Aikido
Commencer gratuitement
Sans carte bancaire

Bienvenue sur notre blog.

En vedette
Les 5 meilleures alternatives à Tenable Nessus en 2026
Les 5 meilleures alternatives à Tenable Nessus en 2026 | Aikido Security
Tenable Nessus est un scanner puissant, mais des outils puissants que personne n'utilise ne rendent pas les logiciels plus sécurisés. Comparez cinq alternatives conçues pour la manière dont les équipes d'ingénierie travaillent réellement.
Tenable Nessus est un puissant scanner d'infrastructure, mais les outils puissants qui restent déconnectés des workflows des développeurs sont des outils que personne n'utilise. Ce guide compare cinq alternatives conçues autour de l'intégration aux workflows des développeurs, de l'étendue de l'AppSec, du coût et de l'expérience de remédiation.
Outils et comparaisons DevSec
Nicholas Thomson
Pourquoi l'EDR et les proxys ne vous sauveront pas des malwares de la chaîne d'approvisionnement
Pourquoi l'EDR et les proxys ne vous sauveront pas des malwares de la chaîne d'approvisionnement
L'EDR et les proxys n'ont pas été conçus pour les malwares de la chaîne d'approvisionnement. Lorsque du code malveillant arrive via un `npm install`, cela ressemble à un comportement normal. Voici pourquoi c'est important.
L'EDR et les proxys n'ont pas été conçus pour les malwares de la chaîne d'approvisionnement. Lorsque du code malveillant arrive via un `npm install`, cela ressemble à un comportement normal. Voici pourquoi c'est important.
Actualités
Samuel Vandamme
Faites de la place, Mythos. Voici... à peu près n'importe quel autre modèle doté d'un bon harnais.
Faites de la place, Mythos. Voici n'importe quel modèle doté d'un bon harnais.
Mythos présente de réels avantages dans la construction de chaînes d'exploitation. Mais pour la plupart des travaux AppSec, le harnais autour du modèle importe plus que le modèle que vous choisissez.
Mythos présente de réels avantages dans la construction de chaînes d'exploitation. Mais pour la plupart des travaux AppSec, le harnais autour du modèle importe plus que le modèle que vous choisissez.
Actualités
Dania Durnas
Packages npm de Red Hat compromis pour propager un ver voleur de credentials
Packages npm de Red Hat compromis pour propager un ver voleur de credentials
Plusieurs packages npm officiels @redhat-cloud-services ont été compromis par un ver voleur de credentials dérivé du malware open source Mini Shai-Hulud, ciblant les credentials cloud et les outils de développement à travers les pipelines CI/CD.
Plusieurs packages npm officiels @redhat-cloud-services ont été compromis par un ver voleur de credentials dérivé du malware open source Mini Shai-Hulud, ciblant les credentials cloud et les outils de développement à travers les pipelines CI/CD.
Vulnérabilités et menaces
Ilyas Makari
Présentation de Code Audit : Trouvez les vulnérabilités complexes cachées dans votre code source
Présentation de Code Audit : Trouvez les vulnérabilités complexes cachées dans votre code source
Le SAST détecte les schémas. Code Audit analyse votre code comme le ferait un attaquant, en identifiant les failles logiques qui n'apparaissent qu'après le déploiement.
Les modèles "agentiques" peuvent désormais trouver et enchaîner les failles logiques dans votre code source plus rapidement que n'importe quel attaquant humain. Code Audit se situe entre le SAST et les tests d'intrusion, analyse votre code statique et révèle les vulnérabilités multi-étapes avant leur déploiement.
Actualités produit et entreprise
Shaun Brown
Ce que le MDM ne peut pas protéger sur les machines de développeurs (et comment y remédier)
Ce que le MDM ne peut pas protéger sur les machines de développeurs
Les outils MDM comme Jamf et Kandji sont essentiels, mais ils ne voient pas les installations npm, les extensions d'IDE ou les outils de codage basés sur l'IA. Voici ce qui est réellement non protégé sur vos machines de développeurs et comment combler cette lacune.
La plupart des équipes de sécurité ont déployé un MDM. Le problème est que les installations npm, les extensions VS Code et les outils de codage basés sur l'IA se déroulent complètement en dehors du champ de vision du MDM. Voici ce qui est réellement non protégé et comment combler cette lacune.
Guides et bonnes pratiques
Nicholas Thomson
Meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026
Meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026
Comparez les meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026. Découvrez où Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx et GitLab s'intègrent le mieux.
Comparez les meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026, y compris Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One et GitLab Secret Detection.
Outils et comparaisons DevSec
Nicholas Thomson
Une interface utilisateur distante de Codex d'apparence légitime vole secrètement vos jetons d'IA
Une interface utilisateur distante de Codex d'apparence légitime vole secrètement vos jetons d'IA
Une interface utilisateur distante de Codex soignée, le package npm codexui-android, est en développement actif et compte des milliers d'utilisateurs hebdomadaires. Elle a discrètement exfiltré des jetons d'authentification OpenAI au cours du dernier mois.
Une interface utilisateur distante de Codex soignée, le package npm codexui-android, est en développement actif et compte des milliers d'utilisateurs hebdomadaires. Elle a discrètement exfiltré des jetons d'authentification OpenAI au cours du dernier mois.
Vulnérabilités et menaces
Charlie Eriksen
Aikido vs XBOW : 58 % de vulnérabilités en plus détectées lors d'un benchmark indépendant
Aikido vs XBOW : 58 % de vulnérabilités en plus détectées lors d'un benchmark indépendant
Aikido et XBOW comparés lors d'un benchmark indépendant par Doyensec. Aikido a détecté 58 % de vulnérabilités en plus pour le même prix. Découvrez le temps de configuration, les taux de faux positifs et les résultats complets.
Nous avons commandité Doyensec pour réaliser un benchmark aveugle et indépendant d'Aikido et XBOW sur les mêmes applications, au même prix. Aikido a détecté 58 % de vulnérabilités vérifiées en plus, et s'est distingué par sa configuration, sa vitesse et sa stabilité.
Actualités
Aleks Frelas
Pourquoi les machines des développeurs sont désormais la cible numéro un des attaques de la chaîne d’approvisionnement
Pourquoi les machines des développeurs sont la cible n°1 des attaques de la chaîne d’approvisionnement | Aikido
Les équipes d'Omnea, Cognism, Glasswall, Raisin et du secteur public britannique révèlent pourquoi les solutions EDR et MDM ne détectent pas ce qui se passe réellement sur les machines des développeurs.
Les équipes d'ingénierie et de sécurité d'Omnea, Cognism, Glasswall et du secteur public britannique ont toutes indépendamment signalé le même angle mort. Voici ce qu'elles font pour y remédier.
Actualités
Sooraj Shah
Une attaque de la supply chain cible les packages Laravel-Lang avec un voleur de credentials
Une attaque de la supply chain cible les packages Laravel-Lang avec un voleur de credentials
Des attaquants ont injecté un voleur de credentials dans plus de 200 versions de packages Laravel-Lang populaires, déployant un logiciel de vol de credentials ciblant les clés cloud, les clés SSH, les navigateurs, les portefeuilles de cryptomonnaies et plus encore.
Des attaquants ont injecté un voleur de credentials dans plus de 200 versions de packages Laravel-Lang populaires, déployant un logiciel de vol de credentials ciblant les clés cloud, les clés SSH, les navigateurs, les portefeuilles de cryptomonnaies et plus encore.
Vulnérabilités et menaces
Ilyas Makari
5 alternatives à Gitleaks et pourquoi elles sont meilleures
5 alternatives à Gitleaks pour une meilleure analyse des secrets en 2026
Vous cherchez une alternative à Gitleaks ? Nous comparons Betterleaks, TruffleHog, Aikido, GitHub Advanced Security et Spectral afin que vous puissiez trouver le meilleur scanner de secrets pour votre équipe.
Gitleaks n'est plus activement développé, et le paysage de l'analyse des secrets a évolué rapidement. Nous comparons les cinq alternatives les plus robustes en 2026, notamment Betterleaks, TruffleHog, Aikido, GitHub Advanced Security et Spectral, afin que vous puissiez trouver la solution adaptée à votre stack.
Outils et comparaisons DevSec
Nicholas Thomson
Le Far West des extensions VS Code et comment une extension piégée a compromis GitHub
Le Far West des extensions VS Code et comment une extension piégée a compromis GitHub
Une extension VS Code piégée a compromis GitHub hier, un jour après que Nx Console (2,2 millions d'installations) ait été compromise pendant 18 minutes sur le Visual Studio Marketplace et ait atteint tous les utilisateurs ayant activé la mise à jour automatique.
Vulnérabilités et menaces
Raphael Silva
GitHub compromis via une extension VS Code malveillante : pourquoi les appareils des développeurs sont la véritable cible
GitHub compromis via une extension VS Code | Attaque de la chaîne d’approvisionnement des développeurs 2026
GitHub a confirmé qu'une extension VS Code empoisonnée avait compromis l'appareil d'un employé, exposant 3 800 dépôts internes. Pourquoi les postes de travail des développeurs sont désormais la principale cible de la chaîne d’approvisionnement.
Vulnérabilités et menaces
Shaun Brown
Le package durabletask de Microsoft sur PyPi est compromis. Mini Shai Hulud attaque encore... et encore !
Le package durabletask de Microsoft sur PyPi est compromis. Mini Shai Hulud attaque encore... et encore !
Trois versions progressivement compromises d'un package Python lié à Microsoft livrent un infostealer complet qui se propage via AWS et Kubernetes, exfiltre toutes les informations d'identification cloud qu'il peut trouver, et efface les disques sur les systèmes israéliens et iraniens
Vulnérabilités et menaces
Raphael Silva
Mini Shai-Hulud frappe à nouveau : un ver npm compromet des centaines de packages @antv
Mini Shai-Hulud frappe à nouveau : un ver npm compromet des centaines de packages @antv
Le ver npm Mini Shai-Hulud a frappé les packages @antv d'Alibaba, echarts-for-react et timeago.js. La charge utile dérobe les secrets CI/CD, implante des backdoors dans VS Code et Claude Code, et se propage en republiant des packages compromis. Voici ce qui s'est passé et comment protéger votre équipe.
Le ver de npm Mini Shai-Hulud est de retour avec sa plus grande vague à ce jour, compromettant des centaines de packages à travers l'écosystème de visualisation de données d'Alibaba. Notre équipe de détection de malwares suit plus de 2 700 dépôts GitHub malveillants créés avec des jetons volés, tandis que le ver continue de se propager.
Vulnérabilités et menaces
Sooraj Shah
Tests d'intrusion vs. red teaming : quelle est la différence ?
Tests d'intrusion vs. Red Teaming : quelle est la différence ?
Vous ne savez pas si vous avez besoin d'un pentest ou d'un engagement de red team ? Ce guide détaille les principales différences, quand utiliser chacun, et comment l'IA transforme les deux approches.
Les tests d'intrusion et le red teaming sont deux méthodes pour tester la robustesse de votre sécurité, mais ce ne sont pas la même chose. Cet article explique le fonctionnement de chaque approche, quand privilégier l'une par rapport à l'autre, et comment le pentest IA modifie la donne.
Guides et bonnes pratiques
Nicholas Thomson
Les clés API Google continuent de fonctionner après leur suppression
Les clés API Google continuent de fonctionner après leur suppression, suffisamment longtemps pour être exploitées
La suppression d'une clé API Google ne la révoque pas immédiatement. Nos tests ont révélé des authentifications réussies jusqu'à 23 minutes après la suppression, et Google a refusé de corriger ce problème.
La suppression d'une clé API Google ne la révoque pas immédiatement. Nos tests ont révélé des authentifications réussies jusqu'à 23 minutes après la suppression, et Google a refusé de corriger ce problème.
Vulnérabilités et menaces
Joe Leon
L'IA fantôme est une réponse à la peur, et l'interdire ne fait qu'empirer les choses.
Pourquoi les risques liés à l'IA fantôme commencent par la peur (et pourquoi les interdire les aggrave)
Les employés n'utilisent pas d'outils d'IA non approuvés pour causer des problèmes. Ils ont peur de prendre du retard. Voici pourquoi interdire l'IA fantôme augmente votre risque de sécurité, et ce qu'il faut faire à la place.
L'IA fantôme est une réponse à la peur. Les employés cachent les outils qu'ils utilisent parce qu'ils interprètent correctement un marché du travail qui exige des compétences en IA. Voici pourquoi l'interdiction aggrave la situation, et ce qu'il faut faire à la place.
Actualités
Nicholas Thomson
Mini Shai-Hulud est de retour : un ver npm affecte plus de 160 paquets, dont Mistral et Tanstack
Mini Shai-Hulud est de retour : un ver npm affecte plus de 160 paquets, dont Mistral et Tanstack
Mini Shai-Hulud est de retour, compromettant 169 paquets npm de TanStack, UiPath, Squawk et d'autres, pour voler les secrets des développeurs et des CI/CD, puis se propager via des workflows de publication de confiance.
Vulnérabilités et menaces
Raphael Silva
La checklist de sécurité complète des GitHub Actions
Liste de contrôle de sécurité pour GitHub Actions
Les mauvaises configurations de GitHub Actions sont à l'origine de certaines des plus grandes attaques de la chaîne d’approvisionnement de 2025 et 2026. Voici ce qui n'a pas fonctionné et comment les empêcher de se produire dans votre organisation.
Les mauvaises configurations de GitHub Actions sont à l'origine de certaines des plus importantes attaques de la chaîne d’approvisionnement de 2025 et 2026. Voici une liste de contrôle pratique pour s'en protéger.
Guides et bonnes pratiques
Dania Durnas
Meilleurs scanners OWASP en 2026 pour la sécurité des applications web
Meilleurs scanners OWASP en 2026 pour la sécurité des applications web
La plupart des scanners ne couvrent pas l'intégralité du Top 10 OWASP. Nous détaillons les meilleurs scanners OWASP en 2026 afin que vous puissiez en choisir un qui vous assure une couverture complète.
La plupart des scanners OWASP ne couvrent pas l'intégralité du Top 10. Ce guide présente les meilleurs outils en 2026, ce que chacun couvre réellement, et quel scanner offre une couverture complète sans le bruit.
Outils et comparaisons DevSec
Nicholas Thomson
Déployer la sécurité des développeurs dans une organisation de plus de 5 000 ingénieurs
Sécurité des développeurs à l'échelle : un guide de déploiement pour CISO
La plupart des déploiements de sécurité des développeurs échouent car ils sont conçus comme des déploiements logiciels, et non comme des changements culturels. Un guide pratique pour les CISO d'entreprise.
La plupart des déploiements de sécurité pour développeurs échouent car ils sont conçus comme des déploiements logiciels, et non comme des changements culturels. Voici le modèle par phases que les CISO expérimentés adoptent pour y remédier.
Guides et bonnes pratiques
Mike Wilkes
Métamorphose de la sécurité : une liste de contrôle d'architecture prête pour Mythos pour les attaques d'IA autonomes
Métamorphose de la sécurité : une liste de contrôle d'architecture prête pour Mythos pour les attaques d'IA autonomes
L'AppSec a stagné face à la complexité moderne. Le projet Glasswing et l'ère Mythos exigent une discipline de sécurité qui opère à la vitesse des menaces auxquelles elle est confrontée.
L'AppSec a stagné face à la complexité moderne. Le projet Glasswing et l'ère Mythos exigent une discipline de sécurité qui opère à la vitesse des menaces auxquelles elle est confrontée.
Guides et bonnes pratiques
Mike Wilkes
Pourquoi les extensions de navigateur représentent un risque de sécurité majeur et comment y remédier
Pourquoi les extensions de navigateur représentent un risque de sécurité majeur et comment y remédier
Les extensions de navigateur comportent de nombreux risques de sécurité, plus que nous ne voulons l'admettre. Nous abordons l'ampleur de cette menace et ce que les particuliers et les organisations peuvent faire pour y remédier.
Guides et bonnes pratiques
Dania Durnas
Merci ! Votre soumission a été reçue !
Oups ! Une erreur est survenue lors de la soumission du formulaire.
31 juillet 2026
« • »
Vulnérabilités et menaces

