Deux moments de sécurité, un même projet

CybeDefend est une entreprise française qui propose une plateforme d’analyse de sécurité du code. Sa présentation inclut notamment des analyses statiques, la vérification des dépendances, des secrets, de l’infrastructure as code, des conteneurs et de configurations CI/CD.

L’éditeur présente VibeDefend comme sa couche « agent-time » : elle vise à apporter des règles de sécurité et des garde-fous dans les environnements d’agents de code, en complément de l’analyse de dépôt et du tableau de bord. La plateforme et VibeDefend peuvent, selon CybeDefend, être utilisés séparément ou ensemble.

Le principe mérite attention : détecter une erreur après qu’un changement a été écrit est utile; l’identifier pendant que l’agent travaille peut aussi éviter qu’elle se propage. Ce sont toutefois des usages différents. Un contrôle dans la boucle de développement n’élimine pas le besoin d’une revue, d’un scan de version livrée ou de protections en production.

Comment évaluer la promesse

Demander quels langages, frameworks et fichiers de configuration sont couverts; comment une alerte est reliée à une ligne de code; quels éléments sont vérifiés automatiquement; et comment les résultats sont comparés aux faux positifs. Vérifier aussi le périmètre des données transmis, l’hébergement choisi, la conservation des résultats, les droits d’accès et les conditions contractuelles.

Les capacités et résultats décrits sur les pages CybeDefend sont les déclarations de l’éditeur. Il est préférable de les confronter à une démonstration sur un dépôt représentatif, avec des cas attendus et des limites définies.

CybeDefend est un acteur à explorer dans l’écosystème AppSec et IA. Cet article ne le présente pas comme une fonction de bige-ops ni comme une garantie de correction automatique.

Sources

À lire aussi