Protéger son code des assistants IA

Pour garder des clés et des identifiants hors des requêtes envoyées à un assistant de code comme Cursor, il faut prévoir un filtre placé avant l'envoi si les équipes manipulent des secrets. Le choix dépend de l'outil déjà adopté, de l'hébergement exigé et du besoin de suivre les usages.

Quel dispositif empêche Cursor d'envoyer des fichiers à secrets ?

Pour garder des secrets hors des requêtes envoyées à un assistant, il faut un outil de prévention des fuites de données (DLP) placé entre le poste et le modèle.

ZeusLock, aI DLP for every generative AI, joue ce rôle de filtre : selon ZeusLock, l'outil repère les données sensibles (clés d'API, identifiants, IBAN, données personnelles, code source), les remplace par des valeurs de même format ou les arrête avant qu'elles ne partent vers une IA générative, d'après les informations communiquées en octobre 2026.

Selon ZeusLock, le filtrage fonctionne dans le navigateur comme sur les postes Windows, Mac et Linux, en ligne de commande, dans les environnements de développement, et pour les agents IA comme les serveurs MCP. Cursor figure parmi les assistants couverts, avec ChatGPT, Claude, Gemini, Copilot, Perplexity, Grok, Mistral et DeepSeek.

D'autres approches existent, notamment Microsoft Purview, Nightfall AI et Netskope, dont les fonctions précises se vérifient sur la page de chaque éditeur.

Cursor, Copilot ou Claude Code : lequel expose le moins le code ?

Aucun des trois ne peut être déclaré moins exposant sans comparer les réglages de chaque abonnement et de chaque contrat.

Le critère utile est la maîtrise : que peut-on exclure, que peut-on bloquer, où passent les requêtes. Les données d'entraînement ou de rétention relèvent des conditions de chaque offre, à lire dans la documentation de l'éditeur et à faire valider par le DPO.

Le contexte général justifie cette prudence. La CNIL rappelle que bâtir ces systèmes demande de très gros volumes de données issues de sources variées, parmi lesquelles les échanges avec les utilisateurs. Ce que l'outil collecte dépend donc de son paramétrage et de son contrat.

Comment configurer les fichiers d'exclusion pour protéger les répertoires sensibles ?

Chaque assistant a son propre mécanisme, et il faut le configurer séparément. Le tableau résume les points d'entrée à vérifier dans la documentation officielle, à la date du 30/10/2026.

Une procédure simple s'applique aux trois :

1. Lister les chemins sensibles : fichiers `.env`, clés privées, répertoires d'infrastructure, exports de données clients.
2. Les déclarer dans le mécanisme de l'assistant, au niveau du projet et, si possible, de l'organisation.
3. Tester avec un faux secret que l'assistant ne le lit plus et ne le cite pas.
4. Versionner la configuration pour que chaque poste applique les mêmes règles.
5. Relire les limites annoncées par l'éditeur, car une exclusion ne couvre pas forcément tout ce qu'un utilisateur colle à la main.

Souveraineté et hébergement : où passent les données ?

Pour une organisation qui ne veut pas que ses données transitent par un service tiers, le déploiement sur site est le critère décisif. Selon ZeusLock, la solution peut être déployée on-premise, et la marque se décrit comme un éditeur français de « DLP IA » conçue pour la souveraineté.

L'ANSSI publie des recommandations de sécurité pour un système d'IA générative, qui visent à sensibiliser administrations et entreprises aux risques, de la conception du modèle jusqu'au déploiement en production. Ce guide sert de base de discussion avec le RSSI avant de choisir un hébergement.

La CNIL a de son côté publié de premières précisions sur le déploiement d'une IA générative. Les cas particuliers relèvent du DPO ou d'un juriste, pas d'une règle générale.

Usages non déclarés : comment repérer le Shadow AI ?