Le rêve fiévreux d'Anthropic : le paquet de Claude qui a volé de vraies clés

Anthropic a révélé que l'un de ses propres agents avait publié un malware actif sur PyPI et compromis une véritable entreprise tierce dans le processus. J'ai cherché, et j'ai peut-être trouvé le paquet qu'il a laissé derrière lui.

#AI

#Sécurité de l'IA

#Malware

22 juillet 2026
« • »
Actualités

Le piège de la mise à niveau : quand la mise à niveau est la mauvaise réponse à une CVE

« Mettre à jour pour corriger » suppose qu'une version corrigée existe, qu'elle a été livrée et qu'elle ne cassera pas votre application. Souvent, aucune de ces conditions n'est vraie. C'est le « piège de la mise à jour », où à la fois la mise à jour et la non-mise à jour comportent des risques de sécurité et de rupture de la production. Nous examinons à quoi ressemble la sortie.

Aucun élément trouvé.
20 juillet 2026
« • »
Guides et bonnes pratiques

Ce que les développeurs doivent savoir sur le DSPM et l'exposition des données dans le code

Le DSPM traditionnel identifie l'emplacement des données sensibles. Le DSPM basé sur le code détecte comment elles sont exposées et indique la correction dans votre code.

#Outils

#AppSec

#Sécurité des données

L'état de l'IA dans le Pentesting en 2026

Notre dernier rapport recueille les perspectives de 400 CISO, CTO et dirigeants d'ingénierie senior en Europe et aux États-Unis. Il explore comment l'IA transforme les tests d'intrusion, pourquoi les approches traditionnelles peinent à suivre le rythme de la livraison logicielle moderne, et ce que les leaders de la sécurité attendent de la prochaine génération de tests d'intrusion.

Lire la suite

Abonnez-vous à notre newsletter.
Pas de spam, garanti.

Vulnérabilités et menaces

Éliminez le bruit grâce à des analyses détaillées de CVE réels, des analyses de malwares, des exploits et des risques émergents.

Voir tout

Actualités

Notre perspective sur les récits qui façonnent la sécurité logicielle actuellement

Voir tout

Cas clients

Découvrez comment des équipes comme la vôtre utilisent Aikido pour simplifier la sécurité et livrer en toute confiance.

Voir tout

Actualités produit et entreprise

Les nouveautés chez Aikido — des lancements de produits aux grandes victoires en matière de sécurité.

Voir tout

Guides et bonnes pratiques

Conseils pratiques, workflows de sécurité et guides pratiques pour vous aider à livrer du code plus sûr, plus rapidement.

Voir tout

Conformité

Gardez une longueur d'avance sur les audits grâce à des conseils clairs et adaptés aux développeurs concernant SOC 2, les normes ISO, le RGPD, le NIS, et bien plus encore.

