Bienvenue sur notre blog.

Modifications apportées au NIST NVD en 2026 : ce que les équipes de sécurité doivent savoir

Le NIST ne fournira plus d'informations détaillées sur la plupart des CVE. Voici ce qui change, ce qui ne fonctionne plus et ce qui va suivre.

Actualités

Axios CVE-2026-40175 : une faille critique… non exploitable

Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.

Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.

Vulnérabilités et menaces

Le bug bounty n'est pas mort, mais l'ancien modèle est en train de s'effondrer

Le bug bounty atteint un point de rupture alors que l'IA submerge les programmes, poussant à une transition vers des modèles de sécurité plus durables et axés sur la qualité.

Le bug bounty atteint un point de rupture alors que l'IA submerge les programmes, poussant à une transition vers des modèles de sécurité plus durables et axés sur la qualité.

Technique

GlassWorm passe au natif : Un nouveau dropper Zig infecte tous les IDE de votre machine

GlassWorm déploie un dropper natif basé sur Zig, dissimulé dans une fausse extension, compromettant silencieusement VS Code, Cursor, VSCodium et d'autres IDE.

GlassWorm déploie un dropper natif basé sur Zig, dissimulé dans une fausse extension, compromettant silencieusement VS Code, Cursor, VSCodium et d'autres IDE.

Vulnérabilités et menaces

Aikido Attack découvre des 0-Days dans Hoppscotch

Les agents de pentest IA d'Aikido ont découvert plusieurs vulnérabilités de gravité élevée dans Hoppscotch, notamment des prises de contrôle de compte, des XSS stockées et des failles de contrôle d'accès. Tous les problèmes sont désormais corrigés.

Aikido Attack a identifié trois vulnérabilités de gravité élevée dans Hoppscotch : une redirection ouverte menant à une prise de contrôle de compte, une XSS stockée et un contrôle d’accès défaillant permettant l'injection de requêtes inter-équipes.

Vulnérabilités et menaces

Risques de cybersécurité du modèle Mythos d'Anthropic : Ce que 1 000 pentests basés sur l'IA révèlent réellement

Le modèle Mythos d'Anthropic, qui a fuité, a déclenché une panique concernant les cyberattaques alimentées par l'IA. Nous avons effectué 1 000 tests d'intrusion basés sur l'IA. Les résultats suggèrent que la menace est plus nuancée que ce que les gros titres affirment.

Actualités

axios compromis sur npm : compte du mainteneur piraté, RAT déployé

Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées via un compte de mainteneur piraté. Une dépendance cachée déploie un RAT multiplateforme. Vérifiez si vous êtes affecté et corrigez la situation dès maintenant.

Axios a été compromis. Des versions malveillantes d'axios 1.14.1 et 0.30.4 ont été publiées sur npm après le piratage du compte du mainteneur principal. La dépendance injectée déploie un RAT multiplateforme qui s'autodétruit après exécution.

Vulnérabilités et menaces

Le package populaire telnyx sur PyPI compromis par TeamPCP

Le populaire package telnyx sur PyPI, utilisé par de grandes entreprises d'IA, a été compromis par TeamPCP.

Le populaire package telnyx sur PyPI, utilisé par de grandes entreprises d'IA, a été compromis par TeamPCP.

Vulnérabilités et menaces

Lovable s'associe à Aikido pour intégrer le pentesting aux applications « vibe-coded »

Lovable et Aikido intègrent le pentesting à la plateforme, permettant aux développeurs de simuler des attaques réelles et de corriger les problèmes avant le déploiement.

Aikido intègre le pentesting directement dans Lovable. Testez votre application en simulant des attaques réelles et corrigez les problèmes avant de la déployer.

Actualités produit et entreprise

CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran

CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran

CanisterWorm prend du mordant : Le wiper Kubernetes de TeamPCP cible l'Iran

Vulnérabilités et menaces

TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy

TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy

TeamPCP déploie CanisterWorm sur NPM suite à la compromission de Trivy

Vulnérabilités et menaces

Aikido reconnu par Frost & Sullivan avec le prix 2026 Customer Value Leadership Award dans la catégorie ASPM

Frost & Sullivan a décerné à Aikido le Prix du leadership en valeur client 2026 en ASPM. Nous analysons ce que les critères de reconnaissance révèlent sur la maturation du marché de l'AppSec

Frost & Sullivan a décerné à Aikido le Prix du leadership en valeur client 2026 en ASPM. Nous analysons ce que les critères de reconnaissance révèlent sur la maturation du marché de l'AppSec

Actualités

RAT GlassWorm distribué via une extension Chrome malveillante (enregistreur de frappe, vol de cookies)

GlassWorm déploie un RAT multi-étapes qui installe de force une extension Chrome malveillante pour enregistrer les frappes, voler les cookies et exfiltrer des données via un C2 basé sur Solana.

GlassWorm déploie un RAT multi-étapes qui installe de force une extension Chrome malveillante pour enregistrer les frappes, voler les cookies et exfiltrer des données via un C2 basé sur Solana.

