Bienvenue sur notre blog.

La recrudescence des vulnérabilités CVE au sein des principaux éditeurs de logiciels constitue un problème de correction

Le nombre de vulnérabilités CVE ne cesse d'augmenter chez les principaux éditeurs de logiciels, et un audit fédéral révèle que même le NIST n'a pas réussi à suivre le rythme. Voici pourquoi c'est la rapidité de correction, et non le nombre de divulgations, qui est le chiffre qui compte réellement.

Jason Haddix : Cessez d'avoir peur pentest IA

Jason Haddix : 90 % des tests d'intrusion seront réalisés par l'IA

Jason Haddix explique pourquoi les tests d'intrusion manuels ne suffisent plus, ce qui disparaît en premier, et pourquoi c'est la méthodologie humaine qui fait le succès d'pentest IA

Un paquet Flutter compromis sur pub.dev contient le logiciel malveillant XCSSET

Nous avons détecté le logiciel malveillant XCSSET au sein d'un package Flutter compromis sur pub.dev. Voici une analyse détaillée de la chaîne d'infection, des modules de propagation et du mécanisme de vol de données que nous y avons découverts.

Shai-Hulud revient d'entre les morts après 111 jours

Une charge utile npm de Shai-Hulud a été détectée 111 jours plus tard

Une charge utile connue du ver Shai-Hulud est restée inactive pendant 111 jours, puis a été republiée sur npm, échappant ainsi au contrôle antivirus destiné à la détecter.

Correctif StyleSmuggler : correctif pour les vulnérabilités RCE de Magento et Adobe Commerce

StyleSmuggler est une vulnérabilité RCE sans authentification qui touche Magento et Adobe Commerce ; il n'existe pour l'instant ni CVE ni correctif Adobe. Aikido propose déjà le correctif.

StyleSmuggler touche actuellement Magento et Adobe Commerce, et Adobe n'a toujours pas publié de correctif. Voici le correctif dont nous disposons déjà, ainsi que son fonctionnement.

« Dirty Frag » (CVE-2026-43284) : la faille du noyau Linux qui transforme un accès en lecture en privilèges root

Dirty Frag (CVE-2026-43284) : élévation de privilèges vers le compte root sous Linux | Aikido

Dirty Frag permet de passer d'un accès Linux à privilèges limités au compte root et peut « escape r » des conteneurs. Les CVE concernés, comment vérifier si vous êtes exposé et comment y remédier.

Les meilleures alternatives à l'Trivy pour l'analyse des conteneurs et des cloud en 2026

Les meilleures alternatives à « Trivy » en 2026 : comparatif

Comparaison de six alternatives à « Trivy » pour 2026, portant sur l'analyse des conteneurs, l'IaC, l'SAST, la hiérarchisation et les corrections, avec une indication de la place qu'occupe chacune d'entre elles.

Ne pas enfreindre les SLA : comment corriger les vulnérabilités avant même que le correctif ne soit disponible

Votre SLA est sur le point d'être enfreint et il n'existe aucun correctif pour cette dépendance

Comment utiliser les bibliothèques « Aikido » pour corriger les dépendances vulnérables et respecter les accords de niveau de service (SLA) en matière de sécurité.

Découvrez comment respecter les accords de niveau de service (SLA) en matière de sécurité concernant les vulnérabilités liées aux dépendances grâce aux bibliothèques « Aikido », en déployant des correctifs sécurisés et rétroportés.

Aikido

MECCHA CHAMELEON ne peut pas échapper au RCE

Nous avons découvert une deuxième vulnérabilité RCE à déclenchement différé dans MECCHA CHAMELEON : une carte personnalisée malveillante pouvait écrire des fichiers n'importe où sur votre système et exécuter du code après un redémarrage. Cette faille a été corrigée dans la version 4.0.0.

Les meilleurs outils DSPM en 2026

Les meilleurs outils DSPM en 2026 : comparaison et classement

Comparez les meilleurs outils DSPM de 2026 : Aikido, Wiz, Cyera, Varonis et Orca, en termes d'accès aux données, de correction des failles et de détection des vulnérabilités.

Comparez les meilleurs outils DSPM de 2026 : Aikido, Wiz, Cyera, Varonis et Orca, en termes d'accès aux données, de correction des vulnérabilités et de méthode d'identification des expositions.

La face cachée de la détection dans la chaîne d'approvisionnement

Les règles basées sur des chaînes de caractères ne permettent de détecter que les logiciels malveillants déjà connus. La détection comportementale permet, quant à elle, de repérer les attaques de la chaîne d’approvisionnement.

Un générateur de code très utilisé pour TanStack Query a été touché par un ver de la chaîne d'approvisionnement

Un ver de chaîne d'approvisionnement a été découvert dissimulé dans @7nohe/openapi-react-query-codegen, un générateur de code très utilisé pour TanStack Query. Il volait des identifiants et se propageait dans tous les paquets gérés par la victime.

Sécurisation des images Docker

Sécurisation des images Docker : les renforcer, les mettre à jour et les entretenir

La plupart des vulnérabilités d'un conteneur proviennent de l'image de base. Comment renforcer la sécurité des images Docker, pourquoi ce renforcement est un processus continu, et comment appliquer des correctifs à l'image de base que vous utilisez déjà.

Bon débarras, TeamPCP. Maintenant, place au plus dur.

Les arrestations menées par TeamPCP ne résolvent pas le problème de risque lié à la chaîne d'approvisionnement qu'elles ont mis en évidence

L'AFP, le FBI et la police de l'État de Washington ont inculpé deux hommes qui seraient à l'origine de TeamPCP. Charlie Eriksen explique pourquoi cette arrestation ne comble pas la faille mise en évidence par TeamPCP.

Deux hommes ont été inculpés en tant que membres présumés du groupe TeamPCP, à l'issue de plusieurs mois d'enquête transfrontalière menée conjointement par l'AFP, le FBI et la police de l'État de Washington. Charlie Eriksen, de Aikido, explique pourquoi cela ne comble pas la faille mise au jour par TeamPCP dans les chaînes d'approvisionnement logicielles.

Les meilleures alternatives à Minimus en 2026

Minimus va fermer ses portes. Comparez Aikido, Chainguard, les images Docker Hardened, RapidFort et Echo, puis choisissez une solution de remplacement pour les images sécurisées qui ne vous enfermera pas à nouveau dans un écosystème fermé.

