Problème de vitesse lié à la méthode classique de correction

L'open source est désormais indissociable du monde de l'entreprise : pas moins de 98 % des bases de code commerciales contiennent aujourd'hui des logiciels open source. Au final, pratiquement aucune application moderne ne peut plus se passer de l’open source – car pourquoi les entreprises devraient-elles tout développer elles-mêmes à partir de zéro alors qu’il existe des solutions fiables dont une communauté dynamique s’occupe activement ? SAP peut lui aussi être facilement étendu grâce à l’open source : c’est SAP BTP qui en constitue la base, SAP misant lui-même sur l’open source à de nombreux égards.

Ce qui, jusqu’à présent, a considérablement accéléré le rythme de l’innovation dans les entreprises, devient désormais un énorme défi en matière de sécurité, car les modèles d’IA avancés sont incroyablement efficaces pour détecter les vulnérabilités dans les logiciels. Avec la version préliminaire de Claude Mythos, Anthropic avait par exemple analysé au printemps plus de 1 000 projets open source sur lesquels reposent une grande partie d’Internet et de nombreuses infrastructures d’entreprise. Des milliers de vulnérabilités ont ainsi été découvertes, auxquelles les experts en sécurité ont ensuite attribué un niveau de gravité „ élevé “ ou „ critique “.

La course entre l'homme et l'IA

C'est ainsi que commence pour les entreprises une course qu'elles ne peuvent pratiquement pas gagner seules. En effet, si l'IA détecte davantage de vulnérabilités que les humains ne pourraient jamais en trouver, et ce en un temps de plus en plus court, leurs processus établis de correction et de mise à jour s'effondrent. Elles ne parviennent tout simplement plus à évaluer quelles applications contiennent des composants vulnérables et quels systèmes sont concernés, et elles n’ont pas le temps de tester de manière approfondie tous les correctifs et toutes les nouvelles versions disponibles, de les adapter si nécessaire et de les installer. La montagne de mises à jour ne cesse de grandir, tout comme le risque que des cybercriminels exploitent l’une de ces failles non corrigées.

L'IA apporte également une solution : elle est capable d'analyser le code et les informations relatives aux vulnérabilités, puis de proposer des contre-mesures adaptées afin de réduire les temps de réaction. C’est précisément là qu’interviennent IBM et Red Hat avec Lightwell, une initiative visant à sécuriser les chaînes d’approvisionnement complexes des logiciels open source, qui s’appuie sur un moteur de correction basé sur l’IA et sur l’expertise de plus de 20 000 techniciens. Dans le cadre de Lightwell, les vulnérabilités et les dépendances sont identifiées, des mises à jour de sécurité sont développées et des paquets de mise à jour prêts pour la production sont fournis. Il n’est pas nécessaire de procéder à des mises à niveau perturbatrices ni à des modifications importantes des systèmes de production, car les correctifs et les patches développés sont toujours rétroportés vers les versions antérieures, conformément au modèle „ Upstream Always “, ce qui permet aux entreprises de continuer à utiliser leurs versions logicielles existantes sans avoir à passer à de nouvelles versions majeures.

À son lancement, Lightwell propose un catalogue de plus de 6 500 composants signés numériquement et certifiés, qui est constamment enrichi et qui contient, outre le code source, des documents de conformité tels que les SBOM. D'abord réservées au secteur financier, des mises à jour spécifiques sont également développées pour d'autres composants ; d'autres secteurs, tels que la santé, les télécommunications et l'administration publique, devraient suivre. En fin de compte, l’IA ne se contente pas d’exacerber les menaces, elle contribue également à réduire la surface d’attaque. Ce qui nécessitait jusqu’à présent des centaines, voire des milliers de vérifications, d’ajustements et de décisions manuels peut désormais se dérouler en grande partie de manière automatique. Pour que tout se passe bien, les processus doivent être mis en place avec soin. Et grâce à Lightwell, chaque entreprise n’a pas à s’en charger seule : elle peut bénéficier du soutien de partenaires SAP et d’éditeurs de logiciels indépendants (ISV) qui adhèrent à Lightwell et vérifient, sur la base de composants open source, les applications développées par l’entreprise elle-même ou par des intégrateurs, afin d’identifier et de corriger les vulnérabilités.

La sécurité, tout comme l'open source, est et restera toujours un travail d'équipe, où les résultats sont optimaux lorsque tous les acteurs collaborent.

Vers l'inscription du partenaire :