La chasse aux failles assistée par l’IA devrait inonder l’open source de nouveaux rapports de vulnérabilité

Les équipes de sécurité pourraient connaître un été difficile, alors que des systèmes d’IA avancés découvrent un nombre croissant de failles jusqu’alors ignorées dans des logiciels open source largement utilisés, selon Dan Lorenc, PDG de Chainguard.

Dan Lorenc a déclaré que les nouveaux modèles de pointe détectaient des vulnérabilités à un rythme qui transforme les processus de divulgation et de correction du secteur. Ses commentaires interviennent alors que Chainguard a contribué au lancement d’Athena, une coalition regroupant environ deux douzaines d’entreprises et visant à utiliser l’IA pour identifier et corriger plus rapidement les problèmes de sécurité dans les logiciels open source.

Parmi les membres fondateurs d’Athena figurent notamment BNY, Cisco, Cloudflare, Docker, JPMorganChase, Kyndryl et PwC. Plusieurs membres participent également au projet Glasswing d’Anthropic et à Daybreak d’OpenAI, qui donnent accès à des modèles avancés de recherche de vulnérabilités. Selon Dan Lorenc, Athena accepte les résultats de n’importe quel modèle de pointe et a déjà traité plus de 20 000 rapports, tout en produisant plus de 2 000 correctifs pour 500 projets.

Les signalements à grande échelle créent de nouveaux problèmes de coordination

Dan Lorenc a expliqué que le défi ne consiste plus seulement à trouver les bugs, mais aussi à gérer le volume considérable de découvertes. De nombreuses organisations peuvent corriger leur propre code lorsque l’IA détecte des défauts dans des logiciels propriétaires. Le problème le plus complexe survient lorsque ces mêmes outils identifient des failles dans des bibliothèques tierces que les équipes ne contrôlent pas directement.

Il a souligné que les applications modernes dépendent souvent fortement de composants open source, ce qui signifie qu’une seule analyse peut faire apparaître des milliers de problèmes dans de nombreux projets. Les équipes de sécurité peuvent alors se retrouver avec d’importantes files de rapports, des responsabilités floues et l’incertitude quant aux mainteneurs encore actifs.

• Les outils d’IA détectent davantage de problèmes dans le code propriétaire comme dans le code open source.
• Les divulgations dans l’open source peuvent submerger les mainteneurs lorsque les rapports arrivent par lots importants.
• Le délai entre la divulgation publique et l’exploitation dans le monde réel continue de se réduire.

Pour gérer ce flux, Athena agit comme un centre de coordination : la coalition élimine les doublons dans les rapports, regroupe les résultats connexes et travaille sur des correctifs plus larges pour les bases de code vulnérables. Les projets concernés sont reconstruits en versions privées renforcées pour les membres avant la divulgation publique, puis des notifications sont envoyées aux projets en amont. Lorsque les mainteneurs ne peuvent pas intervenir, la coalition affirme pouvoir servir de correcteur de dernier recours.

La Linux Foundation a également rejoint l’initiative avec Akrites, une coalition distincte qui coordonnera la réponse aux vulnérabilités au moyen d’une équipe commune de réponse aux incidents et d’un processus de divulgation standardisé. Ses soutiens estiment que l’objectif est de réduire la fragmentation et d’aider les mainteneurs à traiter les résultats générés par l’IA avant que les attaquants ne puissent en tirer parti.