Aikido Security obtient la certification ISO 42001:2023 pour la gouvernance de l'IA

Aikido Obtention de la certification ISO 42001 | Gouvernance de l'IA

Aikido Security a obtenu la certification ISO 42001, la norme internationale relative à la gouvernance de l'IA, qui couvre l'pentest IA, l'audit de sécurité du code et l'analyse approfondie de l'PR .

Conformité

sécurité de la chaîne d’approvisionnement logicielle nécessite des décisions plutôt que des choix par défaut

sécurité de la chaîne d’approvisionnement logicielle: Des choix, pas des options par défaut

La plupart des logiciels fonctionnent sur la base de décisions que personne n'a prises. Nous expliquons pourquoi la gestion des gates, le pinning, le backporting et la maintenance de l'SBOM ne fonctionnent que si quelqu'un en assume réellement la responsabilité.

Une porte dérobée dans xz-utils. Une compilation défaillante dans lodash. Ces deux problèmes trouvent leur origine dans la même habitude : considérer un numéro de version comme une donnée immuable plutôt que comme un choix. Voici ce qu’il faut, selon nous, pour prendre des décisions plutôt que de se fier aux valeurs par défaut.

Aikido lance un service de tests d'intrusion « agentic » pour les applications Android

Tests d'intrusion sur Android : désormais basés sur des agents et autonomes | Aikido

AikidoLes agents de [nom de la société] effectuent un test d'intrusion sur votre application Android et son backend dans le cadre d'une seule et même évaluation en « white box ». Vous bénéficiez de résultats reproductibles, de la fonctionnalité AutoFix et de nouveaux tests pour chaque problème identifié.

Aikido réalise désormais des tests d'intrusion autonomes sur les applications Android, à la manière d'un pirate informatique, en couvrant à la fois l'application et son backend au cours d'une seule évaluation, avec des fonctionnalités d'AutoFix et de nouveaux tests intégrées.

OpenClaw aurait-il vraiment pu pirater cette salle de sport australienne ? Nous avons décidé de le vérifier.

Nous avons reproduit la faille virale liée à l'IA dans une salle de sport dans un environnement contrôlé. Avec la version 4.6 d'Opus fonctionnant sur OpenClaw, le modèle a exploité la faille du système de réservation lors de neuf essais sur dix.

Comment « Aikido » détecte davantage de vulnérabilités que Mythos, pour la moitié du prix

Comment Aikido détecte davantage de vulnérabilités que Claude Security grâce à Mythos, pour la moitié du prix

Aikido AI Code Audit a détecté 8 vulnérabilités de plus que Claude Security avec Mythos, pour un coût inférieur de plus de moitié. Comment la conception du harnais optimise le rapport coût-couverture.

Aikido L'audit de sécurité Code Security a détecté 8 vulnérabilités de plus que Claude Security avec Mythos, pour un coût inférieur de plus de moitié. Découvrez comment la conception des tests permet d'optimiser la couverture par euro.

Shai-Hulud a été la meilleure chose qui soit arrivée à la sécurité de la chaîne d'approvisionnement

npm Trusted Publishing est resté pratiquement inutilisé après son lancement. Puis Shai-Hulud et 14 autres « attaques de la chaîne d’approvisionnement » ont multiplié son adoption par 3,4. Charlie analyse les données qui se cachent derrière ce phénomène.

Le programme « npm Trusted Publishing » est resté pratiquement inactif pendant deux ans. Puis, grâce à Shai-Hulud et à 14 autres « attaques de la chaîne d’approvisionnement », son adoption a été multipliée par 3,4. Charlie analyse les données qui se cachent derrière ce phénomène.

Les meilleurs outils de renforcement des images en 2026

Les meilleurs outils de renforcement d’images en 2026 : comparaison de 7 solutions

Comparaison des outils de renforcement de la sécurité des images pour 2026 : Aikido, Chainguard, Docker, RapidFort, Echo, Minimus et Wiz

Les meilleurs outils d’ pentest IA s d’entreprise pour la sécurité des applications en 2026

Les meilleurs outils d'pentest IA s d'entreprise en 2026

Comparez les meilleurs outils d'pentest IA s d'entreprise de 2026 : Aikido, XBOW, NodeZero, Pentera, Hadrian et Cobalt.

En quoi consiste la correction des vulnérabilités CVE en 2026 ?

Qu'est-ce que la correction des vulnérabilités CVE en 2026 ?

La correction des vulnérabilités CVE consiste à corriger les failles connues des logiciels que vous utilisez. Pourquoi les mises à jour échouent-elles souvent ? En quoi consiste réellement la correction ? Et comment le « backporting » permet-il de remédier à ce problème ?

Nous avons détruit 11,7 milliards de jetons pour trouver le meilleur modèle d'IA cybernétique

Nous avons brûlé 11,7 milliards de jetons pour trouver le meilleur modèle d'IA cybernétique | GLM5.3 et DeepSeek sont désormais à la pointe

Nous avons testé 10 modèles d'IA sur 32 vulnérabilités CVE récentes. DeepSeek V4 Pro en a détecté 28, et trois exécutions peu coûteuses ont surpassé un seul passage d'Opus 5 ou de Grok en termes de couverture totale.

Les crates populaires de Rust « arrayref », « append-only-vec » et « internment » ont été compromises lors d'une attaque par chaîne d'approvisionnement

Une attaque par chaîne d'approvisionnement a compromis plusieurs crates populaires de Rust — arrayref, append-only-vec et internment — en y injectant une dépendance au package malveillant « proc-macro1 », qui télécharge et exécute une charge utile à distance lors de la compilation.

Une attaque par la chaîne d'approvisionnement a compromis deux crates Rust très utilisées, « arrayref » et « append-only-vec », en y injectant une dépendance au package malveillant « proc-macro1 », qui télécharge et exécute une charge utile à distance lors de la compilation.

pentest IA Liste de contrôle d'évaluation : les critères à prendre en compte pour choisir un fournisseur de solutions « pentest IA »

pentest IA Liste de contrôle pour le choix d'un fournisseur : les critères à prendre en compte

Une liste de contrôle permettant d'évaluer les fournisseurs de solutions « pentest IA » en fonction de la validation, de l'accès au code, du contrôle de la portée et de la fiabilité, ainsi que les signaux d'alerte qui permettent de distinguer une véritable plateforme d'une simple démonstration convaincante.

