Récemment, Sangfor AI a obtenu des résultats exceptionnels sur CyberGym , une plateforme de référence internationale pour l'évaluation des capacités de sécurité de l'IA. Sangfor AI a relevé l'ensemble des défis de vulnérabilité extrêmement complexes, incluant ARVO et OSS-Fuzz, et a résolu avec succès 1 301 des 1 507 tâches, atteignant ainsi un taux de réussite global de 86,3 %. Lors de cette évaluation, Sangfor AI a rivalisé avec des modèles et agents issus des plus grands acteurs mondiaux de l'IA, tels qu'OpenAI, Anthropic et Meta, se classant finalement parmi les quatre premiers au niveau mondial.
En tant que référence en matière d'évaluation de la sécurité de l'IA, CyberGym dépasse les tests théoriques statiques ou à petite échelle traditionnels pour se concentrer sur des défis complexes et concrets. La plateforme couvre un large éventail de projets logiciels libres courants et de vulnérabilités historiques particulièrement difficiles (telles que ARVO et OSS-Fuzz). Elle teste les capacités des grands modèles et agents de sécurité en matière de raisonnement, de reproduction des vulnérabilités et de validation de preuve de concept (PoC) sur des bases de code massives, dans des contextes complexes et au sein d'environnements adverses à plusieurs étapes. Grâce à son adéquation étroite avec les scénarios de défense industriels réels et à ses normes de vérification rigoureuses, CyberGym est reconnu comme l'un des bancs d'essai les plus prestigieux et les plus fiables au monde pour évaluer les capacités opérationnelles réelles des modèles de sécurité du code.
L'architecture derrière les 86,3 % : la collaboration entre essaims d'agents
La recherche de vulnérabilités ne se limite pas à une simple analyse de code ou à la génération d'une preuve de concept. Il s'agit d'un processus continu de formulation d'hypothèses, de collecte de preuves, d'élimination des pistes erronées et de formulation de conclusions finales, même en présence d'informations incomplètes. Si un modèle unique peut effectuer un raisonnement localisé, la gestion stable de l'exploration de chaînes de tests complexes, des hypothèses parallèles et d'une validation rigoureuse exige un mécanisme système capable d'organiser, de conserver et de contraindre ces capacités. Pour relever ce défi, plutôt que de s'appuyer sur un simple empilement probabiliste, Sangfor AI a développé une architecture collaborative de type « essaim d'agents » et introduit un mécanisme rigoureux de gouvernance des preuves. Ceci garantit la clarté et la crédibilité de chaque étape de l'investigation de vulnérabilités.
- Exploration : L’essaim d’agents élargit le champ de recherche en ouvrant des investigations indépendantes et clairement délimitées autour d’hypothèses de sécurité distinctes. Cela permet d’examiner en parallèle des explications complémentaires sans contamination croisée, garantissant ainsi qu’une hypothèse non étayée ne devienne pas tacitement une prémisse partagée.
- Preuves : Les enquêtes se coordonnent grâce aux preuves plutôt qu’à l’historique complet des conversations. Les observations validées et les pistes infirmées restent accessibles, ce qui signifie que les preuves persistent d’une enquête à l’autre et qu’il n’est pas nécessaire de redécouvrir des pistes erronées.
- Évaluation : Un coordinateur utilise l’évolution des données probantes pour déterminer quelles hypothèses restent plausibles, quelles questions demeurent sans réponse et où des investigations supplémentaires sont justifiées. Les tours successifs permettent ainsi de réduire l’espace de recherche en fonction des données probantes.
- Examen : Ce n’est que lorsque les preuves étayent une stratégie de déclenchement concrète que le système élabore une entrée candidate et la soumet à un examen contradictoire. Cet examen vérifie la reproductibilité de la défaillance observée ainsi que son lien avec la vulnérabilité identifiée. Une entrée candidate rejetée peut servir à réorienter l’investigation, transformant un jugement négatif en une contrainte pour l’étape de recherche suivante. Seule une entrée candidate ayant passé avec succès cet examen rigoureux devient la solution de sécurité finale du système.
