Scan de secrets pour les outils de codage IA

Les développeurs s'appuient de plus en plus sur des outils de codage IA comme Cursor, Claude Code et Codex pour écrire et modifier du code. Ces outils peuvent exposer involontairement des secrets : un développeur pourrait coller des identifiants dans un prompt, ou l'agent IA pourrait lire un fichier ou exécuter une commande contenant des clés d'API ou des tokens. Une fois qu'un secret atteint le modèle IA, il peut être journalisé, mis en cache ou envoyé à des services tiers.

ggshield s'intègre aux outils de codage IA via leurs systèmes de hooks pour scanner les interactions en temps réel. Lorsqu'un secret est détecté, ggshield bloque l'action avant qu'elle n'atteigne le modèle et indique au développeur de retirer le secret.

Fonctionnement

Les outils de codage IA prennent en charge les hooks : des commandes personnalisées qui s'exécutent à des moments précis lors d'une interaction IA. ggshield s'enregistre comme hook et scanne le contenu à trois étapes :

Étape	Ce qu'il fait	Comportement
Soumission du prompt	Scanne le prompt de l'utilisateur avant qu'il ne soit envoyé au modèle IA	Bloque le prompt si des secrets sont trouvés
Pre-tool use	Scanne les commandes, lectures de fichiers et appels MCP avant que l'IA ne les exécute	Bloque l'action si des secrets sont trouvés
Post-tool use	Scanne les sorties des outils après exécution	Envoie une notification de bureau si des secrets sont trouvés

ggshield utilise le même moteur de détection que toutes les autres commandes de scan, couvrant plus de 500 types de secrets.

Prérequis

• ggshield version 1.49.0 ou ultérieure (1.51.0 ou ultérieure pour Codex)
• Une clé d'API GitGuardian (voir Démarrer)
• L'un des outils de codage IA pris en charge : Cursor, Claude Code, Codex, ou VS Code avec GitHub Copilot

Installation

ggshield fournit un installateur en une seule commande qui écrit la configuration de hook correcte pour chaque outil.

Cursor

$ ggshield install -t cursor -m global

Ceci écrit les hooks dans votre fichier global .cursor/hooks.json. Pour installer uniquement pour le projet en cours :

$ ggshield install -t cursor -m local

La configuration générée enregistre ggshield sur les trois étapes de hook (soumission du prompt, pre-tool use et post-tool use).

Claude Code

$ ggshield install -t claude-code -m global

Ceci écrit les hooks dans votre fichier global .claude/settings.json. Pour installer uniquement pour le projet en cours :

$ ggshield install -t claude-code -m local

La configuration générée enregistre ggshield sur les trois étapes de hook (soumission du prompt, pre-tool use et post-tool use).

Codex

$ ggshield install -t codex -m global

Ceci écrit les hooks dans votre fichier global ~/.codex/hooks.json. Pour installer uniquement pour le projet en cours :

$ ggshield install -t codex -m local

La configuration générée enregistre ggshield sur les trois étapes de hook (soumission du prompt, pre-tool use et post-tool use).

VS Code avec GitHub Copilot

$ ggshield install -t copilot -m global

Ceci écrit les hooks dans vos paramètres globaux de VS Code. Pour installer uniquement pour le projet en cours :

$ ggshield install -t copilot -m local

vscode est accepté comme alias de copilot (ggshield install -t vscode …).

La configuration générée enregistre ggshield sur les trois étapes de hook (soumission du prompt, pre-tool use et post-tool use).

astuce

Si vous avez déjà des configurations de hooks pour l'outil cible, ggshield fusionne ses hooks dans le fichier existant sans toucher aux autres hooks. Utilisez --force pour écraser les propres hooks de ggshield (par exemple, s'ils ont été personnalisés et que vous souhaitez les réinitialiser).

Ce que voit le développeur

Lorsque ggshield détecte un secret, l'outil de codage IA affiche un message bloquant. Par exemple, dans Cursor :

Detected 1 secret

• Google API Key (valid) : AIzaSyC****************-*********d5oii7Y

Please remove the secrets from the content before proceeding.

Le prompt ou l'action est bloqué jusqu'à ce que le développeur retire le secret et réessaie.

Pour les détections post-tool-use (lorsque l'action a déjà été exécutée), ggshield envoie une notification de bureau alertant le développeur.

Gestion des faux positifs

Si ggshield bloque une action sur un secret qui est un faux positif connu, vous pouvez demander à ggshield de l'ignorer :

$ ggshield secret ignore --last-found

Ceci ajoute le secret détecté à votre liste d'ignorés .gitguardian.yaml. Les scans futurs (y compris les scans de hooks IA) l'ignoreront.

Désinstallation

Pour retirer les hooks, supprimez les entrées ggshield du fichier de configuration de l'outil :

• Cursor : .cursor/hooks.json
• Claude Code : .claude/settings.json
• Codex : .codex/hooks.json
• VS Code avec GitHub Copilot : paramètres de VS Code

Voir aussi

• Référence ggshield secret scan ai-hook : référence CLI pour la commande de scan sous-jacente
• Démarrer avec ggshield : installation et authentification