Bienvenue sur notre blog.

Le cauchemar d'Anthropic : le colis de Claude qui a volé de vraies clés

Le cauchemar d'Anthropic : le paquet « anthropickit » de Claude qui a volé de vraies clés

Anthropic a révélé l'existence d'un agent qui a introduit un véritable logiciel malveillant sur PyPI. Nous pensons avoir identifié le paquet concerné, et chaque erreur qu'il contient semble pointer vers l'IA.

Astra Security meilleures Astra Security pour pentest automatisé 2026

Les meilleures alternatives à Astra Pentest pour les tests de sécurité | Aikido

Comparez Astra Security pour pentest IA 2026 en fonction de la profondeur des tests, des tests en boîte blanche, des résultats en matière de conformité et de l'étendue de la plateforme

Quatre décisions prises dans le cadre de la gestion de l'incident lié à la violation de données chez Hugging Face

Quatre enseignements à tirer de la violation de données subie par Hugging Face en matière de gestion des incidents

Reconnaissance, identifiants volés, C2 caché et « rebuild-or-patch ». Quatre décisions prises lors de la faille de Hugging Face qui montrent s'il est possible de détecter une attaque en cours.

SAST meilleurs SAST en 2026

SAST meilleurs SAST en 2026 : Aikido, Snyk, Semgrep bien d'autres encore

Comparez les meilleurs SAST de 2026 en fonction de la profondeur de détection, du bruit, des mesures correctives et de l'adéquation aux besoins de l'entreprise

Comparez les meilleurs SAST de 2026 en fonction de la profondeur de détection, du bruit, des mesures correctives et de leur adéquation avec les besoins de l'entreprise.

Les meilleurs outils de sécurité basés sur les modèles de langage (LLM) pour protéger les applications d'IA

Les meilleurs outils de sécurité basés sur le LLM en 2026 | Aikido

Comparez les meilleurs outils de sécurité LLM pour les applications d'IA, notamment Aikido, Snyk, Semgrep, Endor Labs et Wiz, tant au niveau du code que de la chaîne d'approvisionnement et de l'exécution.

Acunetix meilleures Acunetix pour l'analyse automatisée des vulnérabilités

Acunetix meilleures Acunetix pour l'analyse des vulnérabilités | Aikido

Vous recherchez Acunetix ? Son DAST des vérifications basées sur des règles, mais il ne permet pas d'analyser la logique métier ni de réaliser des tests d'intrusion de niveau audit. Voici cinq options qui vont plus loin.

Vous recherchez Acunetix ? Son DAST les vérifications standard, mais il ne permet pas d'analyser la logique métier ni de réaliser des tests d'intrusion de niveau audit. Voici cinq options qui vont plus loin.

Pour améliorer détection de secrets générique détection de secrets par identifier ce qui n'est pas un secret

Certaines clés API sont censées être publiques. Betterleaks les exclut désormais des résultats génériques relatifs aux secrets, ce qui permet d'éliminer des milliers de faux positifs par analyse.

L'injection SQL n'est pas morte

Les injections SQL (et « Little Bobby Tables ») ne sont pas révolues

La solution au problème d'injection SQL existe depuis des décennies et fonctionne toujours. Alors pourquoi le cœur de WordPress vient-il de nécessiter un correctif d'urgence à ce sujet ? Les données, et comment s'en protéger.

Le responsable de la sécurité informatique de Tyro : « Être l’« Einstein de la cybersécurité » ne suffit pas si les développeurs ne vous font pas confiance »

Même l’« Einstein » de la cybersécurité a encore besoin de la confiance des développeurs

Arun Singh, CISO chez Tyro, évoque la confiance des développeurs comme une ressource limitée, et ce qui se passe lorsque attaques de la chaîne d’approvisionnement les équipes à y puiser

Ce que les développeurs doivent savoir sur le DSPM et l'exposition des données dans le code

Le DSPM traditionnel identifie où se trouvent les données sensibles. Le DSPM basé sur le code détermine comment celles-ci sont exposées et indique la correction à apporter dans votre code.

Le piège de la mise à jour : quand la mise à jour n'est pas la bonne solution face à une vulnérabilité CVE

Pourquoi la mise à jour visant à corriger une vulnérabilité CVE aggrave souvent la situation | Aikido

Effectuer une mise à jour pour corriger une vulnérabilité CVE semble simple. Mais la version corrigée entraîne souvent des dysfonctionnements dans votre application, n'est pas encore disponible ou n'existe tout simplement pas. Voici pourquoi, et ce qui fonctionne réellement.

SleeperGem : une attaque visant la chaîne d'approvisionnement de RubyGems cible les comptes de responsables de maintenance inactifs

SleeperGem : deux comptes de responsables de RubyGems inactifs ont été piratés afin d'injecter des logiciels malveillants dans des gemmes de confiance, dont l'une comptait plus de 500 000 téléchargements au total

Vulnérabilité RCE sans authentification dans le cœur de WordPress (wp2shell), via une injection SQL

Vulnérabilité RCE sans authentification dans le cœur de WordPress (wp2shell), via une injection SQL. Appliquez le correctif dès maintenant !

