En un coup d'œil
- Connexion directe d'Aikido à la source dans GitHub, GitLab et Azure DevOps, avec un lancement immédiat des scans et aucun pipeline à orchestrer
- Couverture de sécurité assurée pour toutes les équipes de l'organisation, y compris celles intégrées suite à des acquisitions
- Réduction à quelques secondes de la vérification d'exposition à une faille zero-day sur l'ensemble du périmètre
- Autonomie accordée aux développeurs pour s'intégrer avec leur compte de gestion de code source existant et gérer leurs propres problèmes
- Traçabilité des résultats, y compris les problèmes au sein des conteneurs, jusqu'au fichier exact dans le dépôt
- Migration hors de Black Duck sans lourde transition
- Création d'un agent IA sur l'API d'Aikido qui analyse l'ensemble du périmètre et génère un rapport prêt à l'emploi
Maintenir la sécurité au même rythme que le développement de l'IA
NiCE conçoit des logiciels d'expérience client et de lutte contre la criminalité financière pour plus de 25 000 organisations dans plus de 150 pays. Fondée en 1986 et cotée au NASDAQ, l'entreprise emploie plusieurs milliers de développeurs répartis sur de nombreux produits, un périmètre qui ne cesse de s'élargir au fil des acquisitions.
Matan Keret a passé environ 16 ans chez NiCE, évoluant du poste de développeur logiciel à celui d'architecte principal. Il pilote la sécurité pour l'organisation R&D et résume sa mission à l'ère de l'IA en une seule phrase.
"À l'ère de l'IA, nous devons permettre à nos équipes de travailler comme si elles n'avaient aucun souci de sécurité, tout en veillant à ce que tout reste maîtrisé et sécurisé."
Relever ce défi à l'échelle de NiCE est la partie la plus difficile. Déployer une pratique à travers plusieurs milliers de développeurs est complexe, et la sécurité l'est plus que tout.
Le défi
Obtenir des résultats impliquait de tout orchestrer
L'ancien outil de NiCE était Black Duck. Obtenir des résultats exploitables nécessitait d'orchestrer les analyses et de tout faire transiter par des pipelines avant qu'un résultat n'apparaisse. Pour une organisation de la taille de NiCE, réorchestrer l'ensemble pour changer d'outil relevait presque de l'impossible, ce qui explique pourquoi de nombreuses grandes entreprises restent sur un outil qui ne leur convient plus.
La lacune était particulièrement visible lors d'une faille zero-day
Le coût était le plus évident lorsqu'une nouvelle vulnérabilité était divulguée. L'équipe ne pouvait pas confirmer rapidement quels groupes étaient réellement couverts, car l'intégration de chaque groupe dans l'ancien outil demandait du temps et des efforts manuels. Chaque acquisition rendait la vision globale plus difficile à maintenir.
Pourquoi NiCE a choisi Aikido
Une transition proactive, et non un sauvetage
Il ne s'agissait pas d'un sauvetage. NiCE n'était pas mécontent de Black Duck. Le contrat arrivait à échéance, l'équipe entamait sa transition vers le développement d'IA et, après trois années passées sur le même outil, elle a décidé de voir ce qui se faisait ailleurs.
"Le contrat touchait à sa fin et nous pensions qu'il y avait probablement des solutions plus récentes et plus performantes sur le marché. Nous avons donc regardé ce qui existait."
Des résultats fiables pour l'équipe
Lors du test de faisabilité (PoC), l'équipe a comparé les résultats sur de véritables référentiels, l'un basé sur le cloud et l'autre plutôt sur site, et a jugé la précision d'Aikido supérieure à celle de l'outil utilisé. Les logiciels malveillants disposent de leur propre vue plutôt que d'être mélangés au reste, et les composants obsolètes (end-of-life) sont clairement signalés, deux aspects que l'outil précédent gérait mal.
Une équipe produit réactive
L'équipe derrière le produit s'est démarquée tout autant que le produit lui-même.
"L'équipe en elle-même m'a surpris. Nous avons ouvert un canal de discussion, et lorsque nous avons trouvé des problèmes, ils ont été pris en compte et corrigés très rapidement. C'est un tout autre niveau."