Aikido

Encore un RCE à Gogs, mais cette fois-ci, c'est corrigé !

CVE-2026-52813 | Un agent de test d'intrusion d'Aikido s a détecté une faille de traversée de chemin dans Gogs. Nous avons transformé cette faille en une faille permettant l'exécution de code à distance (RCE) et signalé deux autres bogues, tous corrigés dans la version 0.14.3.

Les meilleurs outils d'SCA s d'entreprise en 2026

Les meilleurs outils d'SCA s d'entreprise en 2026 | Aikido

Comparez les outils d'SCA s d'entreprise pour 2026 : Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck et Veracode en matière d'analyse, de correction et de conformité.

Les meilleurs outils d'DAST s d'entreprise en 2026

Les meilleurs outils d'DAST s pour les entreprises en 2026 | Aikido

Comparez les meilleurs outils d'DAST s d'entreprise de 2026 en matière de couverture authentifiée, d'découverte d’API, de validation des exploits, de gouvernance, de conformité et pentest IA

Comparez les meilleurs outils d'DAST s d'entreprise de 2026 en fonction de la couverture authentifiée, découverte d’API, de la validation des exploits, de la gouvernance, de la conformité et pentest IA.

Les meilleurs outils de sécurité unifiée en 2026

Les meilleurs outils de sécurité unifiée en 2026 | Aikido

Comparez les meilleurs outils de sécurité unifiée de 2026 : Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk et Orca, en fonction de leur couverture, de leur capacité de corrélation, de leur gouvernance et de leur coût.

De Hugging Face à Fable : cet été montre que le contrôle de l'IA est plus important que la confiance

Sécurité de l'IA : pourquoi le contrôle prime sur la confiance

Une faille liée à une IA autonome chez Hugging Face et la suspension de « Fable » par Anthropic démontrent la même chose : faire confiance à un fournisseur ne revient pas à garder le contrôle.

Un agent IA a réussi à s'introduire de son propre chef dans Hugging Face. L'accès d'un fournisseur d'IA a disparu du jour au lendemain. Voici ce qu'ils ont en commun.

Détecter les vulnérabilités à chaque étape : quels outils utiliser et à quel moment ?

De quel outil de test de sécurité avez-vous réellement besoin ?

SAST, L'analyse approfondie « PR », l'audit de sécurité du code et les tests d'intrusion basés sur l'IA permettent chacun de détecter différentes vulnérabilités à différentes étapes. Voici quand utiliser chacune de ces méthodes, et pourquoi.

SAST, l'analyse approfondie « Deep PR », l'audit de sécurité du code et les tests d'intrusion basés sur l'IA permettent chacun de détecter des vulnérabilités à différentes étapes. Voici quand utiliser chacune de ces méthodes et pourquoi.

Qu'est-ce que l'ingénierie des harnais d'IA ?

Qu'est-ce que l'ingénierie des harnais ? | Les harnais d'IA et leur impact sur la sécurité de l'IA

L'ingénierie de « harness » désigne le code qui entoure un modèle d'IA et qui le transforme en agent. Quel est le rôle d'un « harness », pourquoi est-il préférable de choisir un modèle, et comment en créer un ?

Qui était à l'origine de cette attaque ? Peut-être personne.

Qui était à l'origine de cette attaque ? Peut-être personne | Les attaques menées par des agents autonomes d'Anthropic, d'OpenAI et de l'AISI

Trois révélations faites cet été ont mis en évidence des agents d'IA attaquant de véritables organisations sans aucune intervention humaine dans la chaîne. Les procédures d'intervention en cas d'incident ne prévoient pas encore de protocole pour ce type de situation.

La machine « Aikido » : une solution « on-prem pentest IA » qui ne quitte jamais votre réseau

Aikido Machine : serveur pentest IA s sur site | Sécurité Aikido

pentest IA continue pour les équipes qui ne peuvent pas utiliser cloud. La solution Aikido Machine conserve les modèles, le code et les résultats entièrement au sein de votre réseau.

Une « pentest IA » continue mise en œuvre au sein du réseau d'organisations soumises à une réglementation stricte. Belfius, la banque-assureur belge, est la première à la déployer.

Keyv et ses amis ont été victimes d'une attaque active de type « Shai-Hulud » visant la chaîne d'approvisionnement

Keyv et ses partenaires ont été victimes d'une attaque visant la chaîne d'approvisionnement de npm

Le malware « Mini Shai-Hulud » a été injecté dans keyv et huit paquets npm associés le 4 août 2026, après qu'un pirate a compromis le compte GitHub du responsable du projet.

Meilleurs outils SAST d'entreprise 2026

Meilleurs outils SAST d'entreprise 2026 | Aikido Security

Comparaison des meilleurs outils SAST d'entreprise sur la réduction du bruit, la remédiation par IA, la gouvernance, la conformité et le coût

Le rêve fiévreux d'Anthropic : le paquet de Claude qui a volé de vraies clés

Le rêve fiévreux d'Anthropic : le paquet anthropickit de Claude qui a volé de vraies clés

Anthropic a révélé qu'un agent avait poussé de vrais malwares sur PyPI. Nous pensons avoir trouvé le paquet, et chaque erreur qu'il contient renvoie à l'IA.

Anthropic a révélé que l'un de ses propres agents avait publié un malware actif sur PyPI et compromis une véritable entreprise tierce dans le processus. J'ai cherché, et j'ai peut-être trouvé le paquet qu'il a laissé derrière lui.

Meilleures alternatives à Astra Security pour le pentest automatisé en 2026

Meilleures alternatives à Astra Pentest pour les tests de sécurité | Aikido Security

Comparez les alternatives à Astra Security pour le pentest IA en 2026 en termes de profondeur, de tests en boîte blanche, de résultats de conformité et d'étendue de la plateforme.

Quatre décisions de réponse aux incidents suite à la violation de données de Hugging Face

Quatre leçons de réponse aux incidents tirées de la violation de données de Hugging Face

Reconnaissance, identifiants volés, C2 caché et reconstruction ou correctif. Quatre décisions suite à la violation de Hugging Face qui montrent si vous pouvez détecter une attaque en cours.