Le cœur de WordPress présente une vulnérabilité RCE (wp2shell) sans authentification, confirmée comme étant une injection SQL. Passez dès maintenant à la version 7.0.2 ou 6.9.5 ; si vous ne pouvez pas encore appliquer le correctif, mettez en place des mesures d'atténuation. Bloquez la classe d'attaque lors de l'exécution à l'aide Aikido .

Pentera meilleures Pentera pour les tests d'intrusion automatisés

Pentera meilleures Pentera pour pentest automatisé Aikido

Comparez les meilleures Pentera pour pentest automatisé 2026. Découvrez dans quels cas Aikido , XBOW, Horizon3, Hadrian, RunSybil, Terra et Astra sont les plus adaptés.

Évaluation comparative de 13 modèles d'IA pour la redécouverte de vulnérabilités CVE connues

Évaluation comparative de 13 modèles d'IA pour la détection de vulnérabilités CVE connues

Nous avons testé 13 modèles d'IA sur 26 vulnérabilités CVE connues afin de déterminer lequel détectait le plus grand nombre de failles — et si le modèle le plus onéreux en valait vraiment la peine.

Nous avons testé 13 modèles d'IA pour détecter 26 vulnérabilités CVE connues. C'est GPT-5.6 qui en a détecté le plus, mais le modèle le plus cher ne s'est pas avéré être le meilleur rapport qualité-prix.

Technique

La liste de contrôle pratique pour se prémunir contre attaques de la chaîne d’approvisionnement

attaques de la chaîne d’approvisionnement de contrôle pratique attaques de la chaîne d’approvisionnement | Aikido

Trente mesures de défense prioritaires contre la récente vague attaques de la chaîne d’approvisionnement informatiques attaques de la chaîne d’approvisionnement. Classées par niveau de gravité : critique, élevé ou moyen.

Des paquets npm d'AsyncAPI ont été compromis via GitHub Actions

Cinq versions du logiciel, dont certaines sont téléchargées à raison d'environ 2 millions de fois par semaine, ont diffusé un dropper obfusqué le 14 juillet 2026. Voici ce que nous avons pu confirmer à ce jour.

Comment Aikido détecte en premier lieu les logiciels malveillants et les vulnérabilités

Aikido est un flux d'informations en temps réel qui détecte les logiciels malveillants et les vulnérabilités non divulguées au sein des écosystèmes open source, souvent dans les 8 minutes suivant leur apparition.

Aikido est un flux d'informations en temps réel sur la chaîne logistique qui détecte rapidement les logiciels malveillants et les vulnérabilités non divulguées au sein des écosystèmes open source.

Détection de huit failles de sécurité à haut niveau de gravité dans NodeBB en six heures

Huit vulnérabilités NodeBB à haut niveau de gravité, détectées par notre test d'intrusion basé sur l'IA en six heures. Analyse technique complète des chaînes XSS, des contournements d'authentification et des détournements de publications.

Qu'est-ce qu'un pare-feu de dépendance ?

Qu'est-ce qu'un pare-feu de dépendances ? | Aikido

Un pare-feu de dépendances bloque les paquets open source malveillants avant leur installation. Découvrez comment ils fonctionnent et comment Aikido Chain bloque attaques de la chaîne d’approvisionnement.

Comment respecter les normes de qualité du code avec le « code IA » et le « vibe coding »

Le codage Vibe permet de livrer rapidement les fonctionnalités tout en éliminant la dette de révision. Découvrez comment les contrôles de qualité du code, basés sur des critères de référence et effectués règle par règle, fournissent aux équipes une réponse cohérente pour l'ensemble des pull requests et des dépôts.

Le SDK @injectivelabs/sdk-ts, compromis, exfiltre les clés de portefeuille via de fausses données de télémétrie

Une version malveillante de @injectivelabs/sdk-ts dissimulait un programme de vol de clés de portefeuille dans du code présenté comme de la télémétrie d'utilisation, avant de le propager dans 17 autres paquets npm. Voici comment cela fonctionnait et comment vérifier vos projets.

Guide pentest IA : comment évaluer pentest IA

Guide pentest IA | Évaluer pentest IA

Découvrez comment évaluer pentest IA grâce à des critères d'achat concrets, à une étude portant sur plus de 1 000 tests d'intrusion basés sur l'IA et à une liste de contrôle téléchargeable.

Découvrez comment évaluer pentest IA grâce à des critères d'achat concrets, à une étude portant sur plus de 1 000 tests d'intrusion basés sur l'IA et à une liste de contrôle d'évaluation.

Burp Suite meilleures Burp Suite pour les tests de sécurité des applications web

Burp Suite meilleures Burp Suite pour les tests de sécurité des applications web | Aikido

Comparez les meilleures Burp Suite pour les tests d'acceptation de pentest IA( DAST pentest IA, notamment Aikido, Caido, ZAP et Invicti.

