En un coup d'œil
- SAST et SCA d'Aikido exécutés sur l'ensemble des dépôts via l'intégration GitHub
- Le plugin IntelliJ fournit des commentaires aux développeurs pendant qu'ils écrivent leur code
- L'intégration Jira transforme les résultats en tickets de correction que les développeurs peuvent prendre en charge
- Aikido AI Pentest sur le nouveau portail client terminé en 1 heure et 40 minutes
- Une vulnérabilité de sévérité élevée a été corrigée avant que le portail ne soit rendu public
- Le pentest a été exécuté en mode boîte blanche car Aikido disposait déjà d'un accès au dépôt
- Évalué face à Veracode, Checkmarx et Snyk
Enjeu
First National Bank of America est une banque familiale agréée au niveau national dont le siège est situé à East Lansing, dans le Michigan. FNBA accorde des prêts à l'échelle du pays à des emprunteurs qui ne répondent pas aux critères de prêt hypothécaire standard et, jusqu'à récemment, la quasi-totalité de ce que ses développeurs concevaient restait au sein de la banque.
À mesure que la banque se développait, les attentes des autorités de régulation à son égard augmentaient également, et la FNBA a donc décidé d’intégrer une revue de sécurité à un processus de développement qui couvrait déjà la qualité du code et la revue Java. Eric Tucker, responsable du développement logiciel, souhaitait également combler les lacunes connues de ses anciennes applications internes, qui fonctionnent sur un framework Java fortement axé sur les bases de données et datant du début des années 2000.
Le portail client est ensuite arrivé. Matt Keeler, ingénieur en gestion des identités et des accès, réalisait des pentests de réseaux internes et externes pour le compte de FNBA depuis des années, mais le code applicatif de la banque était protégé par d'autres contrôles jusqu'à ce projet. Le portail a changé la donne et, en tant qu'institution réglementée au niveau fédéral, FNBA devait effectuer un pentest de l'application avant de la rendre publique.
Solution
L'équipe de développement a agi en premier. Eric et ses collègues ont mené l'évaluation, et la rapidité avec laquelle Aikido s'est connecté aux outils existants de FNBA a fortement pesé dans la balance.
"L'intégration GitHub a été vraiment simple. C'était facile et rapide à mettre en place sur l'ensemble de nos dépôts."
Eric Tucker
Aikido analyse statique du code et les résultats des analyses de dépendances open source sont désormais signalés dans l'ensemble des dépôts de la FNBA, et l'équipe d'Eric les examine régulièrement. Le plugin IntelliJ fournit des retours aux développeurs pendant qu'ils codent, les résultats apparaissent dans les pull requests sur GitHub, et des notifications signalent les nouveaux problèmes critiques dès leur apparition. L'intégration Jira transforme ces résultats en tickets que n'importe quel développeur peut prendre en charge.
"Nous leur attribuons des mises à jour de version ou des corrections d'injections SQL alors que nous essayons de réduire les vulnérabilités de nos applications internes. N'importe lequel de nos développeurs disposant d'un identifiant GitHub peut se connecter, sélectionner une vulnérabilité, la corriger, créer le ticket, puis nous pouvons l'intégrer dans notre cycle de développement (SDLC). C'est devenu très simple à ce stade."
Eric Tucker
Une fois le portail prêt, l'équipe de sécurité a pris le relais. Matt a exécuté un test d'intrusion Aikido AI Pentest en mars 2026. Celui-ci s'est terminé en 1 heure et 40 minutes et a renvoyé les problèmes ouverts, chacun assorti d'un niveau de sévérité et d'une estimation du temps de correction, ce qui a permis à Matt d'évaluer les priorités et de confier la remédiation directement aux développeurs. Le pentest a mis en évidence une vulnérabilité de sévérité élevée, que FNBA a corrigée avant le lancement public du portail.
Pourquoi First National Bank of America a choisi Aikido
FNBA a évalué quatre ou cinq produits, citant notamment Veracode, Checkmarx et Snyk. En cours de route, l'équipe a soulevé un problème de détection qu'elle devait absolument couvrir dans sa propre base de code. Aikido a développé et déployé la solution alors que FNBA poursuivait encore les autres évaluations, ce qui a scellé la décision.
La décision concernant le pentest est intervenue plus tard, dans la continuité de la première. Aikido était déjà connecté aux dépôts de FNBA pour la sécurité du code, ce qui a permis au pentest d'analyser le code en profondeur plutôt que d'attaquer l'application de l'extérieur.
"Ce pentest en boîte blanche a eu plus d'impact car il disposait du contexte de tous les dépôts et pouvait corréler la façon dont les éléments se comporteraient réellement."
Matt Keeler
FNBA travaillait également dans l'urgence et avait besoin d'un pentest rapide et fiable, réalisé le plus vite possible.
"Nous étions soumis à une date limite et nous avons pu lancer un pentest instantanément, ce qui était fantastique. Nous avons pu lancer un pentest dans la journée qui a suivi notre décision d'utiliser Aikido."
Matt Keeler
Ce qui a motivé la décision :
- Une intégration GitHub capable de couvrir rapidement chaque dépôt
- Une fonctionnalité de détection demandée par FNBA, développée et livrée en cours d'évaluation
- Un plugin IntelliJ pour un retour d'information immédiat aux développeurs
- Une intégration Jira qui s'intègre parfaitement au SDLC existant
- Le contexte du dépôt qui a transformé le pentest en boîte blanche par défaut
- Un pentest que l'équipe a pu lancer moins d'un jour après avoir pris la décision
Résultats
Le portail a été mis en ligne avec les failles de criticité élevée résolues, grâce à la rapidité d'exécution du pentest. Selon l'estimation de Matt, l'équipe y serait parvenue tôt ou tard, mais avec des semaines, voire un ou deux mois de retard.
Du point de vue du développement, le résultat obtenu constitue un bilan qu'Éric peut présenter aux auditeurs internes et externes.
"Nous éliminons continuellement les problèmes découverts, obtenons régulièrement des rapports sur les nouvelles vulnérabilités et les problèmes de dépendances, puis nous les corrigeons."
Eric Tucker
Le temps de configuration a également compté, Eric jugeant l'installation et l'intégration d'Aikido simplissimes par rapport au coût des autres solutions, qui exigeaient des efforts de son équipe avant même de pouvoir commencer à évaluer l'outil.
Verdict final
"Avoir pu lancer immédiatement un pentest, et ce au prix où nous l'avons fait, nous a apporté une valeur incroyable."
Matt Keeler
