Sécuriser les Generative Pages de Power Apps : bonnes pratiques après modification du code

By Mirko Peters · 2026-08-28

Bienvenue de nouveau sur le blog du podcast ! Si vous suivez nos récents épisodes, vous savez que nous explorons en profondeur les changements considérables qui traversent le paysage des logiciels d’entreprise…

Automatically translated with AI from the original post. Read the English original

Bienvenue de nouveau sur le blog du podcast ! Si vous suivez nos récents épisodes, vous savez que nous analysons en profondeur les changements majeurs qui touchent le paysage des logiciels d’entreprise. Dans cet article, nous prolongeons directement notre dernier épisode, dans lequel nous expliquons comment l’introduction rapide de fonctionnalités d’IA générative bouleverse complètement les règles de la sécurité des applications. Nous vous invitons à écouter la discussion complète dans l’épisode du podcast Govern Power Apps Generative Pages After Edit Code.

L’essor des capacités génératives d’outils comme Microsoft Power Apps rend le développement logiciel plus rapide et plus accessible que jamais. Toutefois, dès qu’un développeur ou un citizen developer intervient pour modifier manuellement du code généré par l’IA, un nouvel ensemble de variables de sécurité apparaît. Dans cet article, nous examinerons le paysage du low-code, les risques propres à l’IA générative, les lacunes des cadres de sécurité existants et les stratégies concrètes à mettre en œuvre pour protéger vos applications contre l’injection de prompts, les fuites de données et les erreurs de configuration.

Le paysage du low-code

Tendances d’adoption

Les plateformes low-code ont gagné en popularité ces dernières années. Elles permettent de créer des applications avec des connaissances minimales en programmation. Cette accessibilité a entraîné une forte hausse de l’adoption dans de nombreux secteurs.

Croissance du marché

Le marché des plateformes low-code est en plein essor. Voici quelques chiffres clés :

• Taille du marché en 2024 : 34,7 milliards USD
• Taille projetée du marché en 2034 : 91,8 milliards USD
• Taux de croissance annuel moyen (TCAC) de 2025 à 2034 : 11,6 %

Cette croissance traduit la demande croissante pour un développement d’applications plus rapide. Les organisations cherchent à réduire les délais de développement et à améliorer leur efficacité. Les plateformes low-code vous permettent de créer des applications 40 à 60 % plus rapidement que les méthodes traditionnelles. Cette rapidité permet aux entreprises de réagir vite aux évolutions du marché et aux besoins des clients.

Profil des utilisateurs

Plusieurs secteurs sont en tête de l’adoption des plateformes low-code. Voici quelques-uns des principaux :

• Services financiers : ils utilisent le low-code pour les portails clients et les outils internes.
• Santé : ce secteur applique le low-code à la gestion des patients et au reporting de conformité.
• Industrie manufacturière : ils exploitent le low-code pour les applications opérationnelles et la gestion de la qualité.
• Services aux entreprises : ils adoptent le low-code pour les plateformes d’engagement client.
• Commerce de détail : ce secteur utilise le low-code pour les opérations en magasin et la gestion des stocks.

Les organisations confrontées à la pénurie de talents techniques et à l’accumulation de demandes d’applications figurent parmi les adoptants les plus rapides. Le secteur de la banque, des services financiers et de l’assurance est en tête de l’adoption du low-code. La santé suit de près, avec un TCAC projeté de 28,23 % jusqu’en 2035. Le secteur de l’informatique et des télécoms devrait également jouer un rôle majeur, avec une part attendue de 21,65 % du chiffre d’affaires mondial du marché du low-code.

Parmi les plateformes low-code les plus populaires figurent Microsoft, Salesforce, OutSystems, Mendix et Appian. Ces plateformes proposent un ensemble d’outils pour améliorer l’expérience utilisateur et fluidifier les processus de développement. Lorsque vous évaluez les options low-code, demandez-vous comment ces plateformes peuvent répondre à vos besoins spécifiques.

Risques liés à l’IA générative

L’IA générative introduit plusieurs risques dans les environnements low-code. Lorsque vous exploitez ces outils puissants, restez attentif aux vulnérabilités de sécurité potentielles qui peuvent apparaître.

