Développement de logiciels d'IA axés sur la sécurité avec Windsurf x Aikido

Auteurs : Brian Smitches, responsable de l'ingénierie déployée par les partenaires chez Windsurf |Jin Wong, ingénieur déployé par les partenaires chez Windsurf | Tarak, responsable de la croissance chez Aikido

Les équipes de développement modernes font bien plus que simplement écrire du code. Aujourd'hui, grâce à l'IA, les organisations de développement logiciel orchestrent la création, la maintenance et la livraison de logiciels à une échelle sans précédent. 

Des outils tels que Windsurf et Devin de Cognition aident les développeurs tout au long du cycle de vie du développement logiciel (SDLC) en leur fournissant des agents de raisonnement à plusieurs étapes capables d'écrire du code. Windsurf vous aide à vous familiariser avec votre base de code dans l'IDE de votre machine locale, tandis que Devin (le premier ingénieur logiciel IA au monde) vous aide à déléguer le travail à des flottes d'agents autonomes, multipliant ainsi le volume de production par ingénieur. 

Si l'accélération du développement est au cœur de la proposition de valeur de ces outils d'IA, les clients soucieux de la sécurité veulent s'assurer que l'utilisation de ces outils n'entraîne pas de risques supplémentaires. Il est essentiel d'atténuer les conséquences imprévues telles que les erreurs de configuration, les vulnérabilités ou les exploitations afin de garantir votre sécurité tout en suivant le rythme de l'innovation. C'est là qu'interviennent les plateformes de sécurité dédiées aux développeurs telles Aikido . 

Cet article explore comment intégrer la sécurité directement dans votre SDLC et vos pipelines de développement basés sur l'IA à l'aide d'outils tels que Windsurf (IDE basé sur l'IA), Aikido sécurité axée sur les développeurs) et Devin (agent autonome). Ensemble, les bons outils, les bonnes personnes et les bons processus vous permettent de développer des logiciels de manière efficace avec un niveau de sécurité élevé.

Pourquoi votre cycle de vie du développement logiciel (SDLC) a besoin d'une base axée sur la sécurité

En l'absence d'une posture de sécurité solide, les organisations sont exposées à des risques, qu'elles utilisent ou non des outils d'IA. Ces risques comprennent, sans s'y limiter :

• Violations de données
• Menaces internes
• attaques de la chaîne d’approvisionnement logicielles attaques de la chaîne d’approvisionnement 
• Exploits adversaires

De nombreuses entreprises ont adopté les processus DevSecOps SecDevOps afin d'intégrer des pratiques de sécurité tout au long du cycle de développement. En veillant à ce que les mesures de sécurité soient prises en compte dès le départ plutôt qu'après coup, elles se protègent contre les pertes financières, les sanctions réglementaires et les atteintes à leur réputation.

Les systèmes d'IA sont très intelligents lorsqu'ils intègrent une bonne connaissance du contexte et une ingénierie rapide. Les offres d'IA telles que Windsurf et Devin permettent aux clients de définir un comportement personnalisé pour l'IA afin de vous aider à traiter les problèmes de sécurité de manière proactive et réactive. Lorsque vous enrichissez vos agents IA avec le contexte et les outils provenant d'offres de sécurité telles Aikido, vous bénéficiez d'avantages tels que le déplacement de la sécurité vers la gauche, le triage des vulnérabilités en temps réel avec un agent autonome et la maturation de votre DevSecOps global.

IDE basés sur l'IA : là où commence le développement sécurisé

Windsurf intègre Cascade, un agent IA collaboratif, directement dans votre IDE afin de minimiser les perturbations dans les processus de développement normaux. L'agent peut être utilisé dans l'éditeur Windsurf (basé sur VS Code) ou comme plugin pour la suite d'IDE JetBrains. 

Cascade comprend le contexte de votre base de code, peut planifier et mettre en œuvre des modifications multi-fichiers, et fournir des suggestions de code en ligne. Fondamentalement, Windsurf a été conçu dans une optique d'intervention humaine afin de se prémunir contre une IA entièrement autonome dans un environnement de développement traditionnellement pratique. 

Les développeurs maîtrisant leurs flux de travail et leur mode de collaboration avec l'IA, ils profitent des avantages du développement logiciel agentique sans renoncer au contrôle. L'humain peut examiner les modifications suggérées par l'IA, un extrait de code à la fois, et peut éventuellement revenir à des points de contrôle précédents dans leur conversation. Le partenariat transparent entre le développeur humain et l'agent de codage crée un flux intuitif qui peut améliorer votre sécurité et votre efficacité.

Windsurf améliore encore Cascade en fournissant aux utilisateurs des mécanismes leur permettant de définir des normes et des pratiques de sécurité uniques pour leur développement quotidien de l'agent IA. Grâce aux personnalisations Windsurf, Cascade s'adapte aux directives spécifiques à l'équipe, aux normes de codage et aux détails de mise en œuvre. Les règles Windsurf vous permettent de codifier le style et la structure de votre espace de travail, tandis que les workflows Windsurf transforment les modèles d'invites répétitifs en playbooks réutilisables et partageables. 

