Aller au contenu

Sécurité offensive, processus et gouvernance à l'ère de l'IA et de l'open source

Du code que vous n'avez pas écrit. Un risque qui reste le vôtre.

Défiler ↓

Voici le code que vous avez écrit.

Un dépôt. Une équipe. Un processus de revue auquel vous faites confiance.

Voici ce que vous livrez.

Chaque dépendance apporte les siennes. L'essentiel de ce qui tourne en production n'a jamais été lu par votre équipe.

Une partie, personne ne l'a écrite.

Assistants et agents committent à la vitesse de la machine : code plausible, hypothèses non vérifiées, paquets qui n'existent peut-être même pas.

Un maillon suffit.

Un jeton de mainteneur volé. Un script d'installation. Il atteint votre build avant votre changelog.

Les preuves

Qui nous sommes

ANTEMUR est une société de sécurité animée par une obsession : le code de votre produit que personne dans votre équipe n'a écrit. Nous l'attaquons comme le ferait un adversaire, avant qu'un adversaire ne le fasse.

ante murum/ˈan.te ˈmuː.rum/latin, « devant la muraille »

Le terrain devant la muraille, tenu par le redan : un ouvrage avancé en forme de V, la pointe tournée vers l'ennemi. C'est lui qui reçoit l'assaut en premier. Ce V est notre logo.

La sécurité applicative traditionnelle garde la muraille : votre code, votre périmètre. Les attaques de cette décennie arrivent par ce que vous importez et ce que vous générez. C'est là que nous nous tenons. La technologie seule ne suffit pas. Nous sécurisons aussi les processus et la gouvernance qui l'entourent, de la politique à la réponse aux incidents.

Notre expertise / Front 01

Code généré par IA

La vitesse a changé. La revue, non. Nous auditons ce que les assistants et les agents introduisent dans votre dépôt, et les outils qui l'y introduisent.

  • 01Paquets hallucinés et slopsquatting

  • 02Réglages non sécurisés dans le code généré

  • 03Secrets exposés dans les prompts et les réponses

  • 04Prompt injection contre les agents de code

  • 05Fichiers de règles et serveurs MCP empoisonnés

  • 06Permissions excessives des agents en CI

Notre expertise / Front 02

Code tiers

Chaque paquet, action et SDK est une décision de confiance. Nous cartographions à qui vous faites réellement confiance, et ce qui se passe quand cette confiance se brise.

  • 01Prise de contrôle de mainteneurs et vol de jetons

  • 02Typosquatting et dependency confusion

  • 03Scripts d'installation malveillants

  • 04Vulnérabilités transitives atteignables

  • 05Actions de CI et pipelines de build compromis

  • 06Composants abandonnés et sans responsable

Notre expertise / Front 03

Processus et gouvernance

Un logiciel sûr ne survit pas à des décisions qui ne le sont pas. Nous structurons la façon dont votre entreprise approuve, contrôle, réagit et rend compte du risque.

Référentiels avec lesquels nous travaillons

  • ISO/IEC 27001
  • ISO/IEC 42001
  • NIST CSF 2.0
  • NIST SSDF
  • SOC 2
  • LGPD
  • GDPR

  • 01Gouvernance de la sécurité, politiques et responsables

  • 02Gestion des risques et reporting à la direction

  • 03Risque lié aux tiers et aux fournisseurs

  • 04Politique et contrôles d'usage de l'IA

  • 05Processus d'accès, de changement et de développement sécurisé

  • 06Plans de réponse aux incidents et exercices de crise

Techniques clés

Comment nous traquons

  1. Cartographie de la provenance

    SBOM et AI-BOM de ce qui part réellement en production : chaque composant, chaque origine, chaque ligne écrite par un agent.

    $ sbom.cdx.json / ai-bom.json

  2. Analyse d'atteignabilité

    Nous traçons les chemins d'appel de vos points d'entrée à chaque fonction vulnérable. La sévérité reflète ce qu'un attaquant peut vraiment atteindre.

    $ entrypoint → sink : atteignable

  3. Analyse de taint

    Les entrées non fiables suivies de la source à la cible, dans le code généré comme dans le code importé.

    $ source → sanitizer ? → sink

  4. Détonation de paquets

    Les paquets suspects s'exécutent dans un bac à sable instrumenté. Réseau, système de fichiers et processus sont enregistrés, pas supposés.

    $ postinstall → appel sortant → signalé

  5. Red team d'agents

    Prompt injection, détournement d'outils et empoisonnement de contexte contre vos agents de code et vos intégrations MCP.

    $ injection → tool call → impact

  6. Audit de pipeline

    Intégrité du build évaluée selon SLSA : actions épinglées, artefacts signés, jetons restreints et provenance vérifiable.

    $ slsa : revue de la build track

  7. Exploitation manuelle

    L'automatisation trouve des candidats. Les ingénieurs les prouvent. Sans preuve de concept fonctionnelle, rien n'entre au rapport.

    $ poc : reproductible

  8. Évaluation de la gouvernance

    Politiques, rôles, contrôles et preuves évalués au regard du fonctionnement réel de votre entreprise et des référentiels qui s'y appliquent.

    $ contrôle → responsable → preuve

Méthode

Quatre mouvements. Sans mise en scène.

  1. 01

    Cartographier

    Nous inventorions votre code, vos dépendances, vos agents, vos pipelines et vos processus internes.

    Vous recevezCarte d'exposition

  2. 02

    Attaquer

    Nous exécutons des techniques d'adversaires sur les chemins réels vers votre produit.

    Vous recevezJournal d'attaque

  3. 03

    Prouver

    Chaque découverte s'accompagne d'étapes de reproduction et d'un impact mesuré.

    Vous recevezRapport de preuves

  4. 04

    Fortifier

    Correctifs, politiques et garde-fous entrent dans votre pipeline. Puis nous retestons.

    Vous recevezPlan de durcissement et retest

Registre public

Ce n'est pas une hypothèse.

  1. 2018

    event-stream

    Un nouveau mainteneur a obtenu les droits de publication et ajouté une dépendance conçue pour voler des portefeuilles de cryptomonnaies.

  2. 2020

    SolarWinds Orion

    Les attaquants ont compromis le système de build. Une mise à jour signée a porté la porte dérobée chez des milliers de clients.

  3. 2021

    Log4Shell

    Une chaîne dans une ligne de log suffisait à exécuter du code à distance, dans une bibliothèque présente presque partout.

    CVE-2021-44228 ↗

  4. 2024

    xz-utils

    Après des années à gagner la confiance comme mainteneur, un attaquant a placé une porte dérobée dans une bibliothèque de compression essentielle.

    CVE-2024-3094 ↗

  5. 2025

    tj-actions

    Une GitHub Action très utilisée a été compromise et a exposé des secrets de CI dans les journaux des workflows.

    CVE-2025-30066 ↗

  6. 2025

    Shai-Hulud

    Un ver autoréplicant s'est propagé sur npm à l'aide d'identifiants de mainteneurs volés.

  7. 2026

    Mini Shai-Hulud

    De nouvelles vagues du ver ont frappé npm, et des imitateurs sont apparus après la fuite de son code source.

Références

Clients et références

Publiés uniquement avec l'autorisation écrite de chaque client.

Commencer ici

Trouvez-le avant eux.

Dites-nous ce que vous livrez. Nous répondons par un périmètre, pas par une plaquette commerciale.