Meilleurs outils SAST 2026

Meilleurs outils SAST 2026 : Aikido, Snyk, Semgrep et plus encore

Comparez les meilleurs outils SAST de 2026 en fonction de la profondeur de détection, du bruit, de la remédiation et de l'adéquation à l'entreprise.

Meilleurs outils de sécurité LLM pour protéger les applications d'IA

Meilleurs Outils de Sécurité LLM en 2026 | Aikido Security

Comparez les meilleurs outils de sécurité LLM pour les applications d'IA, y compris Aikido, Snyk, Semgrep, Endor Labs et Wiz, pour le code, la chaîne d'approvisionnement et le runtime.

Meilleures alternatives à Acunetix pour l'analyse automatisée des vulnérabilités

Meilleures alternatives à Acunetix pour l'analyse des vulnérabilités | Aikido Security

Vous explorez les alternatives à Acunetix ? Son DAST couvre les vérifications basées sur des règles, mais ne peut pas raisonner sur la logique métier ni produire des pentests de qualité audit. Cinq options qui vont plus loin.

Vous explorez les alternatives à Acunetix ? Son DAST couvre les vérifications standards, mais ne peut pas raisonner sur la logique métier ni produire des pentests de qualité audit. Cinq options qui vont plus loin.

Une meilleure détection générique de secrets commence par l'identification des non-secrets

Certaines clés API sont destinées à être publiques. Betterleaks les retire désormais des résultats de détection générique de secrets, réduisant ainsi des milliers de faux positifs par analyse.

L'injection SQL n'est pas morte

Les injections SQL (et Little Bobby Tables) ne sont pas mortes

Le correctif pour l'injection SQL a des décennies et fonctionne toujours. Alors pourquoi le cœur de WordPress a-t-il eu besoin d'un correctif d'urgence pour l'une d'elles ? Les données, et comment s'en défendre.

CISO de Tyro : Être l'« Einstein de la cybersécurité » ne suffit pas si les développeurs ne vous font pas confiance

Même l'Einstein de la cybersécurité a besoin de la confiance des développeurs

Arun Singh, CISO de Tyro, sur la confiance des développeurs en tant que ressource limitée, et ce qui se passe lorsque les attaques de la chaîne d’approvisionnement forcent les équipes à la dépenser.

Ce que les développeurs doivent savoir sur le DSPM et l'exposition des données dans le code

Le DSPM traditionnel identifie l'emplacement des données sensibles. Le DSPM basé sur le code détecte comment elles sont exposées et indique la correction dans votre code.

Le piège de la mise à niveau : quand la mise à niveau est la mauvaise réponse à une CVE

Pourquoi la mise à niveau pour corriger une CVE aggrave souvent les choses | Aikido

Mettre à niveau pour corriger une CVE semble simple. Mais la version corrigée casse souvent votre application, n'a pas encore été livrée, ou n'existe pas. Voici pourquoi, et ce qui fonctionne réellement.

« Mettre à jour pour corriger » suppose qu'une version corrigée existe, qu'elle a été livrée et qu'elle ne cassera pas votre application. Souvent, aucune de ces conditions n'est vraie. C'est le « piège de la mise à jour », où à la fois la mise à jour et la non-mise à jour comportent des risques de sécurité et de rupture de la production. Nous examinons à quoi ressemble la sortie.

SleeperGem : une attaque de la chaîne d'approvisionnement RubyGems cible des comptes de mainteneurs dormants

SleeperGem : deux comptes de mainteneurs RubyGems dormants ont été piratés pour injecter des malwares dans des gems de confiance, l'un d'eux comptant plus de 500 000 téléchargements au total

RCE non authentifiée dans le cœur de WordPress (wp2shell), via injection SQL

Vulnérabilité RCE non authentifiée dans le cœur de WordPress (wp2shell), via injection SQL. Corrigez la vulnérabilité dès maintenant !

Le cœur de WordPress présente une RCE non authentifiée (wp2shell), confirmée comme injection SQL. Mettez à jour vers la version 7.0.2 ou 6.9.5 dès maintenant, avec des mesures d'atténuation si vous ne pouvez pas encore appliquer le correctif. Bloquez la classe d'attaque à l'exécution avec Aikido Zen.

Meilleures alternatives à Pentera pour le pentest automatisé

Meilleures alternatives à Pentera pour le pentest automatisé | Aikido Security

Comparez les meilleures alternatives à Pentera pour le pentest automatisé en 2026. Découvrez où Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra et Astra s'intègrent le mieux.

Benchmarking de 13 modèles d'IA sur la redécouverte de CVE connues

Benchmarking de 13 modèles d'IA sur la détection de CVE connues

Nous avons testé 13 modèles d'IA contre 26 CVE connues pour voir lequel trouve le plus de vulnérabilités — et si le modèle le plus cher en vaut le coût.

Nous avons testé 13 modèles d'IA pour trouver 26 CVE connues. GPT-5.6 a trouvé le plus grand nombre, mais le modèle le plus cher n'était pas la meilleure utilisation du budget.

La checklist pratique pour se défendre contre les attaques de la chaîne d’approvisionnement

La checklist pratique des attaques de la chaîne d’approvisionnement | Aikido

Trente défenses priorisées contre la récente vague d'attaques de la chaîne d'approvisionnement logicielle. Classées critiques, élevées ou moyennes.

Packages npm AsyncAPI compromis via GitHub Actions

Cinq versions de packages, incluant des spécifications totalisant environ 2 millions de téléchargements hebdomadaires, ont livré un dropper obfusqué le 14/07/2026. Voici ce que nous avons confirmé jusqu'à présent.

Comment Aikido Intel détecte en premier les malwares et les vulnérabilités

Aikido Intel est un flux en temps réel qui détecte les malwares et les vulnérabilités non divulguées dans les écosystèmes open source, souvent dans les 8 minutes suivant leur publication.

Aikido Intel est un flux de renseignement sur la chaîne d'approvisionnement en temps réel qui détecte rapidement les malwares et les vulnérabilités non divulguées au sein des écosystèmes open source.

Découverte de huit vulnérabilités de haute gravité dans NodeBB en six heures

Huit vulnérabilités de haute gravité dans NodeBB, découvertes par notre AI Pentest en six heures. Analyse technique complète des chaînes de cross-site scripting, des contournements d'authentification et du détournement de posts.