Voir tout
IA
Aikido Device Protection
Aikido Endpoint
Aikido Zen
Tests d'intrusion IA
Sécurité de l'IA
Annonces
API
AppSec
Article
ASPM
autofix
AutoTriage
AWS
Bazel
CircleCI
Cloud
cnapp
Qualité du code
Codeship
Conformité
Analyse de conteneurs
Pentest continu
Surveillance continue de la sécurité
CSPM
Cyber Resilience Act
DAST
Sécurité des données
Dépendances
DevSecOps
Fin de vie
Cybersécurité européenne
fintech
Sécurité GitHub
Images durcies
Sécurité de l'IDE
Vulnérabilités IDOR
IMDSv1
IMDSv2
Infrastructure as Code (IaC)
Intel
Legaltech
Scanners de licences
Malware
Mythos
Surveillance de la sécurité réseau
NIS2
NPM
open source
OWASP
Pentesting
Pypi
RASP
SAST
SBOM
SCA
Détection de secrets
Logiciel auto-sécurisant
SOC 2
sécurité de la chaîne d’approvisionnement logicielle
Injections SQL
SSDLC
SSRF
Modélisation des menaces
Outils
Tri
cas d'utilisation
Vibe Coding
VS Code
Vulnérabilités
Meilleurs outils SAST d'entreprise 2026
Meilleurs outils SAST d'entreprise 2026 | Aikido Security
Comparaison des meilleurs outils SAST d'entreprise sur la réduction du bruit, la remédiation par IA, la gouvernance, la conformité et le coût
Comparaison des meilleurs outils SAST d'entreprise sur la réduction du bruit, la remédiation par IA, la gouvernance, la conformité et le coût
Outils et comparaisons DevSec
Le rêve fiévreux d'Anthropic : le paquet de Claude qui a volé de vraies clés
Le rêve fiévreux d'Anthropic : le paquet anthropickit de Claude qui a volé de vraies clés
Anthropic a révélé qu'un agent avait poussé de vrais malwares sur PyPI. Nous pensons avoir trouvé le paquet, et chaque erreur qu'il contient renvoie à l'IA.
Anthropic a révélé que l'un de ses propres agents avait publié un malware actif sur PyPI et compromis une véritable entreprise tierce dans le processus. J'ai cherché, et j'ai peut-être trouvé le paquet qu'il a laissé derrière lui.
Vulnérabilités et menaces
Meilleures alternatives à Astra Security pour le pentest automatisé en 2026
Meilleures alternatives à Astra Pentest pour les tests de sécurité | Aikido Security
Comparez les alternatives à Astra Security pour le pentest IA en 2026 en termes de profondeur, de tests en boîte blanche, de résultats de conformité et d'étendue de la plateforme.
Comparez les alternatives à Astra Security pour le pentest IA en 2026 en termes de profondeur, de tests en boîte blanche, de résultats de conformité et d'étendue de la plateforme.
Outils et comparaisons DevSec
Quatre décisions de réponse aux incidents suite à la violation de données de Hugging Face
Quatre leçons de réponse aux incidents tirées de la violation de données de Hugging Face
Reconnaissance, identifiants volés, C2 caché et reconstruction ou correctif. Quatre décisions suite à la violation de Hugging Face qui montrent si vous pouvez détecter une attaque en cours.
Reconnaissance, identifiants volés, C2 caché et reconstruction ou correctif. Quatre décisions suite à la violation de Hugging Face qui montrent si vous pouvez détecter une attaque en cours.
Actualités
Meilleurs outils SAST 2026
Meilleurs outils SAST 2026 : Aikido, Snyk, Semgrep et plus encore
Comparez les meilleurs outils SAST de 2026 en fonction de la profondeur de détection, du bruit, de la remédiation et de l'adéquation à l'entreprise.
Comparez les meilleurs outils SAST de 2026 en fonction de la profondeur de détection, du bruit, de la remédiation et de l'adéquation à l'entreprise.
Outils et comparaisons DevSec
Meilleurs outils de sécurité LLM pour protéger les applications d'IA
Meilleurs Outils de Sécurité LLM en 2026 | Aikido Security
Comparez les meilleurs outils de sécurité LLM pour les applications d'IA, y compris Aikido, Snyk, Semgrep, Endor Labs et Wiz, pour le code, la chaîne d'approvisionnement et le runtime.
Comparez les meilleurs outils de sécurité LLM pour les applications d'IA, y compris Aikido, Snyk, Semgrep, Endor Labs et Wiz, pour le code, la chaîne d'approvisionnement et le runtime.
Outils et comparaisons DevSec
Meilleures alternatives à Acunetix pour l'analyse automatisée des vulnérabilités
Meilleures alternatives à Acunetix pour l'analyse des vulnérabilités | Aikido Security
Vous explorez les alternatives à Acunetix ? Son DAST couvre les vérifications basées sur des règles, mais ne peut pas raisonner sur la logique métier ni produire des pentests de qualité audit. Cinq options qui vont plus loin.
Vous explorez les alternatives à Acunetix ? Son DAST couvre les vérifications standards, mais ne peut pas raisonner sur la logique métier ni produire des pentests de qualité audit. Cinq options qui vont plus loin.
Outils et comparaisons DevSec
Une meilleure détection générique de secrets commence par l'identification des non-secrets
Une meilleure détection générique de secrets commence par l'identification des non-secrets
Certaines clés API sont destinées à être publiques. Betterleaks les retire désormais des résultats de détection générique de secrets, réduisant ainsi des milliers de faux positifs par analyse.
Certaines clés API sont destinées à être publiques. Betterleaks les retire désormais des résultats de détection générique de secrets, réduisant ainsi des milliers de faux positifs par analyse.
Actualités
L'injection SQL n'est pas morte
Les injections SQL (et Little Bobby Tables) ne sont pas mortes
Le correctif pour l'injection SQL a des décennies et fonctionne toujours. Alors pourquoi le cœur de WordPress a-t-il eu besoin d'un correctif d'urgence pour l'une d'elles ? Les données, et comment s'en défendre.
Le correctif pour l'injection SQL a des décennies et fonctionne toujours. Alors pourquoi le cœur de WordPress a-t-il eu besoin d'un correctif d'urgence pour l'une d'elles ? Les données, et comment s'en défendre.
Actualités
CISO de Tyro : Être l'« Einstein de la cybersécurité » ne suffit pas si les développeurs ne vous font pas confiance
Même l'Einstein de la cybersécurité a besoin de la confiance des développeurs
Arun Singh, CISO de Tyro, sur la confiance des développeurs en tant que ressource limitée, et ce qui se passe lorsque les attaques de la chaîne d’approvisionnement forcent les équipes à la dépenser.
Arun Singh, CISO de Tyro, sur la confiance des développeurs en tant que ressource limitée, et ce qui se passe lorsque les attaques de la chaîne d’approvisionnement forcent les équipes à la dépenser.
Guides et bonnes pratiques
Ce que les développeurs doivent savoir sur le DSPM et l'exposition des données dans le code
Ce que les développeurs doivent savoir sur le DSPM et l'exposition des données dans le code
Le DSPM traditionnel identifie l'emplacement des données sensibles. Le DSPM basé sur le code détecte comment elles sont exposées et indique la correction dans votre code.
Le DSPM traditionnel identifie l'emplacement des données sensibles. Le DSPM basé sur le code détecte comment elles sont exposées et indique la correction dans votre code.
Guides et bonnes pratiques
Le piège de la mise à niveau : quand la mise à niveau est la mauvaise réponse à une CVE
Pourquoi la mise à niveau pour corriger une CVE aggrave souvent les choses | Aikido
Mettre à niveau pour corriger une CVE semble simple. Mais la version corrigée casse souvent votre application, n'a pas encore été livrée, ou n'existe pas. Voici pourquoi, et ce qui fonctionne réellement.
« Mettre à jour pour corriger » suppose qu'une version corrigée existe, qu'elle a été livrée et qu'elle ne cassera pas votre application. Souvent, aucune de ces conditions n'est vraie. C'est le « piège de la mise à jour », où à la fois la mise à jour et la non-mise à jour comportent des risques de sécurité et de rupture de la production. Nous examinons à quoi ressemble la sortie.
Actualités
SleeperGem : une attaque de la chaîne d'approvisionnement RubyGems cible des comptes de mainteneurs dormants
SleeperGem : une attaque de la chaîne d'approvisionnement RubyGems cible des comptes de mainteneurs dormants
SleeperGem : deux comptes de mainteneurs RubyGems dormants ont été piratés pour injecter des malwares dans des gems de confiance, l'un d'eux comptant plus de 500 000 téléchargements au total
SleeperGem : deux comptes de mainteneurs RubyGems dormants ont été piratés pour injecter des malwares dans des gems de confiance, l'un d'eux comptant plus de 500 000 téléchargements au total
Vulnérabilités et menaces
RCE non authentifiée dans le cœur de WordPress (wp2shell), via injection SQL
Vulnérabilité RCE non authentifiée dans le cœur de WordPress (wp2shell), via injection SQL. Corrigez la vulnérabilité dès maintenant !
Le cœur de WordPress présente une RCE non authentifiée (wp2shell), confirmée comme injection SQL. Mettez à jour vers la version 7.0.2 ou 6.9.5 dès maintenant, avec des mesures d'atténuation si vous ne pouvez pas encore appliquer le correctif. Bloquez la classe d'attaque à l'exécution avec Aikido Zen.
Vulnérabilités et menaces
Meilleures alternatives à Pentera pour le pentest automatisé
Meilleures alternatives à Pentera pour le pentest automatisé | Aikido Security
Comparez les meilleures alternatives à Pentera pour le pentest automatisé en 2026. Découvrez où Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra et Astra s'intègrent le mieux.
Comparez les meilleures alternatives à Pentera pour le pentest automatisé en 2026. Découvrez où Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra et Astra s'intègrent le mieux.
Outils et comparaisons DevSec
Benchmarking de 13 modèles d'IA sur la redécouverte de CVE connues
Benchmarking de 13 modèles d'IA sur la détection de CVE connues
Nous avons testé 13 modèles d'IA contre 26 CVE connues pour voir lequel trouve le plus de vulnérabilités — et si le modèle le plus cher en vaut le coût.
Nous avons testé 13 modèles d'IA pour trouver 26 CVE connues. GPT-5.6 a trouvé le plus grand nombre, mais le modèle le plus cher n'était pas la meilleure utilisation du budget.
Technique
La checklist pratique pour se défendre contre les attaques de la chaîne d’approvisionnement
La checklist pratique des attaques de la chaîne d’approvisionnement | Aikido
Trente défenses priorisées contre la récente vague d'attaques de la chaîne d'approvisionnement logicielle. Classées critiques, élevées ou moyennes.
Trente défenses priorisées contre la récente vague d'attaques de la chaîne d'approvisionnement logicielle. Classées critiques, élevées ou moyennes.
Guides et bonnes pratiques
Packages npm AsyncAPI compromis via GitHub Actions
Packages npm AsyncAPI compromis via GitHub Actions
Cinq versions de packages, incluant des spécifications totalisant environ 2 millions de téléchargements hebdomadaires, ont livré un dropper obfusqué le 14/07/2026. Voici ce que nous avons confirmé jusqu'à présent.
Vulnérabilités et menaces
Comment Aikido Intel détecte en premier les malwares et les vulnérabilités
Comment Aikido Intel détecte en premier les malwares et les vulnérabilités
Aikido Intel est un flux en temps réel qui détecte les malwares et les vulnérabilités non divulguées dans les écosystèmes open source, souvent dans les 8 minutes suivant leur publication.
Aikido Intel est un flux de renseignement sur la chaîne d'approvisionnement en temps réel qui détecte rapidement les malwares et les vulnérabilités non divulguées au sein des écosystèmes open source.
Actualités produit et entreprise
Découverte de huit vulnérabilités de haute gravité dans NodeBB en six heures
Découverte de huit vulnérabilités de haute gravité dans NodeBB en six heures
Huit vulnérabilités de haute gravité dans NodeBB, découvertes par notre AI Pentest en six heures. Analyse technique complète des chaînes de cross-site scripting, des contournements d'authentification et du détournement de posts.