Chainguard meilleures Chainguard en 2026

Chainguard meilleures Chainguard en 2026 | Aikido

Comparatif des meilleures Chainguard en 2026, Aikido aux images Docker Hardened, en passant par Minimus, RapidFort et Echo.

Comparaison Chainguard pour les images de conteneurs sécurisées et la correction des vulnérabilités CVE sans migration forcée.

Les meilleures soirées, événements parallèles et rencontres sur la sécurité du Black Hat USA 2026

Un guide sélectionné avec soin des soirées, happy hours, dîners de RSSI et rencontres sur la sécurité organisés dans le cadre du Black Hat USA 2026 à Las Vegas, notamment l’« Omega Mart After Hours » Aikidoen collaboration avec AWS et Tailscale.

Prédiction en continu de l'ObjectId de MongoDB dans Rocket.Chat

Le testeur d'intrusion IA Aikido a découvert cette faille d'accès aux fichiers dans Rocket.Chat. Une analyse plus approfondie de l'ObjectId de MongoDB a révélé que son caractère aléatoire insuffisant rendait cette faille exploitable.

Le testeur d'intrusion IA Aikido a découvert cette faille d'accès aux fichiers dans Rocket.Chat. Une analyse plus approfondie de la fonction ObjectId() de MongoDB a révélé que son aléatoire insuffisant rendait cette faille exploitable.

Contournement de l'authentification dans la configuration par défaut de phpBB

Nos agents de tests d'intrusion basés sur l'IA ont découvert une faille critique permettant de contourner l'authentification sur phpBB (CVE-2026-48611) : une simple requête non authentifiée permet de se connecter à n'importe quel compte. Découvrez l'exploit et le correctif.

Aikido Root pour sécuriser sa chaîne d'approvisionnement

Aikido racheté Root afin de sécuriser la chaîne d'approvisionnement logicielle, en corrigeant les vulnérabilités open source de la version que vous utilisez déjà, sans qu'aucune mise à jour ne soit nécessaire. Les correctifs critiques sont mis à la disposition de la communauté, gratuitement.

Et encore une autre. GitHub propose une fonctionnalité de révocation d'urgence des identifiants

GitHub met en place un mécanisme d'urgence pour la révocation des identifiants

La fonction de révocation des identifiants « Break-glass » est désormais disponible sur GitHub Enterprise. Les exemples de tâches récurrentes Trivy Microsoft illustrent pourquoi une révocation rapide et complète était nécessaire.

GitHub Enterprise permet désormais de révoquer d'un seul coup tous les identifiants d'un compte. Trivy et la faille « durabletask » découverte chez Microsoft montrent bien pourquoi cette fonctionnalité était attendue depuis longtemps.

npm gèle désormais les comptes à fort impact après des modifications de compte risquées

Un aperçu du nouveau gel de compte de 72 heures de npm : ce qui le déclenche, ce qu'il bloque et comment il fonctionne en parallèle avec la publication fiable et étagée.

Les meilleures alternatives à Koi en 2026

Les meilleures alternatives à Koi Security en 2026 | Aikido

Vous cherchez une alternative à Koi Security après l'acquisition par Palo Alto ? Comparez les concurrents sur la protection des appareils, l'étendue de la plateforme et les tarifs.

Action GitHub compromise codfish/semantic-release-action dérobe les secrets CI/CD

codfish/semantic-release-action a été compromise le 24 juin 2026. Les attaquants ont redirigé les tags v2–v5 vers une charge utile Miasma de vol d'identifiants ciblant les secrets CI/CD. Voici ce qui s'est passé et comment vérifier si vous êtes concerné.

Tout le monde déploie du code qu'il ne peut pas lire

Avec l'IA, tout le monde est désormais développeur, et beaucoup de code est déployé sans une révision minutieuse par des experts.

Aikido x Drydock | Un moyen pour les mainteneurs de détecter les malwares avant leur publication

Aikido s'associe à Drydock pour proposer un examen des malwares avant publication pour npm et PyPI

Aikido s'associe à Drydock pour proposer un examen des packages avant publication pour npm et PyPI. Voyez exactement ce qui se trouve dans une version avant sa publication, les malwares étant détectés avant le premier téléchargement.

Aikido s'associe à Drydock afin que les mainteneurs npm et PyPI puissent voir exactement ce qui se trouve dans une version avant sa mise en ligne. Détectez les malwares avant leur publication, pas après.

Packagist est désormais protégé par Aikido Intel et d'autres mises à jour du registre PHP

Le flux de malwares d'Aikido bloque désormais par défaut les versions de packages malveillantes dans Composer. Un aperçu de la manière dont Packagist élimine des catégories entières d'attaques de la chaîne d’approvisionnement.

Le flux de détection de logiciels malveillants Aikido bloque désormais par défaut les versions de paquets signalées dans Composer, pour tous les utilisateurs effectuant des installations depuis Packagist.org, sans qu'aucune configuration ne soit nécessaire. Au cours de l'année écoulée, Packagist et Composer ont éliminé des catégories entières d'attaques de la chaîne d'approvisionnement au niveau du registre. Voici les mesures qu'ils ont mises en place, et pourquoi tous les registres devraient fonctionner de cette manière.

