Les tests d'intrusion basés sur l'IA font souvent l'objet de discussions théoriques. Afin d'évaluer leur efficacité dans la pratique, Aikido une évaluation de la sécurité de Coolify, une plateforme open source auto-hébergée largement utilisée.
Coolify compte près de 50 000 étoiles GitHub et plus de 500 contributeurs. Il est activement maintenu et a fait l'objet d'un examen approfondi par la communauté. Comme beaucoup de projets open source matures, Coolify a vu certaines de ses vulnérabilités divulguées publiquement par le passé.
Cette évaluation a été réalisée sur une base de code mature présentant un historique de vulnérabilités connu, sans alimenter le système d'IA avec des rapports antérieurs ou des problèmes déjà divulgués. L'objectif était d'évaluer comment Aikido , un pentest IA , dans un environnement de production réel.
L'évaluation basée sur l'IA a permis d'identifier sept vulnérabilités de sécurité, qui ont toutes reçu un numéro CVE. Plusieurs de ces problèmes ont permis une élévation des privilèges au niveau administrateur ou l'exécution de code à distance en tant que root sur le système hôte, entraînant la compromission totale de l'instance affectée.
Toutes les découvertes ont été communiquées de manière responsable à l'équipe Coolify et ont depuis été corrigées.
Voici les CVE :
- Contournement de la limite de débit lors de la connexion : CVE-2025-64422
- Un utilisateur disposant de faibles privilèges peut s'inviter lui-même en tant qu'utilisateur administrateur : CVE-2025-64421
- Injection de commande via Docker Compose : CVE-2025-64419
- Les utilisateurs disposant de privilèges limités peuvent voir et utiliser les liens d'invitation de l'administrateur : CVE-2025-64423
- Injection de commande via la configuration source git : CVE-2025-64424
- Injection d'en-tête hôte dans la fonction « Mot de passe oublié » : CVE-2025-64425
- Les membres peuvent voir la clé privée de l'utilisateur root : CVE-2025-64420
Approche de test
L'évaluation a porté sur la version 4.0.0 beta 434 de Coolify, déployée à l'aide de la méthode d'installation par défaut de Hetzner.
Les tests ont été réalisés à l'aide de pentest IA Aikido. L'évaluation combinait :
- Test automatisé de type « boîte noire » des points d'extrémité exposés et des flux d'application
- Analyse en boîte blanche basée sur l'IA des chemins de code sensibles en matière de sécurité
- Raisonnement continu à travers l'authentification, l'autorisation et la logique d'exécution des commandes
Les agents IA se sont concentrés sur les domaines généralement associés à des vulnérabilités à fort impact dans les plateformes d'infrastructure, notamment les flux de connexion, les mécanismes d'invitation, les limites d'autorisation et les entrées contrôlées par l'utilisateur transmises aux commandes système.
Dans plusieurs cas, les agents IA ont mis en évidence de manière indépendante des problèmes exploitables. Dans d'autres cas, les vulnérabilités ont été identifiées grâce à une analyse manuelle et utilisées pour évaluer les lacunes de couverture de la génération actuelle d'agents.
Dans le cadre d'une recherche responsable en matière de sécurité, toutes les découvertes ont été vérifiées avant leur divulgation afin de confirmer leur exploitabilité et d'évaluer leur impact.
Aperçu des résultats
Les vulnérabilités se répartissent dans les catégories suivantes :
- Faiblesses d'authentification permettant des attaques par force brute
- Plusieurs chemins d'escalade de privilèges à partir d'utilisateurs à faibles privilèges
- Vulnérabilités d'injection de commande conduisant à l'exécution de code à distance
- Divulgation d'informations d'identification hautement sensibles
Conclusions détaillées
Conclusion
Cette évaluation démontre comment les tests d'intrusion basés sur l'IA peuvent être utilisés pour identifier les vulnérabilités à fort impact dans les systèmes open source complexes et de niveau production.
L'évaluation de Coolify par l'IA a permis d'identifier sept CVE, dont plusieurs voies d'escalade des privilèges et plusieurs moyens de compromettre entièrement l'hôte. Si certaines découvertes ont été directement mises en évidence par les agents IA, d'autres ont nécessité l'intervention humaine pour valider leur exploitabilité, fournir un contexte supplémentaire ou identifier des lacunes dans la couverture actuelle.
Cette boucle de rétroaction fait partie intégrante de la manière dont Aikido son pentest IA . L'intervention humaine à ce stade améliore la qualité globale en réduisant les faux positifs et en informant la prochaine génération d'agents afin d'étendre la couverture et la profondeur au fil du temps.
Ensemble, ces résultats soulignent à la fois l'efficacité actuelle des tests d'intrusion basés sur l'IA et la voie à suivre pour améliorer en permanence les tests de sécurité autonomes à grande échelle.
Pour en savoir plus sur Aikido , cliquez ici.
Sécurisez votre logiciel dès maintenant.
.avif)