Huit vulnérabilités de haute gravité dans NodeBB, découvertes par notre AI Pentest en six heures. Analyse technique complète des chaînes de cross-site scripting, des contournements d'authentification et du détournement de posts.
Vulnérabilités et menaces
Qu'est-ce qu'un pare-feu de dépendances ?
Qu'est-ce qu'un pare-feu de dépendances ? | Aikido Security
Un pare-feu de dépendances bloque les packages open-source malveillants avant leur installation. Découvrez comment ils fonctionnent et comment Aikido Safe Chain arrête les attaques de la chaîne d’approvisionnement.
Un pare-feu de dépendances bloque les packages open-source malveillants avant leur installation. Découvrez comment ils fonctionnent et comment Aikido Safe Chain arrête les attaques de la chaîne d’approvisionnement.
Guides et bonnes pratiques
Comment maintenir les standards de qualité du code avec le code IA et le vibe coding
Comment maintenir les standards de qualité du code avec le code IA et le vibe coding
Le vibe coding permet de livrer rapidement des fonctionnalités, mais génère une dette de revue. Découvrez comment les contrôles de qualité du code, basés sur des règles et des benchmarks, offrent aux équipes une réponse cohérente sur l'ensemble des PRs et des dépôts.
Le vibe coding permet de livrer rapidement des fonctionnalités, mais génère une dette de revue. Découvrez comment les contrôles de qualité du code, basés sur des règles et des benchmarks, offrent aux équipes une réponse cohérente sur l'ensemble des PRs et des dépôts.
Actualités
Le paquet @injectivelabs/sdk-ts compromis exfiltre les clés de portefeuille via une fausse télémétrie
Le paquet @injectivelabs/sdk-ts compromis exfiltre les clés de portefeuille via une fausse télémétrie
Une version malveillante de @injectivelabs/sdk-ts a dissimulé un voleur de clés de portefeuille dans du code étiqueté comme télémétrie d'utilisation, puis l'a propagé à 17 autres paquets npm. Voici comment cela a fonctionné et comment vérifier vos projets.
Une version malveillante de @injectivelabs/sdk-ts a dissimulé un voleur de clés de portefeuille dans du code étiqueté comme télémétrie d'utilisation, puis l'a propagé à 17 autres paquets npm. Voici comment cela a fonctionné et comment vérifier vos projets.
Vulnérabilités et menaces
Guide d'achat du pentest IA : Comment évaluer les fournisseurs de pentest IA
Guide de l'acheteur de pentest IA | Évaluer les fournisseurs de pentest IA
Découvrez comment évaluer les fournisseurs de pentest IA grâce à des critères d'achat pratiques, des recherches issues de plus de 1 000 pentests IA, et une liste de contrôle d'évaluation téléchargeable.
Découvrez comment évaluer les fournisseurs de pentest IA grâce à des critères d'achat pratiques, des recherches issues de plus de 1 000 pentests IA, et une liste de contrôle d'évaluation.
Guides et bonnes pratiques
Les meilleures alternatives à Burp Suite pour les tests de sécurité des applications web
Les meilleures alternatives à Burp Suite pour les tests de sécurité des applications web | Aikido Security
Comparez les meilleures alternatives à Burp Suite pour le DAST et le pentest IA, y compris Aikido, Caido, ZAP et Invicti.
Comparez les meilleures alternatives à Burp Suite pour le DAST et le pentest IA, y compris Aikido, Caido, ZAP et Invicti.
Outils et comparaisons DevSec
Meilleures alternatives à Chainguard 2026
Meilleures alternatives à Chainguard en 2026 | Aikido
Comparaison des meilleures alternatives à Chainguard en 2026, d'Aikido Security à Docker Hardened Images, Minimus, RapidFort et Echo.
Alternatives à Chainguard comparées pour les images de conteneurs renforcées et la remédiation des CVE sans migration forcée.
Outils et comparaisons DevSec
Les meilleures soirées, événements parallèles et rencontres de sécurité de Black Hat USA 2026
Les meilleures soirées, événements parallèles et rencontres de sécurité de Black Hat USA 2026
Un guide sélectionné des soirées, happy hours, dîners CISO et rencontres de sécurité de Black Hat USA 2026 à Las Vegas, y compris l'Omega Mart After Hours d'Aikido avec AWS et Tailscale.
Actualités
Prédiction continue des MongoDB ObjectId dans Rocket.Chat
Prédiction continue des MongoDB ObjectId dans Rocket.Chat
Le pentester IA d'Aikido a découvert cette faille d'accès aux fichiers dans Rocket.Chat. Un examen plus approfondi de l'ObjectId de MongoDB a révélé la faible aléatoire qui la rend exploitable.
Le pentester IA d'Aikido a découvert cette faille d'accès aux fichiers dans Rocket.Chat. Un examen plus approfondi de l'ObjectId() de MongoDB a révélé la faible aléatoirité qui la rend exploitable.
Vulnérabilités et menaces
Contournement d'authentification dans la configuration par défaut de phpBB
Contournement d'authentification dans la configuration par défaut de phpBB
Nos agents de pentest IA ont découvert un contournement d'authentification critique dans phpBB (CVE-2026-48611) : une seule requête non authentifiée permet de se connecter à n'importe quel compte. Découvrez l'exploit et la correction.
Nos agents de pentest IA ont découvert un contournement d'authentification critique dans phpBB (CVE-2026-48611) : une seule requête non authentifiée permet de se connecter à n'importe quel compte. Découvrez l'exploit et la correction.
Vulnérabilités et menaces
Aikido acquiert Root pour sécuriser la chaîne d'approvisionnement
Aikido acquiert Root pour sécuriser la chaîne d'approvisionnement
Aikido a acquis Root pour sécuriser la chaîne d'approvisionnement logicielle, en corrigeant les vulnérabilités open source dans la version que vous utilisez déjà, sans nécessiter de mise à niveau. Les correctifs critiques sont reversés gratuitement à la communauté.
Aikido a acquis Root pour sécuriser la chaîne d'approvisionnement logicielle, en corrigeant les vulnérabilités open source dans la version que vous utilisez déjà, sans nécessiter de mise à niveau. Les correctifs critiques sont reversés gratuitement à la communauté.
Actualités produit et entreprise
Et un autre. GitHub déploie la révocation d'urgence des identifiants
GitHub déploie la révocation d'urgence des identifiants
La révocation d'urgence des identifiants est désormais disponible sur GitHub Enterprise. Les incidents répétés impliquant Trivy et Microsoft durabletask montrent pourquoi une révocation rapide et complète était nécessaire.
GitHub Enterprise peut désormais révoquer tous les identifiants d'un compte en une seule action. L'attaque Trivy et la compromission de durabletask de Microsoft démontrent pourquoi cette fonctionnalité était attendue depuis longtemps.
Actualités
npm gèle désormais les comptes à fort impact après des modifications de compte risquées
npm gèle désormais les comptes à fort impact après des modifications de compte risquées
Un aperçu du nouveau gel de compte de 72 heures de npm : ce qui le déclenche, ce qu'il bloque et comment il fonctionne en parallèle avec la publication fiable et étagée.
Un aperçu du nouveau gel de compte de 72 heures de npm : ce qui le déclenche, ce qu'il bloque et comment il fonctionne en parallèle avec la publication fiable et étagée.
Actualités
Les meilleures alternatives à Koi en 2026
Les meilleures alternatives à Koi Security en 2026 | Aikido
Vous cherchez une alternative à Koi Security après l'acquisition par Palo Alto ? Comparez les concurrents sur la protection des appareils, l'étendue de la plateforme et les tarifs.
Vous cherchez une alternative à Koi Security après l'acquisition par Palo Alto ? Comparez les concurrents sur la protection des appareils, l'étendue de la plateforme et les tarifs.
Outils et comparaisons DevSec
Action GitHub compromise codfish/semantic-release-action dérobe les secrets CI/CD
Action GitHub compromise codfish/semantic-release-action dérobe les secrets CI/CD
codfish/semantic-release-action a été compromise le 24 juin 2026. Les attaquants ont redirigé les tags v2–v5 vers une charge utile Miasma de vol d'identifiants ciblant les secrets CI/CD. Voici ce qui s'est passé et comment vérifier si vous êtes concerné.
codfish/semantic-release-action a été compromise le 24 juin 2026. Les attaquants ont redirigé les tags v2–v5 vers une charge utile Miasma de vol d'identifiants ciblant les secrets CI/CD. Voici ce qui s'est passé et comment vérifier si vous êtes concerné.
Vulnérabilités et menaces
Tout le monde déploie du code qu'il ne peut pas lire
Tout le monde déploie du code qu'il ne peut pas lire
Avec l'IA, tout le monde est désormais développeur, et beaucoup de code est déployé sans une révision minutieuse par des experts.
Avec l'IA, tout le monde est désormais développeur, et beaucoup de code est déployé sans une révision minutieuse par des experts.
Actualités
Aikido x Drydock | Un moyen pour les mainteneurs de détecter les malwares avant leur publication
Aikido s'associe à Drydock pour proposer un examen des malwares avant publication pour npm et PyPI
Aikido s'associe à Drydock pour proposer un examen des packages avant publication pour npm et PyPI. Voyez exactement ce qui se trouve dans une version avant sa publication, les malwares étant détectés avant le premier téléchargement.
Aikido s'associe à Drydock afin que les mainteneurs npm et PyPI puissent voir exactement ce qui se trouve dans une version avant sa mise en ligne. Détectez les malwares avant leur publication, pas après.
Actualités produit et entreprise
Packagist est désormais protégé par Aikido Intel et d'autres mises à jour du registre PHP
Packagist est désormais protégé par Aikido Intel et d'autres mises à jour du registre PHP
Le flux de malwares d'Aikido bloque désormais par défaut les versions de packages malveillantes dans Composer. Un aperçu de la manière dont Packagist élimine des catégories entières d'attaques de la chaîne d’approvisionnement.
Le flux de malwares d'Aikido bloque désormais par défaut les versions de paquets signalées dans Composer, pour tous ceux qui installent depuis Packagist.org, sans aucune activation nécessaire. Au cours de la dernière année, Packagist et Composer ont éliminé des classes entières d'attaques de la chaîne d'approvisionnement au niveau du registre. Voici ce qu'ils ont livré, et pourquoi chaque registre devrait fonctionner de cette manière.
Actualités produit et entreprise
Aikido x OWASP : 200 crédits gratuits pour les membres individuels
Aikido et OWASP : 200 crédits gratuits pour les membres
Les membres individuels d'OWASP obtiennent 200 crédits Aikido gratuits pour exécuter un Code Audit. Voici qui est éligible et comment réclamer les vôtres en deux étapes.
Les membres individuels de l'OWASP bénéficient de 200 crédits Aikido gratuits pour exécuter l'audit de code. Voici comment les réclamer en deux étapes.
Aikido
Plus de 140 packages npm Mastra populaires affectés par une attaque de la chaîne d'approvisionnement
Plus de 140 packages npm Mastra populaires affectés par une attaque de la chaîne d'approvisionnement
141 packages npm Mastra ont été compromis lors d'une attaque de la chaîne d'approvisionnement qui a injecté une dépendance malveillante pour télécharger et exécuter silencieusement une charge utile au moment de l'installation.
141 packages npm Mastra ont été compromis lors d'une attaque de la chaîne d'approvisionnement qui a injecté une dépendance malveillante pour télécharger et exécuter silencieusement une charge utile au moment de l'installation.
Vulnérabilités et menaces
Plusieurs plugins d'IDE JetBrains détectés en train de voler des clés d'API d'IA.
Plusieurs plugins d'IDE JetBrains détectés en train de voler des clés d'API d'IA.
Une campagne coordonnée d'au moins 15 plugins d'IDE JetBrains, publiés sous sept comptes de fournisseurs, exfiltre la clé d'API de fournisseur d'IA que vous collez dans leurs paramètres.
Une campagne coordonnée d'au moins 15 plugins d'IDE JetBrains, publiés sous sept comptes de fournisseurs, exfiltre la clé d'API de fournisseur d'IA que vous collez dans leurs paramètres.