Aikido x OWASP : 200 crédits gratuits pour les membres individuels

Aikido et OWASP : 200 crédits gratuits pour les membres

Les membres individuels d'OWASP obtiennent 200 crédits Aikido gratuits pour exécuter un Code Audit. Voici qui est éligible et comment réclamer les vôtres en deux étapes.

Les membres individuels de l'OWASP bénéficient de 200 crédits Aikido gratuits pour exécuter l'audit de code. Voici comment les réclamer en deux étapes.

Aikido

Plus de 140 packages npm Mastra populaires affectés par une attaque de la chaîne d'approvisionnement

141 packages npm Mastra ont été compromis lors d'une attaque de la chaîne d'approvisionnement qui a injecté une dépendance malveillante pour télécharger et exécuter silencieusement une charge utile au moment de l'installation.

Plusieurs plugins d'IDE JetBrains détectés en train de voler des clés d'API d'IA.

Une campagne coordonnée d'au moins 15 plugins d'IDE JetBrains, publiés sous sept comptes de fournisseurs, exfiltre la clé d'API de fournisseur d'IA que vous collez dans leurs paramètres.

Full Fathom Five : Le contexte de la publication publique de classe Mythos d'Anthropic

Full Fathom Five : Ce que signifie la publication publique de classe Mythos d'Anthropic

Vous n'avez jamais eu besoin de Mythos pour trouver vos IDORs et vos failles de logique métier. Un aperçu de ce qu'Anthropic a livré avec Fable 5, et pourquoi la sécurité de l'information reste fondamentalement un problème humain.

5 alternatives de sécurité à Socket et pourquoi elles sont meilleures

Socket s'est fait un nom grâce à la détection de malwares. Mais la vitesse de détection seule ne suffit plus. Voici comment Aikido et quatre autres alternatives se comparent en matière de sécurité de la chaîne d'approvisionnement, d'analyse d'accessibilité, de licences, et plus encore.

npm v12 apporte l'une des plus grandes améliorations de sécurité depuis des années

npm v12 rend les scripts d'installation opt-in par défaut, fermant ainsi le chemin d'exécution au moment de l'installation, après une année de vers de la chaîne d'approvisionnement npm, de Nx à Red Hat.

Aikido x Docker : moins de bruit, plus de signal dans vos conteneurs

Aikido prend en charge les images Docker Hardened avec VEX

Aikido prend désormais en charge les images Docker Hardened avec une intégration VEX native, aidant les équipes à réduire le bruit des CVE et à se concentrer sur les vulnérabilités des conteneurs qui nécessitent réellement une attention.

Scannez les images Docker renforcées dans Aikido avec un filtrage VEX automatique pour les CVE non exploitables.

Le code est écrit partout, et l'appareil est la seule constante

Le code est écrit partout et l'appareil est la seule constante | Aikido Security

Les développeurs codent partout. Les agents d'IA, les bots Slack et les serveurs MCP ont fait de l'appareil du développeur le plus grand angle mort en matière de sécurité.

Les SBOM en 2026 : tout le monde les génère, personne ne les utilise

Les SBOM en 2026 : tout le monde les génère, personne ne les utilise | Aikido Security

Le rapport 2026 de l'ENISA sur l'adoption des SBOM couvre 334 organisations et met en évidence un écart constant entre la génération des SBOM et leur utilisation réelle. Voici ce qui en ressort.

Le crate Rust onering compromis effectue une exfiltration de code

Le crate Rust onering v1.4.1 compromis sur crates.io a livré un fichier build.rs malveillant qui exfiltre le diff de votre dernier commit vers un endpoint Sentry hébergé à chaque build.

Vulnérabilité critique vieille de 10 ans dans phpBB affectant des dizaines de millions d'utilisateurs sur des milliers de forums

Vulnérabilité critique phpBB : Contournement d'authentification + RCE depuis 2014

Aikido Security a découvert une vulnérabilité critique de contournement d'authentification non authentifiée dans phpBB affectant des dizaines de millions d'utilisateurs. Une seule requête HTTP suffit pour prendre le contrôle de n'importe quel compte — une vulnérabilité présente dans la base de code depuis 2014.

Attendez, binding.gyp peut faire quoi ? Exploration du système de build le plus étrange de npm

Plongée approfondie dans binding.gyp, le fichier de build npm souvent négligé qui peut exécuter du code malveillant au moment de l'installation via des expansions de shell, des évasions de sandbox et le détournement de compilateur.

Qu'est-ce que l'AI SAST ?

L'AI SAST émerge comme une nouvelle catégorie de SAST, mais sa signification est peu claire. Nous clarifions la différence entre le SAST natif IA et le SAST assisté par IA, ainsi que la position de l'AI SAST dans la pile entre le SAST traditionnel et le pentest IA.

Les 5 meilleures alternatives à Tenable Nessus en 2026

Les 5 meilleures alternatives à Tenable Nessus en 2026 | Aikido Security

Pourquoi l'EDR et les proxys ne vous sauveront pas des malwares de la chaîne d'approvisionnement

Faites de la place, Mythos. Voici... à peu près n'importe quel autre modèle doté d'un bon harnais.

