L’infrastructure as code entre dans l’ère de l’IA

L’IA générative démocratise le développement de l’infrastructure en tant que code (IaC)

Nous assistons à un phénomène important dans le domaine de l’infrastructure en tant que code (IaC). L’IA générative, des outils comme ChatGPT et
GitHub Copilot
éliminent la barrière traditionnelle des compétences. Les ingénieurs n’ont plus besoin d’une expertise approfondie des systèmes pour écrire du code de niveau opérationnel comme des modules Terraform ou des modèles Ansible. Il s’agit là d’un changement majeur.

Siri Varma Vegiraju, responsable technique de la sécurité chez Microsoft, l’a dit sans ambages : Les développeurs qui ne sont pas des experts en infrastructure utilisent désormais l’IA pour écrire des configurations complètes. Ivan Novikov, PDG de Wallarm, a ajouté qu’avant l’IA, l’écriture de code Kubernetes ou Terraform de qualité production était quelque chose de réservé aux ingénieurs de fiabilité des sites ou aux spécialistes DevOps. Ce n’est plus le cas aujourd’hui. Désormais, n’importe quel ingénieur backend peut générer une logique d’infrastructure à l’aide d’une simple invite.

Cette démocratisation permet d’accélérer l’itération. Vous réduisez les frictions entre la conception et la livraison. Les développeurs qui travaillent sur un nouveau projet ou une nouvelle fonctionnalité peuvent obtenir leur infrastructure immédiatement, sans avoir à attendre une autre équipe. Selon Fergal Glynn, CMO de Mindgard, de nombreux développeurs ont discrètement adopté ce flux de travail de leur propre chef. Ils n’ont pas attendu de politique ou d’autorisation, ils ont simplement commencé à utiliser l’IA comme un moyen plus rapide de faire les choses.

Milankumar Rana, ingénieur cloud senior chez FedEx, a observé que ce qui a commencé comme un comportement informel des développeurs est en train de se structurer. Les grandes entreprises s’adaptent. Elles comprennent les avantages de la rapidité et de l’accessibilité, mais elles sont également conscientes de la nécessité d’une structure et d’une supervision. Ce changement ne ralentit pas les choses, il permet une adoption à plus grande échelle.

Si vous occupez un poste de direction, la conclusion est simple : la vitesse et l’autonomie augmentent. Mais cela s’accompagne d’un défi de cohérence. Vous ne pouvez pas vous permettre d’avoir une infrastructure fragmentée, construite par des dizaines de développeurs qui utilisent tous l’IA de manière isolée. La gouvernance doit s’adapter au rythme du développement. Cela signifie qu’il faut permettre un développement rapide grâce à des normes, des garde-fous et des processus de révision partagés qui sont intégrés dans le flux de travail dès le premier jour.

L’IaC générée par l’IA introduit des risques de sécurité et de mauvaise configuration

L’avantage de l’IA générative dans l’infrastructure est la rapidité. Le risque est la précision. Il est facile de générer des fichiers de configuration qui semblent corrects, mais qui ne tiennent pas compte de nuances essentielles, qu’un expert humain aurait détectées.

Siri Varma Vegiraju, de Microsoft, a donné un exemple simple mais sérieux : Un code Terraform généré par l’IA qui crée un compte de stockage avec un accès au réseau public activé. La configuration est validée. Il se déploie sans erreur. Et il laisse vos données exposées à l’internet public. Selon M. Vegiraju, dans plus de 90 % des cas d’utilisation réels en entreprise, l’accès public devrait être désactivé par défaut. L’IA ne connaît pas vos intentions. Elle ne connaît pas votre environnement.

Ivan Novikov de Wallarm a soulevé un autre point critique. L’IA n’a pas de contexte sur votre infrastructure, vos règles RBAC, vos relations de service, vos politiques de nommage, vos secrets, vos flux CI/CD. Lorsqu’un développeur demande à l’IA d' »écrire une configuration pour l’API X », c’est exactement ce qu’elle fait, mais de manière isolée. C’est dans cet isolement que le risque émerge.

Une grande entreprise de SaaS avec laquelle Novikov s’est entretenu utilise désormais l’IA générative pour 30 % de son IaC. Mais à mesure que leur utilisation de l’IA s’est développée, leurs erreurs de CI/CD ont triplé. Mauvais ports. Des buckets S3 exposés. Secrets mal configurés. Autant d’erreurs de base, mais qui se produisent plus fréquemment en raison de l’envoi trop rapide de code généré par l’IA.

