Superviser les agents de code IA avant qu’ils ne sortent du cadre.
IQAI Code est un prototype local fonctionnel pour superviser le développement assisté par l’IA : ce que l’agent a modifié, s’il est resté dans le cadre, ce qui doit être revu, et si le travail final mérite PASS, CAUTION ou FAIL.
Contrôle local du code assisté par l’IA avant l’intégration.
IQAI Code n’est pas un autre copilote. Le prototype agit comme une couche de contrôle autour de la session de code : périmètre de tâche, chemins protégés, statut en direct, vérification du reçu et preuve de revue.
Un superviseur local pour les sessions de code assistées par l’IA.
Il surveille les fichiers sauvegardés par rapport au périmètre de tâche, aux chemins protégés, aux plans approuvés et au point de départ de la session.
Équipes d’ingénierie, plateforme, AppSec, DevSecOps et gouvernance IA.
Conçu pour les équipes qui adoptent Cursor, Copilot, Claude Code ou des agents similaires avec un besoin de contrôle.
Si l’agent est resté dans le cadre.
Le tableau de bord montre les fichiers touchés, les chemins dans le cadre ou hors cadre, les chemins protégés et le statut de dérive en direct.
Reçus, rapports, exports JSON et verdicts PASS / CAUTION / FAIL.
À la fin de la session, Verify compare le reçu de l’agent à la réalité Git et signale les risques de revue.
Les agents IA peuvent modifier beaucoup de fichiers rapidement, puis déclarer que le travail est terminé.
Git montre ce qui a changé après coup. La revue de code peut détecter certains problèmes plus tard. IQAI Code se concentre sur la session en cours : ce qui a été demandé à l’agent, ce qu’il a touché, s’il a franchi le périmètre et si son reçu final correspond au vrai diff.
L’agent modifie des fichiers hors tâche.
Une petite consigne peut entraîner des modifications de README, de configuration, de scripts, de fixtures ou de fichiers sans lien avec la tâche.
Certains fichiers ne doivent pas être touchés à la légère.
Fichiers d’environnement, scripts de déploiement, logique d’authentification, migrations, tests et fichiers critiques peuvent exiger un contrôle plus strict.
Le résumé de l’agent ne correspond pas toujours à la réalité Git.
IQAI Code compare les affirmations de l’agent au diff réel avant qu’on fasse confiance au travail.
Un seul écran indique au réviseur quoi faire maintenant.
Le tableau de bord transforme l’activité fichiers en états de supervision simples pendant que l’agent travaille. Les libellés servent au contrôle humain rapide, pas à produire du bruit technique.
Continuer
Les changements sauvegardés restent dans le périmètre de la tâche et aucun chemin protégé n’a été touché.
Revoir
L’agent a sauvegardé des fichiers hors périmètre, ou le plan approuvé ne correspond plus à la session réelle.
Ne pas continuer à l’aveugle
Un noyau protégé a été touché ou une règle d’arrêt strict s’est déclenchée. Une intervention humaine est requise.
Une couche de contrôle par session, pas un scanner de dépôt complet.
IQAI Code travaille à partir des preuves locales de la session : tâche, point de départ, fichiers sauvegardés, périmètres, chemins protégés, reçu de l’agent, diff Git, hooks Cursor optionnels et vérification déterministe.
Périmètre de tâche
Les globs autorisés et le contrat de session définissent où l’agent est censé travailler.
Point de départ
Seuls les changements après le démarrage ou le recalage comptent comme changements de session.
Chemins protégés
Les chemins interdits peuvent déclencher STOP lorsqu’un noyau protégé est modifié.
Plan approuvé
Les modes Guidé et Strict peuvent comparer les fichiers sauvegardés au plan de fichiers approuvé.
Miroir de consigne
La transcription Cursor et des hooks optionnels peuvent refléter la consigne utilisateur dans le tableau de bord.
Reçu de l’agent
L’agent écrit ce qu’il affirme avoir fait dans .codetrust/agent_receipt.md.
Réalité Git
Verify compare les affirmations du reçu au diff Git réel et aux chemins modifiés.
Heuristiques de sécurité
Des contrôles par règles signalent les secrets, l’affaiblissement de l’authentification, les changements de dépendances et d’autres motifs de risque.
Démarrer la session. Observer le travail. Vérifier le reçu.
Le flux du prototype est volontairement simple : définir la tâche, observer la session, approuver le périmètre au besoin, puis terminer avec un contrôle déterministe.
Initialiser une session supervisée avec texte de tâche, mode, point de départ, contrat et consigne du tableau de bord.
Le flux local se met à jour toutes les quelques secondes lorsque des fichiers sauvegardés apparaissent dans l’arbre de travail.
En mode Guidé, l’agent peut proposer un plan de fichiers et l’humain peut approuver le périmètre prévu.
