BlueFlag Security a élargi ses contrôles pour suivre les agents de programmation non autorisés et cartographier leurs actions tout au long du cycle de vie du développement logiciel, afin de bloquer les modifications non autorisées, de limiter l’accès aux secrets et d’exiger une approbation humaine avant que le code n’arrive en production.
Points clés à retenir
Mercredi, l’entreprise a élargi ses contrôles afin que BlueFlag Security puisse suivre les agents de programmation non autorisés et cartographier leur comportement tout au long du cycle de vie du développement logiciel.
L’entreprise a déclaré que cette faille dans le SDLC permet aux agents d’obtenir des accès, d’effectuer des actions et d’intégrer du code aux flux de travail avant que les équipes de sécurité sachent sur quoi ils sont intervenus.
BlueFlag Security suit l’agent, et pas seulement le compte du développeur, notamment les outils qu’il a utilisés et les systèmes auxquels il a pu accéder.
Une couche de gouvernance peut bloquer les modifications apportées par les agents, limiter l’accès aux secrets et exiger une approbation humaine pour certaines actions.
Dans un article publié sur son blog, l’entreprise a expliqué que la faille se situe dans le SDLC, ou cycle de vie du développement logiciel, où les agents peuvent obtenir des accès, effectuer des actions et intégrer du code aux flux de travail avant que les équipes de sécurité sachent sur quoi ils sont intervenus. Selon l’annonce, une entreprise partenaire a décrit cette extension comme une gouvernance plus large des agents d’IA à toutes les étapes du développement.
Ce problème devient de plus en plus difficile à gérer pour les équipes de sécurité, car les assistants de programmation ne se comportent plus comme de simples outils de saisie semi-automatique. Les agents les plus récents peuvent ouvrir des fichiers, appeler des services, modifier des dépôts et déclencher des actions en aval.
À lire aussi : un test de Replit montre que les robots de programmation IA échouent dans jusqu’à la moitié des nouvelles applications
Les actions des agents à travers les outils
Lorsque ces actions se répercutent dans les IDE, les systèmes d’intégration continue et les outils de gestion des tickets, une entreprise peut facilement savoir quel humain a validé le code, mais il devient plus difficile de déterminer quel agent l’a proposé, modifié ou approuvé.
L’approche du fournisseur consiste à suivre l’agent, et pas seulement le compte du développeur, c’est-à-dire à suivre les outils utilisés par un agent, les systèmes auxquels il a pu accéder et les comportements qui ont enfreint les règles. En pratique, les entreprises veulent des contrôles avant la mise en production, et pas seulement après un incident.
Une couche de gouvernance peut délimiter les endroits où un agent peut écrire du code, les secrets auxquels il peut accéder et les actions à risque nécessitant l’approbation d’un humain. Les récents lancements destinés aux entreprises vont dans le même sens : les fournisseurs promettent de plus en plus de garde-fous, de pistes d’audit et de chaînes d’approbation pour encadrer les actions des agents.
L’entreprise cherche à adapter cette gouvernance aux équipes de développement logiciel, où le code circule entre de nombreux outils et où de petites erreurs peuvent rapidement se propager.
Fonctionnement de la gouvernance des agents d’IA dans les pipelines de code : BlueFlag Security
Dans les équipes de développement logiciel, la gouvernance des agents d’IA fonctionne comme une couche de règles qui se superpose aux outils déjà utilisés par les développeurs.
Si un agent intégré à GitHub, à un IDE ou à une tâche d’intégration continue tente de lire un secret, de modifier une branche protégée ou d’appeler un service externe, le système de gouvernance peut consigner l’action, la bloquer ou la soumettre à approbation.
Cette approche diffère des anciens contrôles d’accès, généralement associés au compte d’un employé identifié. Pour les responsables de la sécurité, l’entreprise s’attaque à un angle mort qui s’aggrave à mesure que davantage d’agents agissent avec une autonomie partielle. Une entreprise peut disposer d’excellents journaux pour un développeur humain, mais de données lacunaires sur l’agent qui a réellement assemblé les modifications du code.
Il faudra surveiller si les acheteurs exigent des fournisseurs d’outils comme Microsoft, GitHub et Atlassian des données sur l’identité des agents et leurs activités, car la gouvernance ne fonctionne bien que si les outils de l’écosystème fournissent des signaux clairs.
À lire ensuite : CrowdStrike permet aux entreprises de suivre chaque action des agents Claude