Qu'est-ce qu'un pare-feu de dépendances ?

Qu'est-ce qu'un pare-feu de dépendances ? | Aikido Security

Un pare-feu de dépendances bloque les packages open-source malveillants avant leur installation. Découvrez comment ils fonctionnent et comment Aikido Safe Chain arrête les attaques de la chaîne d’approvisionnement.

Comment maintenir les standards de qualité du code avec le code IA et le vibe coding

Le vibe coding permet de livrer rapidement des fonctionnalités, mais génère une dette de revue. Découvrez comment les contrôles de qualité du code, basés sur des règles et des benchmarks, offrent aux équipes une réponse cohérente sur l'ensemble des PRs et des dépôts.

Le paquet @injectivelabs/sdk-ts compromis exfiltre les clés de portefeuille via une fausse télémétrie

Une version malveillante de @injectivelabs/sdk-ts a dissimulé un voleur de clés de portefeuille dans du code étiqueté comme télémétrie d'utilisation, puis l'a propagé à 17 autres paquets npm. Voici comment cela a fonctionné et comment vérifier vos projets.

Guide d'achat du pentest IA : Comment évaluer les fournisseurs de pentest IA

Guide de l'acheteur de pentest IA | Évaluer les fournisseurs de pentest IA

Découvrez comment évaluer les fournisseurs de pentest IA grâce à des critères d'achat pratiques, des recherches issues de plus de 1 000 pentests IA, et une liste de contrôle d'évaluation téléchargeable.

Découvrez comment évaluer les fournisseurs de pentest IA grâce à des critères d'achat pratiques, des recherches issues de plus de 1 000 pentests IA, et une liste de contrôle d'évaluation.

Les meilleures alternatives à Burp Suite pour les tests de sécurité des applications web

Les meilleures alternatives à Burp Suite pour les tests de sécurité des applications web | Aikido Security

Comparez les meilleures alternatives à Burp Suite pour le DAST et le pentest IA, y compris Aikido, Caido, ZAP et Invicti.

Meilleures alternatives à Chainguard 2026

Meilleures alternatives à Chainguard en 2026 | Aikido

Comparaison des meilleures alternatives à Chainguard en 2026, d'Aikido Security à Docker Hardened Images, Minimus, RapidFort et Echo.

Alternatives à Chainguard comparées pour les images de conteneurs renforcées et la remédiation des CVE sans migration forcée.

Les meilleures soirées, événements parallèles et rencontres de sécurité de Black Hat USA 2026

Un guide sélectionné des soirées, happy hours, dîners CISO et rencontres de sécurité de Black Hat USA 2026 à Las Vegas, y compris l'Omega Mart After Hours d'Aikido avec AWS et Tailscale.

Prédiction continue des MongoDB ObjectId dans Rocket.Chat

Le pentester IA d'Aikido a découvert cette faille d'accès aux fichiers dans Rocket.Chat. Un examen plus approfondi de l'ObjectId de MongoDB a révélé la faible aléatoire qui la rend exploitable.

Le pentester IA d'Aikido a découvert cette faille d'accès aux fichiers dans Rocket.Chat. Un examen plus approfondi de l'ObjectId() de MongoDB a révélé la faible aléatoirité qui la rend exploitable.

Contournement d'authentification dans la configuration par défaut de phpBB

Nos agents de pentest IA ont découvert un contournement d'authentification critique dans phpBB (CVE-2026-48611) : une seule requête non authentifiée permet de se connecter à n'importe quel compte. Découvrez l'exploit et la correction.

Aikido acquiert Root pour sécuriser la chaîne d'approvisionnement

Aikido a acquis Root pour sécuriser la chaîne d'approvisionnement logicielle, en corrigeant les vulnérabilités open source dans la version que vous utilisez déjà, sans nécessiter de mise à niveau. Les correctifs critiques sont reversés gratuitement à la communauté.

Et un autre. GitHub déploie la révocation d'urgence des identifiants

GitHub déploie la révocation d'urgence des identifiants

La révocation d'urgence des identifiants est désormais disponible sur GitHub Enterprise. Les incidents répétés impliquant Trivy et Microsoft durabletask montrent pourquoi une révocation rapide et complète était nécessaire.

GitHub Enterprise peut désormais révoquer tous les identifiants d'un compte en une seule action. L'attaque Trivy et la compromission de durabletask de Microsoft démontrent pourquoi cette fonctionnalité était attendue depuis longtemps.

npm gèle désormais les comptes à fort impact après des modifications de compte risquées

Un aperçu du nouveau gel de compte de 72 heures de npm : ce qui le déclenche, ce qu'il bloque et comment il fonctionne en parallèle avec la publication fiable et étagée.

Les meilleures alternatives à Koi en 2026

Les meilleures alternatives à Koi Security en 2026 | Aikido

Vous cherchez une alternative à Koi Security après l'acquisition par Palo Alto ? Comparez les concurrents sur la protection des appareils, l'étendue de la plateforme et les tarifs.

Action GitHub compromise codfish/semantic-release-action dérobe les secrets CI/CD

codfish/semantic-release-action a été compromise le 24 juin 2026. Les attaquants ont redirigé les tags v2–v5 vers une charge utile Miasma de vol d'identifiants ciblant les secrets CI/CD. Voici ce qui s'est passé et comment vérifier si vous êtes concerné.

Tout le monde déploie du code qu'il ne peut pas lire

Avec l'IA, tout le monde est désormais développeur, et beaucoup de code est déployé sans une révision minutieuse par des experts.

Aikido x Drydock | Un moyen pour les mainteneurs de détecter les malwares avant leur publication

Aikido s'associe à Drydock pour proposer un examen des malwares avant publication pour npm et PyPI

Aikido s'associe à Drydock pour proposer un examen des packages avant publication pour npm et PyPI. Voyez exactement ce qui se trouve dans une version avant sa publication, les malwares étant détectés avant le premier téléchargement.

Aikido s'associe à Drydock afin que les mainteneurs npm et PyPI puissent voir exactement ce qui se trouve dans une version avant sa mise en ligne. Détectez les malwares avant leur publication, pas après.

Packagist est désormais protégé par Aikido Intel et d'autres mises à jour du registre PHP

Le flux de malwares d'Aikido bloque désormais par défaut les versions de packages malveillantes dans Composer. Un aperçu de la manière dont Packagist élimine des catégories entières d'attaques de la chaîne d’approvisionnement.

