Chapitre 08 — ocarina-with-ai-example#

Suite e2e CURA Healthcare co-écrite par Claude Code. C’est le proof of concept vivant de la philosophie « l’IA est le pont ».

Plan#

#FichierSujet
0101-ai-manifesto.mdLe README et son constat « Code : 99% Claude / Intelligence : 50-50 ».
0202-sut-cura.mdCURA Healthcare : SUT externe, PHP open source, Heroku eco-dyno.
0303-canonical-documents.mdLes 4 documents : CLAUDE.md, CURA_FRD.md, CURA_TEST_STRATEGY.md, IDENTIFIED_GAPS.md.
0404-test-strategy.mdTypes de tests (happy / unhappy / edge / business logic vulnerability / exploratory / regression).
0505-security-gaps.mdGaps sécurité : CSRF, session, rate-limit (G-SEC-1 à G-SEC-3).
0606-data-gaps.mdGaps data : visit_date sans validation, doublons (G-DATA-1 à G-DATA-2).
0707-spec-gaps.mdGaps spec : ordre history, profile placeholder, redirects (G-SPEC-1 à G-SPEC-3).
0808-bfcache.mdBFCache Chrome : B-BROWSER-1 (et A-ENV-1, A-ENV-2).
0909-ci-matrix.mdCI : ai_proof_ci.yml + ai_proof_e2e.yml matrice Firefox/Chrome + warm-up Heroku + filtrage stacktrace ChromeDriver.

Success story#

Claude CodeHumain
Code écrit99%1%
Intelligence50%50%

Almost every line was machine-written. The judgement behind it — what to test, what to distrust, when to dig and when to stop — was shared.

C’est l’incarnation de ../01-philosophy/01-flip-the-problem.md :

Avec l’IA, et des outils comme Claude Code, ce pari devient chaque jour plus solide. Le pont entre techniques et non-techniques n’est plus une couche d’abstraction.

C’est l’IA elle-même. IA qui travaille sur de la donnée brute.

Rappel du Holy Book#

Trois choses que ce projet n’est pas, d’après le Holy Book (chapitre « Utiliser Ocarina avec l’IA ») :

  • Ne génère pas de tests de façon autonome.
  • Ne patche pas les hallucinations en CI ; un échec déclenche review-report + analyse-*.
  • Ne réécrit pas la spec ; seul update-frd-and-tests le fait, avec une ligne de révision.
  • Ne fait pas de tests de sécurité actifs. Jamais.

L’humain garde le contrôle. L’IA produit la mécanique.

Singularité#

  1. Lecture du PHP source pour trouver de vrais défauts : CSRF absent, validation client-only, ordre d’history par soumission, etc.
  2. Tests de vulnérabilités de logique métier : past-date booking, doublons, créneaux géographiquement impossibles.
  3. Divergence cross-browser traitée comme un finding : BFCache Chrome qui restaure une no-store page après logout.

Chaque gap est documenté avec file:line et PHP evidence, et matérialisé en test intentionnellement rouge qui restera rouge tant que CURA n’est pas corrigé.

Lectures connexes#