J'ai arrêté de faire confiance à mon agent de codage IA. Alors j'ai touché de l'herbe et construit quelque chose pour le regarder

Le moment qui a commencé

J'utilise Claude Code quotidiennement. C'est surtout un outil sympa. Il y a quelques semaines, lors de la refactorisation d'une base de code volumineuse et désordonnée pour les bugs bounty, il a également touché un fichier de configuration que je ne lui ai jamais demandé de toucher. Je ne l'ai attrapé que parce que je l'ai vu en poussant le code sur github, j'ai vu un fichier apparaître dans l'historique des validations auquel je ne touche jamais.

C'est ce qui m'a énervé, pas l'erreur, le manque de visibilité. Dans une base de code de cette taille, je ne peux pas détecter manuellement chaque écriture involontaire, chaque fichier dans lequel il a jeté un coup d'œil dont il n'avait pas besoin. Ainsi, au lieu de demander « cet agent est-il utile », j'ai commencé à poser une question de sécurité : que fait-il réellement et qui regarde ?

Ce que je voulais

• Qu'a-t-il lu, en ce moment, cette séance ?
• Est-ce que quelque chose qu'il a lu contenait quelque chose de sensible comme un secret, des informations personnelles, un marqueur interne ?
• Ces données sont-elles a...
  [Courte citation de 8% de l'article original]