Module de validation
06 / 07Sécurité du code généré par IA
Identifie les défauts exploitables du code écrit par IA et de ses dépendances, et démontre leur exploitabilité.
Le problème
La capacité de revue n'a pas suivi la capacité de génération
Les assistants IA écrivent ou modifient désormais une part importante du code neuf, et ils reproduisent à grande vitesse les schémas non sûrs par défaut de leurs données d'entraînement : réglages permissifs, contrôles d'autorisation absents sur de nouveaux points d'accès, requêtes construites par concaténation, secrets inscrits par commodité. Ils inventent aussi des dépendances inexistantes, que des attaquants enregistrent — le typosquattage d'hallucinations — transformant une hallucination en point d'entrée dans la chaîne d'approvisionnement.
Les analyseurs répondent par le volume. Un arriéré de milliers de constats non classés, pour la plupart inatteignables, apprend aux ingénieurs à les ignorer tous, y compris les quelques-uns qui sont réellement exploitables.
Comment Veync l'éprouve
L'exploitabilité d'abord
Veync examine le code écrit ou modifié par IA à la recherche des schémas qui comptent, puis tente d'exploiter ce qu'il trouve sur une instance en fonctionnement. Un défaut inatteignable est consigné et déprioritisé ; un défaut atteignable est escaladé avec la preuve attachée.
Ce que ce module couvre
- Schémas non sûrs par défaut
- Failles d'injection
- Failles d'autorisation
- Secrets exposés
- Dépendances hallucinées ou typosquattées
- Infrastructure as code non sûre
- Exposition de la chaîne de build et d'approvisionnement
- Preuve d'exploitabilité
- Classé, pas un export brut d'analyseur
Ce que vous recevez
Une liste courte, preuve à l'appui
Vous recevez des constats classés par exploitabilité démontrée plutôt que par gravité d'analyseur, l'artefact de preuve d'exploitation pour chacun, et des correctifs proposés en demandes de fusion. Explicitement pas un export brut d'analyseur.
Des constats classés par exploitabilité
Des artefacts de preuve d'exploitation
Des correctifs proposés en demandes de fusion
Référentiels
Les preuves de ce module se rattachent à
OWASP ASVS
OWASP
CWE Top 25
MITRE
SLSA
OpenSSF
Mettez ce module à l'épreuve
Une session de validation couvre le périmètre, l'autorisation que vous signeriez et les preuves que ce module produirait pour votre environnement.
Les résultats nommant des éditeurs et les preuves de contournement de contrôles sont partagés sous accord de confidentialité, via l'annexe de preuves.