Le flux de malwares d'Aikido bloque désormais par défaut les versions de paquets signalées dans Composer, pour tous ceux qui installent depuis Packagist.org, sans aucune activation nécessaire. Au cours de la dernière année, Packagist et Composer ont éliminé des classes entières d'attaques de la chaîne d'approvisionnement au niveau du registre. Voici ce qu'ils ont livré, et pourquoi chaque registre devrait fonctionner de cette manière.

Aikido x OWASP : 200 crédits gratuits pour les membres individuels

Aikido et OWASP : 200 crédits gratuits pour les membres

Les membres individuels d'OWASP obtiennent 200 crédits Aikido gratuits pour exécuter un Code Audit. Voici qui est éligible et comment réclamer les vôtres en deux étapes.

Les membres individuels de l'OWASP bénéficient de 200 crédits Aikido gratuits pour exécuter l'audit de code. Voici comment les réclamer en deux étapes.

Aikido

Plus de 140 packages npm Mastra populaires affectés par une attaque de la chaîne d'approvisionnement

141 packages npm Mastra ont été compromis lors d'une attaque de la chaîne d'approvisionnement qui a injecté une dépendance malveillante pour télécharger et exécuter silencieusement une charge utile au moment de l'installation.

Plusieurs plugins d'IDE JetBrains détectés en train de voler des clés d'API d'IA.

Une campagne coordonnée d'au moins 15 plugins d'IDE JetBrains, publiés sous sept comptes de fournisseurs, exfiltre la clé d'API de fournisseur d'IA que vous collez dans leurs paramètres.

Full Fathom Five : Le contexte de la publication publique de classe Mythos d'Anthropic

Full Fathom Five : Ce que signifie la publication publique de classe Mythos d'Anthropic

Vous n'avez jamais eu besoin de Mythos pour trouver vos IDORs et vos failles de logique métier. Un aperçu de ce qu'Anthropic a livré avec Fable 5, et pourquoi la sécurité de l'information reste fondamentalement un problème humain.

5 alternatives de sécurité à Socket et pourquoi elles sont meilleures

Socket s'est fait un nom grâce à la détection de malwares. Mais la vitesse de détection seule ne suffit plus. Voici comment Aikido et quatre autres alternatives se comparent en matière de sécurité de la chaîne d'approvisionnement, d'analyse d'accessibilité, de licences, et plus encore.

npm v12 apporte l'une des plus grandes améliorations de sécurité depuis des années

npm v12 rend les scripts d'installation opt-in par défaut, fermant ainsi le chemin d'exécution au moment de l'installation, après une année de vers de la chaîne d'approvisionnement npm, de Nx à Red Hat.

Aikido x Docker : moins de bruit, plus de signal dans vos conteneurs

Aikido prend en charge les images Docker Hardened avec VEX

Aikido prend désormais en charge les images Docker Hardened avec une intégration VEX native, aidant les équipes à réduire le bruit des CVE et à se concentrer sur les vulnérabilités des conteneurs qui nécessitent réellement une attention.

Scannez les images Docker renforcées dans Aikido avec un filtrage VEX automatique pour les CVE non exploitables.

Le code est écrit partout, et l'appareil est la seule constante

Le code est écrit partout et l'appareil est la seule constante | Aikido Security

Les développeurs codent partout. Les agents d'IA, les bots Slack et les serveurs MCP ont fait de l'appareil du développeur le plus grand angle mort en matière de sécurité.

Les SBOM en 2026 : tout le monde les génère, personne ne les utilise

Les SBOM en 2026 : tout le monde les génère, personne ne les utilise | Aikido Security

Le rapport 2026 de l'ENISA sur l'adoption des SBOM couvre 334 organisations et met en évidence un écart constant entre la génération des SBOM et leur utilisation réelle. Voici ce qui en ressort.

Le crate Rust onering compromis effectue une exfiltration de code

Le crate Rust onering v1.4.1 compromis sur crates.io a livré un fichier build.rs malveillant qui exfiltre le diff de votre dernier commit vers un endpoint Sentry hébergé à chaque build.

Vulnérabilité critique vieille de 10 ans dans phpBB affectant des dizaines de millions d'utilisateurs sur des milliers de forums

Vulnérabilité critique phpBB : Contournement d'authentification + RCE depuis 2014

Aikido Security a découvert une vulnérabilité critique de contournement d'authentification non authentifiée dans phpBB affectant des dizaines de millions d'utilisateurs. Une seule requête HTTP suffit pour prendre le contrôle de n'importe quel compte — une vulnérabilité présente dans la base de code depuis 2014.

Attendez, binding.gyp peut faire quoi ? Exploration du système de build le plus étrange de npm

Plongée approfondie dans binding.gyp, le fichier de build npm souvent négligé qui peut exécuter du code malveillant au moment de l'installation via des expansions de shell, des évasions de sandbox et le détournement de compilateur.

Qu'est-ce que l'AI SAST ?

L'AI SAST émerge comme une nouvelle catégorie de SAST, mais sa signification est peu claire. Nous clarifions la différence entre le SAST natif IA et le SAST assisté par IA, ainsi que la position de l'AI SAST dans la pile entre le SAST traditionnel et le pentest IA.

Les 5 meilleures alternatives à Tenable Nessus en 2026

Les 5 meilleures alternatives à Tenable Nessus en 2026 | Aikido Security

Tenable Nessus est un scanner puissant, mais des outils puissants que personne n'utilise ne rendent pas les logiciels plus sécurisés. Comparez cinq alternatives conçues pour la manière dont les équipes d'ingénierie travaillent réellement.

Tenable Nessus est un puissant scanner d'infrastructure, mais les outils puissants qui restent déconnectés des workflows des développeurs sont des outils que personne n'utilise. Ce guide compare cinq alternatives conçues autour de l'intégration aux workflows des développeurs, de l'étendue de l'AppSec, du coût et de l'expérience de remédiation.

Pourquoi l'EDR et les proxys ne vous sauveront pas des malwares de la chaîne d'approvisionnement

L'EDR et les proxys n'ont pas été conçus pour les malwares de la chaîne d'approvisionnement. Lorsque du code malveillant arrive via un `npm install`, cela ressemble à un comportement normal. Voici pourquoi c'est important.