Faites de la place, Mythos. Voici n'importe quel modèle doté d'un bon harnais.

Packages npm de Red Hat compromis pour propager un ver voleur de credentials

Présentation de Code Audit : Trouvez les vulnérabilités complexes cachées dans votre code source

Le SAST détecte les schémas. Code Audit analyse votre code comme le ferait un attaquant, en identifiant les failles logiques qui n'apparaissent qu'après le déploiement.

Ce que le MDM ne peut pas protéger sur les machines de développeurs (et comment y remédier)

Ce que le MDM ne peut pas protéger sur les machines de développeurs

Meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026

Une interface utilisateur distante de Codex d'apparence légitime vole secrètement vos jetons d'IA

Aikido vs XBOW : 58 % de vulnérabilités en plus détectées lors d'un benchmark indépendant

Pourquoi les machines des développeurs sont désormais la cible numéro un des attaques de la chaîne d’approvisionnement

Pourquoi les machines des développeurs sont la cible n°1 des attaques de la chaîne d’approvisionnement | Aikido

Une attaque de la supply chain cible les packages Laravel-Lang avec un voleur de credentials

5 alternatives à Gitleaks et pourquoi elles sont meilleures

5 alternatives à Gitleaks pour une meilleure analyse des secrets en 2026

Le Far West des extensions VS Code et comment une extension piégée a compromis GitHub

GitHub compromis via une extension VS Code malveillante : pourquoi les appareils des développeurs sont la véritable cible

GitHub compromis via une extension VS Code | Attaque de la chaîne d’approvisionnement des développeurs 2026

Le package durabletask de Microsoft sur PyPi est compromis. Mini Shai Hulud attaque encore... et encore !

Mini Shai-Hulud frappe à nouveau : un ver npm compromet des centaines de packages @antv

Tests d'intrusion vs. red teaming : quelle est la différence ?

Tests d'intrusion vs. Red Teaming : quelle est la différence ?

Les clés API Google continuent de fonctionner après leur suppression

Les clés API Google continuent de fonctionner après leur suppression, suffisamment longtemps pour être exploitées

L'IA fantôme est une réponse à la peur, et l'interdire ne fait qu'empirer les choses.

Pourquoi les risques liés à l'IA fantôme commencent par la peur (et pourquoi les interdire les aggrave)

Mini Shai-Hulud est de retour : un ver npm affecte plus de 160 paquets, dont Mistral et Tanstack

La checklist de sécurité complète des GitHub Actions

Liste de contrôle de sécurité pour GitHub Actions

Meilleurs scanners OWASP en 2026 pour la sécurité des applications web

Déployer la sécurité des développeurs dans une organisation de plus de 5 000 ingénieurs

Sécurité des développeurs à l'échelle : un guide de déploiement pour CISO

Métamorphose de la sécurité : une liste de contrôle d'architecture prête pour Mythos pour les attaques d'IA autonomes

L'AppSec a stagné face à la complexité moderne. Le projet Glasswing et l'ère Mythos exigent une discipline de sécurité qui opère à la vitesse des menaces auxquelles elle est confrontée.

Pourquoi les extensions de navigateur représentent un risque de sécurité majeur et comment y remédier

Meilleurs scanners de CVE en 2026 pour identifier les vulnérabilités connues

Meilleurs scanners de CVE en 2026 : Comparaison par Couverture, Intelligence et Auto-Correction

Nous avons évalué les meilleurs scanners de CVE en 2026 selon l'étendue de la couverture, les sources d'intelligence, le rapport signal/bruit et la capacité d'auto-correction. Voici comment ils se comparent et lequel convient le mieux à votre stack.

Tous les scanners de CVE ne sont pas conçus de la même manière. Nous avons comparé les meilleures options en 2026 selon l'étendue de la couverture, les sources d'intelligence, le rapport signal/bruit et la capacité d'auto-correction, afin que vous puissiez trouver celui qui convient le mieux à votre stack.

Le package populaire PyTorch Lightning compromis par Mini Shai-Hulud

Un malware a été découvert dans les versions populaires 2.6.2 et 2.6.3 de PyTorch Lightning, dérobant des identifiants, des portefeuilles crypto et des configurations VPN dans le cadre de la campagne Mini Shai-Hulud.

Une checklist sécurité pratique pour CTO pour être prêt pour Mythos

Checklist Mythos-Ready

Une checklist pratique pour les CTOs SaaS naviguant dans un monde avec Mythos et les menaces d'IA agentique. Conçue autour de l'avantage du défenseur : vous disposez d'un contexte que les attaquants doivent s'efforcer d'obtenir. Elle couvre les contrôles, les pratiques et les habitudes opérationnelles qui déterminent si votre équipe trouve et corrige les problèmes avant que quelqu'un d'autre ne le fasse.