Vulnérabilités et menaces
Full Fathom Five : Le contexte de la publication publique de classe Mythos d'Anthropic
Full Fathom Five : Ce que signifie la publication publique de classe Mythos d'Anthropic
Vous n'avez jamais eu besoin de Mythos pour trouver vos IDORs et vos failles de logique métier. Un aperçu de ce qu'Anthropic a livré avec Fable 5, et pourquoi la sécurité de l'information reste fondamentalement un problème humain.
Vous n'avez jamais eu besoin de Mythos pour trouver vos IDORs et vos failles de logique métier. Un aperçu de ce qu'Anthropic a livré avec Fable 5, et pourquoi la sécurité de l'information reste fondamentalement un problème humain.
Actualités
5 alternatives de sécurité à Socket et pourquoi elles sont meilleures
5 alternatives de sécurité à Socket et pourquoi elles sont meilleures
Socket s'est fait un nom grâce à la détection de malwares. Mais la vitesse de détection seule ne suffit plus. Voici comment Aikido et quatre autres alternatives se comparent en matière de sécurité de la chaîne d'approvisionnement, d'analyse d'accessibilité, de licences, et plus encore.
Outils et comparaisons DevSec
npm v12 apporte l'une des plus grandes améliorations de sécurité depuis des années
npm v12 apporte l'une des plus grandes améliorations de sécurité depuis des années
npm v12 rend les scripts d'installation opt-in par défaut, fermant ainsi le chemin d'exécution au moment de l'installation, après une année de vers de la chaîne d'approvisionnement npm, de Nx à Red Hat.
npm v12 rend les scripts d'installation opt-in par défaut, fermant ainsi le chemin d'exécution au moment de l'installation, après une année de vers de la chaîne d'approvisionnement npm, de Nx à Red Hat.
Actualités
Aikido x Docker : moins de bruit, plus de signal dans vos conteneurs
Aikido prend en charge les images Docker Hardened avec VEX
Aikido prend désormais en charge les images Docker Hardened avec une intégration VEX native, aidant les équipes à réduire le bruit des CVE et à se concentrer sur les vulnérabilités des conteneurs qui nécessitent réellement une attention.
Scannez les images Docker renforcées dans Aikido avec un filtrage VEX automatique pour les CVE non exploitables.
Actualités produit et entreprise
Le code est écrit partout, et l'appareil est la seule constante
Le code est écrit partout et l'appareil est la seule constante | Aikido Security
Les développeurs codent partout. Les agents d'IA, les bots Slack et les serveurs MCP ont fait de l'appareil du développeur le plus grand angle mort en matière de sécurité.
Les développeurs codent partout. Les agents d'IA, les bots Slack et les serveurs MCP ont fait de l'appareil du développeur le plus grand angle mort en matière de sécurité.
Actualités
Les SBOM en 2026 : tout le monde les génère, personne ne les utilise
Les SBOM en 2026 : tout le monde les génère, personne ne les utilise | Aikido Security
Le rapport 2026 de l'ENISA sur l'adoption des SBOM couvre 334 organisations et met en évidence un écart constant entre la génération des SBOM et leur utilisation réelle. Voici ce qui en ressort.
Le rapport 2026 de l'ENISA sur l'adoption des SBOM couvre 334 organisations et met en évidence un écart constant entre la génération des SBOM et leur utilisation réelle. Voici ce qui en ressort.
Actualités
Le crate Rust onering compromis effectue une exfiltration de code
Le crate Rust onering compromis effectue une exfiltration de code
Le crate Rust onering v1.4.1 compromis sur crates.io a livré un fichier build.rs malveillant qui exfiltre le diff de votre dernier commit vers un endpoint Sentry hébergé à chaque build.
Le crate Rust onering v1.4.1 compromis sur crates.io a livré un fichier build.rs malveillant qui exfiltre le diff de votre dernier commit vers un endpoint Sentry hébergé à chaque build.
Vulnérabilités et menaces
Vulnérabilité critique vieille de 10 ans dans phpBB affectant des dizaines de millions d'utilisateurs sur des milliers de forums
Vulnérabilité critique phpBB : Contournement d'authentification + RCE depuis 2014
Aikido Security a découvert une vulnérabilité critique de contournement d'authentification non authentifiée dans phpBB affectant des dizaines de millions d'utilisateurs. Une seule requête HTTP suffit pour prendre le contrôle de n'importe quel compte — une vulnérabilité présente dans la base de code depuis 2014.
Vulnérabilités et menaces
Attendez, binding.gyp peut faire quoi ? Exploration du système de build le plus étrange de npm
Attendez, binding.gyp peut faire quoi ? Exploration du système de build le plus étrange de npm
Plongée approfondie dans binding.gyp, le fichier de build npm souvent négligé qui peut exécuter du code malveillant au moment de l'installation via des expansions de shell, des évasions de sandbox et le détournement de compilateur.
Plongée approfondie dans binding.gyp, le fichier de build npm souvent négligé qui peut exécuter du code malveillant au moment de l'installation via des expansions de shell, des évasions de sandbox et le détournement de compilateur.
Vulnérabilités et menaces
Qu'est-ce que l'AI SAST ?
Qu'est-ce que l'AI SAST ?
L'AI SAST émerge comme une nouvelle catégorie de SAST, mais sa signification est peu claire. Nous clarifions la différence entre le SAST natif IA et le SAST assisté par IA, ainsi que la position de l'AI SAST dans la pile entre le SAST traditionnel et le pentest IA.
L'AI SAST émerge comme une nouvelle catégorie de SAST, mais sa signification est peu claire. Nous clarifions la différence entre le SAST natif IA et le SAST assisté par IA, ainsi que la position de l'AI SAST dans la pile entre le SAST traditionnel et le pentest IA.
Outils et comparaisons DevSec
Les 5 meilleures alternatives à Tenable Nessus en 2026
Les 5 meilleures alternatives à Tenable Nessus en 2026 | Aikido Security
Tenable Nessus est un scanner puissant, mais des outils puissants que personne n'utilise ne rendent pas les logiciels plus sécurisés. Comparez cinq alternatives conçues pour la manière dont les équipes d'ingénierie travaillent réellement.
Tenable Nessus est un puissant scanner d'infrastructure, mais les outils puissants qui restent déconnectés des workflows des développeurs sont des outils que personne n'utilise. Ce guide compare cinq alternatives conçues autour de l'intégration aux workflows des développeurs, de l'étendue de l'AppSec, du coût et de l'expérience de remédiation.
Outils et comparaisons DevSec
Pourquoi l'EDR et les proxys ne vous sauveront pas des malwares de la chaîne d'approvisionnement
Pourquoi l'EDR et les proxys ne vous sauveront pas des malwares de la chaîne d'approvisionnement
L'EDR et les proxys n'ont pas été conçus pour les malwares de la chaîne d'approvisionnement. Lorsque du code malveillant arrive via un `npm install`, cela ressemble à un comportement normal. Voici pourquoi c'est important.
L'EDR et les proxys n'ont pas été conçus pour les malwares de la chaîne d'approvisionnement. Lorsque du code malveillant arrive via un `npm install`, cela ressemble à un comportement normal. Voici pourquoi c'est important.
Actualités
Faites de la place, Mythos. Voici... à peu près n'importe quel autre modèle doté d'un bon harnais.
Faites de la place, Mythos. Voici n'importe quel modèle doté d'un bon harnais.
Mythos présente de réels avantages dans la construction de chaînes d'exploitation. Mais pour la plupart des travaux AppSec, le harnais autour du modèle importe plus que le modèle que vous choisissez.
Mythos présente de réels avantages dans la construction de chaînes d'exploitation. Mais pour la plupart des travaux AppSec, le harnais autour du modèle importe plus que le modèle que vous choisissez.
Actualités
Packages npm de Red Hat compromis pour propager un ver voleur de credentials
Packages npm de Red Hat compromis pour propager un ver voleur de credentials
Plusieurs packages npm officiels @redhat-cloud-services ont été compromis par un ver voleur de credentials dérivé du malware open source Mini Shai-Hulud, ciblant les credentials cloud et les outils de développement à travers les pipelines CI/CD.
Plusieurs packages npm officiels @redhat-cloud-services ont été compromis par un ver voleur de credentials dérivé du malware open source Mini Shai-Hulud, ciblant les credentials cloud et les outils de développement à travers les pipelines CI/CD.
Vulnérabilités et menaces
Présentation de Code Audit : Trouvez les vulnérabilités complexes cachées dans votre code source
Présentation de Code Audit : Trouvez les vulnérabilités complexes cachées dans votre code source
Le SAST détecte les schémas. Code Audit analyse votre code comme le ferait un attaquant, en identifiant les failles logiques qui n'apparaissent qu'après le déploiement.
Les modèles "agentiques" peuvent désormais trouver et enchaîner les failles logiques dans votre code source plus rapidement que n'importe quel attaquant humain. Code Audit se situe entre le SAST et les tests d'intrusion, analyse votre code statique et révèle les vulnérabilités multi-étapes avant leur déploiement.
Actualités produit et entreprise
Ce que le MDM ne peut pas protéger sur les machines de développeurs (et comment y remédier)
Ce que le MDM ne peut pas protéger sur les machines de développeurs
Les outils MDM comme Jamf et Kandji sont essentiels, mais ils ne voient pas les installations npm, les extensions d'IDE ou les outils de codage basés sur l'IA. Voici ce qui est réellement non protégé sur vos machines de développeurs et comment combler cette lacune.
La plupart des équipes de sécurité ont déployé un MDM. Le problème est que les installations npm, les extensions VS Code et les outils de codage basés sur l'IA se déroulent complètement en dehors du champ de vision du MDM. Voici ce qui est réellement non protégé et comment combler cette lacune.
Guides et bonnes pratiques
Meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026
Meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026
Comparez les meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026. Découvrez où Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx et GitLab s'intègrent le mieux.
Comparez les meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026, y compris Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One et GitLab Secret Detection.
Outils et comparaisons DevSec
Une interface utilisateur distante de Codex d'apparence légitime vole secrètement vos jetons d'IA
Une interface utilisateur distante de Codex d'apparence légitime vole secrètement vos jetons d'IA
Une interface utilisateur distante de Codex soignée, le package npm codexui-android, est en développement actif et compte des milliers d'utilisateurs hebdomadaires. Elle a discrètement exfiltré des jetons d'authentification OpenAI au cours du dernier mois.
Une interface utilisateur distante de Codex soignée, le package npm codexui-android, est en développement actif et compte des milliers d'utilisateurs hebdomadaires. Elle a discrètement exfiltré des jetons d'authentification OpenAI au cours du dernier mois.
Vulnérabilités et menaces
Aikido vs XBOW : 58 % de vulnérabilités en plus détectées lors d'un benchmark indépendant
Aikido vs XBOW : 58 % de vulnérabilités en plus détectées lors d'un benchmark indépendant
Aikido et XBOW comparés lors d'un benchmark indépendant par Doyensec. Aikido a détecté 58 % de vulnérabilités en plus pour le même prix. Découvrez le temps de configuration, les taux de faux positifs et les résultats complets.
Nous avons commandité Doyensec pour réaliser un benchmark aveugle et indépendant d'Aikido et XBOW sur les mêmes applications, au même prix. Aikido a détecté 58 % de vulnérabilités vérifiées en plus, et s'est distingué par sa configuration, sa vitesse et sa stabilité.
