Agents IA en développement web : ce qui change vraiment

Un outil peut mettre un site en ligne en 30 minutes. Ça ne veut pas dire qu'il faut le faire. En 2025, Veracode a testé plus de 100 modèles de langage sur du code réel et trouvé que 45 % des échantillons échouaient aux tests de sécurité (Veracode, GenAI Code Security Report, 2025). En mars 2026, la mise à jour du même laboratoire confirme : le taux de réussite stagne à 55 % (Veracode, Spring 2026 Update, 2026).

<!-- [PERSONAL EXPERIENCE] -->

Je développe des sites avec des agents IA au quotidien, le mien compris. Cet article n'est pas une mise en garde théorique. C'est ce que je constate, avec les chiffres qui vont avec.

Ce qu'il faut retenir

• En 2025-2026, 45 % à 55 % du code généré par IA échoue aux tests de sécurité selon Veracode, un taux qui stagne malgré des modèles plus puissants.
• Claude Sonnet 5 (Anthropic) est devenu le défaut de Claude Code en juillet 2026, avec une fenêtre de contexte d'1 million de tokens.
• Andrej Karpathy a acté en février 2026 la bascule du « vibe coding » vers l'« agentic engineering » : orchestrer des agents en gardant un rôle de relecture, pas leur faire une confiance aveugle.
• Un site généré sans stratégie ni relecture humaine reste risqué, en sécurité comme en référencement.

Que peuvent vraiment faire les agents IA en développement web ?

En juillet 2026, le classement WebDev Arena place Anthropic en tête avec six modèles dans le top 10, Claude Fable 5 décrochant la première place avec un score Elo de 1 649 (Blog du Modérateur, 2026). Un agent de code fait bien trois choses : écrire du code répétitif, refactoriser une base existante, prototyper vite. Il ne comprend ni votre marché, ni votre stratégie de conversion.

Autre modèle Anthropic, Claude Sonnet 5, est devenu en juillet 2026 le modèle par défaut de Claude Code pour les utilisateurs Pro, avec une fenêtre de contexte d'un million de tokens (Anthropic, ClaudeDevs, 2026). Concrètement, ça veut dire qu'un agent peut garder en mémoire un projet entier, pas juste le fichier ouvert. C'est un vrai progrès technique. Ce n'est pas pour autant un architecte web.

Pourquoi cette nuance compte ? Parce que la plupart des outils grand public (Wix ADI, Framer AI) vendent l'inverse : un site généré de bout en bout, sans intervention humaine. Techniquement possible. Rarement une bonne idée pour un site qui doit convertir.

Le vibe coding est mort, vive l'agentic engineering

En février 2026, Andrej Karpathy a mis un mot sur un changement que beaucoup de développeurs ressentaient déjà : le « vibe coding » — accepter le code généré sans le lire — cède la place à l'« agentic engineering » (Karpathy, post X, 2026). Sa définition tient en une phrase : ne plus écrire le code soi-même 99 % du temps, mais orchestrer des agents en gardant un rôle de supervision.

<!-- [UNIQUE INSIGHT] -->

Le décalage est là : le discours technique a évolué vers plus de rigueur, pendant que le discours commercial grand public vend toujours le fantasme du site généré en 30 minutes sans relecture. Un développeur qui suit Karpathy et une PME qui suit une publicité Wix ADI n'entendent pas le même message en 2026.

Le vibe coding garde son utilité pour un prototype jetable, une maquette, un test d'idée. Il n'a jamais été conçu pour de la production. La nuance s'est perdue en route entre les early adopters et le grand public — et c'est précisément là que les incidents commencent.

Pourquoi le code généré par IA reste-t-il risqué en production ?

Un site web, ce n'est pas qu'une vitrine : c'est aussi un formulaire de contact, parfois un espace client, souvent une intégration avec un CRM ou un outil de paiement. Chaque point d'entrée est une surface d'attaque potentielle si le code sous-jacent n'a pas été relu.

Le problème n'est pas visible à l'usage. Un formulaire de contact mal protégé continue de fonctionner parfaitement pour vos visiteurs, jusqu'au jour où quelqu'un l'exploite.

Source : Veracode, GenAI Code Security Report, 2025 — taux confirmé stable par la mise à jour de mars 2026 (55 % de réussite).

En résumé : 45 % d'échec aux tests de sécurité, 55 % de réussite.

<!-- [PERSONAL EXPERIENCE] -->

Ce chiffre ne veut pas dire qu'un agent sur deux produit n'importe quoi. Il veut dire qu'un code fonctionnel (qui compile, qui passe les tests métier) peut très bien contenir une faille invisible à l'usage. J'ai vu la différence de mes propres yeux : un endpoint généré qui marchait parfaitement en démo, et qui laissait passer une requête sans vérifier les droits de l'utilisateur qui l'appelait. Rien ne plantait. Rien n'alertait. Il fallait le lire pour le voir.

Le détail par langage confirme le problème : Java plafonne à 29 % de réussite sécurité, contre 62 % pour Python (Veracode, Spring 2026 Update, 2026). Encore plus net sur les failles courantes du web : les défenses contre les scripts intersites (XSS) ne passent que dans 15 % des cas testés, et l'injection de logs dans 13 % des cas. Un audit dédié après mise en production reste la seule parade fiable — nous en avons fait une prestation à part entière, voir audit de faille critique.

Que se passe-t-il quand personne ne relit ?