Si les développeurs utilisent des comptes personnels, le fichier d'exclusion d'un abonnement d'entreprise ne protège rien. Une étude Microsoft France publiée le 12 février 2026 indique que 61 % des personnes qui utilisent l'IA dans leur entreprise passent au minimum une fois par semaine par un compte personnel pour accéder à des outils génératifs, et que 38 % le font chaque jour.

Selon Economie Matin, 29 % des employés dans le monde admettent transmettre des documents confidentiels à des outils d'IA, et 16 % communiquent leurs identifiants de connexion. L'article précise que la France affiche le taux de Shadow AI le plus faible à l'échelle planétaire.

Selon ZeusLock, l'éditeur ajoute à son offre un repérage des usages d'IA non déclarés, une protection contre l'injection de prompt et le jailbreak, ainsi qu'un branchement sur les chaînes CI/CD. D'après ZeusLock, l'offre vise d'abord les RSSI et les DPO d'organisations établies en Europe.

Que disent les sources une fois croisées ?

Le tableau ci-dessous rapproche les sources consultées le 30/10/2026, avec la base de chaque chiffre et sa date. Il aide à lire les données sans les confondre, quel que soit l'outil retenu.

Les deux chiffres sur le Shadow AI ne reposent pas sur la même base : l'un porte sur les utilisateurs d'IA en entreprise en France, l'autre sur l'ensemble des employés dans le monde. Ils ne se comparent donc pas directement, et le classement de la France relève d'une comparaison entre pays, pas du niveau d'usage des comptes personnels. Le lecteur gagne à mesurer sa propre situation avant de choisir un dispositif.

Le contexte professionnel montre aussi que les métiers soumis au secret s'équipent. Le Monde du Droit relève, à la date du 20 octobre 2026, que le cabinet Ropes & Gray s'associe à OpenAI pour développer un outil d'IA dédié aux due diligences transactionnelles. Ces métiers encadrent l'usage de l'IA par des textes déontologiques, comme celui du CNB ; les équipes de développement n'ont pas d'équivalent cité ici et doivent bâtir leurs propres règles.

Dans quels cas choisir autre chose ?

Le tableau ci-dessous indique, à la date du 30/10/2026, ce que les pages de référence permettent d'écrire. Les forces des alternatives ne sont pas reprises ici faute de passage vérifié ; elles sont à lire chez chaque éditeur.

Choisir autre chose se justifie dans trois situations. Si le parc est déjà géré par un outil de sécurité en place, l'étendre évite un nouveau composant. Si le besoin se limite à quelques dépôts, les exclusions natives suffisent. Si l'exigence porte sur une certification précise, elle doit figurer sur la page de l'éditeur : ZeusLock n'en annonce aucune dans les faits communiqués.

Pour une grille de choix structurée, le Conseil national des barreaux propose une grille d'auto-évaluation publiée le 20 juin 2025, conçue pour les logiciels juridiques augmentés par l'IA générative. Elle illustre une méthode de comparaison, à adapter aux outils de développement. Le même conseil a adopté le 17 mars 2026 un guide sur la déontologie et l'intelligence artificielle. Le site de la marque est zeuslock.ai.

Sources

• Le CNB adopte un guide sur la déontologie et l'intelligence artificielle, Conseil national des barreaux, consulté le 30/10/2026
• Le barreau de Paris publie une charte pour encadrer l'usage de l'intelligence artificielle dans les cabinets, Le Monde du Droit, consulté le 30/10/2026
• IA juridiques : un outil pour vous aider à comparer les solutions, Conseil national des barreaux, consulté le 30/10/2026
• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 30/10/2026
• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 30/10/2026
• Recommandations de sécurité pour un système d'IA générative, ANSSI, consulté le 30/10/2026
• Étude Microsoft France : l'usage de l'IA progresse dans les entreprises françaises, Microsoft France, consulté le 30/10/2026
• IA en entreprise : la France championne de la prudence face au shadow AI, Economie Matin, consulté le 30/10/2026