Actualités
Pourquoi les machines des développeurs sont désormais la cible numéro un des attaques de la chaîne d’approvisionnement
Pourquoi les machines des développeurs sont la cible n°1 des attaques de la chaîne d’approvisionnement | Aikido
Les équipes d'Omnea, Cognism, Glasswall, Raisin et du secteur public britannique révèlent pourquoi les solutions EDR et MDM ne détectent pas ce qui se passe réellement sur les machines des développeurs.
Les équipes d'ingénierie et de sécurité d'Omnea, Cognism, Glasswall et du secteur public britannique ont toutes indépendamment signalé le même angle mort. Voici ce qu'elles font pour y remédier.
Actualités
Une attaque de la supply chain cible les packages Laravel-Lang avec un voleur de credentials
Une attaque de la supply chain cible les packages Laravel-Lang avec un voleur de credentials
Des attaquants ont injecté un voleur de credentials dans plus de 200 versions de packages Laravel-Lang populaires, déployant un logiciel de vol de credentials ciblant les clés cloud, les clés SSH, les navigateurs, les portefeuilles de cryptomonnaies et plus encore.
Des attaquants ont injecté un voleur de credentials dans plus de 200 versions de packages Laravel-Lang populaires, déployant un logiciel de vol de credentials ciblant les clés cloud, les clés SSH, les navigateurs, les portefeuilles de cryptomonnaies et plus encore.
Vulnérabilités et menaces
5 alternatives à Gitleaks et pourquoi elles sont meilleures
5 alternatives à Gitleaks pour une meilleure analyse des secrets en 2026
Vous cherchez une alternative à Gitleaks ? Nous comparons Betterleaks, TruffleHog, Aikido, GitHub Advanced Security et Spectral afin que vous puissiez trouver le meilleur scanner de secrets pour votre équipe.
Gitleaks n'est plus activement développé, et le paysage de l'analyse des secrets a évolué rapidement. Nous comparons les cinq alternatives les plus robustes en 2026, notamment Betterleaks, TruffleHog, Aikido, GitHub Advanced Security et Spectral, afin que vous puissiez trouver la solution adaptée à votre stack.
Outils et comparaisons DevSec
Le Far West des extensions VS Code et comment une extension piégée a compromis GitHub
Le Far West des extensions VS Code et comment une extension piégée a compromis GitHub
Une extension VS Code piégée a compromis GitHub hier, un jour après que Nx Console (2,2 millions d'installations) ait été compromise pendant 18 minutes sur le Visual Studio Marketplace et ait atteint tous les utilisateurs ayant activé la mise à jour automatique.
Vulnérabilités et menaces
GitHub compromis via une extension VS Code malveillante : pourquoi les appareils des développeurs sont la véritable cible
GitHub compromis via une extension VS Code | Attaque de la chaîne d’approvisionnement des développeurs 2026
GitHub a confirmé qu'une extension VS Code empoisonnée avait compromis l'appareil d'un employé, exposant 3 800 dépôts internes. Pourquoi les postes de travail des développeurs sont désormais la principale cible de la chaîne d’approvisionnement.
Vulnérabilités et menaces
Le package durabletask de Microsoft sur PyPi est compromis. Mini Shai Hulud attaque encore... et encore !
Le package durabletask de Microsoft sur PyPi est compromis. Mini Shai Hulud attaque encore... et encore !
Trois versions progressivement compromises d'un package Python lié à Microsoft livrent un infostealer complet qui se propage via AWS et Kubernetes, exfiltre toutes les informations d'identification cloud qu'il peut trouver, et efface les disques sur les systèmes israéliens et iraniens
Vulnérabilités et menaces
Mini Shai-Hulud frappe à nouveau : un ver npm compromet des centaines de packages @antv
Mini Shai-Hulud frappe à nouveau : un ver npm compromet des centaines de packages @antv
Le ver npm Mini Shai-Hulud a frappé les packages @antv d'Alibaba, echarts-for-react et timeago.js. La charge utile dérobe les secrets CI/CD, implante des backdoors dans VS Code et Claude Code, et se propage en republiant des packages compromis. Voici ce qui s'est passé et comment protéger votre équipe.
Le ver de npm Mini Shai-Hulud est de retour avec sa plus grande vague à ce jour, compromettant des centaines de packages à travers l'écosystème de visualisation de données d'Alibaba. Notre équipe de détection de malwares suit plus de 2 700 dépôts GitHub malveillants créés avec des jetons volés, tandis que le ver continue de se propager.
Vulnérabilités et menaces
Tests d'intrusion vs. red teaming : quelle est la différence ?
Tests d'intrusion vs. Red Teaming : quelle est la différence ?
Vous ne savez pas si vous avez besoin d'un pentest ou d'un engagement de red team ? Ce guide détaille les principales différences, quand utiliser chacun, et comment l'IA transforme les deux approches.
Les tests d'intrusion et le red teaming sont deux méthodes pour tester la robustesse de votre sécurité, mais ce ne sont pas la même chose. Cet article explique le fonctionnement de chaque approche, quand privilégier l'une par rapport à l'autre, et comment le pentest IA modifie la donne.
Guides et bonnes pratiques
Les clés API Google continuent de fonctionner après leur suppression
Les clés API Google continuent de fonctionner après leur suppression, suffisamment longtemps pour être exploitées
La suppression d'une clé API Google ne la révoque pas immédiatement. Nos tests ont révélé des authentifications réussies jusqu'à 23 minutes après la suppression, et Google a refusé de corriger ce problème.
La suppression d'une clé API Google ne la révoque pas immédiatement. Nos tests ont révélé des authentifications réussies jusqu'à 23 minutes après la suppression, et Google a refusé de corriger ce problème.
Vulnérabilités et menaces
L'IA fantôme est une réponse à la peur, et l'interdire ne fait qu'empirer les choses.
Pourquoi les risques liés à l'IA fantôme commencent par la peur (et pourquoi les interdire les aggrave)
Les employés n'utilisent pas d'outils d'IA non approuvés pour causer des problèmes. Ils ont peur de prendre du retard. Voici pourquoi interdire l'IA fantôme augmente votre risque de sécurité, et ce qu'il faut faire à la place.
L'IA fantôme est une réponse à la peur. Les employés cachent les outils qu'ils utilisent parce qu'ils interprètent correctement un marché du travail qui exige des compétences en IA. Voici pourquoi l'interdiction aggrave la situation, et ce qu'il faut faire à la place.
Actualités
Mini Shai-Hulud est de retour : un ver npm affecte plus de 160 paquets, dont Mistral et Tanstack
Mini Shai-Hulud est de retour : un ver npm affecte plus de 160 paquets, dont Mistral et Tanstack
Mini Shai-Hulud est de retour, compromettant 169 paquets npm de TanStack, UiPath, Squawk et d'autres, pour voler les secrets des développeurs et des CI/CD, puis se propager via des workflows de publication de confiance.
Vulnérabilités et menaces
La checklist de sécurité complète des GitHub Actions
Liste de contrôle de sécurité pour GitHub Actions
Les mauvaises configurations de GitHub Actions sont à l'origine de certaines des plus grandes attaques de la chaîne d’approvisionnement de 2025 et 2026. Voici ce qui n'a pas fonctionné et comment les empêcher de se produire dans votre organisation.
Les mauvaises configurations de GitHub Actions sont à l'origine de certaines des plus importantes attaques de la chaîne d’approvisionnement de 2025 et 2026. Voici une liste de contrôle pratique pour s'en protéger.
Guides et bonnes pratiques
Meilleurs scanners OWASP en 2026 pour la sécurité des applications web
Meilleurs scanners OWASP en 2026 pour la sécurité des applications web
La plupart des scanners ne couvrent pas l'intégralité du Top 10 OWASP. Nous détaillons les meilleurs scanners OWASP en 2026 afin que vous puissiez en choisir un qui vous assure une couverture complète.
La plupart des scanners OWASP ne couvrent pas l'intégralité du Top 10. Ce guide présente les meilleurs outils en 2026, ce que chacun couvre réellement, et quel scanner offre une couverture complète sans le bruit.
Outils et comparaisons DevSec
Déployer la sécurité des développeurs dans une organisation de plus de 5 000 ingénieurs
Sécurité des développeurs à l'échelle : un guide de déploiement pour CISO
La plupart des déploiements de sécurité des développeurs échouent car ils sont conçus comme des déploiements logiciels, et non comme des changements culturels. Un guide pratique pour les CISO d'entreprise.
La plupart des déploiements de sécurité pour développeurs échouent car ils sont conçus comme des déploiements logiciels, et non comme des changements culturels. Voici le modèle par phases que les CISO expérimentés adoptent pour y remédier.
Guides et bonnes pratiques
Métamorphose de la sécurité : une liste de contrôle d'architecture prête pour Mythos pour les attaques d'IA autonomes
Métamorphose de la sécurité : une liste de contrôle d'architecture prête pour Mythos pour les attaques d'IA autonomes
L'AppSec a stagné face à la complexité moderne. Le projet Glasswing et l'ère Mythos exigent une discipline de sécurité qui opère à la vitesse des menaces auxquelles elle est confrontée.
L'AppSec a stagné face à la complexité moderne. Le projet Glasswing et l'ère Mythos exigent une discipline de sécurité qui opère à la vitesse des menaces auxquelles elle est confrontée.
Guides et bonnes pratiques
Pourquoi les extensions de navigateur représentent un risque de sécurité majeur et comment y remédier
Pourquoi les extensions de navigateur représentent un risque de sécurité majeur et comment y remédier
Les extensions de navigateur comportent de nombreux risques de sécurité, plus que nous ne voulons l'admettre. Nous abordons l'ampleur de cette menace et ce que les particuliers et les organisations peuvent faire pour y remédier.
Guides et bonnes pratiques
Meilleurs scanners de CVE en 2026 pour identifier les vulnérabilités connues
Meilleurs scanners de CVE en 2026 : Comparaison par Couverture, Intelligence et Auto-Correction
Nous avons évalué les meilleurs scanners de CVE en 2026 selon l'étendue de la couverture, les sources d'intelligence, le rapport signal/bruit et la capacité d'auto-correction. Voici comment ils se comparent et lequel convient le mieux à votre stack.
Tous les scanners de CVE ne sont pas conçus de la même manière. Nous avons comparé les meilleures options en 2026 selon l'étendue de la couverture, les sources d'intelligence, le rapport signal/bruit et la capacité d'auto-correction, afin que vous puissiez trouver celui qui convient le mieux à votre stack.
Outils et comparaisons DevSec
Le package populaire PyTorch Lightning compromis par Mini Shai-Hulud
Le package populaire PyTorch Lightning compromis par Mini Shai-Hulud
Un malware a été découvert dans les versions populaires 2.6.2 et 2.6.3 de PyTorch Lightning, dérobant des identifiants, des portefeuilles crypto et des configurations VPN dans le cadre de la campagne Mini Shai-Hulud.
Un malware a été découvert dans les versions populaires 2.6.2 et 2.6.3 de PyTorch Lightning, dérobant des identifiants, des portefeuilles crypto et des configurations VPN dans le cadre de la campagne Mini Shai-Hulud.
Vulnérabilités et menaces
Une checklist sécurité pratique pour CTO pour être prêt pour Mythos
Checklist Mythos-Ready
Une checklist pratique pour les CTOs SaaS naviguant dans un monde avec Mythos et les menaces d'IA agentique. Conçue autour de l'avantage du défenseur : vous disposez d'un contexte que les attaquants doivent s'efforcer d'obtenir. Elle couvre les contrôles, les pratiques et les habitudes opérationnelles qui déterminent si votre équipe trouve et corrige les problèmes avant que quelqu'un d'autre ne le fasse.
Guides et bonnes pratiques
Quelqu'un a publié quatre versions d'un faux package « tanstack » en 27 minutes pour voler vos fichiers .env