Une IA davantage personnalisée et dotée d'outils de sécurité tels que le plugin Aikido aide les logiciels développés par les utilisateurs à se conformer à vos normes de sécurité et à vos meilleures pratiques.

Agents autonomes : comment tirer parti des ingénieurs logiciels IA supplémentaires 

Si les développeurs resteront toujours indispensables pour les tâches critiques et créatives, les agents autonomes tels que Devin gagnent en popularité pour les tâches répétitives et mieux délimitées. Devin peut être considéré comme l'équivalent IA d'un ingénieur logiciel junior, capable de s'adapter de manière flexible à l'évolution de vos besoins en matière de développement logiciel.

Grâce à Devin, les clients effectuent des migrations à grande échelle en un temps record, éliminant ainsi le retard accumulé en matière de bogues et de demandes de fonctionnalités, et triant automatiquement les vulnérabilités signalées. 

Dans l'ensemble, Devin aide les organisations à avancer plus rapidement en allégeant la charge de travail des équipes de développement existantes. Les organisations font confiance à Devin grâce à sa diligence dans l'exécution de tests et d'outils de scan de sécurité locaux avant de lancer des Pull Requests.

Devin étant conçu pour fonctionner selon un modèle 1:M, il s'intègre aux systèmes de collaboration existants, tels que Jira, Slack et Linear, où il peut recevoir les tâches qui lui sont assignées. Une fois sa tâche terminée, Devin crée une demande d'extraction (Pull Request) et un journal d'audit de toutes ses recherches et de tout son travail afin que les développeurs puissent examiner la session. De plus, l'examen des pull requests résultantes dans votre outil de gestion du code source à l'aide d'outils de sécurité tels Aikido vous aider à renforcer votre confiance dans la livraison du code généré. 

Désormais, vos ingénieurs peuvent se concentrer sur les tâches ambiguës ou à haut risque, tandis que votre équipe d'agents répond aux demandes de fonctionnalités, aux bugs et aux failles de sécurité identifiées par des systèmes de sécurité tels Aikido.

Le rôle Aikido

Tout en évoluant rapidement dans les IDE alimentés par l'IA et en orchestrant le développement logiciel avec des agents autonomes, Aikido ce que la vitesse ne se fasse pas au détriment de la sécurité.

Dans tout environnement de développement, même ceux augmentés par l'IA, des failles de sécurité apparaissent inévitablement. Un fichier de configuration validé peut contenir une clé API de test. Les fichiers Dockerfiles utilisés pour les tests locaux peuvent involontairement exposer un accès réseau étendu lors de la mise en scène. Les routes générées par l'IA destinées à l'échafaudage peuvent être mises en production sans authentification. Les modèles d'infrastructure en tant que code peuvent surprovisionner l'accès. Même de petits détails tels que des traces de pile verboses ou des identifiants de test codés en dur peuvent entraîner des vulnérabilités réelles.

C'est pourquoi Aikido sur le principe de sécuriser les logiciels partout où vous les développez, les hébergez et les exécutez, en détectant les vulnérabilités de toutes tailles avant qu'elles ne se transforment en incidents.

Concrètement, cela signifie Aikido à vos outils et environnements de développement, des IDE aux pipelines CI, en passant par les artefacts de construction et cloud , et vérifie en permanence les vulnérabilités. Il fournit des commentaires directement dans vos workflows existants, qu'il s'agisse de détecter des secrets avant une validation, de bloquer les constructions CI sur des problèmes critiques ou de mettre en évidence les risques de dépendance dans une demande d'extraction. Aikido sa propre IA pour aider à filtrer le bruit, hiérarchiser les résultats à fort impact et corriger automatiquement les vulnérabilités tout au long du cycle de vie du développement logiciel (SDLC).

En allant à la rencontre des développeurs là où ils travaillent déjà, Aikido leur Aikido d'agir facilement sans interrompre leur flux de développement. En détectant les problèmes à un stade précoce à chaque étape, et même en temps réel, il permet aux équipes de se concentrer sur ce qu'elles font le mieux : livrer d'excellents logiciels. Les équipes peuvent avancer à la vitesse maximale du développement alimenté par l'IA, en toute confiance dans la sécurité du code qu'elles écrivent, génèrent et livrent.

‍

‍

Comment utiliser la planche à voile et Aikido

L'ajout Aikido à Windsurf et Devin Aikido aucune configuration ou intégration complexe. Si Aikido déjà connecté à votre dépôt distant, il surveillera les commits et les pull requests, que le code ait été développé dans Windsurf, par Devin ou par un développeur dans Notepad ++.

Voici comment vous pouvez utiliser ces deux outils ensemble :

1. Dans l'IDE : codez de manière plus intelligente et plus sûre
Windsurf intègre l'IA dans votre IDE. Aikido y Aikido la sécurité. Que le code provienne de vous ou d'un agent IA, Aikido l'arborescence de travail répond à vos normes de sécurité en temps réel en vous aidant à :

• Détectez les fuites de secrets tels que les jetons ou les identifiants avant qu'ils ne soient validés.
  