Du point de vue de la direction, il ne s’agit pas d’empêcher l’adoption de l’IA, mais de gérer la manière dont elle se fait. La vitesse est une bonne chose, mais les vulnérabilités invisibles tuent la fiabilité. Si vous faites évoluer l’IA dans l’infrastructure, vous devez également faire évoluer la validation. Cela commence par l’application des politiques, les contrôles automatisés des modèles d’infrastructure standard, et se poursuit par l’examen du code et la détection des dérives après le déploiement. Des outils comme tfsec, Checkov et des couches de validation personnalisées doivent faire partie de votre pipeline de développement par défaut. Sinon, les gains en termes de rapidité seront annulés par le temps que vous passerez à résoudre des problèmes en aval qui auraient pu être évités.

Les organisations évoluent vers une adoption structurée et gouvernée de l’IA dans l’IaC.

Alors que l’IA est de plus en plus intégrée dans les flux de travail de l’infrastructure, les entreprises se rendent compte que l’expérimentation informelle n’est pas suffisante. Ce qui a commencé comme une utilisation silencieuse, les développeurs s’appuyant sur ChatGPT pour générer un bloc de configuration ou résoudre une erreur de fournisseur, évolue maintenant vers des cadres structurés à l’échelle de l’entreprise. Les entreprises veulent la puissance de l’IA générative, mais avec une gouvernance intégrée.

Fergal Glynn, CMO chez Mindgard, a noté une tendance claire : alors que les startups expérimentent souvent en premier, les grandes organisations adoptent des plateformes augmentées par l’IA comme Torque, qui incluent des garde-fous pour réduire les risques. La démarche est intentionnelle, la vitesse et la flexibilité sont conservées, mais les résultats sont façonnés par la politique interne et les normes de sécurité.

Ori Yemini, directeur technique et cofondateur de ControlMonkey, a partagé un cas de déploiement réel. Un client a essayé de générer en masse Terraform pour 80 microservices à l’aide de ChatGPT. Les configurations fonctionnaient techniquement, mais aucune ne respectait les normes de marquage, les conventions de module ou les politiques d’accès de l’entreprise. Cela a créé un chaos opérationnel. La solution a consisté à passer à un wrapper interne, une interface IA qui ajoute un contexte organisationnel à chaque invite, en tirant les métadonnées, les conventions et les détails du référentiel requis. Cela a permis de réduire considérablement les dérives de configuration et les reprises.

Nimisha Mehta, ingénieur DevOps senior chez Confluent, a souligné que les entreprises avant-gardistes en matière d’IA vont plus loin, en investissant dans des outils internes sur mesure qui connectent leurs grands modèles de langage (LLM) avec des données d’infrastructure propriétaires. Il s’agit notamment de plugins IDE, d’environnements de jeu et de pipelines personnalisés où les suggestions d’IA sont testées en toute sécurité avant d’être déployées.

Si vous êtes à la tête d’une organisation et que vous vous attendez à ce que cette technologie soit évolutive, vous devez mettre en place des systèmes qui correspondent à cette évolution. Demandez si vos équipes expérimentent en silos ou si elles construisent des flux de travail unifiés qui reflètent les normes de votre entreprise. L’IA générative ne doit pas fonctionner sans contexte. Vous ne laisseriez pas un entrepreneur reconstruire une partie de votre infrastructure sans avoir vu le plan. Il en va de même pour l’IA. Mettez en œuvre des enveloppes internes, codifiez les normes de l’équipe dans des messages-guides et rendez les tests en bac à sable obligatoires. La vitesse, c’est bien. L’ordre et l’alignement, c’est mieux.

L’IA générative accélère les processus de développement mais nécessite une surveillance humaine par le biais de la gouvernance.

L’IA générative accélère le temps de développement dans tous les domaines. La création de modules Terraform réutilisables, la conversion de scripts shell en playbooks Ansible, l’échafaudage de projets Pulumi en TypeScript, deviennent rapidement des tâches de routine prises en charge par l’IA. Les ingénieurs qui passaient des heures à lire de la documentation ou à résoudre des problèmes de syntaxe exécutent désormais des tâches similaires en quelques minutes.

Ori Yemini, de ControlMonkey, a observé que les ingénieurs ne se contentent pas d’utiliser l’IA pour écrire un groupe de sécurité ou un modèle de configuration. Ils l’utilisent pour réimaginer l’architecture, en particulier en milieu de course lorsque des obstacles surgissent. Selon lui, les équipes les plus efficaces traitent l’IA comme un moteur de premier jet, qui fait avancer les idées plus rapidement, mais qui a toujours besoin d’ingénieurs expérimentés pour affiner la solution.

