Allez, débarrassez-moi le plancher et corrigez vos vulnérabilités !

Aujourd’hui, je suis absolument ravi d’annoncer notre toute dernière innovation dans le domaine de la sécurité : notre nouvel outil CLI, Greybeard. Après des années à donner des conseils de sécurité polis et professionnels, nous avons compris que ce dont les développeurs ont vraiment besoin, c’est d’un expert virtuel en sécurité irascible, qui ne mâche pas ses mots.

Le problème des outils de sécurité actuels

Soyons honnêtes : les résultats des analyses de sécurité classiques sont aussi passionnants que de regarder la peinture sécher. Vous obtenez une liste aseptisée de CVE, des niveaux de gravité et des étapes de correction. Bâillement.

Après avoir passé d’innombrables heures à examiner des constats de sécurité avec des développeurs, j’ai remarqué une tendance : plus le message a de personnalité, plus il a de chances de marquer les esprits.

Réfléchissez-y. De laquelle vous souviendriez-vous le mieux ?

1. « Vulnérabilité détectée : CVE-2023-1234 (élevée) »

2. « NOM D’UN PETIT BONHOMME ! Vous avez une fuite mémoire grande comme le Texas ! J’ai vu des développeurs débutants écrire du meilleur code les yeux fermés ! »

Découvrez Greybeard : l’outil de sécurité au sale caractère

Greybeard est un outil CLI révolutionnaire qui enveloppe les puissantes capacités d’analyse de sécurité de Snyk dans la personnalité de cet ingénieur sécurité chevronné et grincheux, qui a tout vu et que votre code n’impressionne pas du tout.

Voici ce qui rend Greybeard si spécial :

• Des retours sans détour : Greybeard n’édulcore pas les vulnérabilités : il vous dit sans fard ce qui ne va pas dans votre sécurité.

• Une sagesse contextualisée : fort de plusieurs décennies d’expérience simulée en sécurité, Greybeard ne se contente pas de repérer les problèmes : il explique avec verve pourquoi votre vulnérabilité ferait pleurer n’importe quel professionnel de la sécurité qui se respecte.

• Des insultes motivantes : rien de tel que l’équivalent numérique d’une remontrance sévère d’un expert déçu pour vous motiver à corriger les problèmes de sécurité.

Comment fonctionne Greybeard : une IA élémentaire

Alors, comment fonctionne Greybeard ? Comme tout le reste aujourd’hui, Greybeard s’appuie sur l’IA. Pour utiliser l’outil, vous devez définir une clé API OpenAI dans une variable d’environnement nommée OPENAI_API_KEY.

Greybeard fonctionne exactement comme Snyk CLI. Lorsqu’il est exécuté, il transmet tous les arguments CLI à l’outil Snyk CLI sous-jacent, capture la sortie Snyk d’origine et l’« enrichit » de la personnalité de notre vieux grincheux.

L’outil est développé en Go, entièrement open source, fonctionne sur Mac, *nix et Windows et s’installe facilement. Vous pouvez consulter le dépôt GitHub ici.

Exemples concrets

Lors de nos tests internes de Greybeard, nous avons constaté que les développeurs avaient 412 025 % plus de chances de se souvenir des vulnérabilités et de les corriger lorsqu’elles étaient présentées ainsi :

====================
LISTEN HERE, YOUNGSTER!
====================

I just found a critical prototype pollution vulnerability in your lodash dependency.
Back in MY day, we vetted our dependencies manually before adding them to our projects!

What are they teaching in coding bootcamps these days?! 
I've seen more secure code written on napkins at the 1999 DefCon!

FIX THIS: npm update lodash to version 4.17.21 or later.

And while you're at it, consider a career in basket weaving instead.
*grumbles incoherently about modern development practices*

La science derrière les messages de sécurité mémorables

Il ne s’agit pas seulement de s’amuser (même si je mentirais en disant que je n’ai pas pris plaisir à donner sa personnalité à Greybeard). Cette approche repose sur de véritables mécanismes psychologiques :

• Les informations transmises avec émotion sont traitées différemment et retenues plus longtemps.

• L’humour crée des associations positives avec des tâches de sécurité autrement fastidieuses.

• Les retours originaux, portés par un personnage, se distinguent du flot d’alertes quotidiennes.

Pour commencer avec Greybeard

Se lancer avec Greybeard est plus facile que de me convaincre d’utiliser un framework JavaScript :

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/snyk-labs/snyk-cli-greybeard/refs/heads/main/install.sh)"

Il vous suffit ensuite d’exécuter :

greybeard

Et préparez-vous à recevoir des conseils de sécurité d’une franchise brutale.

L’avenir de la sécurité, c’est… la personnalité ?

Greybeard est peut-être né comme un projet amusant pour le poisson d’avril, mais l’idée qui le sous-tend est sérieuse : rendre les retours de sécurité plus engageants, mémorables et efficaces.

Nous sommes vraiment curieux de voir comment les développeurs réagiront à cette approche. Ajouter de la personnalité aux outils de sécurité pourrait-il aider à combler le fossé entre les constats de sécurité et les actions des développeurs ? Cela pourrait-il rendre la sécurité plus accessible et moins intimidante ?

Ou Greybeard restera-t-il simplement dans les mémoires comme le jour où Snyk a laissé son responsable des relations avec les développeurs déraper avec une blague de poisson d’avril ?

Seul l’avenir nous le dira. En attendant, débarrassez-moi le plancher et allez corriger vos vulnérabilités !

Snyk CLI Greybeard est un projet expérimental de Snyk Labs, où nous explorons de nouvelles façons de rendre la sécurité plus accessible et plus efficace.