Avec l'IA, les exploits arrivent désormais en moyenne avant les correctifs. Patrick Smyth, de Chainguard, explique pourquoi les délais de 30 jours ne tiennent plus et comment protéger la chaîne logistique logicielle.
Dans cette intervention d'une vingtaine de minutes à la conférence AI Engineer, Patrick Smyth, de Chainguard, part d'un constat : l'IA de pointe a fait monter tous les attaquants d'un cran, au point qu'en moyenne l'exploitation d'une faille survient désormais avant la publication du correctif. Il revient sur les attaques assistées par IA de l'année et sur les vagues de logiciels malveillants qui ont visé la chaîne d'approvisionnement open source.
Il détaille ensuite quatre surfaces d'attaque à couvrir : les paquets malveillants, les CVE connues, les failles zero-day et les « portes dérobées » que sont les pipelines CI/CD, les postes des développeurs et les compétences installées dans les agents. Ses recommandations : instaurer des délais de quarantaine avant d'adopter une nouvelle version, corriger les CVE bien plus vite que la fenêtre habituelle de 30 jours, durcir les skills d'agents et signer systématiquement les artefacts avec SLSA et Sigstore.
Watch this video directly on YouTube
Open on YouTube →