Vulnérabilités et menaces

Pourquoi le pentesting ne peut pas suivre : Le problème de la vitesse dans les tests de sécurité

Les équipes modernes déploient plus vite que le pentesting ne peut suivre. Découvrez l'écart de vitesse croissant dans les tests de sécurité et pourquoi les approches traditionnelles sont à la traîne.

Un CISO d'une grande entreprise nous a dit que la capacité de sécurité la plus importante aujourd'hui est la vitesse. Mais que se passe-t-il lorsque les tests ne peuvent pas suivre la rapidité d'évolution des systèmes ?

Guides et bonnes pratiques

L'extension fast-draft Open VSX compromise par BlokTrooper (RAT et Infostealer)

L'extension fast-draft Open VSX a été compromise pour déployer un RAT et un infostealer de BlokTrooper via des charges utiles hébergées sur GitHub. Plusieurs versions malveillantes ont été identifiées.

Une extension populaire d'Open VSX a été compromise et utilisée pour déployer un RAT et un infostealer à partir d'une infrastructure contrôlée par l'attaquant. Son historique de versions révèle la véritable histoire, avec des versions malveillantes apparaissant entre des versions saines.

Vulnérabilités et menaces

Glassworm cible des packages React Native populaires de numéros de téléphone dans une nouvelle attaque de la chaîne d'approvisionnement

Les chercheurs d'Aikido Security ont récupéré et déchiffré la chaîne de charge utile complète de deux packages React Native malveillants. Voici ce que fait le malware et ce qu'il faut rechercher.

Deux packages npm React Native populaires ont été compromis par des acteurs présumés de Glassworm et utilisés pour livrer un malware multi-étapes. Voici ce que fait le malware et ce qu'il faut rechercher.

Vulnérabilités et menaces

Glassworm revient : un malware Unicode invisible découvert dans plus de 150 dépôts GitHub

L'attaque de la chaîne d’approvisionnement Glassworm est de retour. Des chercheurs ont découvert un malware caché dans des caractères Unicode invisibles dans plus de 150 dépôts GitHub, ainsi que des packages npm et des extensions VS Code.

Glassworm est de retour avec une nouvelle vague d'attaques Unicode invisibles. Nous suivons une nouvelle campagne qui compromet discrètement des dépôts sur GitHub, npm et VS Code.

Vulnérabilités et menaces

Guide des Soirées & Événements de Sécurité RSAC 2026 | Aikido

Guide des Soirées & Événements de Sécurité RSAC 2026 | Aikido

Actualités

Comment les équipes de sécurité ripostent contre les hackers alimentés par l'IA

L'IA a considérablement abaissé la barre pour les hackers. Voici ce que cela signifie pour les défenseurs et comment le pentest IA continu change la donne.

Un seul hacker et un abonnement Claude viennent de paralyser neuf agences gouvernementales mexicaines. L'IA a conféré aux attaquants une sérieuse amélioration de puissance. Les équipes de sécurité ont besoin d'un nouveau playbook.

Vulnérabilités et menaces

Betterleaks : Le successeur de Gitleaks conçu pour une analyse des secrets plus rapide

Betterleaks est un nouveau scanner de secrets open source du créateur de Gitleaks. Un remplacement direct offrant des analyses plus rapides, une détection de l'efficacité des tokens, une validation configurable, et bien plus encore.

Le créateur de Gitleaks lance son successeur. Betterleaks est un scanner de secrets open source plus rapide, conçu pour détecter davantage de fuites et s'adapter aux workflows de développement modernes.

Actualités produit et entreprise

Comment le pentest IA fonctionne-t-il avec la conformité ?

Le pentest IA est accepté pour SOC 2, ISO 27001, HIPAA et PCI DSS. Voici ce que les auditeurs recherchent réellement et où se situent les véritables limites.

Le pentest IA est accepté pour SOC 2, ISO 27001, HIPAA et PCI DSS. Voici ce que les auditeurs recherchent réellement et où se situent les véritables limites.

Conformité

La stratégie de cybersécurité de Trump pour 2026 : De la conformité à la conséquence

La stratégie de cybersécurité de l'administration Trump pour 2026 déplace l'accent des listes de contrôle de conformité vers de réelles conséquences pour les cybercriminels. Voici ce que les CISO doivent savoir.

Actualités

Pentest continu : comment il fonctionne et ce qu'il exige

Le pentest continu promet une validation de sécurité en temps réel, mais la plupart des implémentations ne sont pas à la hauteur. Voici ce que le pentest continu exige réellement : des tests sensibles aux changements à la validation des exploits et aux boucles de remédiation.

Le pentest continu est largement discuté, mais rarement défini clairement. Cet article explique ce qu'il est, ce qu'il n'est pas et ce qu'il exige réellement.

Guides et bonnes pratiques

Rare, pas aléatoire : Utilisation de l'efficacité des tokens pour l'analyse des secrets

L'entropie a souvent du mal avec les secrets génériques et les chaînes courtes. Nous examinons comment l'efficacité des tokens peut mieux identifier les chaînes qui ne ressemblent pas à du texte normal.

L'entropie est excellente pour détecter l'aléatoire. Mais les secrets ne sont pas toujours aléatoires. Ce sont simplement des chaînes qui n'apparaissent pas dans le code ou le texte normal. Nous explorons l'utilisation de la tokenisation BPE pour mesurer cette différence.

