Chainguard a annoncé le lancement de Harness, une plateforme de sécurité alimentée par l’intelligence artificielle, conçue pour détecter et corriger les vulnérabilités exploitables dans le code des applications, y compris des défauts susceptibles de ne pas être repérés par les outils d’analyse de sécurité traditionnels. La plateforme utilise des modèles avancés, notamment Claude Mythos 5.1 d’Anthropic, tandis que les détails des modèles mis à la disposition des clients en dehors du programme Project Glasswing ne sont pas divulgués.
Chainguard a déclaré que Harness avait découvert des vulnérabilités graves dans des dépôts ayant déjà fait l’objet d’analyses de sécurité approfondies, notamment dans des logiciels utilisés au sein d’infrastructures critiques. L’entreprise n’a toutefois pas révélé les noms des projets concernés, la nature des défauts ni s’ils avaient été corrigés. Il est donc impossible d’évaluer la portée des résultats ou leur possibilité de généralisation à partir des informations publiées.
Un lancement qui dépasse l’analyse des conteneurs
Harness constitue le cœur d’une offre de lancement comprenant quatre produits et mises à jour, qui élargit le périmètre de Chainguard, jusque-là centré sur les images de conteneurs et les dépendances sécurisées, aux environnements d’exécution des agents de programmation et à la validation au sein des pipelines d’intégration continue. Cette offre comprend Workspaces, Checks et des extensions de la protection de Libraries.
Les clients peuvent utiliser Harness sans accès direct à Claude Mythos 5.1. Le produit sera également disponible via Claude Marketplace, ce qui permettra aux équipes d’utiliser leurs engagements de dépenses actuels auprès d’Anthropic au lieu de créer un budget distinct. Chainguard n’a pas précisé quels modèles prendraient en charge la détection des vulnérabilités pour les clients ne participant pas à Project Glasswing.
Isoler les agents de programmation des systèmes internes
Chaque développeur ou agent de programmation dispose d’une microVM isolée matériellement, avec des politiques réseau qui limitent l’accès aux systèmes internes. Les identifiants restent à l’extérieur de l’environnement de l’agent, tandis que des journaux signés enregistrent les activités exécutées afin de fournir une piste d’audit à travers plusieurs sessions autonomes.
L’environnement utilise des politiques de sortie déclarées qui peuvent mettre fin à la microVM en cas de tentative de connexion non autorisée. Les environnements d’exécution ne conservent pas non plus d’identifiants à long terme : un agent exécuté sur l’hôte injecte des données d’identification à courte durée de vie dans les requêtes sortantes.
Intégrer les tests CI au cycle de l’agent
Chainguard Checks permet aux agents de programmation d’exécuter des analyses d’intégration continue pendant le développement, puis de lire les états d’échec et de modifier le code avant l’ouverture d’une demande de fusion. Le service utilise des instantanés prêts à l’emploi contenant les dépendances afin d’éviter de reconstruire l’environnement à chaque exécution, et les met à jour en arrière-plan lorsque le fichier de verrouillage change.
Chaque élément du workflow est exécuté dans une microVM distincte construite à partir de paquets Chainguard OS, avec des chaînes d’outils compatibles FIPS. Les exécutions réussies produisent des attestations signées liées à l’environnement d’exécution, aux résultats des tests et à l’engagement logiciel, afin que les passerelles d’intégration puissent les vérifier sans réexécuter l’ensemble du groupe. Checks est actuellement disponible en version bêta.
Pourquoi cette actualité est-elle importante ?
Chainguard met en lumière un écart pratique entre la rapidité avec laquelle l’intelligence artificielle détecte les défauts et la lenteur de leur correction. Selon une enquête commandée par l’entreprise et menée par Wakefield Research auprès de 1 300 responsables de la sécurité dans neuf marchés, plus de la moitié des organisations déclarent laisser parfois des vulnérabilités élevées ou critiques non corrigées. Cette proportion atteint 66 % chez les entreprises dont le chiffre d’affaires dépasse un milliard de dollars, contre 27 % chez celles dont le chiffre d’affaires est inférieur à 250 millions de dollars.
Selon Chainguard, l’intelligence artificielle peut détecter les défauts et les corréler en quelques minutes, tandis que la remédiation reste limitée par les calendriers des produits et la continuité du service. En pratique, Harness ne fournit pas à lui seul de solution automatique au problème de la correction : la source ne précise pas le taux de réussite des corrections, ne répertorie pas les vulnérabilités découvertes et n’indique pas le temps nécessaire à leur traitement. La valeur du produit reste donc liée à la capacité des équipes à examiner les résultats et à intégrer les modifications en toute sécurité.
En parallèle, Chainguard Libraries ajoute des points d’accès sécurisés pour les paquets Go et .NET, et étend le traitement des CVE à JavaScript et Go, avec des projets d’extension de la prise en charge de Java et Python. Ces changements visent à traiter de nouveaux défauts, notamment des vulnérabilités présentes dans des dépendances que les agents de programmation auraient déjà ajoutées aux projets, en s’appuyant sur Chainguard Repository et sur son partenariat avec Cursor.