Quelqu'un a publié quatre versions d'un faux package « tanstack » en 27 minutes pour voler vos fichiers .env

Quatre versions publiées d'un faux package « tanstack » mises en ligne en 27 minutes qui veulent voler vos fichiers .env

Un faux package npm « tanstack » a publié aujourd'hui quatre versions malveillantes en 27 minutes, exfiltrant des fichiers .env via un hook postinstall. Voici ce qui s'est passé, qui a été affecté et comment renouveler vos identifiants.

Aikido s'intègre à AWS Kiro : La détection en revue ne passe plus à l'échelle

Aikido x Kiro | La détection en revue ne passe plus à l'échelle

Les agents IA écrivent votre code. Aikido s'intègre directement au workflow agentique d'AWS Kiro pour maintenir la sécurité dans la boucle, automatiquement, dès la première ligne. Aikido est le premier partenaire de sécurité mondial d'AWS pour Kiro.

Mini Shai-Hulud cible les packages npm SAP avec un voleur de secrets basé sur Bun

Des packages npm SAP compromis utilisent une charge utile de pré-installation basée sur Bun pour dérober des secrets GitHub, npm, cloud et CI, puis se propagent via GitHub en utilisant OhNoWhatsGoingOnWithGitHub.

Il est temps de considérer les extensions de navigateur comme des vecteurs d'attaque de la chaîne d'approvisionnement

Il est temps de considérer les extensions de navigateur comme des vecteurs d'attaque de la chaîne d'approvisionnement | Leçons tirées de la brèche Vercel

La brèche Vercel a suivi un schéma bien connu de l'industrie de la sécurité, où le code tiers est implicitement approuvé, puis compromis en amont. Nous disposons d'un cadre pour cela. Nous ne l'avons simplement pas encore appliqué aux extensions de navigateur. (Spoiler : Nous le faisons pour les dépendances logicielles)

Shai-Hulud est-il de retour ? Le CLI Bitwarden compromis contient un ver npm auto-propageant

Un malware découvert dans @bitwarden/cli v2026.4.0 dérobe les clés SSH, les secrets cloud et les identifiants d'outils de codage IA, puis se propage via les propres packages npm des victimes. À l'intérieur : un ver se nommant « Shai-Hulud : The Third Coming. »

Une backdoor GPT-Proxy dans npm et PyPI transforme les serveurs en relais LLM chinois

Une campagne de malwares npm et PyPI récemment découverte installe des proxys LLM cachés sur les serveurs compromis, les transformant en nœuds relais pour le trafic LLM.

XSS Roundcube enchaînée avec du cookie tossing pour un accès complet à la boîte de réception

Nous avons découvert une XSS stockée dans le point d'accès des pièces jointes de brouillon de Roundcube qui, enchaînée à une technique de cookie tossing, donne à un attaquant un accès complet à la boîte de réception d'une victime. Voici comment la chaîne d'exploitation fonctionne et comment elle a été corrigée.

Présentation de la protection des appareils : Sécurité pour les appareils des développeurs

Aikido Device Protection : Sécurité pour les appareils des développeurs | Aikido

Les attaques de la chaîne d’approvisionnement ciblent les appareils des développeurs. Aikido Device Protection surveille chaque installation sur npm, PyPI, les extensions VS Code, les extensions de navigateur et les outils d'IA.

Multiples vulnérabilités de cross-site scripting (XSS) dans Mailcow

Multiples vulnérabilités XSS découvertes dans Mailcow, y compris une prise de contrôle de compte non authentifiée

L'agent de pentest IA d'Aikido a découvert trois vulnérabilités XSS dans Mailcow, dont l'une permettait à des attaquants non authentifiés de prendre le contrôle de comptes administrateur. Tous les problèmes ont été corrigés à partir de la version 2026-03b.

Les agents de pentest IA d'Aikido ont découvert trois vulnérabilités XSS dans Mailcow, un serveur de messagerie auto-hébergé largement utilisé. La plus sévère permettait à des attaquants non authentifiés d'injecter une charge utile dans les logs Autodiscover qui s'exécuterait lorsqu'un administrateur les consulterait, permettant une prise de contrôle complète du compte. Les trois ont été corrigées depuis la version 2026-03b.

Sources CVE fiables à l'ère des réductions du NIST NVD

Changements du NIST NVD en 2026 : ce que les équipes de sécurité doivent savoir

Le NIST n'enrichira plus la plupart des CVE. Voici ce qui change, ce qui ne fonctionne plus et ce qui va suivre.

Un an d'Opengrep : ce que nous avons construit et la suite

Opengrep SAST après un an : une analyse statique plus rapide et déterministe

Un an après avoir forké Semgrep, Opengrep est plus rapide, prend en charge une analyse de taint plus approfondie et produit des résultats cohérents et reproductibles.

Un an après avoir forké Semgrep, Opengrep est plus rapide, plus performant et entièrement open source. Voici ce que nous avons construit et la suite.

Axios CVE-2026-40175 : une faille critique… non exploitable

Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.

Le bug bounty n'est pas mort, mais l'ancien modèle est en train de s'effondrer

Le bug bounty atteint un point de rupture alors que l'IA submerge les programmes, poussant à une transition vers des modèles de sécurité plus durables et axés sur la qualité.