Vulnérabilités de sécurité

L’IA générative peut entraîner des vulnérabilités de sécurité importantes. Vous pouvez être confronté à des problèmes tels que la fuite de données sensibles et l’usage de shadow AI. L’opacité des décisions prises par l’IA complique la gouvernance de la sécurité. Le développement rapide sur les plateformes low-code conduit souvent à une surattribution de connexions et de comptes. Cette situation crée des conditions idéales pour les failles de sécurité. Par ailleurs, le code généré par l’IA peut contenir des vulnérabilités. L’absence de contrôle sur ce code rend l’identification des faiblesses difficile.

Préoccupations relatives à la confidentialité des données

La confidentialité des données est une préoccupation essentielle lorsque vous utilisez l’IA générative. Vous devez examiner la manière dont l’IA traite et stocke les informations sensibles. Si elle n’est pas correctement gérée, l’IA peut exposer involontairement des données personnelles. Par exemple, si vos applications génèrent des rapports contenant des données utilisateur, vous risquez de enfreindre les réglementations en matière de confidentialité. Assurez-vous toujours que vos applications respectent les lois sur la protection des données afin d’éviter des conséquences juridiques.

Menaces liées aux erreurs de configuration

Les erreurs de configuration constituent une autre menace importante dans les environnements low-code. Lorsque vous modifiez du code généré par l’IA, vous pouvez introduire involontairement des erreurs. Ces erreurs peuvent créer des failles de sécurité et rendre vos applications vulnérables aux attaques. Par exemple, un attaquant pourrait exploiter une API mal configurée pour obtenir un accès non autorisé à votre système.

Vous devez également connaître les différents types d’attaques susceptibles de cibler les applications basées sur l’IA générative. Voici quelques méthodes courantes :

• Injection directe de prompt : les attaquants fournissent des instructions destinées à contourner la programmation système.
• Injection indirecte de prompt : des instructions malveillantes intégrées à un contenu externe peuvent entraîner un comportement inattendu de l’IA.
• Exploitation de l’onglet navigateur de Bing Chat : manipulation de chatbots pour accéder à des données utilisateur sensibles au moyen de prompts intégrés dans des pages web.
• Manipulation de transcriptions YouTube : des instructions cachées dans les transcriptions de vidéos peuvent amener les systèmes à se comporter de manière inattendue.
• Exfiltration de données via GitHub Copilot : des attaquants intègrent des instructions dans des fichiers de code source afin d’extraire des données sensibles.
• Exécution de code à distance dans Vanna AI : exploitation d’une fonctionnalité pour exécuter des requêtes SQL non autorisées au moyen de commandes malveillantes.
• Manipulation de CV dans les candidatures : dissimulation de fausses compétences dans les CV pour manipuler le scoring par l’IA.
• Exploitation de la mémoire de ChatGPT : exfiltration de données à long terme au moyen d’une injection de prompt persistante.
• Manipulation des relectures par des pairs assistées par LLM : évaluations biaisées résultant d’instructions cachées dans les articles soumis.

Comprendre ces risques est indispensable pour préserver l’intégrité de vos applications. En mettant en œuvre des mesures de sécurité robustes, vous pouvez atténuer ces menaces et garantir un environnement de développement low-code plus sûr.

Limites des mesures de sécurité actuelles

Protocoles existants

Vue d’ensemble des normes actuelles

Vous constaterez que les protocoles de sécurité actuels des plateformes low-code reposent largement sur la gouvernance et la supervision des données. La gouvernance définit des lignes directrices et des attentes claires que les équipes doivent suivre. Elle contribue à réduire les risques en définissant les rôles et les responsabilités. De nombreuses plateformes intègrent des outils de test automatisés. Ces outils vérifient la fonctionnalité et la sécurité des applications pendant leur création. Les revues de code par des développeurs professionnels restent essentielles. Elles permettent de s’assurer que le code respecte les normes de sécurité et de repérer les vulnérabilités au plus tôt. Les autorisations applicatives jouent également un rôle clé. Elles empêchent les utilisateurs non autorisés d’accéder aux données sensibles. Ensemble, ces mesures constituent l’ossature des normes de sécurité existantes dans les environnements low-code.