Faites de la place, Mythos. Voici... à peu près n'importe quel autre modèle doté d'un bon harnais.

Faites de la place, Mythos. Voici n'importe quel modèle doté d'un bon harnais.

Mythos présente de réels avantages dans la construction de chaînes d'exploitation. Mais pour la plupart des travaux AppSec, le harnais autour du modèle importe plus que le modèle que vous choisissez.

Packages npm de Red Hat compromis pour propager un ver voleur de credentials

Plusieurs packages npm officiels @redhat-cloud-services ont été compromis par un ver voleur de credentials dérivé du malware open source Mini Shai-Hulud, ciblant les credentials cloud et les outils de développement à travers les pipelines CI/CD.

Présentation d'analyse de code par IA: détectez les vulnérabilités complexes cachées dans votre code source

SAST détecte les schémas récurrents. analyse de code par IA analyse votre code comme le ferait un pirate informatique, en identifiant les failles logiques qui n'apparaissent qu'après la mise en production.

Les modèles "agentiques" peuvent désormais trouver et enchaîner les failles logiques dans votre code source plus rapidement que n'importe quel attaquant humain. Code Audit se situe entre le SAST et les tests d'intrusion, analyse votre code statique et révèle les vulnérabilités multi-étapes avant leur déploiement.

Ce que le MDM ne peut pas protéger sur les machines de développeurs (et comment y remédier)

Ce que le MDM ne peut pas protéger sur les machines de développeurs

Les outils MDM comme Jamf et Kandji sont essentiels, mais ils ne voient pas les installations npm, les extensions d'IDE ou les outils de codage basés sur l'IA. Voici ce qui est réellement non protégé sur vos machines de développeurs et comment combler cette lacune.

La plupart des équipes de sécurité ont déployé un MDM. Le problème est que les installations npm, les extensions VS Code et les outils de codage basés sur l'IA se déroulent complètement en dehors du champ de vision du MDM. Voici ce qui est réellement non protégé et comment combler cette lacune.

Meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026

Comparez les meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026. Découvrez où Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx et GitLab s'intègrent le mieux.

Comparez les meilleures alternatives à GitGuardian pour l'analyse des secrets en 2026, y compris Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One et GitLab Secret Detection.

Une interface utilisateur distante de Codex d'apparence légitime vole secrètement vos jetons d'IA

Une interface utilisateur distante de Codex soignée, le package npm codexui-android, est en développement actif et compte des milliers d'utilisateurs hebdomadaires. Elle a discrètement exfiltré des jetons d'authentification OpenAI au cours du dernier mois.

Aikido vs XBOW : 58 % de vulnérabilités en plus détectées lors d'un benchmark indépendant

Aikido et XBOW comparés lors d'un benchmark indépendant par Doyensec. Aikido a détecté 58 % de vulnérabilités en plus pour le même prix. Découvrez le temps de configuration, les taux de faux positifs et les résultats complets.

Nous avons commandité Doyensec pour réaliser un benchmark aveugle et indépendant d'Aikido et XBOW sur les mêmes applications, au même prix. Aikido a détecté 58 % de vulnérabilités vérifiées en plus, et s'est distingué par sa configuration, sa vitesse et sa stabilité.

Pourquoi les machines des développeurs sont désormais la cible numéro un des attaques de la chaîne d’approvisionnement

Pourquoi les machines des développeurs sont la cible n°1 des attaques de la chaîne d’approvisionnement | Aikido

Les équipes d'Omnea, Cognism, Glasswall, Raisin et du secteur public britannique révèlent pourquoi les solutions EDR et MDM ne détectent pas ce qui se passe réellement sur les machines des développeurs.

Les équipes d'ingénierie et de sécurité d'Omnea, Cognism, Glasswall et du secteur public britannique ont toutes indépendamment signalé le même angle mort. Voici ce qu'elles font pour y remédier.

Une attaque de la supply chain cible les packages Laravel-Lang avec un voleur de credentials

Des attaquants ont injecté un voleur de credentials dans plus de 200 versions de packages Laravel-Lang populaires, déployant un logiciel de vol de credentials ciblant les clés cloud, les clés SSH, les navigateurs, les portefeuilles de cryptomonnaies et plus encore.

5 alternatives à Gitleaks et pourquoi elles sont meilleures

5 alternatives à Gitleaks pour une meilleure analyse des secrets en 2026

Vous cherchez une alternative à Gitleaks ? Nous comparons Betterleaks, TruffleHog, Aikido, GitHub Advanced Security et Spectral afin que vous puissiez trouver le meilleur scanner de secrets pour votre équipe.

Gitleaks n'est plus activement développé, et le paysage de l'analyse des secrets a évolué rapidement. Nous comparons les cinq alternatives les plus robustes en 2026, notamment Betterleaks, TruffleHog, Aikido, GitHub Advanced Security et Spectral, afin que vous puissiez trouver la solution adaptée à votre stack.

Merci ! Votre soumission a été reçue !

Oups ! Une erreur est survenue lors de la soumission du formulaire.

22 avril 2026

« • »

Actualités

Les meilleures soirées, événements parallèles et rencontres de sécurité de Black Hat USA 2026

Tags/

#Logiciel auto-sécurisant

17 avril 2026

« • »

Vulnérabilités et menaces

Multiples vulnérabilités de cross-site scripting (XSS) dans Mailcow

Les agents de pentest IA d'Aikido ont découvert trois vulnérabilités XSS dans Mailcow, un serveur de messagerie auto-hébergé largement utilisé. La plus sévère permettait à des attaquants non authentifiés d'injecter une charge utile dans les logs Autodiscover qui s'exécuterait lorsqu'un administrateur les consulterait, permettant une prise de contrôle complète du compte. Les trois ont été corrigées depuis la version 2026-03b.

Tags/

#Vulnérabilités

#open-source

14 avril 2026

« • »

Vulnérabilités et menaces

Axios CVE-2026-40175 : une faille critique… non exploitable

Axios CVE-2026-40175 est classée critique, mais dans les environnements Node.js réels, elle n'est pas pratiquement exploitable. Voici pourquoi.

Tags/

Aucun élément trouvé.

13 avril 2026

« • »

Actualités

Le bug bounty n'est pas mort, mais l'ancien modèle est en train de s'effondrer

Le bug bounty atteint un point de rupture alors que l'IA submerge les programmes, poussant à une transition vers des modèles de sécurité plus durables et axés sur la qualité.

