Qui a écrit ce bug ? Une nouvelle alliance promet de dévoiler l’origine des vulnérabilités logicielles

Imaginez ceci : une vulnérabilité critique est découverte au plus profond du code de votre entreprise. Les alarmes retentissent, et les équipes de sécurité s’empressent de colmater la brèche. Mais une question persistante demeure : qui - ou quoi - l’a introduite à l’origine ? À une époque où humains et IA contribuent ensemble au développement logiciel, retracer la véritable origine du risque est devenu une enquête numérique à haut risque. Désormais, un nouveau partenariat entre Archipelo et Checkmarx vise à braquer les projecteurs sur les mains cachées derrière chaque modification de code risquée.

La sécurité applicative a longtemps été un jeu de rattrapage : analyser le code, repérer les vulnérabilités, et tenter de les corriger avant que les attaquants ne le fassent. Mais à mesure que la création logicielle devient plus complexe - humains et IA collaborant à une vitesse fulgurante - les outils traditionnels échouent souvent à répondre aux questions les plus cruciales : comment ce changement risqué est-il entré dans le système ? Était-ce un développeur travaillant tard, ou un assistant de codage IA devenu incontrôlable ? Quelles conditions ou workflows ont mené à l’erreur ?

Archipelo et Checkmarx misent sur le fait que le contexte est le chaînon manquant. Leur nouveau partenariat relie l’expertise de Checkmarx dans l’identification et la priorisation des vulnérabilités à la capacité d’Archipelo de tracer et d’attribuer chaque modification de code à son origine humaine ou IA, avec métadonnées de workflow et provenance du code à l’appui. Autrement dit, pour chaque ligne de code risquée, les équipes de sécurité peuvent désormais remonter à la « scène du crime » - identifiant non seulement ce qui a mal tourné, mais aussi qui (ou quoi) en est responsable, et dans quelles circonstances.

Cette approche, connue sous le nom de corrélation des résultats de vulnérabilité avec les signaux d’origine du développement, promet de transformer la façon dont les organisations enquêtent et remédient aux problèmes de sécurité. Au lieu de se fier à des suppositions a posteriori, les équipes disposent de preuves tangibles : identités des développeurs, implication de l’IA, et détails des workflows, tous directement reliés aux vulnérabilités concernées. Selon Matthew Wise, PDG d’Archipelo, cela signifie que les décisions de remédiation peuvent être « fondées sur des preuves d’origine plutôt que sur une reconstruction a posteriori ».

Pour les responsables de la sécurité, cela pourrait changer la donne. « Les organisations ont besoin de plus que la détection des vulnérabilités - elles ont besoin du contexte nécessaire pour agir rapidement et en toute confiance », déclare Ori Bendet, VP Product Management chez Checkmarx. En unissant leurs forces, les deux entreprises veulent offrir aux équipes de sécurité la clarté nécessaire non seulement pour colmater les brèches, mais aussi pour corriger les processus et comportements qui les provoquent.

Alors que la chaîne d’approvisionnement logicielle devient de plus en plus complexe - et que le rôle de l’IA dans le codage s’étend - la capacité à identifier où et comment le risque s’introduit dans le pipeline n’est plus un luxe. C’est une nécessité. Reste à voir si ce partenariat tiendra ses promesses, mais une chose est sûre : à l’avenir, chaque vulnérabilité pourrait être accompagnée d’un nom, d’un horodatage et d’une histoire.

WIKICROOK

• Application Security Posture Management (ASPM) : L’ASPM supervise et améliore la sécurité applicative en surveillant et gérant en continu les risques, vulnérabilités et la conformité tout au long du cycle de vie du développement logiciel.
• Developer Security Posture Management (DevSPM) : Le DevSPM surveille et gère les pratiques de sécurité des développeurs lors du codage, aidant les organisations à appliquer des politiques et à réduire les vulnérabilités dans le processus de développement logiciel.
• Provenance du code : La provenance du code est l’enregistrement de l’origine, de l’auteur et des modifications d’un code, permettant de vérifier son intégrité et sa sécurité tout au long du cycle de vie logiciel.
• Pipelines CI/CD : Les pipelines CI/CD automatisent la construction, les tests et le déploiement des logiciels, permettant des mises en production plus rapides et fiables, et soutenant des pratiques de développement agiles et sécurisées.
• Métadonnées de workflow : Les métadonnées de workflow capturent des détails tels que les outils, le temps et les participants impliqués dans les changements logiciels, soutenant la surveillance de la sécurité et la conformité en cybersécurité.

Conclusion : À mesure que les menaces numériques se multiplient et que la création logicielle s’accélère, comprendre non seulement ce qui a mal tourné - mais aussi comment, quand et par qui - pourrait bientôt devenir la nouvelle norme de la cyberdéfense. L’alliance Archipelo-Checkmarx pourrait marquer l’aube d’une ère logicielle plus responsable, où chaque vulnérabilité a une origine traçable - et chaque correction est un pas vers un monde numérique plus sûr.