.avif)
Bienvenue sur notre blog.
GlassWorm dissimule un RAT dans une extension Chrome malveillante
GlassWorm déploie un RAT en plusieurs étapes qui installe de force une extension Chrome malveillante afin d'enregistrer les frappes au clavier, de voler des cookies et d'exfiltrer des données via un serveur de commande et de contrôle (C2) basé sur Solana.
L'extension VSX « fast-draft Open » compromise par BlokTrooper
Une extension Open VSX très répandue a été compromise et utilisée pour déployer un RAT et un programme de vol d'informations à partir d'une infrastructure contrôlée par les pirates. L'historique des versions en dit long : des versions malveillantes apparaissent en effet entre les versions saines.
L'état de l'IA en 2026 dans la sécurité et le développement
Notre nouveau rapport recueille les témoignages de 450 leaders de la sécurité (CISO ou équivalents), développeurs et ingénieurs AppSec à travers l'Europe et les États-Unis. Ensemble, ils révèlent comment le code généré par l'IA provoque déjà des dysfonctionnements, comment la prolifération des outils aggrave la sécurité et comment l'expérience développeur est directement liée aux taux d'incidents. C'est là que vitesse et sécurité s'entrechoquent en 2025.
Cas clients
Découvrez comment des équipes comme la vôtre utilisent Aikido pour simplifier la sécurité et livrer en toute confiance.
Conformité
Gardez une longueur d'avance sur les audits grâce à des conseils clairs et adaptés aux développeurs concernant SOC 2, les normes ISO, le RGPD, le NIS, et bien plus encore.
Guides et bonnes pratiques
Conseils pratiques, workflows de sécurité et guides pratiques pour vous aider à livrer du code plus sûr, plus rapidement.
Outils et comparaisons DevSec
Analyses approfondies et comparaisons des meilleurs outils dans le paysage AppSec et DevSecOps.
Glassworm cible des packages React Native populaires de numéros de téléphone
Deux packages npm React Native populaires ont été compromis par des acteurs présumés de Glassworm et utilisés pour livrer un malware multi-étapes. Voici ce que fait le malware et ce qu'il faut rechercher.
Comment les équipes de sécurité ripostent contre les hackers alimentés par l'IA
Un seul hacker et un abonnement Claude viennent de paralyser neuf agences gouvernementales mexicaines. L'IA a conféré aux attaquants une sérieuse amélioration de puissance. Les équipes de sécurité ont besoin d'un nouveau playbook.
Comment le pentest IA fonctionne-t-il avec la conformité ?
Le pentest IA est accepté pour SOC 2, ISO 27001, HIPAA et PCI DSS. Voici ce que les auditeurs recherchent réellement et où se situent les véritables limites.
XSS\/RCE persistants via les WebSockets dans le serveur de développement de Storybook
Aikido Attack a découvert une vulnérabilité de détournement de WebSocket dans le serveur de développement de Storybook, pouvant entraîner un XSS persistant, une exécution de code à distance et, dans le pire des cas, une compromission de la chaîne d'approvisionnement. Nous expliquons comment un attaquant peut l'exploiter sans aucune interaction utilisateur, et il suffit qu'un développeur visite le mauvais site web pour être exposé à cette attaque.
Pourquoi le déterminisme est toujours une nécessité en matière de sécurité
Les outils de sécurité basés sur l'IA s'améliorent dans la détection des vulnérabilités. Cependant, les outils déterministes offrent la cohérence dont dépendent les pipelines, la conformité et les pistes d'audit. Nous examinons ce que l'analyse déterministe fait bien, où l'IA prend le relais, et comment les deux fonctionnent ensemble pour une sécurité efficace.
Comment faire en sorte que votre conseil d'administration se soucie de la sécurité (avant qu'une violation ne force la main)
Qu'est-ce que le Slopsquatting ? L'attaque par hallucination de packages IA qui est déjà en cours
Les modèles d'IA hallucinent des noms de packages — et les attaquants les enregistrent avant que quiconque ne s'en aperçoive. Le Slopsquatting est l'évolution du typosquatting à l'ère de l'IA, et contrairement à son prédécesseur, les protections existantes de npm ne fonctionnent pas. Nous examinons la recherche concrète montrant que cela se produit déjà, des packages malveillants confirmés qui continuent d'enregistrer des centaines de téléchargements hebdomadaires à un nom de package halluciné qui s'est propagé à 237 dépôts via des fichiers de compétences d'agents IA.
Rapport international sur la sécurité de l'IA 2026 : ce que cela signifie pour les systèmes d'IA autonomes
Plus de 100 experts ont contribué au Rapport international sur la sécurité de l'IA 2026, documentant les risques liés aux systèmes d'IA autonomes et proposant des cadres de défense en profondeur. En tant qu'équipe exploitant des systèmes de pentest IA en production, nous analysons les points où le rapport est pertinent et ceux où il nécessite plus de spécificité technique.
Présentation de Betterleaks, un scanner de secrets open source par l'auteur de Gitleaks
Betterleaks est un nouveau scanner de secrets open source du créateur de Gitleaks. Un remplacement direct offrant des analyses plus rapides, une détection de l'efficacité des tokens, une validation configurable, et bien plus encore.
Comment Aikido sécurise les agents de pentest IA par conception
Découvrez comment Aikido sécurise les agents de pentest IA grâce à l'isolation architecturale, à l'application du périmètre d'exécution et à des contrôles au niveau du réseau pour prévenir la dérive en production et les fuites de données.
De la détection à la prévention : Comment Zen stoppe les vulnérabilités IDOR à l'exécution
Les vulnérabilités IDOR sont l'une des causes les plus courantes de fuites de données inter-locataires dans les SaaS multi-locataires. Découvrez comment Zen applique l'isolation des locataires à l'exécution en analysant les requêtes SQL et en empêchant les accès non sécurisés avant le déploiement.
GlassWorm dissimule un RAT dans une extension Chrome malveillante
GlassWorm déploie un RAT en plusieurs étapes qui installe de force une extension Chrome malveillante afin d'enregistrer les frappes au clavier, de voler des cookies et d'exfiltrer des données via un serveur de commande et de contrôle (C2) basé sur Solana.
L'extension VSX « fast-draft Open » compromise par BlokTrooper
L'extension Open VSX de Fast-Draft a été piratée afin de déployer un RAT BlokTrooper et un voleur d'informations via des charges utiles hébergées sur GitHub. Plusieurs versions malveillantes ont été identifiées.
Glassworm est de retour : une nouvelle vague d'attaques Unicode invisibles frappe des centaines de dépôts
L'attaque de la chaîne d’approvisionnement Glassworm est de retour. Des chercheurs ont découvert un malware caché dans des caractères Unicode invisibles dans plus de 150 dépôts GitHub, ainsi que des packages npm et des extensions VS Code.
Les 12 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026
Découvrez les 12 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026. Comparez leurs fonctionnalités, avantages, inconvénients et intégrations pour choisir la solution DAST adaptée à votre pipeline DevSecOps.
Ce que le pentest continu exige réellement
Le pentest continu promet une validation de sécurité en temps réel, mais la plupart des implémentations ne sont pas à la hauteur. Voici ce que le pentest continu exige réellement : des tests sensibles aux changements à la validation des exploits et aux boucles de remédiation.
Sécurisez votre environnement dès maintenant.
Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.