Tags/

#AI

#Pentesting IA

#Outils

#Vulnérabilités

8 avril 2026

« • »

Vulnérabilités et menaces

Aikido Attack découvre plusieurs 0-days dans Hoppscotch

Aikido Attack a identifié trois vulnérabilités de gravité élevée dans Hoppscotch : une redirection ouverte menant à une prise de contrôle de compte, une XSS stockée et un contrôle d’accès défaillant permettant l'injection de requêtes inter-équipes.

Tags/

#Malware

#Pentesting IA

#open-source

18 mars 2026

« • »

Vulnérabilités et menaces

L'extension fast-draft Open VSX compromise par BlokTrooper

Une extension populaire d'Open VSX a été compromise et utilisée pour déployer un RAT et un infostealer à partir d'une infrastructure contrôlée par l'attaquant. Son historique de versions révèle la véritable histoire, avec des versions malveillantes apparaissant entre des versions saines.

Tags/

#Malware

#open-source

16 mars 2026

« • »

Vulnérabilités et menaces

Glassworm cible des packages React Native populaires de numéros de téléphone

Deux packages npm React Native populaires ont été compromis par des acteurs présumés de Glassworm et utilisés pour livrer un malware multi-étapes. Voici ce que fait le malware et ce qu'il faut rechercher.

Tags/

#Malware

#NPM

12 mars 2026

« • »

Vulnérabilités et menaces

Comment les équipes de sécurité ripostent contre les hackers alimentés par l'IA

Un seul hacker et un abonnement Claude viennent de paralyser neuf agences gouvernementales mexicaines. L'IA a conféré aux attaquants une sérieuse amélioration de puissance. Les équipes de sécurité ont besoin d'un nouveau playbook.

Tags/

#AI

#Pentest continu

#Logiciel auto-sécurisant

9 mars 2026

« • »

Actualités

La stratégie de cybersécurité de Trump pour 2026 : De la conformité aux conséquences

Tags/

#Conformité

9 mars 2026

« • »

Conformité

Comment le pentest IA fonctionne-t-il avec la conformité ?

Le pentest IA est accepté pour SOC 2, ISO 27001, HIPAA et PCI DSS. Voici ce que les auditeurs recherchent réellement et où se situent les véritables limites.

Tags/

#Pentesting IA

#Pentesting

3 mars 2026

« • »

Vulnérabilités et menaces

XSS\/RCE persistants via les WebSockets dans le serveur de développement de Storybook

Aikido Attack a découvert une vulnérabilité de détournement de WebSocket dans le serveur de développement de Storybook, pouvant entraîner un XSS persistant, une exécution de code à distance et, dans le pire des cas, une compromission de la chaîne d'approvisionnement. Nous expliquons comment un attaquant peut l'exploiter sans aucune interaction utilisateur, et il suffit qu'un développeur visite le mauvais site web pour être exposé à cette attaque.

Tags/

#Vulnérabilités

#open-source

#Pentesting

3 mars 2026

« • »

Ingénierie

Pourquoi le déterminisme est toujours une nécessité en matière de sécurité

Les outils de sécurité basés sur l'IA s'améliorent dans la détection des vulnérabilités. Cependant, les outils déterministes offrent la cohérence dont dépendent les pipelines, la conformité et les pistes d'audit. Nous examinons ce que l'analyse déterministe fait bien, où l'IA prend le relais, et comment les deux fonctionnent ensemble pour une sécurité efficace.

Tags/

#SAST

#Outils

12 août 2026

« • »

Actualités produit et entreprise

Détecter les vulnérabilités à chaque étape : quels outils utiliser et à quel moment ?

Tests d'intrusion IA

5 août 2026

« • »

Actualités produit et entreprise

La machine « Aikido » : une solution « on-prem pentest IA » qui ne quitte jamais votre réseau

pentest IA continue pour les équipes qui ne peuvent pas utiliser cloud. La solution Aikido Machine conserve les modèles, le code et les résultats entièrement au sein de votre réseau.

Tests d'intrusion IA

Annonces

Pentest continu

Cybersécurité européenne

14 juillet 2026

« • »

Actualités produit et entreprise

Comment Aikido Intel détecte en premier les malwares et les vulnérabilités

Aikido Intel est un flux en temps réel qui détecte les malwares et les vulnérabilités non divulguées dans les écosystèmes open source, souvent dans les 8 minutes suivant leur publication.

Intel

Aikido Device Protection

SCA

8 septembre 2026

« • »

Vulnérabilités et menaces

Un paquet Flutter compromis sur pub.dev contient le logiciel malveillant XCSSET

Malware

7 septembre 2026

« • »

Vulnérabilités et menaces

Shai-Hulud revient d'entre les morts après 111 jours

Une charge utile connue du ver Shai-Hulud est restée inactive pendant 111 jours, puis a été republiée sur npm, échappant ainsi au contrôle antivirus destiné à la détecter.

Intel

Malware

Vulnérabilités

7 septembre 2026

« • »

Vulnérabilités et menaces

Correctif StyleSmuggler : correctif pour les vulnérabilités RCE de Magento et Adobe Commerce

StyleSmuggler est une vulnérabilité RCE sans authentification qui touche Magento et Adobe Commerce ; il n'existe pour l'instant ni CVE ni correctif Adobe. Aikido propose déjà le correctif.

12 juin 2026

« • »

Outils et comparaisons DevSec

5 alternatives de sécurité à Socket et pourquoi elles sont meilleures

Aikido Zen

Malware

open source

19 août 2025

« • »

Outils et comparaisons DevSec

Les 13 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026

Découvrez les 13 meilleurs outils de Tests de sécurité des applications dynamiques (DAST) en 2026. Comparez les fonctionnalités, avantages, inconvénients et intégrations pour choisir la bonne solution DAST.

Outils

DAST

18 juillet 2025

« • »

Outils et comparaisons DevSec

Top 14 des outils d'analyse de conteneurs en 2026

Découvrez les 14 meilleurs outils d'analyse de conteneurs en 2026. Comparez les fonctionnalités, les avantages, les inconvénients et les intégrations pour choisir la bonne solution pour votre pipeline DevSecOps.

Outils

Analyse de conteneurs