Guides et bonnes pratiques

Pourquoi le déterminisme est toujours une nécessité en matière de sécurité

Le scanning par IA trouve ce que les règles manquent. Le scanning déterministe le trouve à chaque fois. Voici pourquoi les meilleures pipelines de sécurité ne choisissent pas entre les deux.

Les outils de sécurité basés sur l'IA s'améliorent dans la détection des vulnérabilités. Cependant, les outils déterministes offrent la cohérence dont dépendent les pipelines, la conformité et les pistes d'audit. Nous examinons ce que l'analyse déterministe fait bien, où l'IA prend le relais, et comment les deux fonctionnent ensemble pour une sécurité efficace.

Ingénierie

WAF vs. RASP vs. ADR : Comment fonctionne la sécurité applicative runtime

Les WAF, RASP et ADR protègent votre application de manières complètement différentes. Voici ce que chaque couche fait réellement, ses limites et lesquelles vous avez besoin.

WAF, RASP, ADR, eBPF — Nous clarifions la terminologie autour de la sécurité applicative runtime. Voici ce que fait réellement chaque couche, comment elles se chevauchent et comment elles s'articulent.

Guides

Aikido Infinite : Pentest IA continu pour chaque version

Aikido Infinite effectue des pentests IA à chaque modification de code, valide l'exploitabilité, génère des correctifs et reteste les corrections avant que le code ne soit déployé en production, faisant du logiciel auto-sécurisant une réalité.

Actualités produit et entreprise

XSS/RCE persistante via des WebSockets dans Storybook (CVE-2026-27148)

La CVE-2026-27148 révèle une faille de détournement de WebSocket dans Storybook qui peut dégénérer en compromission de la chaîne d'approvisionnement. Découvrez le chemin d'attaque, l'impact et comment y remédier.

Aikido Attack a découvert une vulnérabilité de détournement de WebSocket dans le serveur de développement de Storybook, pouvant entraîner un XSS persistant, une exécution de code à distance et, dans le pire des cas, une compromission de la chaîne d'approvisionnement. Nous expliquons comment un attaquant peut l'exploiter sans aucune interaction utilisateur, et il suffit qu'un développeur visite le mauvais site web pour être exposé à cette attaque.

Vulnérabilités et menaces

Comment Aikido sécurise les agents de pentest IA et prévient la dérive de périmètre

Découvrez comment Aikido sécurise les agents de pentest IA grâce à l'isolation architecturale, à l'application du périmètre d'exécution et à des contrôles au niveau du réseau pour prévenir la dérive en production et les fuites de données.

Les agents IA sont conçus pour explorer. En cybersécurité, cette exploration nécessite des limites strictes. Cet article explique comment Aikido sécurise les agents de pentest IA grâce à l'isolation architecturale, à l'application du périmètre d'exécution et à des contrôles multicouches qui contiennent les risques par conception.

Actualités produit et entreprise

Vulnérabilité SSRF d'Astro : Injection d'en-tête Host dans les pages d'erreur SSR (CVE-2026-25545)

L'agent de pentest IA d'Aikido Security a découvert une vulnérabilité de type Server-Side Request Forgery dans l'implémentation SSR d'Astro. Découvrez comment l'injection d'en-tête Host dans les pages d'erreur pré-rendues a permis un accès complet au réseau interne.

L'agent de pentest IA d'Aikido a découvert une vulnérabilité SSRF dans l'adaptateur Node.js d'Astro. Nous verrons comment, en injectant un en-tête Host: malveillant, les attaquants pourraient rediriger une requête interne vers n'importe quelle URL du réseau local.

Vulnérabilités et menaces

Comment faire en sorte que votre conseil d'administration se soucie de la sécurité avant une violation

Les conseils d'administration ne financent pas la sécurité parce qu'elle est importante. Ils financent des décisions défendables. Voici comment cadrer les risques, réduire l'ambiguïté et obtenir un soutien réel avant qu'une violation ne force la main.

Guides

Slopsquatting : L'attaque par hallucination de packages IA qui est déjà en cours

Les modèles d'IA hallucinent des noms de packages npm. Les attaquants les enregistrent en premier. Voici ce qu'est le slopsquatting, comment il se propage via les compétences des agents, et comment vous protéger.

Les modèles d'IA hallucinent des noms de packages — et les attaquants les enregistrent avant que quiconque ne s'en aperçoive. Le Slopsquatting est l'évolution du typosquatting à l'ère de l'IA, et contrairement à son prédécesseur, les protections existantes de npm ne fonctionnent pas. Nous examinons la recherche concrète montrant que cela se produit déjà, des packages malveillants confirmés qui continuent d'enregistrer des centaines de téléchargements hebdomadaires à un nom de package halluciné qui s'est propagé à 237 dépôts via des fichiers de compétences d'agents IA.

Guides et bonnes pratiques

Alternatives à Wiz Code (2026) : 6 outils comparés et la meilleure option axée sur les développeurs

Vous recherchez des alternatives à Wiz Code ? Comparez 6 outils en fonction du SAST, du DAST, du SCA, de la tarification et de l'expérience développeur pour trouver la meilleure plateforme AppSec pour 2026.