• Signaler les logiques risquées telles que le SQL brut, les appels shell ou la validation d'entrée faible.
  
• Mettre en évidence les dépendances vulnérables telles que les bibliothèques open source

Avec Aikido à l'IDE, vous obtenez un retour immédiat sans changement de contexte, ce qui vous permet de rester dans le flux tout en améliorant la sécurité.

2. Dans CI et PR : un deuxième regard
Une fois que le code quitte l'éditeur, Aikido vos pipelines CI et vos pull requests. Il analyse toutes les modifications, peu importe qui a écrit le code ou ce qu'il contient, et vous aide à :

• Vérifiez à nouveau les vulnérabilités connues dans le code et les dépendances.
  
• Valider les modifications apportées à l'infrastructure ou aux configurations de service
  
• Bloquer les fusions si des problèmes critiques sont détectés
  
• Filtrez les bruits de faible priorité afin de ne voir que ce qui compte vraiment.
  

Les résultats apparaissent en ligne dans la demande d'extraction ou dans les vérifications d'état CI. C'est tout, aucune configuration supplémentaire n'est nécessaire !

3. Au moment de la compilation : vérifiez ce que vous livrez

La sécurité va au-delà du code source. Lorsque vous créez des conteneurs ou des paquets, Aikido sur les artefacts réels produits par :

• Analyse des images à la recherche de paquets système obsolètes et de vulnérabilités courantes
  
• Bibliothèques signalées introduites par génération de code ou exemples copiés
  
• Vérification des risques liés aux licences dans le code intégré avant la publication
  
• Fonctionne sans que vous ayez besoin de déclarer ce qui a été généré par l'IA.
  

C'est là que surgissent souvent les problèmes liés aux paquets inclus automatiquement ou aux échafaudages basés sur des modèles provenant de dépendances d'applications tierces.

4. Après le déploiement : surveillezAikido
Aikido CloudAikido l'environnement dans lequel votre application s'exécute et vérifie les erreurs courantes de configuration à l'aide des éléments suivants :

• Validation de cloud sur AWS, GCP et Azure
  
• Détection des services exposés, des compartiments publics et des autorisations insuffisantes
  
• Vérification des configurations Kubernetes, réseau et déploiement
  
• Aucun agent requis et rien à installer

Cela est particulièrement utile si le code d'infrastructure généré par l'IA passe en phase de test ou de production sans être vérifié une seconde fois.

5. En production : tests similaires à ceux d'un pirate
Aikido effectuer des tests en conditions réelles sur votre application pendant qu'elle est en ligne, comme le ferait un utilisateur ou un pirate. Aikido :

• Tester les itinéraires et les fonctionnalités à l'aide d'identifiants valides
  
• Identifiez les risques d'injection, les points d'accès exposés et les contrôles d'accès manquants.
  
• Détecter les API non documentées ou exposées involontairement
  
• Bloquer le trafic suspect lors de l'exécution si cette option est activée

C'est là que vous détectez les problèmes qui n'étaient pas visibles lors de la révision du code, mais qui apparaissent dans le comportement de l'application lorsqu'elle est en ligne.

En fin de compte, quelle que soit la cause de la faille de sécurité, vous devez disposer d'un plan d'intervention rationalisé qui déplace la sécurité le plus loin possible. Aikido là pour mettre en évidence les problèmes et vous aider à traiter les risques en mettant à jour manuellement votre code source dans des applications telles que Windsurf Editor ou via Devin.

Prochaines étapes

Lorsque vous serez prêt à mettre ces idées en pratique, nous vous recommandons de commencer par les points suivants afin de comprendre comment tirer parti des capacités de l'IA pour développer des logiciels et des applications sécurisés :

• Initiez-vous à la planche à voile : https://www.windsurf.com/university
• Scannez votre code avec Aikido: https://integrations.aikido.dev/integrations/windsurf
• Consultez l'article de Devin sur les référentiels publics dans DeepWiki sur deepwiki.com.
• Commencez avec Devin sur app.devin.ai
• Découvrez les pratiques de développement sécurisé Aikido: https://www.aikido.dev/learn/secure-development
• Consultez le webinaire Aikidosur le codage sécurisé : https://www.youtube.com/watch?v=xGDYPRPoFPA

Une dernière réflexion

L'IA ne remplace pas les développeurs, elle les complète. Mais la vitesse sans sécurité est une bonne raison de faire une pause. Nous vous recommandons donc d'améliorer vos mécanismes de sécurité avant de maximiser la vitesse. Les applications sécurisées ne sont pas le fruit du hasard ; elles sont le résultat d'une conception réfléchie, d'outils performants et de la priorité accordée par les utilisateurs.

Intégrer la sécurité à chaque étape, de la conception à la production, est essentiel pour aider les équipes à livrer plus rapidement et en toute sécurité.