Le reçu de l’agent est comparé à la réalité Git, aux règles de dérive et aux heuristiques de sécurité.
La session reçoit PASS, CAUTION ou FAIL avec preuves exportables et rapports de revue.
Commandes principales
Le moteur actuel combine une CLI locale et un tableau de bord.
codetrust start --repo . --task "Modifier le fichier test seulement"
codetrust watch --repo .
codetrust open --repo .
codetrust approve --repo .
codetrust finish --repo .
La page de contrôle transforme l’activité de l’agent en décisions de revue.
Le tableau de bord en direct est la surface utilisateur du prototype. Il montre ce qui compte maintenant : statut, fichiers touchés, dérive éventuelle et action à prendre par le réviseur.
| Section du tableau de bord | Ce que cela signifie | Pourquoi c’est important |
|---|---|---|
| Statut de cadre | IN LANE / DRIFTING / STOP avec explication claire. | État d’action rapide pour le superviseur humain. |
| Que dois-je faire maintenant ? | Continuer, revoir ou arrêter selon la télémétrie en cours. | Transforme les métriques en consigne opérationnelle. |
| Que touche l’agent ? | Fichiers modifiés, dernier fichier touché, activité récente et badges de statut. | Rend visible le comportement de la session pendant le travail. |
| Dans le cadre / hors cadre / protégé | Listes complètes de chemins sous le périmètre de tâche actuel. | Montre si la session a respecté le périmètre. |
| Mur de plan | Proposé / Approuvé / Correspondance pour les sessions guidées. | Compare le périmètre prévu aux changements réellement sauvegardés. |
| Export JSON | Export de preuve par consigne. | Crée des traces pour réglage, audit et gouvernance. |
L’agent a-t-il décrit correctement ce qui a changé ?
À la fin, IQAI Code vérifie le reçu de l’agent contre le diff Git et des heuristiques par règles. Cela crée un dossier de preuve de session, pas seulement une transcription de conversation.
Le reçu correspond à la réalité Git.
Les changements et affirmations vérifiés sont assez cohérents pour passer à la revue normale.
Revue recommandée.
La session peut contenir des affirmations faibles, de la dérive, des changements non déclarés, des alertes de sécurité ou des preuves manquantes.
Arrêt avant correction humaine.
Le travail ne devrait pas être intégré ni accepté tant que le problème n’est pas résolu et que la session n’est pas revérifiée.
Git diff montre le changement. IQAI Code montre le changement supervisé.
Le produit n’est pas un scanner, ni un autre réviseur IA, ni un remplacement du jugement d’ingénierie. Il ajoute du contexte de session et un contrôle déterministe autour du travail de l’agent.
| Outil normal | Ce qu’il montre | Ce qu’IQAI Code ajoute |
|---|---|---|
| Git diff | Ce qui a changé. | Périmètre de tâche, noyau protégé, statut en direct et alignement du reçu. |
| Revue de code | Jugement humain après la préparation du travail. | Supervision en direct pendant que l’agent travaille encore. |
| CI/CD | Contrôles après push ou demande de merge. | Revue locale de session avant que le changement avance. |
| Scanners AppSec | Résultats de sécurité sur dépôt ou changement. | Portée du changement agent, affirmations, fichiers, dérive et statut du reçu. |
| Journaux agent | Traces d’activité bruyantes. | Verdicts, périmètres, chemins protégés et PASS / CAUTION / FAIL. |
| Historique IDE | Modifications au niveau de l’éditeur. | Périmètre de tâche, point de départ de session, tableau de bord et preuves exportables. |
Prototype fonctionnel aujourd’hui. Produit entreprise à venir.
Le moteur Code Trust démontre aujourd’hui la boucle de contrôle locale. C’est un vrai prototype, pas encore un produit entreprise emballé. La feuille de route mène de l’outil local au déploiement d’équipe.
Tableau de bord local et contrôles déterministes de session.
Politiques d’équipe, gates CI, reçus signés et emballage de déploiement.
Le problème de marché est déjà visible.
L’adoption du code assisté par l’IA s’accélère. La page de preuves documente les signaux publics : risque de sécurité du code généré, dette technique, lacunes de contrôle agentique et charge de revue.
Le sondage Stack Overflow 2025 montre que les outils de code IA sont déjà courants.
Veracode a constaté que des échantillons générés par IA introduisaient des vulnérabilités OWASP Top 10 dans 45 % des tests.
CodeRabbit a rapporté que les PR générées par IA produisaient environ 1,7 fois plus de problèmes que les PR humaines dans son étude.
Avant de faire confiance au code IA, la session doit être vérifiable.
IQAI Code surveille l’agent pendant qu’il travaille et vérifie les faits à la fin : périmètre, chemins, affirmations, diff, risque et reçu.