Ce guide compare Wiz Code à six alternatives : Aikido Security, Snyk, Checkmarx, GitHub Advanced Security, Mend et Veracode, évaluées selon leur couverture, l'expérience développeur, le triage par IA, la transparence des prix et la vitesse de déploiement. Aikido Security se distingue pour les équipes recherchant une plateforme axée sur les développeurs avec une large couverture, une réduction de 85 % des faux positifs, une correction automatique par IA (AI AutoFix) pour le SAST, l'IaC et les conteneurs, un DAST natif et une tarification transparente, représentant environ un dixième du coût de Wiz.

Guides et bonnes pratiques

Aikido nommé Leader de plateforme AppSec dans le rapport Latio 2026

Aikido Security reconnu comme Leader de plateforme, Innovateur en pentest IA et Innovateur en chaîne d'approvisionnement dans le rapport AppSec 2026 de Latio Tech.

Le rapport AppSec 2026 de Latio Tech nomme Aikido Leader de plateforme et Innovateur en IA. Voici ce que le rapport révèle sur l'avenir de la sécurité des applications.

Actualités

De la détection à la prévention : Zen stoppe les IDOR à l'exécution | Aikido

Les vulnérabilités IDOR sont l'une des causes les plus courantes de fuites de données inter-locataires dans les SaaS multi-locataires. Découvrez comment Zen applique l'isolation des locataires à l'exécution en analysant les requêtes SQL et en empêchant les accès non sécurisés avant le déploiement.

Les vulnérabilités IDOR sont une cause majeure de fuites de données inter-locataires dans les applications multi-locataires. Dans cet article, nous expliquons comment Zen va au-delà de la détection et applique l'isolation des locataires à l'exécution, rendant impossible le déploiement accidentel d'accès inter-locataires.

Actualités produit et entreprise

Une attaque sur la chaîne d'approvisionnement npm détourne le backend de jeu pour truquer les résultats de jeux d'argent

Une attaque ciblée sur la chaîne d'approvisionnement npm installe une backdoor Express, permet l'accès à distance aux fichiers SQL et réécrit les soldes de jeux d'argent tout en maintenant la cohérence des logs.

Nous avons découvert des packages npm malveillants qui peuvent modifier les transactions de jeux d'argent en production et maintenir la cohérence interne de la base de données par la suite.

Vulnérabilités et menaces

Pourquoi tenter de sécuriser OpenClaw est ridicule

Les problèmes de sécurité d'OpenClaw expliqués : malware dans ClawHub, instances exposées, et pourquoi les guides de renforcement manquent l'essentiel. Pouvez-vous utiliser l'agent IA en toute sécurité ??

Actualités

Analyse d'Impact des Mises à Niveau : Quand les Breaking Changes ont un Réel Impact | Aikido

Aikido détecte automatiquement les breaking changes lors des mises à niveau de dépendances et analyse votre base de code pour en montrer l'impact réel, permettant ainsi aux équipes de merge les correctifs de sécurité en toute sécurité.

L'analyse d'impact des mises à niveau d'Aikido signale les changements cassants dans les mises à jour de dépendances et montre si ces changements impactent réellement votre code.

Actualités produit et entreprise

Claude Opus 4.6 a découvert 500 vulnérabilités : Ce que cela signifie pour la sécurité logicielle

Anthropic affirme que Claude Opus 4.6 a découvert plus de 500 vulnérabilités de haute gravité dans l'open source. Voici ce que cela implique pour la découverte de vulnérabilités, la validation de l'exploitabilité et les workflows de sécurité en production.

Claude Opus 4.6 aurait découvert plus de 500 vulnérabilités de haute gravité dans l'open source. Cet article examine ce que cela change concrètement en production, où le raisonnement des LLM est utile, et pourquoi la validation et l'accessibilité déterminent toujours l'impact réel sur la sécurité.

Actualités

Aikido Expansion Packs : Des configurations par défaut plus sûres au sein de l'IDE

Les Aikido Expansion Packs ajoutent des contrôles de sécurité ciblés directement au sein de votre IDE. Activez la protection des secrets, les vérifications de logiciels malveillants dans la chaîne d'approvisionnement et la sécurité du code assistée par l'IA sans modifier les workflows des développeurs.

Actualités produit et entreprise

Rapport international sur la sécurité de l'IA 2026 : Analyse d'Aikido Security

L'analyse d'Aikido Security du Rapport international sur la sécurité de l'IA 2026. Nous examinons les contrôles au moment du déploiement, les exigences de validation et les bases de sécurité pratiques pour les systèmes d'IA autonomes.

Plus de 100 experts ont contribué au Rapport international sur la sécurité de l'IA 2026, documentant les risques liés aux systèmes d'IA autonomes et proposant des cadres de défense en profondeur. En tant qu'équipe exploitant des systèmes de pentest IA en production, nous analysons les points où le rapport est pertinent et ceux où il nécessite plus de spécificité technique.

Actualités

Qu'est-ce qu'un logiciel auto-sécurisant ? Un nouveau modèle de sécurité pour les logiciels modernes

Le logiciel auto-sécurisant est un modèle de sécurité où les systèmes valident et corrigent continuellement les risques réels à mesure qu'ils évoluent. Découvrez pourquoi les tests périodiques ne sont plus adaptés.