Nimisha Mehta de Confluent a expliqué que les garde-fous sont essentiels. Lorsque l’IA fait partie de votre flux de travail, les changements accidentels, qu’ils soient dus à une erreur de l’IA ou à une erreur humaine, peuvent rapidement prendre de l’ampleur. Les garde-fous tels que les pipelines GitOps, les demandes d’extraction examinées par les pairs et les tests automatisés agissent comme un système de contrôle. Fergal Glynn a ajouté que même les meilleurs systèmes d’IA, comme WISDOM-ANSIBLE, produisent toujours des erreurs marginales. L’examen manuel reste essentiel.

L’IA augmente le débit. C’est évident. Mais une plus grande vélocité ne réduit pas le besoin de précision, elle l’augmente. Au niveau de la direction, votre responsabilité n’est pas seulement d’adopter l’IA, mais aussi de mettre en place les processus systémiques qui contiennent et façonnent ses résultats. La gouvernance n’est pas la bureaucratie. C’est une question de structure. Traitez l’IA générative comme un collaborateur productif mais immature au sein de l’équipe : utile, cohérent et rapide, mais aveugle à vos normes internes à moins que vous ne les appliquiez.

Les dirigeants devraient se concentrer sur l’intégration d’outils de validation du code, l’application de contrôles d’accès et la normalisation des modèles de configuration. Cela permet d’éviter les dérives opérationnelles. Vous bénéficiez des avantages d’un développement rapide sans les risques d’une infrastructure instable. Lorsque la vitesse et la structure fonctionnent ensemble, vous gagnez plus que du temps, vous gagnez de la résilience.

L’IA va au-delà de la génération de code et s’étend à l’observabilité et à l’automatisation de l’infrastructure.

L’IA générative ne se limite plus à l’écriture de fichiers de script. Elle commence à influencer la façon dont les équipes surveillent, analysent et réagissent aux conditions de l’infrastructure en temps réel. Ce changement pousse la gestion de l’infrastructure vers un territoire plus proactif et autonome.

Siri Varma Vegiraju, de Microsoft, a décrit les premières expériences où les systèmes d’IA ingèrent des données télémétriques pour proposer des mises à jour de l’infrastructure en tant que code (IaC) à la volée. Par exemple, lorsque des services sont constamment mis à l’échelle en raison de l’épuisement du processeur, l’IA peut identifier le modèle et recommander d’augmenter les limites du processeur ou d’ajuster les seuils de mise à l’échelle automatique. Il ne s’agit pas de théorie. Il s’agit de concepts opérationnels testés dans des environnements où les données télémétriques sont déjà denses et structurées.

Nimisha Mehta, de Confluent, a développé ce point en présentant des scénarios de débogage réels. Elle a fait remarquer que l’IA est utilisée pour retracer les paquets de données à travers des piles de réseaux complexes afin d’isoler les causes de la défaillance. Au lieu de traiter les symptômes, ces systèmes d’IA aident les ingénieurs à identifier plus rapidement le problème à la racine, ce qui est particulièrement utile dans les architectures de services multicouches. Bien que les systèmes d’autoréparation à grande échelle soient encore en cours de développement, l’intégration de l’IA pour les diagnostics en temps réel et l’isolation des problèmes constitue un grand pas en avant.

Les outils évoluent rapidement, mais l’objectif est clair : l’IA ne doit plus être réactive, c’est-à-dire répondre aux demandes des développeurs, mais opérationnelle, c’est-à-dire rendre l’infrastructure plus intelligente, plus adaptable et plus facile à gérer à grande échelle.

Si vous êtes à la tête de la stratégie technologique, prêtez attention à l’endroit où vos équipes déploient l’IA au-delà de la génération de code. Ces systèmes de télémétrie permettent à l’IA de commencer à contribuer à la qualité de l’infrastructure en temps réel, et pas seulement pendant le déploiement. Bien que ces initiatives nécessitent un investissement initial et une expérimentation ciblée, elles offrent des gains à long terme en termes de disponibilité, de contrôle des coûts et de sensibilisation opérationnelle.

L’équilibre entre l’automatisation et la supervision reste important. Même lorsque l’IA peut recommander une solution, l’approbation humaine permet de s’assurer qu’elle est conforme à l’intention stratégique et aux exigences de conformité. N’attendez pas que ces outils se généralisent, créez dès maintenant la capacité de tester et d’évaluer ces capacités. C’est ainsi que l’on façonne une infrastructure prête pour l’avenir.

La vitesse de déploiement de l’IA peut dépasser les protocoles de sécurité si elle n’est pas gérée avec soin

L’IA générative permet un déploiement rapide. Parfois trop vite.