Une connexion directe aux référentiels
Aikido se connecte directement aux référentiels sources sur GitHub, GitLab et Azure DevOps, et l'analyse démarre immédiatement. C'est ce changement qui a rendu l'outil viable à l'échelle de NiCE, car il a supprimé le travail d'orchestration qui faisait paraître tout changement impossible.
Les dépendances étant lues directement dans les fichiers du projet, l'équipe peut remonter de n'importe quel résultat à sa source exacte. Matan raconte comment il a répondu à un développeur qui remettait en doute un résultat.
"Quelqu'un affirme qu'il ne pense pas que nous utilisions une bibliothèque. J'ouvre le référentiel, clique sur l'accessibilité (reachability), et cela affiche le fichier exact sur GitHub. Je peux leur dire : non, c'est ici, dans votre référentiel. Ça ne vient d'aucun autre endroit."
Les conteneurs bénéficient du même traitement. NiCE exécute la plupart de ses conteneurs sur ECR dans AWS, et les lier aux référentiels sources permet d'identifier facilement l'emplacement exact d'un problème dans un conteneur. Avec l'outil précédent, les images de base et les images propres aux équipes étaient analysées ensemble et mélangées, de sorte que les développeurs ne savaient pas ce qui leur incombait en termes de correction. La connexion aux référentiels a permis de dissocier les deux.
Des développeurs autonomes dès leur intégration
L'intégration (onboarding) suit le même principe. Les développeurs se connectent avec leur compte de gestion de code existant, accèdent à leurs référentiels et gèrent leurs propres problèmes sans avoir à attendre les autorisations de quiconque. Vu les effectifs de NiCE, s'affranchir de cette dépendance était primordial.
Des résultats plus propres sur lesquels l'équipe peut agir
La précision constatée lors du test de concept s'est confirmée au quotidien. Comme une alerte est liée au fichier et à la version réels, elle nécessite moins de suppositions. De plus, les alertes à faible valeur et à faible risque sont ignorées automatiquement, ce qui permet à l'équipe de se concentrer sur l'essentiel.
Répondre à une faille zero-day en quelques secondes
Le changement le plus flagrant apparaît lorsqu'une nouvelle vulnérabilité est découverte. L'équipe a développé un agent IA basé sur Aikido qui effectue des recherches dans l'ensemble du périmètre, accède au système de contrôle de version connecté et génère un rapport prêt à l'emploi.
"Lorsqu'une faille zero-day survient, nous pouvons analyser chaque espace de travail en quelques secondes et savoir exactement où nous sommes exposés, si nous le sommes. Nous n'avions pas cette visibilité auparavant."
Cette confiance s'étend également aux acquisitions. Là où l'ancien outil ne permettait pas à l'équipe de confirmer si un nouveau groupe était couvert, la protection est désormais en place sans suivi manuel.
La prochaine étape pour NiCE
NiCE s'appuie sur Aikido pour l'analyse de la composition logicielle, l'analyse des conteneurs, l'analyse des licences, la détection de logiciels malveillants et de fin de vie, l'analyse d’accessibilité, AutoTriage, ainsi que pour l'accès via l'API et le serveur MCP, chaque produit se distinguant dans sa catégorie.
La prochaine étape évidente concerne l'assistance par IA. L'équipe souhaite que chaque développeur puisse accéder à Aikido via le serveur MCP depuis son agent de code, afin que le code soit vérifié dès sa création. Elle développe également un tableau de bord Power BI basé sur l'API Aikido pour assurer un reporting global à l'échelle de l'organisation. La gestion de la posture cloud, le scoring EPSS, le suivi des SLA et la protection des appareils sont actuellement en cours d'évaluation.
Verdict final
Le conseil de Matan aux autres grandes entreprises est direct.
"Si vous utilisez des outils traditionnels et que vous avez l'occasion de regarder ailleurs, faites une vraie comparaison. Vous pourriez être surpris par ce que vous trouverez."
Invité à résumer l'impact sur NiCE, il s'en est tenu à l'objectif initial de l'outil.
"Il nous a aidés à sécuriser considérablement nos workflows de développement par IA et a renforcé notre niveau de sécurité sur l'ensemble de nos produits."
