La Snyk AI Security Platform complète, gratuite pour les responsables de projets open source

La détection des problèmes n’a jamais été aussi facile. Ce qui manque, c’est le temps pour les trier et les corriger. Grâce au Secure Developer Program de Snyk, les responsables de projets open source disposent des informations qui leur permettent de faire le tri et de la plateforme nécessaire pour corriger les problèmes importants, gratuitement pour leurs projets open source.

Et Snyk va encore plus loin : le nouveau Snyk Remediation Agent, disponible en préversion ouverte dans la CLI pour les partenaires de conception, associe le raisonnement de modèles de pointe à la couche d’intelligence de Snyk pour générer des correctifs validés, prêts à être fusionnés. Les corrections peuvent ainsi enfin suivre le rythme de la détection. Plus de détails ci-dessous.

Le plus difficile n’est plus de trouver les bugs

Presque toutes les applications que nous utilisons reposent sur des logiciels open source. Selon les estimations du secteur, ceux-ci représentent 80 à 90 % des bases de code, principalement sous la forme de dépendances transitives que personne n’a choisies délibérément. La sécurité de ces fondations repose sur les responsables de projets open source : ils trient les problèmes, examinent les pull requests et publient les versions dont dépend le reste de l’univers logiciel.

La plupart des responsables de projets open source travaillent gratuitement et seuls.

L’IA a changé la nature de ce travail. La vague de contenus médiocres générés par l’IA, qui submergeait les responsables de projets de signalements de piètre qualité, s’est largement résorbée avec l’amélioration des modèles. Mais le problème qui subsiste est plus difficile : un flot de signalements de vulnérabilités avérées, souvent dupliqués par différents chercheurs utilisant les mêmes modèles, arrive plus vite qu’un seul responsable ne peut les trier, les classer ou les corriger. La détection n’est plus le principal goulot d’étranglement. Il s’agit désormais de distinguer les vrais problèmes du bruit et de déployer les correctifs.

Ce volume représente un risque réel. Cette année, le compte piraté d’un responsable de projet a permis d’introduire un cheval de Troie d’accès à distance dans Axios, une bibliothèque téléchargée près de 100 millions de fois par semaine. La même méthode a compromis des outils de sécurité de confiance et une infrastructure d’IA. Les attaquants ont compris que le moyen le plus rapide de pénétrer dans des milliers d’applications est de s’en prendre à un seul responsable de projet. Par ailleurs, les délais d’exploitation continuent de se raccourcir : Gartner prévoit que l’IA accélérera de 50 % le délai d’exploitation d’ici 2027.

Ce que le Secure Developer Program vous apporte

Soutenir les responsables de projets open source n’est pas nouveau pour Snyk. Nous avons été fondés sur la sécurité de l’open source et proposons depuis longtemps nos outils de développement gratuitement aux projets open source admissibles. Aujourd’hui, Snyk sécurise plus de 585 000 projets open source. Le Secure Developer Program prolonge cet engagement.

C’est là que se concentre le Secure Developer Program. Il ne s’agit pas de fournir aux responsables de projets un scanner de plus, mais de répondre aux deux principaux besoins : savoir quels problèmes sont importants et les corriger. Ils bénéficient gratuitement de la Snyk AI Security Platform complète, qui met au cœur de ses fonctionnalités la priorisation fondée sur les risques et la correction. Nous aidons les responsables de projets à aller plus vite que les attaquants.

Vous pouvez ainsi :

• Résorber stratégiquement les retards de traitement des vulnérabilités. Les responsables de projets open source ne devraient pas se fier uniquement au niveau de gravité. Snyk fournit des informations contextuelles, telles que la facilité d’exploitation, l’accessibilité, la criticité de l’actif et l’efficacité du correctif, pour hiérarchiser les travaux de correction.

• Accélérer les corrections grâce à des pull requests de correction automatisées pour les dépendances vulnérables dans Snyk Open Source, y compris les dépendances transitives profondes ignorées par les outils traditionnels.

• Détecter les problèmes dans votre propre code avec Snyk Code, assez rapidement pour s’intégrer à votre workflow, avec ou sans agents.

• Sécuriser vos images et vos configurations d’infrastructure avec Snyk Container et Snyk IaC.

C’est la même plateforme que les plus grandes entreprises du monde paient, offerte aux responsables de projets qui font vivre l’écosystème. En contrepartie, Snyk demande uniquement un lien « Sponsored by Snyk » sur la page de votre projet.

Le programme existe depuis environ un an et plus de 60 projets lui font déjà confiance, notamment Postiz et Arcane.

Snyk met aussi son moteur de correction entre les mains des mainteneurs

Détecter les problèmes n’a jamais représenté que la moitié du travail. Le plus difficile est de les corriger aussi vite qu’ils apparaissent, et c’est là que Snyk investit aujourd’hui.

Snyk Remediation Agent (actuellement disponible en préversion ouverte dans la CLI pour les partenaires de conception) associe le raisonnement de modèles de pointe à la couche d’intelligence de Snyk pour générer des correctifs validés, prêts à être fusionnés, pour les problèmes détectés par Snyk Open Source (SCA) et Snyk Code (SAST). La solution est expérimentale et sa couverture est en cours d’élargissement. L’objectif est de permettre aux responsables de projets de résorber plus rapidement les retards de traitement des problèmes avérés, avant que les attaquants ne puissent les exploiter.

Nos tests comparatifs montrent que le contexte Snyk améliore d’environ 94 % le taux de correction des problèmes SCA, et fait passer de 72 % à 82 % le taux de correctifs SAST prêts à être fusionnés. Il réduit également le coût en jetons d’environ 61 %. C’est cette puissance que nous souhaitons mettre à la disposition de la communauté open source.

Si vous souhaitez contribuer à son évolution, les responsables de projets participant au programme peuvent bénéficier d’un accès anticipé.

Postulez dès aujourd’hui

Vous sécurisez les logiciels de tout le monde, mais vous ne devriez pas avoir à le faire seul. Postulez sur snyk.io/open-source. Snyk soutient l’open source.