Quatre versions publiées d'un faux package « tanstack » mises en ligne en 27 minutes qui veulent voler vos fichiers .env
Un faux package npm « tanstack » a publié aujourd'hui quatre versions malveillantes en 27 minutes, exfiltrant des fichiers .env via un hook postinstall. Voici ce qui s'est passé, qui a été affecté et comment renouveler vos identifiants.
Vulnérabilités et menaces
Aikido s'intègre à AWS Kiro : La détection en revue ne passe plus à l'échelle
Aikido x Kiro | La détection en revue ne passe plus à l'échelle
Les agents IA écrivent votre code. Aikido s'intègre directement au workflow agentique d'AWS Kiro pour maintenir la sécurité dans la boucle, automatiquement, dès la première ligne. Aikido est le premier partenaire de sécurité mondial d'AWS pour Kiro.
Les agents IA écrivent votre code. Aikido s'intègre directement au workflow agentique d'AWS Kiro pour maintenir la sécurité dans la boucle, automatiquement, dès la première ligne. Aikido est le premier partenaire de sécurité mondial d'AWS pour Kiro.
Actualités produit et entreprise
Mini Shai-Hulud cible les packages npm SAP avec un voleur de secrets basé sur Bun
Mini Shai-Hulud cible les packages npm SAP avec un voleur de secrets basé sur Bun
Des packages npm SAP compromis utilisent une charge utile de pré-installation basée sur Bun pour dérober des secrets GitHub, npm, cloud et CI, puis se propagent via GitHub en utilisant OhNoWhatsGoingOnWithGitHub.
Vulnérabilités et menaces
Il est temps de considérer les extensions de navigateur comme des vecteurs d'attaque de la chaîne d'approvisionnement
Il est temps de considérer les extensions de navigateur comme des vecteurs d'attaque de la chaîne d'approvisionnement | Leçons tirées de la brèche Vercel
La brèche Vercel a suivi un schéma bien connu de l'industrie de la sécurité, où le code tiers est implicitement approuvé, puis compromis en amont. Nous disposons d'un cadre pour cela. Nous ne l'avons simplement pas encore appliqué aux extensions de navigateur. (Spoiler : Nous le faisons pour les dépendances logicielles)
La brèche Vercel a suivi un schéma bien connu de l'industrie de la sécurité, où le code tiers est implicitement approuvé, puis compromis en amont. Nous disposons d'un cadre pour cela. Nous ne l'avons simplement pas encore appliqué aux extensions de navigateur. (Spoiler : Nous le faisons pour les dépendances logicielles)
Vulnérabilités et menaces
Shai-Hulud est-il de retour ? Le CLI Bitwarden compromis contient un ver npm auto-propageant
Shai-Hulud est-il de retour ? Le CLI Bitwarden compromis contient un ver npm auto-propageant
Un malware découvert dans @bitwarden/cli v2026.4.0 dérobe les clés SSH, les secrets cloud et les identifiants d'outils de codage IA, puis se propage via les propres packages npm des victimes. À l'intérieur : un ver se nommant « Shai-Hulud : The Third Coming. »
Un malware découvert dans @bitwarden/cli v2026.4.0 dérobe les clés SSH, les secrets cloud et les identifiants d'outils de codage IA, puis se propage via les propres packages npm des victimes. À l'intérieur : un ver se nommant « Shai-Hulud : The Third Coming. »
Vulnérabilités et menaces
Une backdoor GPT-Proxy dans npm et PyPI transforme les serveurs en relais LLM chinois
Une backdoor GPT-Proxy dans npm et PyPI transforme les serveurs en relais LLM chinois
Une campagne de malwares npm et PyPI récemment découverte installe des proxys LLM cachés sur les serveurs compromis, les transformant en nœuds relais pour le trafic LLM.
Une campagne de malwares npm et PyPI récemment découverte installe des proxys LLM cachés sur les serveurs compromis, les transformant en nœuds relais pour le trafic LLM.
Vulnérabilités et menaces
XSS Roundcube enchaînée avec du cookie tossing pour un accès complet à la boîte de réception
XSS Roundcube enchaînée avec du cookie tossing pour un accès complet à la boîte de réception
Nous avons découvert une XSS stockée dans le point d'accès des pièces jointes de brouillon de Roundcube qui, enchaînée à une technique de cookie tossing, donne à un attaquant un accès complet à la boîte de réception d'une victime. Voici comment la chaîne d'exploitation fonctionne et comment elle a été corrigée.
Nous avons découvert une XSS stockée dans le point d'accès des pièces jointes de brouillon de Roundcube qui, enchaînée à une technique de cookie tossing, donne à un attaquant un accès complet à la boîte de réception d'une victime. Voici comment la chaîne d'exploitation fonctionne et comment elle a été corrigée.
Vulnérabilités et menaces
Présentation de la protection des appareils : Sécurité pour les appareils des développeurs
Aikido Device Protection : Sécurité pour les appareils des développeurs | Aikido
Les attaques de la chaîne d’approvisionnement ciblent les appareils des développeurs. Aikido Device Protection surveille chaque installation sur npm, PyPI, les extensions VS Code, les extensions de navigateur et les outils d'IA.
Actualités produit et entreprise
Multiples vulnérabilités de cross-site scripting (XSS) dans Mailcow
Multiples vulnérabilités XSS découvertes dans Mailcow, y compris une prise de contrôle de compte non authentifiée
L'agent de pentest IA d'Aikido a découvert trois vulnérabilités XSS dans Mailcow, dont l'une permettait à des attaquants non authentifiés de prendre le contrôle de comptes administrateur. Tous les problèmes ont été corrigés à partir de la version 2026-03b.
Les agents de pentest IA d'Aikido ont découvert trois vulnérabilités XSS dans Mailcow, un serveur de messagerie auto-hébergé largement utilisé. La plus sévère permettait à des attaquants non authentifiés d'injecter une charge utile dans les logs Autodiscover qui s'exécuterait lorsqu'un administrateur les consulterait, permettant une prise de contrôle complète du compte. Les trois ont été corrigées depuis la version 2026-03b.
Vulnérabilités et menaces
Sources CVE fiables à l'ère des réductions du NIST NVD
Changements du NIST NVD en 2026 : ce que les équipes de sécurité doivent savoir
Le NIST n'enrichira plus la plupart des CVE. Voici ce qui change, ce qui ne fonctionne plus et ce qui va suivre.
Actualités
Un an d'Opengrep : ce que nous avons construit et la suite
Opengrep SAST après un an : une analyse statique plus rapide et déterministe
Un an après avoir forké Semgrep, Opengrep est plus rapide, prend en charge une analyse de taint plus approfondie et produit des résultats cohérents et reproductibles.
Un an après avoir forké Semgrep, Opengrep est plus rapide, plus performant et entièrement open source. Voici ce que nous avons construit et la suite.
Actualités produit et entreprise
Axios CVE-2026-40175 : une faille critique… non exploitable
Axios CVE-2026-40175 : une faille critique… non exploitable
Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.
Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.
Vulnérabilités et menaces
Le bug bounty n'est pas mort, mais l'ancien modèle est en train de s'effondrer
Le bug bounty n'est pas mort, mais l'ancien modèle est en train de s'effondrer
Le bug bounty atteint un point de rupture alors que l'IA submerge les programmes, poussant à une transition vers des modèles de sécurité plus durables et axés sur la qualité.
Le bug bounty atteint un point de rupture alors que l'IA submerge les programmes, poussant à une transition vers des modèles de sécurité plus durables et axés sur la qualité.
Technique
GlassWorm passe au natif : Un nouveau dropper Zig infecte tous les IDE de votre machine
GlassWorm passe au natif : Un nouveau dropper Zig infecte tous les IDE de votre machine
GlassWorm déploie un dropper natif basé sur Zig, dissimulé dans une fausse extension, compromettant silencieusement VS Code, Cursor, VSCodium et d'autres IDE.
GlassWorm déploie un dropper natif basé sur Zig, dissimulé dans une fausse extension, compromettant silencieusement VS Code, Cursor, VSCodium et d'autres IDE.
Vulnérabilités et menaces
Aikido Attack découvre plusieurs 0-days dans Hoppscotch
Aikido Attack découvre des 0-Days dans Hoppscotch
Les agents de pentest IA d'Aikido ont découvert plusieurs vulnérabilités de gravité élevée dans Hoppscotch, notamment des prises de contrôle de compte, des XSS stockées et des failles de contrôle d'accès. Tous les problèmes sont désormais corrigés.
Aikido Attack a identifié trois vulnérabilités de gravité élevée dans Hoppscotch : une redirection ouverte menant à une prise de contrôle de compte, une XSS stockée et un contrôle d’accès défaillant permettant l'injection de requêtes inter-équipes.
Vulnérabilités et menaces
Le catastrophisme en cybersécurité autour de Mythos ne correspond pas à ce que nous observons sur le terrain
Risques de cybersécurité du modèle Mythos d'Anthropic : Ce que 1 000 pentests basés sur l'IA révèlent réellement
Le modèle Mythos d'Anthropic, qui a fuité, a déclenché une panique concernant les cyberattaques alimentées par l'IA. Nous avons effectué 1 000 tests d'intrusion basés sur l'IA. Les résultats suggèrent que la menace est plus nuancée que ce que les gros titres affirment.
Actualités
axios compromis sur npm : compte du mainteneur piraté, RAT déployé
axios compromis sur npm : compte du mainteneur piraté, RAT déployé
Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées via un compte de mainteneur piraté. Une dépendance cachée déploie un RAT multiplateforme. Vérifiez si vous êtes affecté et corrigez la situation dès maintenant.
Axios a été compromis. Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées sur npm après le piratage du compte du mainteneur principal. La dépendance injectée déploie un RAT multiplateforme qui s'autodétruit après exécution.
Vulnérabilités et menaces
Le package populaire telnyx sur PyPI compromis par TeamPCP
Le package populaire telnyx sur PyPI compromis par TeamPCP
Le populaire package telnyx sur PyPI, utilisé par de grandes entreprises d'IA, a été compromis par TeamPCP.
Le populaire package telnyx sur PyPI, utilisé par de grandes entreprises d'IA, a été compromis par TeamPCP.
Vulnérabilités et menaces
Aikido × Lovable : Vibe, Fix, Ship
Lovable s'associe à Aikido pour intégrer le pentesting aux applications « vibe-coded »
Lovable et Aikido intègrent le pentesting à la plateforme, permettant aux développeurs de simuler des attaques réelles et de corriger les problèmes avant le déploiement.
Aikido intègre le pentesting directement dans Lovable. Testez votre application en simulant des attaques réelles et corrigez les problèmes avant de la déployer.
Actualités produit et entreprise
CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran
CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran
CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran
CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran
Vulnérabilités et menaces
TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy
TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy
TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy
TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy
Vulnérabilités et menaces
Aikido reconnu par Frost & Sullivan avec le prix 2026 Customer Value Leadership Award dans la catégorie ASPM
Aikido reconnu par Frost & Sullivan avec le prix 2026 Customer Value Leadership Award dans la catégorie ASPM
Frost & Sullivan a décerné à Aikido le Prix du leadership en valeur client 2026 en ASPM. Nous analysons ce que les critères de reconnaissance révèlent sur la maturation du marché de l'AppSec
Frost & Sullivan a décerné à Aikido le Prix du leadership en valeur client 2026 en ASPM. Nous analysons ce que les critères de reconnaissance révèlent sur la maturation du marché de l'AppSec
Actualités
Merci ! Votre soumission a été reçue !
Oups ! Une erreur est survenue lors de la soumission du formulaire.
10 octobre 2024
« • »
Cas clients