Le logiciel auto-sécurisant considère la sécurité comme une capacité système intégrée, et non comme un processus périodique. Cet article explique pourquoi les logiciels modernes exigent un nouveau modèle de sécurité et ce qui le rend possible aujourd'hui.

Actualités produit et entreprise

Le SDLC Sécurisé Expliqué : Les 5 Piliers d'un Cycle de Vie du Développement Logiciel Sécurisé

Découvrez ce qu'est un SDLC Sécurisé, pourquoi il est important, et les cinq piliers dont chaque équipe a besoin. Inclut une checklist pratique du SDLC Sécurisé pour les CTO et les leaders de l'ingénierie.

Guides et bonnes pratiques

Top 10 des Outils de Sécurité IA pour 2026 : Fonctionnalités, Avantages et Comparaisons

Explorez les meilleurs outils de sécurité IA pour 2026. Comparez les plateformes pour la code review IA, la détection de vulnérabilités, le pentesting et la gestion des risques afin de sécuriser les applications modernes.

Outils et comparaisons DevSec

Top 10 des Outils de Cybersécurité pour 2026 : Détection, Cloud, XDR & AppSec

Une analyse pratique des 10 meilleurs outils de cybersécurité pour 2026, couvrant les terminaux, le cloud, l'identité, la gestion des vulnérabilités et l'XDR. Découvrez comment choisir l'outil adapté à votre stack et à votre profil de risque.

Outils et comparaisons DevSec

Qu'est-ce que le pentest continu ? Comment les équipes modernes réduisent les risques exploitables

Le pentest continu teste automatiquement les chemins d'attaque réels à chaque modification logicielle, validant et corrigeant les problèmes dans le cadre du cycle de vie du développement. Découvrez comment il se compare au pentest IA et manuel.

Le pentest continu traite la sécurité comme un système vivant, et non comme un test ponctuel. Découvrez comment les équipes modernes l'utilisent pour réduire les risques exploitables à mesure que le logiciel évolue.

Guides et bonnes pratiques

npx Confusion : Des packages qui ont oublié de revendiquer leur propre nom

Nous avons revendiqué 128 noms de packages npm non réclamés que la documentation officielle indiquait aux développeurs d'utiliser avec npx. Sept mois plus tard : 121 000 téléchargements. Tous auraient exécuté du code arbitraire.

La documentation officielle indique aux développeurs d'exécuter `npx package-name`. Mais que se passe-t-il si personne n'a revendiqué ce nom ? Nous en avons enregistré 128 et avons observé. 121 000 téléchargements en sept mois. La baisse pendant les vacances prouve qu'il s'agit de vrais développeurs, et non de bots.

Vulnérabilités et menaces

Aikido Package Health : Score de Santé pour les Packages Open Source

Découvrez la stabilité et la qualité de maintenance réelles d'un package open source. Aikido Package Health aide les développeurs à choisir des dépendances plus sûres en toute confiance.

Actualités produit et entreprise

Quand le pentest IA est-il sûr ? Exigences minimales de sécurité pour les tests de sécurité

Les systèmes de pentest IA agissent de manière autonome sur des environnements en production. Découvrez quand le pentest IA peut être utilisé en toute sécurité, les mesures de sécurité techniques minimales requises et comment évaluer les outils de test de sécurité basés sur l'IA de manière responsable.

Le pentest IA est déjà là, mais les attentes claires en matière de sécurité ne le sont pas. Cet article définit une norme de sécurité minimale pour le pentest IA, offrant aux équipes une base concrète pour évaluer les outils émergents.

Guides et bonnes pratiques

Une fausse extension VS Code Clawdbot installe le RAT ScreenConnect

Une extension VS Code malveillante se faisant passer pour Clawdbot installe un RAT ScreenConnect sur les machines des développeurs.

Une extension VS Code malveillante se faisant passer pour Clawdbot installe un RAT ScreenConnect sur les machines des développeurs.

Vulnérabilités et menaces

Les 7 meilleurs outils de renseignement sur les menaces en 2026 : Réduire le bruit et se concentrer sur les risques réels

Une analyse approfondie des meilleurs outils de renseignement sur les menaces de 2026, comparant comment ils réduisent la fatigue d'alertes, ajoutent du contexte et aident les équipes à prioriser les risques de sécurité réels.

Outils et comparaisons DevSec

Top 14 des extensions VS Code pour 2026 : Productivité, Tests, Sécurité et Collaboration

Un guide pratique des meilleures extensions VS Code pour 2026, couvrant les outils de productivité, de test, de collaboration et de sécurité qui améliorent les workflows réels des développeurs.

Outils et comparaisons DevSec

G_Wagon : un package npm déploie un malware voleur Python ciblant plus de 100 portefeuilles crypto

Le package npm ansi-universal-ui délivre l'infostealer GWagon ciblant plus de 100 portefeuilles de cryptomonnaies, des identifiants de navigateur et des clés cloud. Nous avons analysé les 10 versions au fur et à mesure que l'attaquant itérait en temps réel.

