La surface d'attaque des agents : pourquoi l'IA bouleverse la sécurité logicielle telle que nous ... - YouTube
Feross Aboukhadijeh, PDG de Skocket (scanner auto de vulnérabilités)
For a long time there was this complacency, we kinda assume that "it's open-source, it must be good, it must be safe" and we're kinda seeing that falling apart right now and so we have to grapple with it.
J'ai beaucoup lu la formule du type "L'IA code tellement vite que son développeur n'arrive pas à tout suivre". Mais en fait, si l'on pense à tout ce qui a changé entre deux npm install, c'est un ordre de grandeur supplémentaire de "l'IA a codé plus vite que son développeur" qui arrive en plus dans notre logiciel. Vertigineux.
[Open Source Malware Growth] almost inexistant in 2019 -> 2025 1M+
Ça me fait penser à Ce Talk du FOSDEM 2026: Let's end open-source together with this one simple trick qui finalement prend tout son sens. Maintenant qu'il y a tellement de risques à utiliser l'open-source, tellement de supply-chain attacks. Autant faire du clean-room copy de toutes les dépendances pour ne pas avoir les mêmes failles que les repos d'origine. Un sacré gachis, mais on risque d'en arriver au même constat que celui cité dans le talk : ça va coûter beaucoup moins cher de ré-implémenter ses propres dépendances que de faire confiance à un package open-source.
[Explains Axios Attack]
Fishing vraiment très élaboré sur le mainteneur du package pour lui voler des credentials npm.
[Skills, MCP Servers]
Pas mal d'attaques à travers les skills : prompts ou scripts qui vont récupérer un script malveillant.
[Attaque Hackerbot]
Attaque "Living of the land": Prompt qui est envoyé a un outil de code (Codex, Claude Code...), produit un "Audit de sécurité" et envoi les résultats (des failles) à l'attaquant.
The time to exploit is going massively down (2.3y in 2018 down to 10h today). We need AI to automatically react.
Triste.
- 263% increase in CVE submissions 2020-2025 (NIST)
- 89% YoY nicrease in AI-enabled attacks (CrowdStrike 2026)
- 50000 CVEs forcast for 2026, before Mythos (FIRST)
NIST announced that is giving up on enriching most CVEs (April 26)
Le modèle de réaction est en train d'être complètement submergé. Flippant. Est-ce que dans ce contexte on peut vraiment en vouloir aux entités qui se font avoir.
In the short term we're going to have a lot of pain, AI is going to continue generating more code than ever, attackers are going to flood packages with malicious code, the window to respond is going to collapse below 2h [...] but i'm rather optimistic, [...] there is a finite number of vulnerabilities. [...] But it's going to be much better, thanks to AI
- (citation approximative, c'est de la video)
Alerte : nouveau lien de dépendance super fort qui risque d'arriver, en plus de github et d'un fournisseur d'IA : un scanner / analyseur de vulnerabilité + une armée d'agents IA pour traiter les alertes. Tu m'étonnes qu'il soit optimiste, sa vision est 100% compatible avec une croissance exponentielle de sa boite qui est justement le composant central de sont dispositif.
Extraits cités issus de ce lien visité le , crédits: Feross Aboukhadijeh