Lacunes des cadres de référence

Malgré ces protocoles, vous remarquerez plusieurs lacunes dans les cadres de sécurité actuels. Le code généré par l’IA fait souvent l’objet d’une revue moins approfondie que le code écrit par un humain. Cet écart peut introduire des risques de sécurité. Les outils d’IA générative ne comprennent pas toujours pleinement les besoins spécifiques de votre organisation en matière de sécurité. Ce manque de contexte les rend moins fiables que des développeurs expérimentés. Corriger les erreurs de sécurité peut devenir inefficace, car les problèmes risquent de passer inaperçus jusqu’à une phase avancée du développement. Autre problème : le risque d’hallucinations de l’IA, lorsque le système produit des références inexactes ou inexistantes. Les cadres de gouvernance peinent à suivre le rythme des risques propres à l’intégration de l’IA.

Des audits de sécurité récents révèlent d’autres lacunes. Les plateformes low-code peinent souvent à respecter les règles de conformité propres à chaque secteur, comme HIPAA pour la santé ou SOX pour la finance. Les lois sur la protection des données, comme le RGPD et le CCPA, imposent une gestion rigoureuse des données personnelles, mais de nombreuses plateformes ne disposent pas de pistes d’audit solides ni d’une documentation suffisante. Les paramètres de sécurité par défaut restent parfois inchangés, ce qui expose les applications à des risques. Des erreurs de configuration dans les environnements de développement peuvent affaiblir la sécurité, par exemple des points de terminaison d’API non sécurisés ou des contrôles d’accès faibles. Les méthodes d’authentification de base et les algorithmes de chiffrement figés limitent votre capacité à adapter les mesures de sécurité aux besoins de votre entreprise. Les rôles d’accès prédéfinis peuvent restreindre les autorisations granulaires, ce qui réduit votre contrôle sur l’accès aux données.

Vous rencontrerez également des difficultés pour mettre en place des mesures de sécurité efficaces. Le passage au low-code et à l’IA générative signifie que les tâches complexes échappent désormais aux développeurs expérimentés. Ce changement peut créer des vulnérabilités si les systèmes d’IA ne prennent pas explicitement en compte la sécurité. Les organisations peinent souvent à suivre les évolutions rapides des environnements low-code, ce qui entraîne des problèmes d’intégrité des données et une gestion de version incohérente. L’absence de pistes d’audit et de contrôles d’accès basés sur les rôles accroît les risques, en particulier dans les secteurs réglementés. Il peut être difficile de concilier innovation et conformité sans un modèle de gouvernance fédérée.

En comprenant ces limites, vous serez mieux préparé à gérer les risques de sécurité de vos projets low-code. Une gouvernance rigoureuse, une gestion attentive des données et une vigilance constante restent vos meilleures défenses.

Stratégies d’atténuation des risques

Bonnes pratiques

Pour atténuer les risques associés à l’IA générative dans le développement low-code, vous devez adopter plusieurs bonnes pratiques. Celles-ci renforcent la sécurité et la fiabilité de vos applications.

Processus de revue de code

La mise en place de processus de revue de code rigoureux est indispensable. Ces revues permettent de repérer les vulnérabilités et de garantir le respect des normes de codage. Vous devez effectuer des revues approfondies du code généré par l’IA. Cette étape vous permet de détecter les problèmes potentiels avant le déploiement. Les outils de test automatisés peuvent faciliter ce processus. Ils permettent d’analyser rapidement le code à la recherche de failles de sécurité et de dysfonctionnements.

Instaurer une culture de la responsabilité est tout aussi essentiel. Encouragez les membres de l’équipe à s’approprier leur code. Cette pratique favorise le sens des responsabilités et la vigilance. Des audits de code planifiés régulièrement peuvent renforcer encore la sécurité. Ils permettent de vérifier que vos applications restent conformes aux normes du secteur.

Formation des utilisateurs

La formation des utilisateurs joue un rôle essentiel dans la réduction des risques liés à l’IA générative. Vous devez doter vos équipes des connaissances nécessaires pour évoluer efficacement dans les environnements low-code. La formation doit couvrir les bonnes pratiques en matière de sécurité et de conformité. Elle doit également aborder les défis spécifiques posés par l’IA générative.