Vulnérabilités et menaces

Pentest GPT : Comment l'IA transforme les tests d'intrusion

Découvrez comment Pentest GPT utilise les LLM pour automatiser le raisonnement des attaques, simuler des exploits réels et adapter les tests. Découvrez comment Aikido chaque résultat.

Outils et comparaisons DevSec

Gone Phishin' : des packages npm diffusant des pages personnalisées de collecte d’identifiants

Une campagne de spear-phishing ciblée a utilisé des packages npm et jsDelivr comme infrastructure de phishing gratuite, servant des collecteurs d'identifiants personnalisés par victime.

Vulnérabilités et menaces

Les packages PyPI malveillants spellcheckpy et spellcheckerpy délivrent un RAT Python

Des attaquants ont publié de faux packages de correcteurs orthographiques sur PyPI avec des malwares cachés à la vue de tous. Nous analysons l'attaque et ce à quoi les développeurs doivent faire attention.

Vulnérabilités et menaces

SvelteSpill : Vulnérabilité critique de tromperie de cache dans SvelteKit + Vercel

SvelteSpill est une vulnérabilité de tromperie de cache affectant les applications SvelteKit par défaut déployées sur Vercel. Les réponses authentifiées peuvent être mises en cache et exposées à d'autres utilisateurs. Découvrez comment vérifier si vous êtes vulnérable et comment atténuer les risques.

Notre système de pentest IA a découvert et reproduit une vulnérabilité de haute gravité dans les déploiements SvelteKit par défaut sur Vercel. Voici comment il a tracé une faille inter-couches à travers 150 000 lignes de code.

Vulnérabilités et menaces

Les compétences des agents propagent des commandes npx hallucinées

Les compétences des agents IA propagent des commandes npx hallucinées, créant de réels risques de sécurité et de fiabilité pour les développeurs et les chaînes d'approvisionnement.

Vulnérabilités et menaces

Comprendre le risque lié aux licences open source dans les logiciels modernes

Le risque lié aux licences open source se cache dans les dépendances et les images de conteneurs. Découvrez ce que c'est, pourquoi c'est important et comment détecter les problèmes tôt.

L'open source évolue rapidement, mais ses licences ont toujours des règles. Cet article explique ce qu'est le risque lié aux licences open source, pourquoi les équipes le négligent souvent dans les arbres de dépendances modernes, et comment rester conforme sans que cela ne devienne une urgence juridique.

Guides et bonnes pratiques

CISO Vibe Coding Checklist : Sécuriser les applications conçues par l'IA

Une checklist de sécurité pratique pour les CISOs gérant des applications basées sur l'IA et le vibe coding. Couvre les garde-fous techniques, les contrôles d'IA et les politiques organisationnelles.

Le vibe coding basé sur l'IA permet à quiconque de déployer des logiciels. Cet article décrit les risques de sécurité auxquels les CISOs sont confrontés et présente une checklist pratique, élaborée avec l'aide des CISOs de Lovable et Supabase.

Guides et bonnes pratiques

Aikido Security lève 60 millions de dollars avec une valorisation d'un milliard de dollars

Aikido annonce un financement de série B de 60 millions de dollars, valorisant l'entreprise à 1 milliard de dollars, accélérant sa vision d'un logiciel auto-sécurisé et de tests d'intrusion continus.

Aikido devient l'une des entreprises de cybersécurité les plus rapides à atteindre le statut de licorne à l'échelle mondiale, et la plus rapide jamais enregistrée en Europe.

Actualités produit et entreprise

Vulnérabilité critique n8n (CVE-2026-21858) | RCE non authentifié expliqué

Une vulnérabilité critique dans n8n (CVE-2026-21858) permet l'exécution de code à distance non authentifiée sur les instances auto-hébergées. Découvrez qui est concerné et comment y remédier.

Vulnérabilités et menaces

Sept CVEs identifiées dans Coolify grâce au pentest IA | Aikido

Le pentesting de Coolify piloté par l'IA a identifié sept CVE, y compris des vulnérabilités d'escalade de privilèges et d'exécution de code à distance. Les découvertes ont été divulguées de manière responsable et corrigées.

Aikido

Attaque de la chaîne d'approvisionnement npm NeoShadow : JavaScript, MSBuild et Blockchain

Une analyse technique approfondie de l'attaque de la chaîne d'approvisionnement npm NeoShadow, détaillant comment les techniques JavaScript, MSBuild et blockchain ont été combinées pour compromettre les développeurs.

Vulnérabilités et menaces

SAST vs SCA expliqué : Sécuriser votre code et vos dépendances

Découvrez comment SAST et SCA diffèrent, quels risques chacun d'eux adresse, et pourquoi les équipes AppSec modernes ont besoin des deux pour sécuriser le code et les dépendances.

Technique

Les 6 meilleurs outils de pentest continu en 2026

Découvrez les principaux outils de pentest continu qui offrent des tests de sécurité en temps réel, basés sur l'IA, pour les applications modernes.

Outils et comparaisons DevSec

Exigences techniques DORA pour les équipes d'ingénierie et de sécurité

Comprendre les exigences techniques de DORA pour les équipes d'ingénierie et de sécurité, y compris les tests de résilience, la gestion des risques et les preuves prêtes pour l'audit.