Ivan Novikov, de Wallarm, a mis en évidence une tendance grave : Dans une entreprise de SaaS, 30 % de l’IaC était générée par l’IA. Mais l’augmentation de l’utilisation de l’IA s’est accompagnée d’un triplement des erreurs de configuration dans leurs pipelines CI/CD, des ports mal configurés, des secrets incorrects, des points d’extrémité ouverts et des erreurs de politique d’accès. Il s’agit de petits oublis, mais ils s’amplifient avec chaque poussée qui contourne la validation appropriée.

La raison en est simple. Les développeurs se fient trop rapidement aux résultats de l’IA. Une ligne de YAML semble correcte et passe le contrôle syntaxique. Elle est donc expédiée. C’est alors que des erreurs se glissent dans la production.

Fergal Glynn de Mindgard a souligné que même avec des modèles prédictifs et bien entraînés, l’examen humain n’est pas facultatif. Des systèmes avancés tels que WISDOM-ANSIBLE peuvent traduire des instructions en anglais en playbooks complets, mais les résultats nécessitent toujours des ajustements manuels, en particulier dans les cas extrêmes que les modèles n’ont pas vus assez souvent pour être corrects.

De nombreuses entreprises s’attaquent à ce problème à l’aide d’outils de validation automatisés, tels que tfsec, Checkov, et d’analyseurs de politiques personnalisés qui détectent les problèmes avant le déploiement. Mais la cause profonde est culturelle. Lorsque la vitesse devient l’objectif, la sécurité est reléguée au second plan.

Les dirigeants doivent être lucides sur les compromis à faire. Une livraison plus rapide est précieuse, mais une vitesse non contrôlée génère une dette technique, une exposition à la sécurité et une volatilité opérationnelle. Si l’IA générative fait partie de votre stratégie DevOps, elle doit être mise en œuvre avec des paramètres par défaut qui ralentissent les choses au bon moment. Cela signifie des étapes de validation obligatoires avant le déploiement, des analyses de sécurité automatisées, des normes appliquées dans les pipelines de CI et un examen structuré par les pairs.

La vitesse n’est pas dangereuse en soi. Mais lorsque la discipline des processus diminue, une petite erreur de configuration peut créer des incidents avec les clients, des défaillances de conformité ou des interruptions de service. Alors que l’IA accélère son développement, vos couches de gouvernance et de sécurité doivent évoluer tout aussi rapidement. Si vous ne le faites pas, vous vous exposez à des lacunes qui s’aggravent au fil du temps.

Principaux enseignements pour les dirigeants

• L’IA réduit les obstacles au développement de l’infrastructure : L’IA générative permet aux développeurs non spécialisés de produire rapidement du code d’infrastructure, réduisant ainsi la dépendance à l’égard des équipes DevOps. Les dirigeants doivent soutenir cette évolution en normalisant l’utilisation des outils et en imposant des pratiques communes.
• Les risques de sécurité augmentent en l’absence de contrôles contextuels : Les configurations générées par l’IA manquent souvent de contexte environnemental, ce qui conduit à des configurations erronées telles que des ports ouverts ou un accès public. Les dirigeants doivent mettre en œuvre une validation automatisée et un examen humain pour maintenir les protocoles de sécurité.
• L’adoption structurée permet d’obtenir des résultats à grande échelle : Les organisations qui passent d’une utilisation informelle de l’IA à des cadres structurés et guidés par des politiques constatent une réduction des erreurs et des résultats plus cohérents. Les dirigeants devraient investir dans des enveloppes d’IA internes et des environnements de bac à sable afin de passer à l’échelle en toute sécurité.
• L’accélération du développement nécessite toujours une supervision : L’IA générative augmente la vitesse de livraison mais ne remplace pas le jugement humain. Les dirigeants doivent mettre en place des garde-fous, des flux de travail GitOps et un examen par les pairs pour garantir la qualité et la conformité de l’infrastructure.
• L’IA s’oriente vers les opérations en temps réel et l’observabilité : Les premières intégrations utilisent des données de télémétrie pour permettre à l’IA de recommander ou d’appliquer des changements de configuration en production. Les organisations tournées vers l’avenir devraient tester ces capacités dès maintenant pour se préparer aux changements opérationnels à venir.
• La rapidité sans gouvernance aggrave les risques : Les mises à jour de l’infrastructure pilotées par l’IA qui contournent les contrôles appropriés entraînent un pic d’erreurs de déploiement. Les dirigeants doivent donner la priorité aux outils de gouvernance et appliquer des politiques qui concilient rapidité et fiabilité.