SONATYPE SAUVANCE

Sécuriser l’ère de l’IA : Sonatype protège les chaînes d’approvisionnement logicielles open source

Dans le monde numérique moderne, l’open source n’est plus une option, mais le fondement de la plupart des logiciels. Un fait encore trop souvent ignoré. Des pipelines DevSecOps à l’évolution de MLSecOps et au développement d’applications à grande échelle, les organisations dépendent fortement des composants open source pour accélérer l’innovation et livrer des produits plus rapidement. Avec l’essor de l’IA, cette dépendance s’accentue. Mais avec elle vient un risque : vulnérabilités, dette technique, incertitudes légales et même des acteurs malveillants se cachent dans le code.

Peu d’entreprises se sont engagées aussi profondément à contrer ce risque que Sonatype. Fondée sur une philosophie inspirée du monde physique de la logistique et de la fabrication, Sonatype applique les principes Lean des fabricants les plus performants et les plus sûrs au monde à la chaîne d’approvisionnement des logiciels. Pour Tyler Warden, vice-président principal du produit et de la plateforme chez Sonatype, cette philosophie opérationnelle et la mission de l’entreprise sont plus qu’un simple avantage concurrentiel, c’est la raison pour laquelle il a rejoint l’entreprise.

“Ce qui m’a convaincu, ce n’était pas l’angle de la cybersécurité”, explique Warden. “Ce qui m’a séduit, c’est la philosophie de l’entreprise : les mêmes principes de la chaîne d’approvisionnement qui permettent à des entreprises comme Toyota de fonctionner efficacement et en toute sécurité peuvent être appliqués aux logiciels, avec des résultats encore plus significatifs.”

Ces résultats sont mesurables. Qu’il s’agisse d’une correction plus rapide suite à une vulnérabilité zero-day ou d’une réduction de la dette technique entre les équipes de développement, la mission de Sonatype est claire : apporter visibilité, contrôle et rapidité à la chaîne d’approvisionnement logicielle. Et de plus en plus, leur travail est essentiel pour des initiatives de sécurité plus larges, telles que les architectures Zero Trust et de confiance numérique.

Le véritable problème de la chaîne d’approvisionnement

Warden explique que la chaîne d’approvisionnement logicielle moderne est fondamentalement différente de son homologue physique. “Vous n’achetez pas de bougies d’allumage auprès d’un fabricant vérifié. Vous téléchargez du code depuis le sous-sol d’un développeur qui l’a publié sur NPM. Il n’y a pas de contrat, pas de SLA, pas de garantie”, souligne-t-il.

Pourtant, selon Sonatype, entre 85 et 95 % du code dans les applications modernes provient de composants open source. C’est la principale surface d’attaque, non pas la logique personnalisée des développeurs internes, mais l’immense écosystème de packages et de bibliothèques tirés des registres publics.

“Nous avons créé le Référentiel d’artefacts binaires parce que nous essayions d’appliquer ces principes de la chaîne d’approvisionnement aux logiciels”, explique Warden. “Personne ne se réveille en pensant : ‘Je veux une discipline de la chaîne d’approvisionnement’, mais c’est ce qui permet de livrer plus rapidement et en toute sécurité.”

Le risque cybernétique est une conséquence, un résultat prévisible d’une chaîne d’approvisionnement numérique chaotique. Mais les avantages d’une bonne gestion vont bien au-delà de la sécurité. Les organisations qui priorisent l’hygiène de la chaîne d’approvisionnement logicielle constatent des gains substantiels en termes de productivité des développeurs, de préparation aux audits, de débit d’innovation et de rapidité de gestion.

Le test de résistance Log4j

Si un événement a révélé les réalités de la chaîne d’approvisionnement logicielle, c’est décembre 2021. La vulnérabilité Log4j, connue sous le nom de Log4Shell, a déclenché une alerte de niveau cinq pour les équipes de développement et de sécurité du monde entier. Warden se souvient de l’écart frappant entre les entreprises ayant des pratiques matures de gestion de la chaîne d’approvisionnement logicielle et celles qui en étaient dépourvues.

