Joyeux 1er anniversaire, Snyk Code !

Snyk Code fête son premier anniversaire ! En 12 mois, nous avons franchi de nombreuses étapes importantes. Aujourd’hui, nous vous invitons à revenir sur le chemin parcouru, à célébrer avec nous et à découvrir l’avenir de la sécurité du code.

De DeepCode à Snyk Code

Snyk Code s’appuie sur un moteur unique et des processus de pointe, fondés sur la recherche. Ses origines remontent au mouvement du « big code », lancé en 2013.

L’expression « big code » désigne la disponibilité croissante de programmes hébergés dans des dépôts open source. Par exemple, GitHub hébergeait 30 millions de dépôts publics au début de 2016. Quatre ans plus tard, en mars 2020, ce nombre dépassait 128 millions.

Depuis 2007, les milieux universitaires débattent du potentiel du big code pour faire progresser la programmation en tirant parti des connaissances de la communauté mondiale des développeurs.

Cependant, plusieurs obstacles se dressaient sur la route. Le big code hérite de tous les problèmes du big data, auxquels s’ajoutent ceux liés à la nature du code source, comme les comportements d’exécution infinis et la nécessité de faire des approximations. Traiter le code source comme du simple texte — comme le font les outils modernes de machine learning — est beaucoup trop réducteur.

Les fondements de Snyk Code ont été posés au SRILab du professeur Martin Vechev, à l’École polytechnique fédérale de Zurich (ETH). À partir de 2013, le doctorant Veselin Raychev (aujourd’hui responsable de l’intelligence artificielle chez Snyk), le professeur Vechev et d’autres chercheurs ont mené des travaux sur le machine learning et créé des prototypes de systèmes basés sur l’IA. Ces IA ont appris à partir de programmes open source en associant l’analyse statique du code fondée sur le raisonnement symbolique à des méthodes de machine learning reposant sur les données.

Raychev a reçu la médaille de l’ETH Zurich pour sa remarquable thèse de doctorat, ainsi qu’une mention honorable au prestigieux prix de thèse de doctorat de l’ACM, pour ses travaux sur le machine learning appliqué au big code. Il était le troisième Européen — et le premier Bulgare — à recevoir cette distinction en 40 ans.

S’appuyant sur les résultats de sa thèse de doctorat, Raychev s’est associé à Vechev et à Boris Paskalev (aujourd’hui responsable produit, IA pour le code, chez Snyk) pour fonder DeepCode en 2016 et transformer leurs recherches en un outil accessible.

L’un des défis de l’apprentissage à partir du big code est le passage à l’échelle. Il faut pouvoir traiter rapidement d’immenses volumes de code réel pour effectuer des itérations. DeepCode a contribué à plusieurs des avancées qui ont transformé le secteur et dont nous bénéficions aujourd’hui. Le machine learning, par exemple, repose sur la capacité à effectuer une analyse sémantique approfondie sans sacrifier la vitesse. Ces capacités améliorées ont permis au moteur de pointe de DeepCode de créer et de maintenir l’ensemble de règles qui alimente sa base de connaissances, toujours plus vaste et précise. Pour en savoir plus, consultez notre article de blog sur les technologies derrière Snyk Code, ainsi que des exemples tirés de publications et de systèmes de recherche.

Les fondateurs de DeepCode (de gauche à droite) : Veselin Raychev, Boris Paskalev et Martin Vechev.

DeepCode cherchait à simplifier l’analyse sémantique approfondie en masquant sa complexité et en proposant un outil intuitif et accessible — et, à en juger par les retours de centaines de milliers de développeurs, l’objectif a été atteint. La rapidité des analyses et la fiabilité des ensembles de règles ont largement contribué au succès de DeepCode. Pour conquérir une base d’utilisateurs à l’échelle mondiale, il fallait aussi placer les développeurs au cœur de l’approche, ce que le moteur de DeepCode fondé sur l’IA a pleinement réalisé. Le machine learning a permis à DeepCode d’expliquer ses résultats aux utilisateurs et de proposer des exemples de correctifs, afin que les développeurs comprennent pourquoi leur code était vulnérable et comment y remédier.

Lorsque Snyk et DeepCode ont commencé à discuter d’un rapprochement en 2020, tout s’est mis en place naturellement. Le moteur de DeepCode constituait une avancée technique majeure, qui a fondamentalement transformé le domaine de l’analyse statique. Snyk disposait d’une plateforme technique mature, d’une expertise en sécurité, d’équipes commerciales et marketing établies, ainsi que d’un réseau international. Plus important encore, les deux entreprises accordaient la priorité à leur culture interne et à une approche axée d’abord sur les développeurs. DeepCode a donc rejoint Snyk.

