Le 4 décembre 2025, la journée a commencé par le genre de notification que tout développeur redoute : une faille de sécurité critique. Meta et Vercel venaient de relayer une vulnérabilité (CVE-2025-55182) affectant les React Server Components et Next.js, exposant potentiellement les applications à des risques d'exécution de code à distance (RCE).
Au lieu de paniquer, de parcourir les changelogs ou de risquer de casser la prod avec une mise à jour manuelle hasardeuse, j'ai délégué la tâche à Antigravity. Voici comment s'est déroulé le correctif, de la notification au commit, sans que j'aie à écrire une seule ligne de code.
1. Analyse et planification automatisée
Dès la réception de l'alerte, j'ai simplement demandé à l'agent : "upgrade react".
L'agent a immédiatement scanné mon package.json. Il a identifié que j'étais sur la version 19.2.0 et que la version corrective 19.2.1 était disponible. Ce qui est impressionnant, c'est la structure de sa réponse. Il n'a pas juste lancé une commande npm update à l'aveugle. Il a généré un plan d'implémentation :
- Modification des dépendances : ciblage précis de
reactetreact-domvers^19.2.1. - Plan de vérification : il a prévu de lancer
npm run buildetnpm run devpour s'assurer que la montée de version ne créait pas de régression.
2. Exécution et vérification
Une fois le plan validé (l'agent a "auto-procédé" selon la politique définie), il est passé à l'action.
- Mise à jour : il a modifié le
package.jsonpour cibler les versions sécurisées. - Installation : il a lancé l'installation des dépendances.
- Tests : il a exécuté la commande de build. Le résultat a confirmé que l'application compilait parfaitement avec la nouvelle version, sans changements cassants.
L'agent a documenté chaque étape dans un "Walkthrough", confirmant le succès de l'opération : "Upgraded React to 19.2.1. Verified build successfully."
3. Le commit final
La mise à jour étant fonctionnelle, je lui ai simplement envoyé : "commit".
L'agent a vérifié le git status, vu les modifications dans package.json et package-lock.json, et a généré un message de commit conventionnel et explicite :
chore(deps): upgrade react and react-dom to 19.2.1.
4. La « double vérification » de sécurité
C'est ici que l'IA brille vraiment. Je voulais absolument être certain que cette version 19.2.1 suffisait bien à contrer la menace spécifique mentionnée par Google Cloud.
J'ai posé la question fatidique en collant le lien du bulletin de sécurité :
"is it enough against this https://cloud.google.com/blog/products/identity-security/responding-to-cve-2025-55182/".
L'agent a lu et analysé l'article en temps réel. Sa réponse a été rassurante et techniquement précise :
- Il a confirmé que la CVE affecte les versions antérieures à 19.2.1.
- Il a vérifié mon
package-lock.jsonpour s'assurer que je n'utilisais pas les paquets vulnérables spécifiquesreact-server-dom-*. - Verdict : "You are safe."
Conclusion
En quelques minutes, et sans que j'aie à toucher une seule ligne de code manuellement, la faille CVE-2025-55182 était corrigée. L'utilisation d'Antigravity m'a permis de passer de la découverte de la vulnérabilité à une Pull Request testée et commise avec une friction minimale.
C'est un exemple parfait de la façon dont l'IA transforme le DevSecOps : elle nous permet de réagir aux menaces de sécurité avec une rapidité et une fiabilité qui seraient difficiles à égaler manuellement.
Charlotte Ryssen (Coumont)
