Lorsque Nansen a fourni un agent autonome OpenClaw à chaque employé, toute l'entreprise s'est mise à écrire et à exécuter du code. Son responsable de la sécurité a dû protéger chaque machine sans ralentir l'activité.
En un coup d'œil
- Extension de la protection des appareils à toutes les machines chez Nansen, tant pour les développeurs que pour les non-développeurs
- La protection des appareils a détecté et résolu automatiquement un package npm risqué en production, sans bloquer le build
- Extension en cours de la protection des appareils aux agents IA autonomes utilisés par chaque employé
- Consolidation de huit outils spécialisés en une seule plateforme pour le code et le cloud
Lorsqu'une application d'analyse intègre un terminal de trading
Nansen transforme les données on-chain en signaux de trading pour les investisseurs en cryptomonnaies. Fondée en 2020, l'entreprise s'est forgé une réputation grâce à ses analyses et propose désormais une plateforme de trading permettant aux utilisateurs d'effectuer des transactions on-chain directement depuis leurs propres portefeuilles.
Mads Havmand est responsable de la sécurité chez Nansen. Dès que les utilisateurs ont commencé à effectuer des transactions via Nansen, une faille de sécurité risquait de leur coûter non seulement de l'argent, mais aussi des données, et son modèle de menace a évolué en conséquence.
Le Web3 lui a apporté un avantage : le risque est plus facile à expliquer. Les gens comprennent déjà que si l'on ne détient pas les clés, les fonds ne nous appartiennent pas. Une jeune entreprise qui cherche à faire ses preuves doit agir rapidement, et Mads affirme sans détour que la sécurité revient à « introduire des frictions » et que « les frictions sont l'antithèse du progrès ».
« Agir vite et casser des choses », ça marche quand on est une application web branchée. Mais quand ces dysfonctionnements peuvent coûter de l'argent aux utilisateurs, ça me met mal à l'aise.
Le défi
L'IA a transformé toute l'entreprise en équipe de développement.
Nansen a fait le pari audacieux de l'IA en fournissant à chaque employé son propre agent autonome OpenClaw. Ainsi, des collaborateurs bien au-delà de la simple équipe d'ingénierie se sont mis à écrire et exécuter du code.
Nous sommes passés de 30 développeurs à "tout le monde est développeur".
Il ne pouvait pas poster un ingénieur de sécurité derrière chaque développeur, et il refusait d'isoler la sécurité dans son coin en laissant les autres supposer que ce n'était pas leur rôle. Les agents s'exécutaient sur deux fronts : les ordinateurs portables personnels des collaborateurs et des instances OpenClaw partagées. La surface à couvrir s'est donc élargie dans les deux directions simultanément.
npm était la source de ses insomnies.
Mads tient à jour une liste de ses sources d'inquiétude, et npm figurait tout en haut.
J'ai beau essayer d'éradiquer npm de notre infrastructure, il reste des cas où cela demeure la meilleure option, et je dois faire avec.
Un seul paquet malveillant sur un seul ordinateur portable pouvait atteindre la production.
La protection des appareils est arrivée au moment opportun.
Aikido a lancé Device Protection, répondant exactement au problème que Mads essayait de résoudre depuis plus d'un an. Il a alors pris la décision de le déployer immédiatement.
Chaque machine chez Nansen est désormais couverte.
Les développeurs ont adhéré, tout comme l'équipe financière qui gère désormais ses propres agents IA. La tarification par utilisateur était suffisamment abordable pour que Mads achète également des licences de développement, permettant à ses ingénieurs de se connecter directement à Aikido pour traiter leurs propres problèmes. Device Protection a éliminé l'un des principaux sujets qui le privaient de sommeil.
Il collabore désormais avec Aikido pour étendre la protection d'une couche supplémentaire, directement sur les instances OpenClaw partagées. Ainsi, les agents sont protégés où qu'ils s'exécutent, et plus seulement sur les ordinateurs portables qui les pilotent.
Une protection qui fonctionne tout simplement
Tard un soir, alors qu'il travaillait sur un projet open source, Mads a cloné une base de code, l'a vérifiée manuellement puis l'a installée. Un paquet a déclenché le contrôle d'âge de Device Protection et il a reçu un avertissement. Son agent a trouvé de manière autonome une version contournant la restriction, permettant ainsi à l'application de s'exécuter normalement.
J'ai reçu la notification m'indiquant que j'étais protégé, mais sans compromettre le bon fonctionnement de l'application.
Il était protégé sans subir de ralentissement, trouvant enfin l'équilibre qu'il recherchait entre sécurité et rapidité d'exécution.
Bien plus qu'une protection des appareils : une vue unifiée sur le Code et le cloud
Si Device Protection a résolu le problème des terminaux, Mads s'était initialement tourné vers Aikido pour un besoin plus vaste : la visibilité.
Je ne peux pas protéger ce que je ne connais pas ; c'est pourquoi j'ai d'abord utilisé Aikido pour avoir une vue d'ensemble de tous les actifs d'cloud .
Aikido lui a offert la vue d'ensemble et le filtrage par sévérité dont il avait besoin au même endroit, remplaçant la solution hétérogène qu'il avait assemblée à partir de GitHub, Dependabot et des outils natifs de Google Cloud.
Je ne peux pas jongler avec huit outils différents. J'ai besoin d'une interface unique pour centraliser et prioriser les actions, et pour moi, Aikido a été cette solution.
Comme Aikido se connecte à des projets et des dépôts GCP individuels, il peut identifier précisément le dépôt associé au terminal de trading et se concentrer sur celui-ci, tout en gardant à l’œil les problèmes présentant moins de risques sans pour autant qu’ils le gênent. Il gère Aikido en tant que responsable des données de l’équipe de sécurité, utilisant lui-même les outils et ne transmettant aux ingénieurs que les résultats vérifiés. Cela lui permet de préserver son atout le plus précieux auprès des ingénieurs chargés des corrections : la confiance. AutoTriage filtre et regroupe les informations superflues, de sorte que ce qu’il transmet mérite une action concrète et qu’aucun faux positif ne vienne jamais compromettre les relations qu’il a établies.
La monnaie de la sécurité, c'est la confiance. Lorsque je transmet quelque chose, je dois m'assurer qu'il s'agit d'un vrai positif.
Pourquoi Nansen a choisi Aikido
Plusieurs éléments ont facilité la décision :
- Une offre gratuite qui a permis à Mads de s'inscrire, d'intégrer des projets de test et de présenter un résultat concret à son vice-président de l'ingénierie, au lieu de s'engager dans un processus de vente de plusieurs mois
- Une tarification par utilisateur qui couvre à la fois les développeurs et les non-développeurs
- Une protection des appareils arrivée exactement au moment où les risques liés aux agents IA et les attaques de la chaîne d'approvisionnement ont atteint leur paroxysme
- Une interface unique remplaçant les huit outils spécialisés qu'il utilisait auparavant
Les prochaines étapes pour Nansen
Utilisation actuelle
- Protection des appareils sur l'ensemble des machines de l'entreprise
- Analyse du code sur l'ensemble des répertoires
- Posture de sécurité du cloud et gestion des actifs sur Google Cloud
- AutoFix pour les corrections de dépendances et de code
- AutoTriage pour la gestion des incidents
Prochainement
- Intégration de toute l'équipe de développement dans Aikido afin que les ingénieurs voient et résolvent les problèmes directement
En évaluation
- Revue de PR approfondie
- Pentest IA
Verdict final
Maintenant que vous avez ajouté la protection des appareils, je ne vais peut-être plus jamais quitter Aikido.