Les programmes de formation doivent privilégier les compétences pratiques. Apprenez aux utilisateurs à reconnaître les menaces potentielles pour la sécurité. Fournissez-leur des outils pour gérer les données de manière responsable. Des ateliers réguliers et des sessions de mise à niveau permettent à votre équipe de rester à jour sur les dernières bonnes pratiques.

En combinant des processus de revue de code rigoureux et une formation complète des utilisateurs, vous pouvez réduire sensiblement les risques de vos projets low-code. Ces stratégies renforcent non seulement la sécurité, mais favorisent aussi une culture d’amélioration continue au sein de votre organisation.

Gouvernance du low-code

Une gouvernance efficace est essentielle pour gérer les risques dans les environnements low-code. À mesure que vous intégrez l’IA générative à vos processus de développement, la mise en place de cadres de gouvernance solides devient indispensable. Ces cadres garantissent la responsabilité, la conformité et la sécurité tout au long du cycle de vie des applications.

Mise en place des cadres

Pour construire un cadre de gouvernance solide, vous devez vous concentrer sur plusieurs éléments clés. Ces composantes guideront votre organisation dans la gestion efficace des risques liés à l’IA générative.

Rôles et responsabilités

Des rôles et responsabilités clairement définis sont essentiels à une gouvernance réussie. Vous devez constituer une équipe transverse réunissant des experts juridiques, techniques et en politique de données. Cette collaboration garantit la couverture de tous les aspects de la gouvernance. Voici quelques rôles à envisager :

• Comité de gouvernance : ce groupe supervise les projets d’IA et met à jour les stratégies en fonction de la réglementation et des retours des parties prenantes.
• Data Steward : cette personne gère la qualité et la conformité des données, en veillant à la protection des informations sensibles.
• Responsable de la sécurité : ce rôle consiste à identifier et à atténuer les risques de sécurité liés à l’IA générative.

En attribuant ces rôles, vous mettez en place une structure qui favorise la responsabilisation et une supervision efficace.

Mesures de conformité

La conformité réglementaire représente un défi majeur pour les organisations qui utilisent l’IA générative dans des environnements low-code. Vous devez vous assurer du respect de différentes normes, comme HIPAA et le RGPD. Voici quelques mesures de conformité à mettre en œuvre :

• Stratégies : définissez des règles claires concernant l’utilisation acceptable et les exigences d’accès afin de garantir un déploiement sécurisé.
• Contrôles techniques : mettez en place des mesures destinées à gérer les risques et à garantir un comportement constant des modèles.
• Surveillance : une surveillance continue permet de détecter les dérives et de préserver la fiabilité des systèmes d’IA générative.

Par ailleurs, il est essentiel de miser sur un contrôle de versions et une documentation complets. Cette pratique facilite la vérification et la reproductibilité, en consignant les données, les prompts, les configurations et les modifications qui influencent les résultats. Une auditabilité solide est indispensable à des pratiques d’IA responsables.

Pour renforcer encore la conformité, envisagez les étapes suivantes :

1. Établissez des directives d’utilisation claires pour les outils de codage fondés sur l’IA.
2. Définissez des processus d’approbation avant d’intégrer du code généré dans les systèmes de production.
3. Fixez des normes de documentation permettant de suivre les décisions de développement assisté par l’IA.

En accordant la priorité à la conformité, vous pourrez naviguer plus efficacement dans le paysage réglementaire.

Nouveau cadre de sécurité

Il est indispensable de mettre en place un nouveau cadre de sécurité pour le développement low-code. Ce cadre doit définir des normes claires qui répondent aux défis particuliers posés par les pages génératives. Vous pouvez renforcer la sécurité en adoptant des approches collaboratives et en participant à des initiatives sectorielles.

Définition des normes

Pour élaborer des normes de sécurité efficaces, vous devez prendre en compte des référentiels largement reconnus, tels que les recommandations de sécurité de l’IEEE pour les modèles génératifs et les cadres de gouvernance organisationnelle. Ces normes servent de fondation pour garantir que les pages génératives fonctionnent de manière sûre et responsable.

Approches collaboratives

La collaboration entre les acteurs du secteur est essentielle à l’élaboration de nouvelles normes de sécurité. Différents groupes ont lancé des partenariats visant à promouvoir les principes de sécurité dès la conception. Les grandes entreprises technologiques et les organisations spécialisées en sécurité travaillent ensemble à la création de normes sectorielles concrètes fondées sur ces principes.