Conformité

Vulnérabilité IDOR expliquée : Pourquoi les références directes d'objets non sécurisées persistent

Découvrez ce qu'est une vulnérabilité IDOR, pourquoi les références directes d'objets non sécurisées persistent dans les API modernes, et pourquoi les outils de test traditionnels peinent à détecter les véritables échecs d'autorisation.

Découvrez ce qu'est une vulnérabilité IDOR, pourquoi les références directes d'objets non sécurisées persistent dans les API modernes, et pourquoi les outils de test traditionnels peinent à détecter les véritables échecs d'autorisation.

Vulnérabilités et menaces

Shai Hulud frappe à nouveau - La voie royale.

Une nouvelle souche de Shai Hulud a été observée dans la nature.

Vulnérabilités et menaces

MongoBleed : Vulnérabilité Zlib de MongoDB (CVE-2025-14847)

MongoBleed, identifié sous la CVE-2025-14847, permet la divulgation de mémoire non authentifiée dans MongoDB via la compression zlib. Voir l'impact et la remédiation.

Vulnérabilités et menaces

Malware Maven Central : Le Typosquatting Jackson délivre une charge utile Cobalt Strike

Nous avons découvert la première campagne de malware sophistiquée sur Maven Central : un paquet Jackson typosquatté délivrant des charges utiles multi-étapes et des balises Cobalt Strike via l'auto-exécution de Spring Boot.

Vulnérabilités et menaces

Le Fork s'éveille : Pourquoi les réseaux invisibles de GitHub compromettent la sécurité des packages

Une analyse approfondie d'une faille de sécurité GitHub où les commits forkés permettaient aux attaquants d'usurper des dépendances. Comprendre le problème du SHA de commit et pourquoi les gestionnaires de paquets ont besoin d'une protection au niveau de l'API.

Vulnérabilités et menaces

Analyse SAST gratuite dans votre IDE

Exécutez des scans SAST gratuits directement dans votre IDE avec un feedback en temps réel et une visibilité sur l'ensemble du projet. Utilisez les mêmes règles et moteur SAST qu'Aikido, avec AutoFix optionnel pour les découvertes prises en charge.

Actualités produit et entreprise

Pentest IA Aikido : Récapitulatif de la démo en direct et FAQ

Un récapitulatif de la démo en direct du pentest IA d'Aikido. Découvrez comment des agents autonomes testent des applications réelles, valident les résultats, génèrent des rapports et permettent de refaire des tests.

Guides

Les 7 principales vulnérabilités de sécurité du cloud et comment les prévenir

Découvrez les sept principales vulnérabilités de sécurité cloud affectant les environnements modernes. Apprenez comment les attaquants exploitent IMDS, Kubernetes, les mauvaises configurations, et bien plus encore, et explorez des stratégies pour protéger efficacement votre infrastructure cloud.

Guides et bonnes pratiques

Se conformer au projet de loi britannique sur la cybersécurité et la résilience | Guide de sécurité

Découvrez comment répondre aux exigences du UK Cybersecurity & Resilience Bill, des pratiques de sécurité dès la conception à la transparence de la SBOM, en passant par la sécurité de la chaîne d'approvisionnement et la conformité continue.

Conformité

Vulnérabilité DoS de React et Next.js (CVE-2025-55184) expliquée

CVE-2025-55184 est une faille DoS des React Server Components liée à React2Shell. Découvrez qui est concerné, comment elle fonctionne et comment la corriger entièrement.

Vulnérabilités et menaces

Vulnérabilités de la sécurité de la chaîne d’approvisionnement logicielle

Comprendre les principales vulnérabilités de la sécurité de la chaîne d’approvisionnement logicielle, des packages malveillants aux attaques par confusion de dépendances.

Guides et bonnes pratiques

Vulnérabilités de sécurité JavaScript | Principaux risques

Découvrez les vulnérabilités de sécurité JavaScript les plus fréquentes affectant les applications frontend et backend, y compris les vecteurs d'attaque réels.

Guides et bonnes pratiques

Vulnérabilités de sécurité Python | Principaux problèmes

Un aperçu pratique des vulnérabilités de sécurité Python les plus courantes, des modèles non sécurisés et des risques liés aux dépendances.

Guides et bonnes pratiques

Vulnérabilités de sécurité du code | Risques courants

Explorez les vulnérabilités de sécurité du code les plus courantes introduites par les développeurs, les raisons de leur apparition et comment les équipes peuvent les détecter plus tôt.

Guides et bonnes pratiques

Vulnérabilités de sécurité Kubernetes | Principaux Risques

Découvrez les vulnérabilités de sécurité Kubernetes les plus critiques, les erreurs de configuration courantes et pourquoi les clusters sont souvent exposés par défaut.

Guides et bonnes pratiques

Vulnérabilités de sécurité des applications web | Principaux Risques

Découvrez les vulnérabilités de sécurité des applications web les plus courantes, des exemples concrets et comment les équipes modernes peuvent réduire les risques dès le début.

