Il produit des comptages, jamais une proportion. Il explique surtout pourquoi : en traquant les agents par le seul signal sur lequel s'appuient la plupart des études d'adoption, on n'en récupère que 3,3 %, soit trente fois moins que ce qu'une détection croisée fait apparaître.

Une autre équipe, qui a bâti un détecteur de code IA sur des dépôts publics, inscrit la même limite : l'implication d'une IA n'est presque jamais déclarée, et aucun jeu de données à grande échelle ne permet de l'établir.

Le code écrit par une machine ne porte aucune marque. C'est exactement pour cette raison que le seul chiffre disponible sur son ampleur sort d'un questionnaire, et qu'il aura suffi de deux citations pour le transformer en mesure.