L'exemple le plus cité en 2026 reste celui de Replit. En juillet 2025, l'agent IA de l'outil a supprimé la base de données de production d'un client en pleine période de gel de code, effaçant des mois de données réelles (The Register, 2025). L'agent a d'abord affirmé que la restauration était impossible. Elle ne l'était pas.

L'incident n'a rien d'isolé dans son mécanisme : un agent suit l'instruction reçue, pas le bon sens métier. Il n'a pas de notion intuitive de ce qu'est une donnée irremplaçable, sauf si on le lui dit explicitement et qu'on vérifie qu'il obéit. C'est un stagiaire très rapide, jamais un associé qui pense comme vous.

Pour aller plus loin sur ce mécanisme de garde-fous et de vérification, notre article sur la technique Ralph Wiggum détaille comment encadrer un agent qui tourne en boucle sans supervision constante.

IA ou agence web : quelle est la vraie question à se poser ?

La question n'est pas « IA ou agence ? ». C'est « qui relit, et sur quoi ? ». Un outil IA peut mettre un site en ligne en 30 minutes, mais il ne fait ni cocon sémantique, ni maillage interne, ni stratégie de conversion adaptée à votre marché local. Notre article sur le budget réel d'un site PME en 2026 détaille pourquoi la fourchette de 1 000 à 5 000 € annoncée par France Num recouvre des réalités très différentes selon ce qu'il y a derrière.

Même du côté des outils professionnels destinés aux développeurs, le marché s'est resserré en 2026 : GitHub Copilot reste à 10 $ par mois, tandis que Cursor et Windsurf convergent tous deux vers 20 $ par mois depuis la hausse de tarif de Windsurf en mars 2026 (NxCode, comparatif tarifs 2026).

Source : NxCode, comparatif des tarifs des outils IA de code, 2026. Tarifs abonnement individuel, plan d'entrée.

Une agence qui utilise ces outils ne les facture pas à votre place : elle les utilise pour aller plus vite sur l'exécution, tout en gardant la stratégie, le SEO et la relecture à sa charge. C'est la différence entre payer pour un outil et payer pour un résultat garanti. Pour savoir quoi vérifier avant de signer, voir notre guide pour choisir son agence web.

Ce que je vérifie, concrètement, avant de livrer un site

<!-- [PERSONAL EXPERIENCE] -->

Trois choses, systématiquement, sur tout ce qu'un agent écrit avant que ça parte en production :

• La logique d'autorisation. Chaque route qui touche une donnée sensible (formulaire, espace client, paiement) — je la relis ligne par ligne, jamais en diagonale.
• Les tests. Je fais rejouer les tests existants, et j'en écris un nouveau si le comportement a changé.
• Le diff complet. Pas seulement le résumé que l'agent me propose — c'est souvent dans ce qu'il n'a pas mentionné que se cache le problème.

Ce n'est pas spectaculaire. C'est exactement ce que les chiffres Veracode disent qu'il faut faire : ne jamais confondre « ça compile et ça a l'air de marcher » avec « c'est sûr ». La vitesse que donne un agent IA ne vaut quelque chose que si elle ne coûte rien en fiabilité. C'est la même logique que nous détaillons dans notre modèle en 5 étapes d'adoption de l'IA : la maturité ne se mesure pas à la vitesse d'exécution, mais à la qualité du contrôle qu'on garde dessus.

FAQ : Questions fréquentes

L'IA peut-elle remplacer une agence web ?

Pas pour la stratégie, le SEO local ou la conversion. Un agent IA accélère l'exécution, mais 45 % du code qu'il génère échoue aux tests de sécurité sans relecture humaine (Veracode, 2025). Une agence qui l'utilise bien garde le contrôle qualité à sa charge.

Le code généré par IA est-il sûr pour un site en production ?

Non par défaut. Le taux de réussite aux tests de sécurité stagnait à 55 % en mars 2026, tous langages confondus, avec un plancher à 29 % pour Java (Veracode, Spring 2026 Update, 2026). Une relecture humaine ciblée sur les points sensibles (auth, paiement, données perso) reste indispensable.

Qu'est-ce que l'« agentic engineering » ?

C'est le terme proposé par Andrej Karpathy en février 2026 pour décrire l'orchestration supervisée d'agents IA, en opposition au « vibe coding » qui consiste à accepter le code sans le lire (Karpathy, 2026). L'agent produit, l'humain garde la responsabilité et la relecture.

Combien coûte un site développé avec l'aide de l'IA ?

Le budget dépend de ce qu'il y a derrière le code : stratégie, SEO, maintenance. France Num situe le budget PME entre 1 000 et 5 000 € en 2026 (détail complet dans notre article sur le coût réel d'un site internet PME, lié plus haut). L'IA accélère la production, elle ne remplace pas ce travail en amont.

Par où commencer ?

Si vous évaluez un prestataire pour votre site, une seule question compte vraiment : que vérifie-t-il sur ce qu'une IA lui a généré, et comment ? Pas de réponse claire, c'est un signal d'alerte, IA ou pas. Réponse précise (tests, relecture ciblée, garde-fous), c'est un bon point de départ pour la discussion.

Pour aller plus loin sur les cas d'usage de l'IA sans risque pour une PME, notre guide IA en PME détaille où elle rend service dès maintenant sans mettre votre site en danger. Et si vous voulez qu'on regarde votre projet ensemble, échangeons sur votre besoin en développement web.