Why AI Agents Write Broken Access Control

Ce rapport explique que les agents de codage IA génèrent fréquemment des endpoints qui authentifient l’utilisateur mais oublient la vérification de propriété (BOLA/IDOR), rendant les failles d’autorisation difficiles à détecter par l’analyse statique. Il détaille pourquoi ces bugs échappent aux moteurs basés sur des motifs, plaide pour la construction d’un « graphe de contexte applicatif » (schéma, flux, frontières de confiance) et propose cinq actions pratiques (inventaire des endpoints, documentation des règles de propriété, contrôle explicite en revue de PR, tests inter-tenant, analyses contextuelles approfondies) pour réduire le risque.