Tutoriel IA : ajouter des garde-fous automatiques avant de laisser coder un agent

[CrdaN]

Tutoriel IA : ajouter des garde-fous automatiques avant de laisser coder un agent

Les agents IA savent modifier du code très vite. C’est pratique, mais c’est aussi le piège : si le projet n’a aucun garde-fou, Cursor, Claude Code, Codex ou un autre assistant peut livrer une correction qui “a l’air bonne” mais qui casse un import, un format JSON, une commande de build ou un comportement discret.

La bonne approche n’est pas de faire confiance à l’agent parce qu’il explique bien. La bonne approche, c’est de lui donner une piste d’atterrissage : quelques commandes simples qui valident automatiquement ce qu’il vient de toucher.

Ce tutoriel est volontairement evergreen : il ne dépend pas d’une version précise d’un outil IA. L’idée est de préparer n’importe quel petit projet Cheat-Gam3 — bot Discord, script de veille, outil forum, mini-site, API, dashboard, automatisation XenForo — pour que l’agent puisse coder plus proprement et surtout prouver que ça tient debout.

Le problème classique​

Beaucoup de projets perso ou communautaires fonctionnent “à la main”. On lance un script, on corrige un bug, on redémarre, et tant que ça ne crashe pas tout de suite, on considère que c’est bon.

Avec un humain expérimenté, ça peut passer. Avec un agent IA qui peut modifier plusieurs fichiers en une minute, ça devient risqué.

Exemples fréquents :

• l’agent corrige une fonction mais oublie un import ;
• il change le nom d’un champ JSON utilisé ailleurs ;
• il reformate un fichier de config sensible ;
• il ajoute une dépendance inutile ;
• il annonce “testé” alors qu’aucun vrai test n’existe ;
• il casse un script de publication, mais seulement au moment où l’API est appelée.

Le but des garde-fous est simple : transformer “ça semble bon” en “voici la commande qui valide”.

Le minimum viable : 3 commandes​

Pour un projet utilisé avec des agents IA, je conseille d’avoir au minimum ces trois commandes documentées :

1. format/lint : détecter les erreurs évidentes ;
2. test : vérifier le comportement important ;
3. dry-run : simuler l’action externe sans publier/envoyer/modifier réellement.

Même si le projet est petit, ces trois niveaux changent tout. L’agent peut faire une modification, lancer la vérification, lire l’erreur, corriger, puis te donner un résultat concret.

Pour Python : ruff + pytest + dry-run​

Sur un script Python, la combinaison simple est :

• ruff pour repérer les erreurs de style, imports inutiles, variables non utilisées ;
• pytest pour tester les fonctions critiques ;
• un argument --dry-run pour éviter les actions réelles pendant les tests.

Pas besoin d’avoir une suite de tests géante. Un test qui valide le format d’un payload, la présence d’un champ, ou le fait qu’un message ne contient pas de secret peut déjà éviter une catastrophe.

Pour voir le contenu, vous devez réagir aux messages avec l'une de ces réactions :

Réagir, Love, Haha, Oula, Triste, Colère

Pour JavaScript/TypeScript : lint + typecheck + test​

Côté Node, l’équivalent peut être :

• npm run lint ;
• npm run typecheck ;
• npm test ;
• npm run build si le projet est un site ou une app.

Le typecheck est très utile avec les agents IA. Beaucoup d’erreurs ne sont pas visibles dans une réponse texte, mais TypeScript les repère immédiatement : propriété absente, mauvais type de retour, fonction appelée avec le mauvais paramètre.

Si tu as un bot Discord ou un dashboard, ajoute aussi un mode simulation. Par exemple : générer le message dans la console sans l’envoyer au salon.

Le dry-run : indispensable dès qu’il y a une action externe​

Dès qu’un script peut publier, envoyer, supprimer, facturer, créer un ticket ou appeler une API externe, il faut un mode dry-run.

Un bon dry-run doit :

• afficher ce qui serait envoyé ;
• masquer les secrets ;
• ne jamais appeler l’action finale ;
• retourner un code de sortie clair ;
• être assez proche du vrai flux pour détecter les erreurs de format.

Pour Cheat-Gam3, c’est particulièrement important pour les scripts qui préparent des threads XenForo, des annonces, des résumés, des messages Discord ou des fiches marketplace. Un agent peut aider à rédiger et structurer, mais la publication réelle doit rester contrôlée.

Ce qu’il faut écrire dans AGENTS.md​

Les agents IA suivent mieux les règles quand elles sont proches du projet. Dans AGENTS.md, ajoute une section claire :

• quelles commandes lancer après modification ;
• quelles commandes sont interdites sans confirmation ;
• quels fichiers sont sensibles ;
• quoi faire si les tests échouent ;
• comment résumer le résultat.

Évite les consignes floues du style “fais attention”. Préfère : “avant de dire terminé, lance python -m pytest -q ou explique pourquoi ce n’est pas possible”.

Pour voir le contenu, vous devez réagir aux messages avec l'une de ces réactions :

Réagir, Love, Haha, Oula, Triste, Colère

Quels tests écrire en premier ?​

Si ton projet n’a aucun test, ne commence pas par une architecture énorme. Commence par les endroits où une erreur coûte cher.

Exemples utiles :

• un test qui vérifie qu’un payload XenForo contient node_id, title, message et tags[] ;
• un test qui refuse un message contenant une valeur ressemblant à une clé API ;
• un test qui valide qu’un résumé garde bien la source et la date ;
• un test qui vérifie qu’un bot Discord ne poste rien en mode dry-run ;
• un test qui vérifie qu’un fichier JSON d’état reste lisible après écriture.

Ces tests sont petits, mais ils protègent les vrais points faibles.

Attention aux faux garde-fous​

Un garde-fou inutile peut donner une fausse impression de sécurité. Par exemple :

• un test qui ne fait qu’importer un fichier sans vérifier le résultat ;
• un dry-run qui appelle quand même l’API finale ;
• un lint ignoré parce qu’il “fait trop de bruit” ;
• une commande de build jamais lancée par l’agent ;
• des règles écrites dans un vieux README que personne ne lit.

Le bon garde-fou est court, rapide et réellement utilisé.

Workflow recommandé avec un agent IA​

Voici une méthode simple :

1. ouvrir une tâche précise ;
2. demander à l’agent de lire le contexte ;
3. faire une petite modification ;
4. lancer lint/test/dry-run ;
5. corriger si nécessaire ;
6. relire le diff ;
7. publier ou déployer seulement si tout est clair.

L’intérêt est de garder l’agent dans une boucle courte. Plus la boucle est longue, plus il risque de mélanger les objectifs.

Mon avis​

Les agents IA ne remplacent pas les garde-fous. Ils les rendent encore plus importants.

Un projet avec deux commandes de validation simples sera souvent plus sûr qu’un projet “bien prompté” mais impossible à tester. Les prompts aident l’agent à comprendre. Les tests l’empêchent de se raconter une histoire.

Pour la communauté Cheat-Gam3, c’est un bon réflexe à prendre dès maintenant : si vous utilisez Cursor, Claude, Codex ou ChatGPT pour coder un bot, un outil forum, un scraper légal, une page web ou une automatisation, ajoutez au moins un lint, un test minimal et un dry-run. Ce n’est pas glamour, mais c’est ce qui permet d’utiliser l’IA plus vite sans transformer chaque correction en roulette russe.