Comme le souligne la conception technique de l'équipe projet : « Les hypothèses élargissent le champ de recherche. Les preuves déterminent la conclusion. » Ce mécanisme permet au système d'explorer de multiples hypothèses tout en maintenant un niveau de preuve extrêmement élevé avant de tirer des conclusions. Au final, cette approche a atteint un taux de réussite de 87,2 % sur les tâches ARVO, de 77,7 % sur les tâches OSS-Fuzz et un taux de réussite global de 86,3 %.
Intégrer les innovations dans le développement de l'entreprise
Avec les progrès rapides de l'IA, les attaquants exploitent ces technologies pour abaisser considérablement les barrières à l'analyse et à l'exploitation des vulnérabilités, réduisant ainsi le délai entre la découverte d'un bug et son exploitation à grande échelle. Pour les entreprises, il est impératif d'identifier, de valider et de corriger les vulnérabilités avant les adversaires. Par conséquent, les tests de sécurité statiques des applications (SAST) traditionnels, basés sur la correspondance de règles, doivent rapidement évoluer vers des agents de sécurité dotés de capacités de raisonnement autonome, de compréhension du code, d'analyse de la logique métier et de validation des vulnérabilités. Ces nouveaux agents de sécurité doivent non seulement identifier avec précision les vulnérabilités classiques telles que l'injection SQL et l'exécution de commandes, mais aussi comprendre en profondeur les flux de travail complexes des entreprises afin de déceler les problèmes à haut risque – comme les failles de contrôle d'accès et les contournements d'authentification – que les outils traditionnels peinent à détecter. Parallèlement, l'utilisation de modèles de grande envergure pour réaliser des avancées majeures dans les systèmes de sécurité de développement pilotés par l'IA est essentielle pour maintenir le cap en matière de sécurité du code.
Un classement parmi les leaders de CyberGym représente bien plus qu'une simple performance ; il démontre les capacités concrètes des agents de sécurité IA dans des scénarios de sécurité du code d'entreprise réels. Sangfor AI renforce ainsi l'ensemble de sa gamme de produits, s'intègre pleinement au cycle de vie du développement en entreprise et apporte une valeur ajoutée considérable aux utilisateurs.
- Amélioration de la détection des vulnérabilités : surmonter efficacement les limitations des méthodes SAST traditionnelles en identifiant de manière exhaustive les failles de logique métier, les élévations de privilèges et les contournements d’authentification, élargissant ainsi considérablement la couverture de sécurité du code.
- Réduction des coûts d'audit manuel : tirer parti de l'IA pour automatiser la compréhension du code, l'analyse de corrélation entre fichiers, le raisonnement sur les chemins d'attaque et la validation des risques, réduisant ainsi considérablement la charge de travail manuelle des experts en sécurité.
- Minimiser les faux positifs et améliorer l'efficacité : s'appuyer sur un raisonnement à plusieurs étapes et des mécanismes rigoureux de validation des preuves pour réduire les taux de faux positifs, permettant ainsi aux développeurs de se concentrer sur les risques qui nécessitent réellement une correction et d'éviter les modifications inefficaces.
- Raccourcir le cycle de développement et de livraison : décaler les tests de sécurité vers la phase de codage et les pipelines CI/CD pour obtenir un « audit automatique dès la validation du code », réduisant ainsi les coûts de reprise en fin de cycle et accélérant le déploiement commercial.
- Amélioration de la sécurité globale de l'entreprise : Aider les entreprises à mettre en place des défenses de sécurité plus robustes plus tôt dans le processus de développement, réduisant ainsi les risques de non-conformité et financiers liés aux violations de données et aux perturbations des activités, tout en protégeant les opérations numériques.
Pour les entreprises, la valeur fondamentale des agents de sécurité IA va bien au-delà de la simple détection de bugs. Elle réside dans la réalisation d'un bond en avant simultané en matière d'efficacité de développement et de sécurité du code grâce à une précision accrue, une réduction des interventions manuelles et une capacité de réponse plus rapide.
Cette performance exceptionnelle, qui place Sangfor AI parmi les solutions de sécurité IA leaders en Chine lors de l'évaluation CyberGym, marque une étape importante dans sa progression vers une sécurité intelligente du code. À l'avenir, nous continuerons d'innover dans les technologies de sécurité des modèles à grande échelle, de transformer les capacités de pointe en outils concrets pour les entreprises et de rendre la transformation numérique plus simple et plus sûre pour tous.