“Nous avions un client avec 5 000 applications. Dans les quatre jours suivant l’annonce de Log4j, ils avaient mis à jour presque toutes les applications vers une version sécurisée”, raconte-t-il. “À l’heure actuelle, environ 12 % des téléchargements Log4j depuis Maven Central sont toujours la version vulnérable.”

Cet écart n’est pas qu’une statistique, c’est une question de survie. Les organisations ayant une visibilité sur leurs composants, leurs versions et leurs arbres de dépendances ont pu agir immédiatement. Celles qui n’en ont pas luttent encore et restent exposées à l’attaque.

Une défense basée sur les données

Au cœur de la plateforme Sonatype se trouve ce que Warden décrit comme “le système d’intelligence open source le plus précis, le plus détaillé et le plus complet au monde”. Alors que la base de données nationale des vulnérabilités du gouvernement américain suit environ 400 000 vulnérabilités, le catalogue de renseignement propriétaire de Sonatype dépasse désormais 65 millions d’entrées, y compris les logiciels malveillants et les indicateurs de compromission que les concurrents manquent souvent. “Nous avons détecté 150 fois plus de logiciels malveillants open source que notre concurrent le plus proche”, affirme Warden. “Ce niveau de couverture n’est pas facultatif, il est nécessaire si vous voulez appliquer une discipline de la chaîne d’approvisionnement aux logiciels.”

Ces données alimentent non seulement la numérisation des vulnérabilités, mais aussi l’automatisation profonde, le blocage proactif des logiciels malveillants et l’application des politiques tout au long du cycle de vie du développement. Warden insiste sur le fait que Sonatype ne prône pas une approche radicale. “Nous avons des opinions sur la meilleure façon de procéder, bien sûr. Mais notre priorité est de nous intégrer à votre flux de travail de développement sans friction.”

Cela inclut l’intégration avec les outils de développement existants et les pipelines CI/CD, ainsi qu’un déploiement flexible dans les environnements cloud, sur site et hybrides. Que les équipes déploient des microservices, des grands modèles de langage, des applications web classiques ou autres, la plateforme Nexus de Sonatype devient un élément essentiel du pipeline de développement logiciel, offrant visibilité, contrôle des politiques et réactivité.

Au-delà de DevSecOps : les prochaines frontières

La mission initiale de Sonatype était axée sur la sécurité des applications et le DevSecOps, mais son champ d’action s’élargit. Warden identifie deux domaines clés : les modèles d’IA open source et l’injection de logiciels malveillants en amont. “Les acteurs malveillants se déplacent en amont. Ils empoisonnent les packages open source avant qu’ils n’atteignent vos référentiels. Et maintenant, nous constatons la même chose avec les modèles d’IA open source”, explique-t-il. “Il y a 1,7 million de modèles sur Hugging Face. Tout le monde peut les télécharger et les utiliser. Nous vous aidons à éviter les pièges et à trouver les modèles de qualité.”

Ce travail place Sonatype au centre des conversations émergentes sur le MLOps et le MLSecOps. Les enjeux sont de plus en plus importants à mesure que les LLM, les SLM et les modèles fondamentaux s’intègrent dans les applications d’entreprise. Le point de vue de Warden est clair : même les modèles les plus intelligents ne sont aussi sûrs que leurs données d’entraînement et leur chaîne d’approvisionnement numérique.

La sécurité de la chaîne d’approvisionnement comme catalyseur d’entreprise

Trop souvent, la gestion de la chaîne d’approvisionnement numérique est considérée comme une simple obligation de conformité ou un outil d’atténuation des risques. Mais Warden souhaite changer ce discours. “Les entreprises dépensent de l’argent pour trois raisons : gagner plus d’argent, économiser de l’argent ou éviter la prison”, dit-il. “Nous devons montrer que la gestion de votre chaîne d’approvisionnement logicielle n’est pas une question de risque, mais d’accélération des revenus et de réduction des coûts.”

