Un audit révèle que les problèmes de sécurité des applications sont plus graves que jamais
Vulnérabilités croissantes, codes obsolètes et nouvelles menaces liées à l’IA dans le domaine de la sécurité des applications
Mike Vizard
9/3/20264 min read
Vulnérabilités croissantes, codes obsolètes et nouvelles menaces liées à l’IA dans le domaine de la sécurité des applications
Ce qu’il faut retenir
Les vulnérabilités des applications ont bondi de 107 % au cours de la dernière année, en raison de problèmes de sécurité croissants et d’un code obsolète.
Les composants open-source apparaissent désormais dans 98 % des applications auditées, dont 86 % contiennent des vulnérabilités open-source et 81 % sont classées à risque élevé ou critique.
90 % des bases de code contiennent des composants open source datant de plus de quatre ans, ce qui augmente la probabilité que les correctifs ne soient pas appliqués.
Seules 77 % des dépendances sont identifiées par l’analyse des gestionnaires de paquets, ce qui laisse des lacunes dues aux mises à jour manuelles ou aux assistants de programmation d’IA.
L’application moyenne comprend désormais plus de 5 300 fichiers open source, ce qui représente une augmentation de 300 % depuis 2020.
Les cyberattaques ciblant les chaînes d’approvisionnement logicielles sont en augmentation, utilisant des tactiques telles que l’ingénierie sociale, le typosquattage et les attaques par injection d’invites sur les outils de codage d’IA.
Les outils de codage d’IA réduisent certaines vulnérabilités, en particulier l’injection SQL, et sensibilisent davantage aux problèmes de sécurité de l’open-source.
Un audit de 947 bases de code commerciales couvrant 17 secteurs d'activité révèle que le nombre de vulnérabilités dans les applications a fait un bond étonnant de 107 % au cours de l’année écoulée.
Mené par Black Duck Software, l’audit révèle également qu’il y a maintenant en moyenne 581 vulnérabilités par base de code.
Hélas, beaucoup de ces vulnérabilités peuvent être attribuées à des composants logiciels open source qui créent des dépendances difficiles à corriger dans les bases de code, car le code est géré par un mainteneur indépendant qui n'a peut-être pas encore créé de correctif pour résoudre le problème. En fait, l'audit révèle que des composants open source apparaissent désormais dans 98 % des applications auditées. Pas moins de 86 % des bases de code commerciales évaluées contenaient des vulnérabilités de logiciels open source, dont 81 % présentaient des vulnérabilités à risque élevé ou critique.
Pire encore, il a été constaté que 90 % des bases de code auditées contenaient des composants open source datant de plus de quatre ans, ce qui signifie que même lorsqu’un correctif est disponible pour remédier à une vulnérabilité, il n’a probablement pas été appliqué.
Enfin, l’audit note également que seulement 77 % des dépendances ont pu être identifiées via l’analyse du gestionnaire de paquets, ce qui suggère que le reste a été introduit dans les applications par d’autres moyens tels que des mises à jour manuelles ou par un assistant de codage artificiel.
Au total, le nombre de composants open source par application a augmenté de 300 % depuis 2020, une application moyenne comptant désormais plus de 5 300 de ces fichiers.
Évolution des menaces pesant sur la chaîne d’approvisionnement logicielle
Malheureusement, les cyberattaques visant spécifiquement les chaînes d’approvisionnement logicielle se multiplient. Les cybercriminels emploient des tactiques d’ingénierie sociale pour injecter du code malveillant dans des logiciels ou utilisent des techniques de typosquattage qui trompent les développeurs en leur faisant télécharger du code chargé de logiciels malveillants. Plus récemment, les attaques par injection d’invites visent désormais les outils de codage d’IA pour leur demander d’ajouter des logiciels malveillants dans le code.
Ils espèrent que les logiciels malveillants se retrouveront dans une application en aval, où ils pourront être activés par la suite. Avec la vitesse à laquelle les applications sont désormais conçues et déployées à l’ère de l’IA, la quantité de logiciels malveillants pouvant potentiellement être intégrés dans une application commence à augmenter de manière exponentielle. Après tout, le temps et les efforts nécessaires pour créer des logiciels malveillants n’ont jamais été aussi faibles.
Cependant, du côté positif, à mesure que les outils de codage d’IA tirent parti de modèles d’IA plus avancés, certaines vulnérabilités deviennent beaucoup moins courantes. En particulier, les outils de codage d’IA n'ont que très rarement généré une vulnérabilité d’injection SQL. De plus, une plus grande attention commence à être accordée aux vulnérabilités du code open source.
Une coalition de grandes entreprises technologiques a promis 12,5 millions de dollars pour renforcer la sécurité des logiciels open source. Anthropic, Amazon Web Services (AWS), GitHub, Google, Microsoft et OpenAI participent à cette initiative, qui sera supervisée par le projet Alpha-Omega sous l'égide de l’Open Source Security Foundation (OpenSSF).
Bien entendu, 12,5 millions de dollars ne représentent qu’une goutte d’eau dans l’océan des fonds qui pourraient être nécessaires pour résoudre le problème. C’est pourquoi les équipes de cybersécurité doivent prévoir que dans les mois et les années à venir elles auront plus que jamais du pain sur la planche.