Après quelques mois de travail intensif, Snyk Code a été développé et intégré à la plateforme Snyk, en s’appuyant sur le moteur de DeepCode et en révisant l’ensemble de règles existant. L’équipe, renforcée par les meilleurs chercheurs en sécurité et développeurs de plateforme de Snyk, a ajouté des éléments comme un riche contenu sélectionné avec soin et la visualisation des flux de données, puis a préparé le produit à fonctionner sur Snyk. Avant même la sortie de la version bêta, Snyk Code comptait déjà des clients payants. Cela prouvait que le produit répondait à des besoins essentiels du marché, tout en témoignant de la grande confiance que la communauté accorde à Snyk — une confiance dont nous avons la chance de bénéficier. Les clients existants ont commencé à accéder à Snyk Code au début de 2021 et, en avril, Snyk Code a rejoint l’offre freemium. Choisir une date d’anniversaire pour Snyk Code n’a pas été facile au départ. Plusieurs dates étaient possibles — le rapprochement entre Snyk et DeepCode, l’accès accordé aux clients existants, etc. —, mais nous avons retenu le jour où Snyk Code est devenu accessible à tous : le 6 mai.

Snyk Code aujourd’hui !

Un an après ses débuts, où en est Snyk Code ? Faisons le point sur quelques chiffres :

Le mois dernier, Snyk Code a détecté plus de 2,5 millions de problèmes dans plus d’un quart de million de projets. Aujourd’hui, plus d’un millier d’organisations dans le monde font confiance à Snyk Code pour analyser leurs projets.

Nous avons commencé avec trois langages de programmation et prenons désormais en charge JavaScript, TypeScript, Java, PHP, C#, Ruby, Python, Swift, Kotlin et Go.

Des intégrations IDE ont été ajoutées pour Visual Studio Code, IntelliJ, WebStorm, PyCharm, GoLand et Visual Studio.

L’innovation continue a permis de créer une analyse sémantique approfondie du code, sensible au contexte et parmi les plus rapides du secteur. Notre moteur polyvalent prend en charge la sécurité de GraphQL et peut détecter et empêcher les attaques Trojan Source dans tous les langages de programmation pris en charge. La logique de Snyk Code permet également aux développeurs d’ignorer les suggestions qui ne sont pas pertinentes.

L’équipe derrière Snyk Code s’est considérablement agrandie, avec plusieurs groupes d’ingénierie qui travaillent sur l’ensemble de règles, le moteur, le Web et les intégrations IDE. Zurich joue toujours un rôle majeur, mais des personnes d’Amérique du Nord, d’Asie, d’Australie et d’Europe font désormais partie de l’équipe Snyk Code.

Le développement de Snyk Code est réparti entre quatre grandes équipes : le développement du moteur, la création et la maintenance de l’ensemble de règles de la base de connaissances, l’expérience utilisateur front-end et les extensions IDE. Chacune de ces équipes se subdivise en sous-équipes, ce qui fait de Snyk Code un produit majeur de la plateforme.

En un an, Snyk Code s’est intégré à la plateforme Snyk, s’est doté d’une solide prise en charge des langages de programmation et des IDE, a ajouté de nouvelles fonctionnalités d’analyse et s’est imposé comme un produit majeur de Snyk. Mais ce n’est que le début…

Perspectives

Snyk Code est un enfant d’un an particulièrement actif, et l’année à venir marquera un nouveau bond en avant. Voici quelques nouveautés à attendre :

• Rapports : TopCoat a récemment rejoint Snyk et va faire passer les capacités de reporting de la plateforme Snyk à un tout autre niveau.

• Langages : Snyk Code a déjà constitué une impressionnante liste de langages de programmation pris en charge au cours de sa première année, et d’autres, comme Swift et Apex, viendront s’y ajouter. Nous avons également ajouté des fonctionnalités pour accélérer encore le développement de règles dans tous les langages pris en charge.

• Fonctionnalités du moteur : Nous sommes en train de finaliser de nouvelles fonctionnalités qui repousseront les limites de ce que vous pouvez attendre des tests de sécurité des applications statiques (SAST).

• Intégrations IDE : Aller à la rencontre des développeurs et leur fournir des résultats directement dans leur environnement de travail sont des priorités pour nous. Au cours de l’année à venir, nous prévoyons d’étendre et de renforcer notre présence dans les IDE.

• Développement de la communauté : Snyk Code est gratuit et accessible à tous les projets open source, mais l’analyse SAST est encore loin d’être répandue. Nous continuerons à fournir à la communauté les connaissances et les produits dont elle a besoin.

• Fonctionnalités du produit : Le SAST fait le lien entre les développeurs, les professionnels de la sécurité et les équipes de direction — et chaque rôle a des besoins spécifiques. Nos échanges étroits avec les utilisateurs nous ont permis de cerner leurs difficultés et d’élaborer une feuille de route pour y répondre grâce à de nouvelles fonctionnalités.

• La vision de Snyk : Dans son discours d’ouverture de SnykCon 2021, Guy Podjarny (l’un des fondateurs de Snyk) a présenté sa vision de l’avenir de Snyk. Snyk Code et son puissant moteur logique joueront un rôle important dans sa concrétisation.

Snyk Code a été un tout-petit particulièrement dynamique, et sa croissance ne fera que s’accélérer au cours de sa deuxième année. Avec tant de projets passionnants en perspective, le moment n’a jamais été aussi bien choisi pour l’essayer et rejoindre notre communauté qui place les développeurs au premier plan.