La sécurité en FinTech : questions-réponses avec Dan Kindler, co-fondateur et CTO de Bound

Tags/

#cas d'utilisation

#fintech

11 septembre 2024
« • »
Actualités produit et entreprise

Automatisez la conformité avec SprintoGRC x Aikido

Automatisez la conformité avec Aikido et SprintoGRC. Mettez en place l'intégration dès aujourd'hui pour automatiser la gestion technique des vulnérabilités.

Tags/

#Conformité

#SOC 2

10 septembre 2024
« • »
Guides et bonnes pratiques

Code review manuel vs. automatisé : Quand utiliser chacun

Tags/

#AppSec

#Qualité du code

2 septembre 2024
« • »
Guides et bonnes pratiques

SAST vs DAST : Ce qu'il faut savoir en 2026

Ce que vous devez savoir sur le SAST vs le DAST.

Tags/

#SAST

#DAST

8 juillet 2024
« • »
Actualités produit et entreprise

Pourquoi nous sommes ravis de nous associer à Laravel

TL;DR Laravel aide les développeurs PHP à créer leur meilleur travail, et Aikido aide désormais à le sécuriser. Découvrez comment devenir le fournisseur AppSec préféré de Laravel.

Tags/

#AppSec

27 juin 2024
« • »
Vulnérabilités et menaces

110 000 sites affectés par l'attaque de la chaîne d'approvisionnement Polyfill

Une attaque critique sur la chaîne d'approvisionnement a compromis plus de 110 000 sites web via cdn.polyfill.io – supprimez-le immédiatement pour protéger les données des utilisateurs et l'intégrité de l'application.

Tags/

#Vulnérabilités

25 juin 2024
« • »
Guides et bonnes pratiques

L'essentiel de la cybersécurité pour les entreprises LegalTech

Les entreprises LegalTech traitent de vastes quantités de données clients sensibles, rendant les frameworks de cybersécurité robustes essentiels. Des experts d'Aikido Security, Amberlo et Henchman soulignent la nécessité de pratiques de codage sécurisées, de la conformité aux normes industrielles comme ISO 27001 et SOC 2, et d'une surveillance continue via des méthodes innovantes telles que les programmes de bug bounty. À mesure que les cybermenaces évoluent, les stratégies de protection des données juridiques précieuses doivent également évoluer.

Tags/

#DevSecOps

#Legaltech

18 juin 2024
« • »
Actualités produit et entreprise

Intégration Drata - Comment automatiser la gestion des vulnérabilités techniques

Comment devenir conforme sans imposer une lourde charge de travail à votre équipe de développement : L'intégration Aikido et Drata automatise la gestion technique des vulnérabilités. Vous serez mieux préparé pour SOC 2 et ISO 27001:2022 tout en réduisant les faux positifs et en économisant du temps et de l'argent.

Tags/

#AppSec

#Vulnérabilités

11 juin 2024
« • »
Guides et bonnes pratiques

Guide DIY : « Construire ou acheter » votre boîte à outils de scan de code OSS et de sécurité des applications

Oui, vous pouvez améliorer la posture de sécurité de votre application en combinant du code open-source et des outils d'analyse de conteneurs, si vous êtes en mesure de gérer l'infrastructure.

Tags/

#Vulnérabilités

#open-source

#AppSec

4 juin 2024
« • »
Conformité

Certification SOC 2 : 5 choses que nous avons apprises

Ce que nous avons appris sur SOC 2 lors de notre audit. ISO 27001 vs SOC 2, pourquoi le Type 2 est pertinent, et comment la certification SOC 2 est essentielle pour les clients américains.

Tags/

#Conformité

#SOC 2

28 mai 2024
« • »
Guides et bonnes pratiques

Top 10 des problèmes de sécurité des applications et comment vous protéger

En tant que développeur, vous n'avez pas le temps pour une sécurité applicative parfaite. Voici le TL;DR sur les plus grands problèmes, si vous êtes à risque et comment les résoudre.

Tags/

#AppSec

2 mai 2024
« • »
Actualités produit et entreprise

Nous venons de lever notre série A de 17 millions de dollars

Nous avons levé 17 millions de dollars pour apporter une sécurité « sans fioritures » aux développeurs. Nous sommes heureux d'accueillir Henri Tilloy de Singular.vc à bord, qui est à nouveau rejoint par Notion Capital et Connect Ventures. Ce tour de table intervient seulement 6 mois après que nous ayons levé 5,3 millions de dollars en financement d'amorçage. C'est rapide.

Tags/

#AppSec

#DevSecOps

Actualités produit et entreprise
Voir tout
14 juillet 2026
« • »
Actualités produit et entreprise

Comment Aikido Intel détecte en premier les malwares et les vulnérabilités

Aikido Intel est un flux en temps réel qui détecte les malwares et les vulnérabilités non divulguées dans les écosystèmes open source, souvent dans les 8 minutes suivant leur publication.

#
Intel
#
Aikido Device Protection
#
SCA
30 juin 2026
« • »
Actualités produit et entreprise

Aikido acquiert Root pour sécuriser la chaîne d'approvisionnement

Aikido a acquis Root pour sécuriser la chaîne d'approvisionnement logicielle, en corrigeant les vulnérabilités open source dans la version que vous utilisez déjà, sans nécessiter de mise à niveau. Les correctifs critiques sont reversés gratuitement à la communauté.

#
Analyse de conteneurs
12 mai 2026
« • »
Actualités produit et entreprise

Un an d'Opengrep : ce que nous avons construit et la suite

Un an après avoir forké Semgrep, Opengrep est plus rapide, prend en charge une analyse de taint plus approfondie et produit des résultats cohérents et reproductibles.

#
SAST
#
open source
Vulnérabilités et menaces
Voir tout
31 juillet 2026
« • »
Vulnérabilités et menaces

Le rêve fiévreux d'Anthropic : le paquet de Claude qui a volé de vraies clés

Anthropic a révélé qu'un agent avait poussé de vrais malwares sur PyPI. Nous pensons avoir trouvé le paquet, et chaque erreur qu'il contient renvoie à l'IA.

#
IA
#
Sécurité de l'IA
#
Malware
19 juillet 2026
« • »
Vulnérabilités et menaces

SleeperGem : une attaque de la chaîne d'approvisionnement RubyGems cible des comptes de mainteneurs dormants

SleeperGem : deux comptes de mainteneurs RubyGems dormants ont été piratés pour injecter des malwares dans des gems de confiance, l'un d'eux comptant plus de 500 000 téléchargements au total

#
Malware
14 juillet 2026
« • »
Vulnérabilités et menaces

Packages npm AsyncAPI compromis via GitHub Actions

Cinq versions de packages, incluant des spécifications totalisant environ 2 millions de téléchargements hebdomadaires, ont livré un dropper obfusqué le 14/07/2026. Voici ce que nous avons confirmé jusqu'à présent.

#
Malware
Outils et comparaisons DevSec
Voir tout
12 juin 2026
« • »
Outils et comparaisons DevSec

5 alternatives de sécurité à Socket et pourquoi elles sont meilleures

Socket s'est fait un nom grâce à la détection de malwares. Mais la vitesse de détection seule ne suffit plus. Voici comment Aikido et quatre autres alternatives se comparent en matière de sécurité de la chaîne d'approvisionnement, d'analyse d'accessibilité, de licences, et plus encore.

#
Aikido Zen
#
Malware
#
open source
19 août 2025
« • »
Outils et comparaisons DevSec

Les 13 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026

Découvrez les 13 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026. Comparez les fonctionnalités, avantages, inconvénients et intégrations pour choisir la bonne solution DAST.

#
Outils
#
DAST
18 juillet 2025
« • »
Outils et comparaisons DevSec

Top 14 des outils d'analyse de conteneurs en 2026

Découvrez les 14 meilleurs outils d'analyse de conteneurs en 2026. Comparez les fonctionnalités, les avantages, les inconvénients et les intégrations pour choisir la bonne solution pour votre pipeline DevSecOps.

#
Outils
#
Analyse de conteneurs
Guides et bonnes pratiques
Voir tout
9 juillet 2026
« • »
Guides et bonnes pratiques

Guide d'achat du pentest IA : Comment évaluer les fournisseurs de pentest IA

Découvrez comment évaluer les fournisseurs de pentest IA grâce à des critères d'achat pratiques, des recherches issues de plus de 1 000 pentests IA, et une liste de contrôle d'évaluation téléchargeable.

#
Tests d'intrusion IA
30 avril 2026
« • »
Guides et bonnes pratiques

Une checklist sécurité pratique pour CTO pour être prêt pour Mythos

Une checklist pratique pour les CTOs SaaS naviguant dans un monde avec Mythos et les menaces d'IA agentique. Conçue autour de l'avantage du défenseur : vous disposez d'un contexte que les attaquants doivent s'efforcer d'obtenir. Elle couvre les contrôles, les pratiques et les habitudes opérationnelles qui déterminent si votre équipe trouve et corrige les problèmes avant que quelqu'un d'autre ne le fasse.

#
IA
#
Logiciel auto-sécurisant
#
Annonces
19 mars 2026
« • »
Guides et bonnes pratiques

Les tests de sécurité valident un logiciel qui n'existe plus

Les équipes modernes déploient plus vite que le pentesting ne peut suivre. Découvrez l'écart de vitesse croissant dans les tests de sécurité et pourquoi les approches traditionnelles sont à la traîne.

#
Tests d'intrusion IA
#
Pentest continu
#
Pentesting

Sécurisez votre environnement dès maintenant.

Sécurisez votre code, votre cloud et votre environnement d’exécution dans un système centralisé unique.
Détectez et corrigez les vulnérabilités rapidement et automatiquement.

Lancer l’analyse
Planifiez une démo
Aucune carte de crédit requise | Résultats en 32 secondes.