Technique

GlassWorm passe au natif : Un nouveau dropper Zig infecte tous les IDE de votre machine

GlassWorm déploie un dropper natif basé sur Zig, dissimulé dans une fausse extension, compromettant silencieusement VS Code, Cursor, VSCodium et d'autres IDE.

Aikido Attack découvre plusieurs 0-days dans Hoppscotch

Aikido Attack découvre des 0-Days dans Hoppscotch

Les agents de pentest IA d'Aikido ont découvert plusieurs vulnérabilités de gravité élevée dans Hoppscotch, notamment des prises de contrôle de compte, des XSS stockées et des failles de contrôle d'accès. Tous les problèmes sont désormais corrigés.

Aikido Attack a identifié trois vulnérabilités de gravité élevée dans Hoppscotch : une redirection ouverte menant à une prise de contrôle de compte, une XSS stockée et un contrôle d’accès défaillant permettant l'injection de requêtes inter-équipes.

Le catastrophisme en cybersécurité autour de Mythos ne correspond pas à ce que nous observons sur le terrain

Risques de cybersécurité du modèle Mythos d'Anthropic : Ce que 1 000 pentests basés sur l'IA révèlent réellement

Le modèle Mythos d'Anthropic, qui a fuité, a déclenché une panique concernant les cyberattaques alimentées par l'IA. Nous avons effectué 1 000 tests d'intrusion basés sur l'IA. Les résultats suggèrent que la menace est plus nuancée que ce que les gros titres affirment.

axios compromis sur npm : compte du mainteneur piraté, RAT déployé

Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées via un compte de mainteneur piraté. Une dépendance cachée déploie un RAT multiplateforme. Vérifiez si vous êtes affecté et corrigez la situation dès maintenant.

Axios a été compromis. Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées sur npm après le piratage du compte du mainteneur principal. La dépendance injectée déploie un RAT multiplateforme qui s'autodétruit après exécution.

Le package populaire telnyx sur PyPI compromis par TeamPCP

Le populaire package telnyx sur PyPI, utilisé par de grandes entreprises d'IA, a été compromis par TeamPCP.

Aikido × Lovable : Vibe, Fix, Ship

Lovable s'associe à Aikido pour intégrer le pentesting aux applications « vibe-coded »

Lovable et Aikido intègrent le pentesting à la plateforme, permettant aux développeurs de simuler des attaques réelles et de corriger les problèmes avant le déploiement.

Aikido intègre le pentesting directement dans Lovable. Testez votre application en simulant des attaques réelles et corrigez les problèmes avant de la déployer.

CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran

TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy

Aikido reconnu par Frost & Sullivan avec le prix 2026 Customer Value Leadership Award dans la catégorie ASPM

Frost & Sullivan a décerné à Aikido le Prix du leadership en valeur client 2026 en ASPM. Nous analysons ce que les critères de reconnaissance révèlent sur la maturation du marché de l'AppSec

Merci ! Votre soumission a été reçue !

Oups ! Une erreur est survenue lors de la soumission du formulaire.

4 avril 2024

« • »

Guides et bonnes pratiques

Checklist de sécurité des webhooks : Comment créer des webhooks sécurisés

Vous développez des webhooks dans votre SaaS ? Utilisez cette checklist de sécurité des webhooks pour vous assurer que vous prenez les mesures nécessaires pour protéger votre application et les données de vos utilisateurs.

Tags/

#DevSecOps

21 février 2024

« • »

Guides et bonnes pratiques

Le remède au syndrome de fatigue des alertes de sécurité

Aikido vise à remédier au syndrome de fatigue lié aux alertes de sécurité en réduisant le bruit et les faux positifs qui font perdre du temps aux développeurs. Découvrez comment Aikido ignore intelligemment les alertes de sécurité non pertinentes pour vous, adapte les scores de gravité. Cela aide les utilisateurs d'Aikido à prioriser facilement les correctifs pour les menaces réelles. Cette approche gagnant-gagnant améliore la productivité des développeurs et résout les problèmes de sécurité plus rapidement.

Tags/

#Vulnérabilités

16 janvier 2024

« • »

Conformité

NIS2 : Qui est concerné ?

Votre entreprise B2B est-elle concernée par la directive NIS2 ? Découvrez si vous devez vous conformer à NIS2 en fonction des critères d'industrie et de taille. Quels sont les secteurs essentiels et importants et les seuils de taille d'entreprise ? L'application d'Aikido dispose d'une fonctionnalité de rapport NIS2.

Tags/

#Conformité

#NIS2

5 décembre 2023

« • »

Conformité

Certification ISO 27001 : 8 leçons apprises

Nous aurions aimé connaître ces conseils avant de commencer le processus de conformité ISO 27001:2022. Voici nos conseils à toute entreprise SaaS visant la certification ISO 27001.

