Application AI-Adversary
AI-Adversary réunit un tableau de bord, une API et une CLI pour les missions de sécurité autorisées, la gestion des cibles, les approbations et les résultats. Ses agents analysent les applications web, API, réseaux, code source, dépendances et configurations d’infrastructure avec des outils tels que ZAP, Semgrep, Trivy et Checkov.
Avant toute exécution, chaque action proposée passe des contrôles déterministes portant sur le périmètre, les permissions actuelles, l’impact, les approbations et les budgets. La persistance des tâches et des traces d’exécution permet la reprise après redémarrage, évite les doublons lorsque les résultats sont connus et garde visibles les annulations et les nettoyages non résolus.
Les tests d’API authentifiées comparent les utilisateurs, la propriété des objets, le contenu des réponses et des cas témoins sécurisés pour distinguer les défauts d’autorisation des réponses trompeuses. Des environnements isolés de navigateur et de proxy HTTP permettent la navigation, les formulaires, l’inspection du trafic et le rejeu limité, avec captures d’écran et preuves des requêtes et réponses.
Les constats relient observations, décisions de vérification et artefacts versionnés à des tests reproductibles avec témoins positifs et négatifs. Les workflows de correction produisent des patchs à partir d’une révision précise du code, relancent les vérifications et les tests de non-régression, puis présentent les différences et les preuves pour examen.
Des agents parallèles en nombre limité explorent des hypothèses complémentaires dans un périmètre et un budget partagés, avec un suivi des zones testées, bloquées, non concluantes et non testées. Les workflows CI limités aux changements, les exports SARIF, le suivi de consommation des modèles et les benchmarks reproductibles aident à traiter les constats et à évaluer la qualité de détection, la fiabilité, la rapidité et le coût.