Cela se traduit par une mise sur le marché plus rapide, des logiciels de meilleure qualité, moins de temps consacré à la correction des bogues, plus d’innovation et, surtout, la capacité de répondre aux questions de diligence raisonnable concernant les pratiques logicielles sécurisées. Cette tendance est en hausse depuis le décret présidentiel américain 14028 du 12 mai 2021 sur la sécurité de la chaîne d’approvisionnement logicielle. En d’autres termes, sans une chaîne d’approvisionnement numérique sécurisée, il est impossible d’obtenir des contrats commerciaux ou fédéraux de toute envergure. “De plus en plus de contrats sont gagnés ou perdus avant même une démonstration. Si vous ne pouvez pas prouver la sécurité de votre chaîne d’approvisionnement, vous ne serez même pas sur la short-list. Souvent, vous ne passerez même pas le premier tour !”, explique Warden.

Toutes les infrastructures critiques sont menacées : de la santé à la haute technologie

Warden insiste sur le fait que la sécurité de la chaîne d’approvisionnement ne concerne pas seulement les fournisseurs de logiciels. Elle est également importante pour les hôpitaux, les banques, les services publics et tous les autres secteurs qui dépendent des logiciels pour assurer leur mission. “Si vous dirigez un hôpital, vous achetez Microsoft, EPIC et des applications tierces. Nous vous aidons à évaluer les ingrédients. Qu’est-ce qui compose votre pile ? Est-ce sain ? Est-ce sécurisé ? Sonatype vous offre une visibilité proactive. Et aujourd’hui, votre chaîne d’approvisionnement numérique ne se limite pas à votre écosystème informatique, mais comprend également celui de vos partenaires et de vos fournisseurs de technologies tiers.”

Même les organisations qui ne disposent pas de développeurs internes peuvent bénéficier des informations fournies par Sonatype en évaluant la santé et les risques des logiciels qu’elles achètent. Pour ceux qui construisent ou personnalisent, le besoin est encore plus urgent. “Tout comme l’antivirus est devenu un élément essentiel de la sécurité des terminaux, la protection proactive de l’open source doit faire partie de votre pile de développement. D’abord, obtenez de la visibilité. Ensuite, bloquez les menaces les plus graves. Ensuite, automatisez”, conseille Warden.

L’approche Sonatype

Warden explique que l’engagement commence généralement par une question simple : “Comment gérez-vous l’open source aujourd’hui ?”

Pour beaucoup, la réponse est soit “nous ne le faisons pas”, soit “nous pensons le faire”. La capacité de Sonatype à fournir une visibilité quasi instantanée sur les composants utilisés et leur niveau de risque est un excellent point de départ pour améliorer l’hygiène logicielle. Et à partir de là, il s’agit d’un partenariat. “Nous ne vendons pas seulement des outils. Nous vous aidons à comprendre votre environnement, à protéger votre mission et à optimiser votre processus”, déclare Warden. Que vous soyez une équipe de développement de cinq personnes ou une entreprise du Fortune 50 avec mille applications, Sonatype est là pour être un partenaire technologique et de sécurité à long terme, vous aidant à faire progresser votre mission et à protéger ceux que vous servez.

Réflexions finales

Dans un monde où tout est défini par les logiciels, les chaînes d’approvisionnement ne sont plus des boîtes et des bateaux, mais des octets et des constructions. À mesure que l’écosystème logiciel devient plus complexe, avec l’IA, les microservices et les équipes de développement mondiales, le besoin de visibilité et de contrôle de la chaîne d’approvisionnement numérique devient essentiel. “La sécurité de la chaîne d’approvisionnement logicielle ne consiste pas seulement à éviter le prochain Log4j”, conclut Warden. “Il s’agit de construire une organisation capable de réagir instantanément, d’innover en toute confiance et de concurrencer efficacement dans un monde numérique.”

Sonatype ne se contente pas d’analyser le code. Elle applique des principes éprouvés depuis des décennies en matière d’excellence de la chaîne d’approvisionnement aux infrastructures chaotiques, invisibles et essentielles du développement moderne. Et ce faisant, elle aide les entreprises à livrer plus rapidement, plus en toute sécurité et plus intelligemment.

Publié à l’origine sur Security Boulevard le 7 août 2025.