Tags/

#Conformité

30 novembre 2023

« • »

Cas clients

Le Groupe Cronos choisit Aikido Security pour renforcer la posture de sécurité de ses entreprises et de ses clients

Le Cronos Group choisit Aikido Security pour renforcer sa posture de sécurité. Le portail partenaire d'Aikido offre au Cronos Group une vue d'ensemble centralisée des entreprises de son groupe. De plus, en tant que revendeur, le Cronos Group proposera Aikido à ses clients.

Tags/

#cas d'utilisation

22 novembre 2023

« • »

Cas clients

Comment Loctax utilise Aikido Security pour éliminer les alertes de sécurité non pertinentes et les faux positifs

En adoptant les solutions d'Aikido Security, Loctax a optimisé sa posture de sécurité, notamment en éliminant les faux positifs. Cela a permis d'économiser un temps précieux chaque mois et de réaliser des gains d'efficacité remarquables en termes de coûts.

Tags/

#cas d'utilisation

9 novembre 2023

« • »

Actualités produit et entreprise

Aikido Security lève 5 millions d'euros pour offrir une solution de sécurité transparente aux entreprises SaaS en croissance

Tags/

#DevSecOps

#AppSec

8 novembre 2023

« • »

Actualités produit et entreprise

Aikido Security obtient la conformité ISO 27001:2022

Tags/

#Conformité

24 octobre 2023

« • »

Cas clients

Comment le CTO de StoryChief utilise Aikido Security pour dormir plus sereinement la nuit

Vous perdez le sommeil à cause des préoccupations de sécurité de votre startup ? Découvrez comment Aikido Security a amélioré la posture de sécurité de StoryChief, offrant tranquillité d'esprit et un meilleur sommeil au CTO.

Tags/

#cas d'utilisation

17 octobre 2023

« • »

Vulnérabilités et menaces

Qu'est-ce qu'un CVE ?

Les CVE sont le langage commun du monde de la sécurité pour les vulnérabilités connues, mais en 2026, le système est soumis à une forte pression. Ce guide explique le fonctionnement des CVE, comment elles sont notées avec le CVSS, et pourquoi les bases de données sur lesquelles les équipes s'appuient ne sont plus complètes. Il aborde également les mesures à prendre, y compris la manière dont Aikido Intel révèle les vulnérabilités qui n'apparaissent jamais dans aucune base de données publique.

Tags/

#Vulnérabilités

#AI

#open-source

27 septembre 2023

« • »

Vulnérabilités et menaces

Les 3 principales vulnérabilités de sécurité des applications web en 2024

Tags/

#Vulnérabilités

#AppSec

22 août 2023

« • »

Actualités produit et entreprise

Nouvelles fonctionnalités d'Aikido Security : Août 2023

Au cours des dernières semaines, nous avons lancé de nombreuses nouvelles fonctionnalités et étendu la prise en charge de différentes piles d'outils. Nous avons mis à niveau notre moteur de "reachability" pour prendre entièrement en charge PNPM, étendu les règles AWS, orienté Autofix vers Python et augmenté la prise en charge des registres de conteneurs.

Tags/

#AppSec

#DevSecOps

14 juillet 2026

« • »

Actualités produit et entreprise

Comment Aikido détecte en premier lieu les logiciels malveillants et les vulnérabilités

Intel

Aikido Device Protection

SCA

30 juin 2026

« • »

Actualités produit et entreprise

Aikido Root pour sécuriser sa chaîne d'approvisionnement

Analyse de conteneurs

12 mai 2026

« • »

Actualités produit et entreprise

Un an d'Opengrep : ce que nous avons construit et la suite

Un an après avoir forké Semgrep, Opengrep est plus rapide, prend en charge une analyse de taint plus approfondie et produit des résultats cohérents et reproductibles.

SAST

open source

31 juillet 2026

« • »

Vulnérabilités et menaces

Le cauchemar d'Anthropic : le colis de Claude qui a volé de vraies clés

Sécurité de l'IA

Malware

19 juillet 2026

« • »

Vulnérabilités et menaces

SleeperGem : une attaque visant la chaîne d'approvisionnement de RubyGems cible les comptes de responsables de maintenance inactifs

Malware

14 juillet 2026

« • »

Vulnérabilités et menaces

Des paquets npm d'AsyncAPI ont été compromis via GitHub Actions

Malware

12 juin 2026

« • »

Outils et comparaisons DevSec

5 alternatives de sécurité à Socket et pourquoi elles sont meilleures

Aikido Zen

Malware

open source

19 août 2025

« • »

Outils et comparaisons DevSec

Les 13 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026

Découvrez les 13 meilleurs outils Tests de sécurité des applications dynamiques DAST) en 2026. Comparez leurs fonctionnalités, leurs avantages, leurs inconvénients et leurs intégrations pour choisir la DAST qui vous convient le mieux.

Outils

DAST

18 juillet 2025

« • »

Outils et comparaisons DevSec

Top 14 des outils d'analyse de conteneurs en 2026

Découvrez les 14 meilleurs outils d'analyse de conteneurs en 2026. Comparez les fonctionnalités, les avantages, les inconvénients et les intégrations pour choisir la bonne solution pour votre pipeline DevSecOps.

Outils

Analyse de conteneurs