En bref
Visa a expérimenté puis open-sourcé un harness agentique basé sur Claude Mythos qui orchestre plusieurs étapes de la sécurité logicielle, de la recherche de vulnérabilités à la vérification des correctifs. Le potentiel réside dans le passage d’une logique de détection à une logique de fermeture des chemins d’exploitation, mais les gains économiques et opérationnels ne sont pas encore établis indépendamment.
Ce qui change
L’automatisation ne s’arrête plus à la production d’une alerte: le dispositif cherche à relier threat modeling, détection, validation de chaînes d’exploitation, génération de correctifs et vérification. Cette continuité peut déplacer la mesure de performance vers la fermeture effective du risque, notamment via le Mean Time to Adapt mis en avant par le projet.
Pourquoi ça compte
Si l’approche se confirme, les équipes AppSec et DevSecOps pourraient réduire le travail consacré au triage et accélérer la transition entre découverte, qualification et remédiation. Elle pourrait aussi faire évoluer les contrôles appliqués aux fournisseurs logiciels. Aucun gain de temps, de coût ou de qualité ne peut toutefois être affirmé à partir des éléments disponibles.
Qui est concerné
Les RSSI, équipes AppSec et DevSecOps, responsables engineering et plateformes SaaS sont directement concernés. L’intérêt est particulièrement marqué pour les entreprises gérant des applications critiques, de nombreux composants open source ou une supply chain logicielle complexe.
Action à faire
- 1Tester le harness sur un dépôt non critique ou en préproduction, en parallèle des outils SAST existants.
- 2Mesurer le temps entre détection, validation d’exploitabilité et confirmation du correctif, ainsi que le taux de résultats utiles.
- 3Conserver une validation humaine des modifications proposées.
- 4Maintenir des permissions minimales et une journalisation complète avant d’étendre le pilote.
Risques et limites
L’absence de benchmark indépendant et de données quantitatives empêche de confirmer les gains annoncés ou attendus. Les faux positifs restent un risque et les modifications automatisées incorrectes peuvent avoir davantage de conséquences qu’une simple alerte erronée. Certaines capacités dépendent par ailleurs de modèles Anthropic.
Verdict Radar
TEST. L’approche mérite un pilote contrôlé car elle cible l’écart entre détection et fermeture effective d’un risque. Elle ne dispose toutefois pas encore d’un niveau de preuve suffisant pour justifier une automatisation autonome des changements sur des applications critiques.
Sources
Sources
Signal d’origine utilisé pour l’analyse Radar.
Recevoir la newsletter Radar
Un email par semaine. Les signaux triés, notés, prêts à décider.
