Aujourd'hui, nous lançons Aikido Malware - notre flux propriétaire de logiciels malveillants conçu pour détecter et suivre les paquets malveillants dans les écosystèmes open-source comme npm et bientôt PyPI.
Notre équipe Aikido Intel a identifié des vulnérabilités open-source non divulguées en utilisant l'analyse pilotée par LLM et la vérification humaine. Aujourd'hui, nous étendons notre recherche sur la sécurité de la chaîne d'approvisionnement pour détecter et suivre les logiciels malveillants dans les paquets open-source, à moindre coût, mieux et plus rapidement que ce qui existe aujourd'hui. Les résultats parlent d'eux-mêmes -
- Rien qu'en mars, Aikido Malware a signalé 611 paquets malveillants contre 156 signalés par OpenSSF (le meilleur flux ouvert suivant).
- Notre temps de détection médian ? 5 minutes.
- La médiane d'OpenSSF ? 10 jours.
Il s'agit d'un saut massif en termes de vitesse et de signal, etnous ouvrons le flux pour que le reste de la communauté puisse en bénéficier.
Pourquoi cela est-il important ? Les logiciels libres constituent l'épine dorsale du développement moderne, mais ils représentent également une surface d'attaque de plus en plus importante.
Depuis 2019, plus de 778 500 paquets malveillants ont été identifiés dans les écosystèmes open-source - et le phénomène s'accélère rapidement : le volume de logiciels malveillants a augmenté de 156 % rien que l'année dernière. 🚨
Les attaquants sont de plus en plus intelligents : ils usurpent l'identité de paquets populaires comme le typosquatting, détournent les comptes des mainteneurs et glissent des mises à jour malveillantes. Mais la plupart des flux de logiciels malveillants sont aujourd'hui enfermés derrière les murs payants des entreprises.
Nous pensons que les développeurs méritent mieux. C'est pourquoi nous changeons cela. En ajoutant à Aikido Intel des informations sur les logiciels malveillants, les équipes de sécurité et les développeurs peuvent obtenir des alertes précoces sur les menaces émergentes de la chaîne d'approvisionnement, de manière plus rapide, plus large et plus accessible.
- Données sur les menaces rapides et à haut niveau de signal
- Flux open-source, sous licence AGPL
- Conçu pour les développeurs et les équipes de sécurité, et pas seulement pour les entreprises disposant d'un budget à six chiffres
Nous commençons par npm. PyPI est le suivant. Les actions GitHub arrivent bientôt.
Ensemble, rendons les logiciels libres plus sûrs.
Découvrez comment notre équipe Intel a découvert une attaque nord-coréenne 👀
Notre chercheur en sécurité, Charlie, dissèque une récente attaque d'un groupe de pirates nord-coréens. Découvrez une analyse minute par minute de la façon dont nous avons découvert l'attaque Lazarus "cachée à la vue de tous"
"Le 13 mars 2025, notre moteur d'analyse des logiciels malveillants nous a alertés sur un paquet potentiellement malveillant ajouté à NPM. Les premières indications suggéraient qu'il s'agissait d'un cas clair, mais lorsque nous avons commencé à éplucher les couches, les choses n'étaient pas tout à fait ce qu'elles semblaient être.
Voici un article qui montre comment des acteurs étatiques sophistiqués peuvent dissimuler des logiciels malveillants dans des paquets.... (lire la suite)
Ou regardez Mackenzie décomposer l'attaque Lazarus en vidéo.
Intéressé par l'utilisation de notre technologie Intel ?
1.Open Source | Le flux est open source, mis à jour avec toutes les nouvelles menaces : https://intel.aikido.dev/
Aikido Intel est disponible sous licence AGPL, les développeurs peuvent librement utiliser, modifier et distribuer le flux de vulnérabilités et de logiciels malveillants.
2. Licence de notre Intel | Si vous souhaitez exploiter l'Intel d'Aikido - base de données de vulnérabilités + flux de logiciels malveillants - dans votre propre produit, l'API est disponible sous forme de licence. Contactez-nous pour obtenir une licence ici.
3. Protégez-vous grâce à Aikido - sa solution gratuite - et sécurisez facilement votre chaîne logistique logicielle, et plus encore. Sécurisez votre code, votre cloud et votre runtime avec la plateforme de sécurité tout-en-un d'Aikido. Sécurisez ici.
.jpg)
.svg)
.png)
.png)
.png)
.png)
.jpg)
.jpg)
.jpg)
.avif)