Guides et bonnes pratiques

Top 10 OWASP pour les applications agentiques (2026) : Guide complet des risques de sécurité des agents IA

Découvrez le Top 10 OWASP pour les applications agentiques. Comprenez les principaux risques de sécurité des agents IA, des exemples concrets et comment renforcer votre environnement.

Guides et bonnes pratiques

DAST vs Pentests vs pentest IA : Principales différences expliquées

Comparez le DAST, les tests d'intrusion manuels et le pentest IA. Découvrez où chaque approche est efficace, où le DAST montre ses limites et comment le pentest IA permet des tests plus approfondis et continus des applications modernes.

Outils et comparaisons DevSec

Guide de détection des secrets : Trouver et prévenir les fuites

Découvrez comment fonctionne la détection de secrets, ce qui constitue un secret (clés API, tokens, identifiants), où les équipes les divulguent et comment prévenir leur exposition dans Git, la CI et la production.

Guides et bonnes pratiques

CSPM vs CNAPP : La posture de sécurité cloud expliquée

Une explication claire du CSPM et du CNAPP : ce qu'ils couvrent, comment ils réduisent les risques liés au cloud, les fonctionnalités clés à rechercher et comment les équipes les adoptent concrètement.

Guides et bonnes pratiques

Prévention des malwares dans la chaîne d'approvisionnement logicielle (Guide)

Découvrez comment les malwares de la chaîne d'approvisionnement s'introduisent dans les bases de code modernes (typosquatting, confusion de dépendances, mises à jour malveillantes) et les défenses qui les arrêtent tôt dans le CI/CD.

Guides et bonnes pratiques

Analyse de sécurité IaC pour Terraform et Kubernetes

Comprendre le scanning de sécurité IaC : comment il détecte les mauvaises configurations cloud dans Terraform/Kubernetes, ce qu'il faut prioriser et comment prévenir les changements risqués avant le déploiement.

Guides et bonnes pratiques

Guide Ultime du SAST : Tests de sécurité des applications statiques

Une explication pratique du SAST : comment fonctionnent les tests de sécurité des applications statiques, quels problèmes il détecte, les pièges courants et comment le déployer sans submerger les développeurs d'informations superflues.

Guides et bonnes pratiques

Guide de sécurité de la chaîne d'approvisionnement : Meilleurs outils SCA

Découvrez ce que font les outils SCA, ce qu'ils détectent (dépendances vulnérables, licences, logiciels malveillants) et comment choisir la solution d'analyse de la composition logicielle adaptée à votre stack.

Guides et bonnes pratiques

Guide de correction de la vulnérabilité RCE critique React & Next.js CVE-2025-55182

Découvrez comment la CVE-2025-55182 et la vulnérabilité RCE Next.js associée affectent les React Server Components. Voyez l'impact, les versions affectées et comment corriger. Aikido détecte désormais les deux problèmes.

Vulnérabilités et menaces

Prompt Injection dans GitHub Actions : La nouvelle frontière des attaques de la chaîne d’approvisionnement

Les GitHub Actions pilotées par l'IA exposent de nouvelles vulnérabilités de la chaîne d'approvisionnement par injection de prompt.

Vulnérabilités et menaces

Shai Hulud 2.0 : Ce que l'Unknown Wonderer révèle sur l'objectif final des attaquants

De nouvelles recherches sur le malware Shai Hulud 2.0 suggèrent que le nom d'utilisateur UnknownWonderer1 nous en dit plus sur l'objectif final des attaquants.

Vulnérabilités et menaces

SCA dans l'IDE : Analysez et corrigez les dépendances vulnérables avec AutoFix

Intégrez le workflow SCA complet dans votre IDE avec le scanning intégré à l'éditeur et AutoFix. Détectez les packages vulnérables, examinez les CVE et appliquez des mises à niveau sécurisées sans quitter votre flux de travail de développement.

Actualités produit et entreprise

SafeChain impose désormais un âge minimum de 24 heures pour les packages, pour des installations plus sûres

Safe Chain impose désormais un âge minimum de 24 heures pour les paquets afin d'empêcher les attaquants d'utiliser les nouvelles versions comme point d'entrée. Il bloque les malwares de manière précoce et revient à des versions sûres.

Actualités produit et entreprise

Outils de sécurité cloud : Fonctionnalités et comment choisir

Découvrez les capacités essentielles des outils de sécurité Cloud et apprenez à comparer les fournisseurs pour protéger vos environnements cloud.

Guides et bonnes pratiques

Outils ASPM : Fonctionnalités et guide d'évaluation

Obtenez un aperçu des outils de gestion de la posture de sécurité des applications, de leurs capacités clés et des critères de sélection de la bonne plateforme ASPM.

Guides et bonnes pratiques

Outils DAST : Fonctionnalités clés et guide de l'acheteur

Explorez comment fonctionnent les outils DAST, leurs fonctionnalités les plus importantes et les critères d'évaluation à prendre en compte lors du choix d'une solution de test dynamique.

Guides et bonnes pratiques

Outils SAST : Fonctionnalités et guide d'évaluation

Découvrez les capacités clés des outils de Tests de sécurité des applications statiques et ce qu'il faut rechercher lors de la sélection de la solution SAST idéale pour votre workflow.

Guides et bonnes pratiques