Project Canopy lance son Vulnerability Intelligence Hub open source

Des analyses déjà menées

Cette ouverture intervient alors que les attaquants recourent à des IA toujours plus avancées pour détecter et exploiter plus vite les failles. Canopy y répond en appliquant des techniques de sécurité offensive fondées sur l'IA aux logiciels open source et aux infrastructures qui soutiennent les réseaux administratifs et les services aux citoyens.

Ses chercheurs ont examiné notamment eGovFRAME, socle des services publics sud-coréens, ainsi que Spring Framework/Boot, Docker, LiteLLM, Grafana, Istio, libdb et python.org. Ils ont repéré de nombreuses vulnérabilités potentielles, réalisé des preuves de concept et signalé les résultats, y compris des cas à haut risque, aux mainteneurs des projets. Certaines corrections essentielles sont achevées. Le reste sera publié à mesure que les correctifs officiels seront diffusés, conformément aux règles de divulgation coordonnée des vulnérabilités (CVD).

Un modèle fondé sur la demande

Canopy introduit aussi une structure participative : les partenaires proposent eux-mêmes les cibles d'analyse. Lorsqu'un organisme demande l'examen d'un logiciel open source qu'il utilise, l'équipe évalue le nombre d'utilisateurs, les angles morts (capacité à corriger, historique d'incidents) et le besoin social, puis hiérarchise les demandes et lance une analyse approfondie.

Le réseau doit s'étendre au-delà des collectivités et des organismes publics, vers la santé et l'éducation, souvent privées de budget et de personnel spécialisés. Toute organisation ou entreprise peut rejoindre le projet.

Le président Park Se-jun a affirmé que, face à des attaquants agissant à la vitesse de l'IA, les défenseurs doivent eux aussi mobiliser l'IA de façon préventive, afin de protéger les infrastructures et l'écosystème open source que le manque de moyens expose aux failles.