Code écrit par l’IA : une consigne n’est pas un garde-fou

Le 26 janvier 2026, Andrej Karpathy, cofondateur d’OpenAI et ancien directeur de l’IA de Tesla, a publié sur X ses notes après plusieurs semaines à programmer avec Claude. Entre novembre et décembre 2025, il est passé d’environ 80 % de code écrit à la main, autocomplétion comprise, à 80 % de code écrit par des agents. Il en décrit les défauts : hypothèses non vérifiées, code inutilement compliqué, modifications hors sujet. Le lendemain, un développeur, Jiayuan Zhang, a transformé ces observations en fichier de consignes pour l’agent Claude Code, publié sur GitHub (international · GitHub). Au 29 octobre 2026, le dépôt compte plus de 226 000 étoiles, l’équivalent d’un favori.

Ce succès dit une attente forte : discipliner l’IA qui code. Or Karpathy l’écrivait lui-même : ces défauts persistaient malgré quelques consignes simples données dans le fichier CLAUDE.md, que l’agent lit avant de travailler. Une consigne est une demande faite au modèle ; un garde-fou est un contrôle qui ne dépend pas de lui.

Ce que contient réellement le dépôt

• Un auteur qui n’est pas Karpathy (international · GitHub) : le dépôt « andrej-karpathy-skills » a été créé le 27 janvier 2026 par Jiayuan Zhang (compte forrestchang) et dépend aujourd’hui de l’organisation multica-ai. Il se présente comme inspiré de Karpathy ; rien n’indique que celui-ci y ait contribué.
• Un seul fichier : un CLAUDE.md d’environ 65 lignes, décliné en module pour Claude Code et en règle pour l’éditeur Cursor.
• Quatre principes : réfléchir avant de coder, en explicitant ses hypothèses ; la simplicité d’abord, sans rien ajouter qui n’ait été demandé ; des modifications chirurgicales, chaque ligne changée devant se rattacher à la demande ; une exécution guidée par des critères vérifiables, en écrivant le test avant de le faire passer.
• Un succès massif : 226 259 étoiles et 22 598 copies (forks) au 29 octobre 2026, selon GitHub.
• Ce qu’il ne contient pas : aucune règle sur la sécurité, les secrets, les dépendances, les licences ou la traçabilité. Le fichier assume de privilégier la prudence sur la vitesse.

Ce que Karpathy a écrit en 2026

• 26 janvier (international · X) : les erreurs des agents ne sont plus de syntaxe mais de conception, celles d’un développeur junior un peu pressé. Pour du code qui compte, il conseille de les surveiller « like a hawk », comme un faucon. Il note aussi que sa propre capacité à écrire du code à la main commence à s’atrophier.
• 4 février (international · X) : il propose l’expression « agentic engineering » pour la programmation par agents sous supervision humaine, avec un objectif : tirer parti des agents sans rien céder sur la qualité du logiciel.
• 25 février (international · X) : selon lui, les agents de code fonctionnent vraiment depuis décembre 2025, mais exigent direction, jugement et supervision. Ils réussissent mieux sur des tâches bien spécifiées et vérifiables par des tests.

Le vrai enjeu : le contrôle doit suivre la vitesse

Le 28 juillet 2026, l’éditeur de sécurité Veracode (États-Unis · Veracode) a publié son rapport annuel sur le code généré par l’IA. Sans consigne de sécurité, les modèles testés échouent dans près de 44 % des tâches où la sécurité est en jeu, alors que leur code est presque toujours syntaxiquement correct. Le taux de réussite moyen, 56 %, n’a quasiment pas bougé en un an. Ces tests portent sur des modèles seuls, sans outils ni relecture : le code fonctionne, il n’est pas pour autant sûr.

Dès 2024, les agences de cybersécurité française et allemande (France · ANSSI et Allemagne · BSI) posaient le principe : les assistants de code ne remplacent pas des développeurs expérimentés, et les gains de productivité des développeurs doivent être compensés par des équipes de contrôle qualité et de sécurité renforcées. Si les agents écrivent plus vite, la relecture doit grandir au même rythme ; sinon, le risque s’accumule dans le dépôt.

Trois points de vigilance

1. Une consigne ne s’impose pas. Un fichier CLAUDE.md est lu par le modèle, pas appliqué par une machine. Les règles qui comptent doivent vivre dans la chaîne d’intégration : tests obligatoires, analyse du code, branche protégée, fusion impossible sans relecture.

2. Les dépendances inventées. Les modèles proposent parfois des bibliothèques qui n’existent pas. Une étude de 2024 citée par l’ANSSI et le BSI a trouvé 19,7 % de paquets inexistants parmi 2,23 millions d’imports générés. Un attaquant peut publier un paquet malveillant sous ce nom : c’est une attaque de la chaîne d’approvisionnement logicielle.

3. La propriété du code. Le 2 mars 2026, la Cour suprême (États-Unis · Cour suprême) a refusé d’examiner l’affaire Thaler, laissant en place l’exigence d’un auteur humain pour le droit d’auteur. Le Copyright Office (États-Unis · Copyright Office) estimait dès janvier 2025 que de simples instructions données à une IA ne suffisent pas à rendre l’utilisateur auteur du résultat. Un code écrit surtout par un agent peut donc être difficile à protéger : la part humaine doit se documenter.

Ce qu’une organisation doit exiger de ses équipes et de ses prestataires

1. Une relecture humaine nommée : aucune modification produite par un agent n’est fusionnée sans un relecteur expérimenté, capable de l’expliquer.
2. Des critères de réussite écrits avant le code : les tests d’abord, et une intégration continue qui bloque la fusion si un test échoue.
3. La traçabilité de l’usage : outil, modèle et version déclarés pour chaque livraison, fichiers de consignes versionnés dans le dépôt, modifications produites par un agent identifiables.
4. Des contrôles de sécurité automatiques : analyse statique, détection de secrets, liste de dépendances autorisées, inventaire des composants logiciels.
5. Des secrets hors de portée : aucun identifiant de production confié à un agent, des environnements isolés, des droits minimaux. En février, Karpathy confiait à un agent les identifiants d’une machine personnelle ; en entreprise, c’est ce que la politique de secrets doit encadrer.
6. Des clauses dans les contrats de prestation : déclaration des outils d’IA utilisés et des données qui leur sont confiées, cession des droits sur le code livré, garantie de non-contrefaçon, responsabilité en cas de faille.
7. Une capacité de relecture dimensionnée : suivre le volume de code fusionné et la charge des équipes de sécurité, comme le recommandent l’ANSSI et le BSI.

Un agent suit des consignes ; seule une organisation applique des contrôles.

La question à poser lundi matin

À votre DSI et à vos prestataires : « Quelle part du code livré ce trimestre a été écrite par un agent, et qui l’a relue ? »