En un coup d'œil
- Aikido Device Protection pour environ 1 000 postes, répartis entre l'ingénierie et les équipes non techniques
- Une évolution par rapport à Aikido Safe Chain, que Deriv utilisait déjà dans ses pipelines GitHub
- Un Software Bill of Materials (SBOM) complet pour chaque appareil protégé, interrogeable via l'API d'Aikido
- Corrections de CVE critiques qui contournent la règle des 48 heures d'ancienneté minimale des paquets
- Alertes de Device Protection intégrées au flux d'investigation de Deriv
- Couverture étendue à d'autres systèmes d'exploitation au fur et à mesure du déploiement du support
Les assistants de code IA peuvent extraire n'importe quel paquet d'un registre public
Deriv propose du trading 24h/24 et 7j/7 sur le forex, les indices dérivés, les actions, les indices boursiers, les matières premières, les cryptomonnaies et les ETF, avec pour mission de rendre le trading accessible à tous, partout.
Deriv étant une plateforme financière, David Usher (VP of Security Engineering) et son équipe font de la sécurité leur priorité absolue, et une grande partie de ce travail s'articule autour de la chaîne d'approvisionnement logicielle. L'équipe utilise l'IA des deux côtés de cette équation, pour les tests d'attaque et pour la défense.
Deriv compte plus de 300 développeurs, et n'importe lequel d'entre eux peut à tout moment récupérer un paquet depuis un registre public. Plus encore, leurs assistants de codage IA tels que Cursor et Claude Code le font désormais constamment.
"Nous devons nous assurer que ces paquets ne contiennent pas de logiciels malveillants. Il est donc très important de disposer d'un mécanisme de protection."
Deriv disposait déjà d'une première couche de protection. Avant d'acheter un produit commercial, l'équipe exécutait Aikido Safe Chain — le wrapper open-source qui analyse les paquets à la recherche de malwares avant qu'un gestionnaire de paquets ne les installe — dans ses pipelines GitHub et sur ses appareils. Selon David, l'outil a fait un excellent travail, mais la visibilité restait un point faible : l'équipe ne pouvait pas voir tout ce qui était déjà installé sur chaque machine.
Prévention sur chaque appareil
Pour David, Device Protection pousse l'approche de Safe Chain un peu plus loin en prévenant les malwares directement sur l'appareil. Deriv l'exécute désormais sur environ 1 000 appareils répartis sur plusieurs systèmes d'exploitation. Cela donne à l'équipe de sécurité une vue d'ensemble de chaque appareil enregistré et des versions qu'il exécute. Chaque appareil transmet également son Software Bill of Materials (SBOM), un inventaire des paquets installés dans l'ensemble des écosystèmes.
"Nous pouvons consulter le Software Bill of Materials (SBOM) complet de chaque appareil, ce qui nous offre une visibilité supplémentaire sur les paquets présents sur les machines."
L'équipe teste régulièrement la configuration à l'aide des paquets de test fournis par Aikido pour les écosystèmes pris en charge. David a également mis en place une automatisation des alertes : si Device Protection empêche un malware de pénétrer dans l'organisation, l'équipe des opérations de sécurité de Deriv analyse immédiatement l'origine de la tentative d'installation.
Pourquoi l'agent installé sur l'appareil a fait la différence lors de l'évaluation
Deriv a examiné d'autres outils avant de choisir Aikido. Cependant, Aikido s'appuie sur un agent exécuté sur chaque appareil, une architecture que David a jugée plus difficile à contourner que les approches centralisées évaluées par Deriv. Cela offre également à l'équipe de sécurité le contexte nécessaire en cas d'incident.
"Si une alerte se déclenche, il est primordial de comprendre qui a fait quoi, où et quand. Nous pouvons ainsi enquêter immédiatement et nous assurer de contenir tout autre incident potentiel sur cet appareil."
Contrôles rétrospectifs et correctifs critiques immédiats
David a utilisé l'inventaire des appareils pour rechercher les paquets obsolètes présents sur les machines avant le déploiement, ce qui s'est avéré rassurant. Cet inventaire alimente également les contrôles rétrospectifs. Aikido Intel détecte rapidement les nouveaux malwares, et lorsqu'un paquet est identifié comme malveillant après sa sortie, l'automatisation de Deriv vérifie si cette version est présente sur la machine d'un utilisateur.
La protection des appareils permet également de traiter les correctifs urgents rapidement. Sa période minimale de rétention retient les versions nouvellement publiées pendant 48 heures par défaut, ce qui bloque les attaques basées sur des logiciels malveillants fraîchement parus. Lorsqu'une nouvelle version corrige une CVE critique, la protection des appareils la laisse désormais passer immédiatement, tout en appliquant des contrôles. Cette opération est effectuée automatiquement et uniquement pour cette version, de sorte que l'équipe de Deriv n'a rien à configurer.
"Il ne faut pas attendre deux jours pour pouvoir appliquer un correctif à une CVE critique. C'est bien là tout l'intérêt."
Cette exception avait été soulevée lors des discussions entre Deriv et Aikido. David formule ses demandes dans un canal de support partagé avec l'équipe d'Aikido, et il compte au moins deux nouveaux écosystèmes ajoutés depuis le début de leur collaboration avec Deriv, notamment la prise en charge de Homebrew et de Linux.
"Beaucoup d'autres entreprises peuvent se montrer très léthargiques dans leurs réactions. Elles l'ajoutent à leur feuille de route et y reviennent six mois plus tard, mais à ce moment-là, il est trop tard et nous sommes passés à autre chose."
Une couverture au-delà de l'ingénierie
Deriv répartit ses licences de protection des appareils entre les équipes d'ingénierie et les équipes non techniques.
"Les équipes non techniques deviennent plus techniques et tout le monde utilise l'IA pour accomplir ses tâches, il est donc primordial d'utiliser Aikido à l'échelle de toute l'entreprise."
N'importe qui pourrait essayer d'installer un logiciel non approuvé. Deriv dispose d'autres contrôles pour cela, et le même inventaire d'appareils contribue également à la conformité. Pour intégrer un plus grand nombre de ses machines dans cet inventaire, Deriv étend la protection des appareils à davantage de systèmes d'exploitation maintenant qu'Aikido les prend en charge.
Résoudre ensemble le problème de la chaîne d'approvisionnement
David l'affirme clairement : aucune solution n'est parfaite. Ce qu'il apprécie, c'est un fournisseur qui avance au rythme de Deriv. Deriv utilise l'IA pour livrer rapidement, et il constate la même réactivité dans la façon dont Aikido réagit :
"On a l'impression de travailler ensemble pour améliorer le produit ainsi que pour résoudre le problème de la sécurité de la chaîne d'approvisionnement."