Ces approches collaboratives contribuent à garantir que les normes de sécurité tiennent compte de points de vue variés et répondent aux défis du monde réel.

Initiatives sectorielles

Plusieurs initiatives sectorielles sont actuellement en cours pour répondre aux enjeux de sécurité des plateformes low-code alimentées par l’IA générative. Elles visent à renforcer la sécurité et à réduire les risques grâce à des garde-fous en entrée, des pare-feu de modèles et un affinage des modèles destiné à limiter les hallucinations.

Pour pérenniser vos applications low-code, envisagez de mettre en œuvre les stratégies suivantes :

• Définissez des stratégies claires pour l’utilisation de la plateforme low-code, incluant des normes de développement et des processus d’approbation.
• Choisissez une plateforme low-code conforme aux réglementations et aux normes requises.
• Formez les développeurs et les utilisateurs aux bonnes pratiques en matière de sécurité et de conformité.
• Utilisez des solutions de surveillance pour suivre l’utilisation, les performances et les événements de sécurité.
• Définissez des stratégies de rétention, d’archivage et de suppression des données au sein des applications créées sur la plateforme low-code.

En adoptant ces stratégies, vous garantissez la sécurité à long terme des pages génératives dans les environnements low-code. L’IA générative peut considérablement enrichir les plateformes low-code en accélérant le développement et en facilitant l’intégration. Il faut toutefois rester vigilant face aux risques qui y sont associés.

En résumé, la mise en place de nouvelles normes de sécurité pour les pages génératives dans les environnements low-code est cruciale. Vous devez privilégier des mesures proactives pour garantir la sécurité et la confiance dans vos applications. Envisagez de mettre en œuvre des stratégies telles que la surveillance continue, l’analyse comportementale, l’intégration de DevSecOps, les tests adverses et les tests de fuite de données.

En appliquant ces pratiques, vous pourrez créer un environnement de développement low-code plus sûr et plus fiable. Pour en savoir plus sur ce sujet et rejoindre la discussion en cours, écoutez notre épisode complet Govern Power Apps Generative Pages After Edit Code !

Questions fréquentes

Qu’appelle-t-on outils low-code et no-code ?

Les outils low-code et no-code permettent aux utilisateurs de créer des applications avec un minimum de code. Ils simplifient le développement et permettent à des profils non techniques de réaliser rapidement des applications métier critiques.

Comment les pages générées améliorent-elles les plateformes low-code ?

Les pages générées simplifient la création d’applications en convertissant des descriptions en langage naturel en code fonctionnel. Cette fonctionnalité accélère le développement et réduit le besoin de solides connaissances en programmation.

Qu’est-ce que les violations de conformité dans le développement low-code ?

Les violations de conformité surviennent lorsque des applications ne respectent pas les normes réglementaires. Ces violations peuvent entraîner des problèmes juridiques et nuire à la réputation de votre organisation.

Comment prévenir la divulgation d’informations sensibles ?

Pour prévenir la divulgation d’informations sensibles, mettez en place une infrastructure de sécurité robuste. Passez régulièrement en revue les contrôles d’accès et assurez le chiffrement des données afin de protéger les données des utilisateurs.

Qu’est-ce que l’empoisonnement des données d’entraînement ?

L’empoisonnement des données d’entraînement consiste à manipuler les données utilisées pour entraîner les modèles d’IA. Cette technique peut produire des résultats biaisés et créer des failles de sécurité dans les applications.

Pourquoi une revue de sécurité est-elle importante ?

Une revue de sécurité permet d’identifier les vulnérabilités de vos applications. Effectuer des revues régulières vous aide à maintenir la conformité et à vous protéger contre les menaces potentielles.

Comment puis-je garantir la sécurité de mes applications ?

Vous pouvez garantir la sécurité des applications en adoptant les bonnes pratiques, telles que des revues de code rigoureuses, la formation des utilisateurs et la surveillance continue de votre environnement low-code.

Quel rôle jouent les plateformes no-code dans le développement ?

Les plateformes no-code permettent aux utilisateurs de créer des applications sans compétences en programmation. Elles démocratisent le développement en permettant à un plus grand nombre de personnes de contribuer à la réalisation d’applications métier critiques.