Dans une étude contrôlée présentée à USENIX Sécurité 2025Des chercheurs ont demandé à 16 grands modèles de langage de générer 576 000 exemples de code. Près d'un cinquième des packages open source recommandés par ces modèles étaient inexistants : 205 474 noms de packages fictifs et uniques, inventés de toutes pièces. Ce serait curieux si c'était aléatoire. Or, ce n'est pas le cas. Quarante-trois pour cent de ces noms inventés sont réapparus à plusieurs reprises lors de différentes requêtes. Les attaquants n'ont plus besoin de deviner ce qu'un assistant de programmation va inventer. Ils peuvent observer, attendre et enregistrer le nom au préalable.
C'est là le problème fondamental de sécurité de la chaîne d'approvisionnement en IA Dans une expérience, l'IA qui accélère le développement logiciel s'est révélée être une faille de sécurité prévisible et exploitable. Pour les équipes de sécurité, la question n'est plus de savoir si l'IA influence la chaîne d'approvisionnement logicielle, mais plutôt si l'on peut observer son action des deux côtés : l'IA qui écrit le code et celle qui le défend. pipelineet l'IA qu'un attaquant pointe vers les deux.
Qu’est-ce que la sécurité de la chaîne d’approvisionnement en IA ?
La sécurité de la chaîne d'approvisionnement en IA consiste à protéger cette chaîne contre les risques introduits ou amplifiés par l'intelligence artificielle, et à utiliser l'IA pour la défendre. Elle se situe à la croisée de deux tendances que la plupart des programmes de sécurité traitent encore séparément : l'intégration de code généré par l'IA dans le code source et les attaques utilisant l'IA pour cibler les dépendances et les processus de construction. pipelineet les outils de développement qui l'entourent.
La sécurité applicative traditionnelle consiste à déterminer si une vulnérabilité connue existe dans un composant connu. La sécurité de la chaîne d'approvisionnement de l'IA pose des questions plus complexes et plus rapides : cette dépendance qu'un agent d'IA vient d'installer existe-t-elle réellement, ou est-ce une illusion ? Ce nouveau package publié a-t-il un comportement malveillant, même sans signature pour l'instant ? Quels modèles d'IA, agents et connexions sont actifs tout au long du cycle de vie du développement logiciel, et à quoi peuvent-ils accéder ?
Répondre à ces questions à la vitesse à laquelle le code est réellement déployé, c'est toute la discipline.
Comment l'IA est devenue une surface d'attaque pour la chaîne d'approvisionnement
Les attaquants ont cessé d'expérimenter avec l'IA il y a quelque temps. Ils l'intègrent désormais à des opérations qui ciblent directement le code et ses dépendances, et non plus seulement les boîtes de réception. login .
Slopsquatting : utiliser les inventions de l’IA comme armes
Cette technique a désormais un nom : slopsquattingCe concept, inventé en avril 2025 par Seth Larson, développeur en sécurité résident à la Python Software Foundation, repose sur un mécanisme simple et redoutable. Les assistants de programmation IA suggèrent régulièrement des noms de paquets inexistants. Ces suggestions répétées permettent à un attaquant d'enregistrer le nom inventé comme un paquet malveillant réel et d'attendre que le prochain développeur (ou le prochain agent autonome) l'installe.
Le précédent est déjà documenté. En 2023, un chercheur en sécurité Bar Lanyado a publié un paquet vide sous un nom que les modèles hallucinaient fréquemment, huggingface-cliEn trois mois, le programme avait été téléchargé plus de 30 000 fois, et la fausse commande d'installation était même apparue dans le fichier README d'un dépôt public d'une grande entreprise technologique. Il s'agissait d'un test anodin. Le même scénario, avec une charge utile réelle, est désormais devenu un modèle commercial reproductible pour les attaquants.
Les agents de codage autonomes aggravent le problème en supprimant le dernier point de contrôle humain. Un agent qui installe les dépendances sans vérification élimine le seul moment où un développeur aurait pu remarquer une anomalie dans le package.
Colis malveillants à l'échelle industrielle
Le squattage est une tactique parmi d'autres dans un changement beaucoup plus vaste. En 2025, campagnes de grande ampleur sur les paquets malveillants est devenu le modèle opérationnel de base pour les attaques contre la chaîne d'approvisionnement, comme l'a démontré Xygeni. Nouvelles tendances en matière d'attaques de sécurité applicative pour 2026 Les attaquants ont adopté les méthodes économiques du spam : publier des milliers de paquets malveillants, accepter leur suppression rapide et miser sur la probabilité plutôt que sur la persistance. Les registres publics reçoivent désormais des centaines de milliers de nouveaux paquets malveillants chaque année, et même une brève exposition suffit à infecter les versions suivantes.
MCP : une nouvelle couche de connexion largement non sécurisée
Le protocole MCP (Model Context Protocol) permet aux agents d'IA de se connecter à des outils et des sources de données. Il crée également une nouvelle surface d'attaque que la plupart des scanners n'inspectent jamais. Un serveur MCP malveillant peut coexister invisiblement avec des serveurs légitimes et être accessible à tout agent disposant des droits d'accès. OWASP a publié un Top 10 MCP en 2025 recenser ces risques, depuis l'injection rapide et l'empoisonnement d'outils jusqu'aux serveurs non authentifiés accessibles à n'importe quel agent du réseau.
Des secrets fuient à travers du code généré par l'IA
Les identifiants compromis ont bondi d'environ 160 % en 2025 par rapport à 2024, selon Check Point External Risk Management (anciennement Cyberint), en partie alimentée par des logiciels malveillants de phishing et de vol d'informations améliorés par l'IA. Dans les environnements logiciels, cela correspond directement à des clés et des jetons codés en dur dans le code généré par l'IA. Un assistant de codage qui a ingéré un .env Un fichier replacé dans son contexte peut reproduire un secret dans une suggestion, et les attaquants recherchent précisément ce schéma.
La dimension humaine reste bien présente. Le rapport d'IBM sur le coût des violations de données en 2025 a révélé que parmi les violations impliquant l'IA, 37 % utilisaient le phishing généré par l'IA et 35 % l'usurpation d'identité par deepfake, des techniques de plus en plus ciblées sur les développeurs via de faux recruteurs et des comptes de maintenance usurpés.
Comment l'IA protège la chaîne d'approvisionnement
Les capacités qui rendent l'IA dangereuse sont précisément celles qui la rendent utile aux défenseurs. Dans la chaîne d'approvisionnement, ce compromis est particulièrement flagrant à quatre niveaux.
Détection de logiciels malveillants avant la signature
C’est là la capacité déterminante. L’analyse traditionnelle attend une signature malveillante connue avant de pouvoir signaler un paquet, ce qui est structurellement trop lent pour les attaques qui génèrent des milliers de téléchargements quelques heures après leur publication. La détection comportementale, quant à elle, évalue un paquet nouvellement publié dès son apparition : ses actions lors de l’installation, ses appels réseau, ses schémas d’obfuscation et ses anomalies de métadonnées. Cela bloque la fenêtre d’opportunité dont dépendent les campagnes de slopsquatting et de typosquatting. Les campagnes npm Shai-Hulud et GlassWorm de fin 2025, totalement ignorées par les détecteurs basés sur les signatures, sont désormais prédites.cisDans ce cas précis, l'analyse comportementale est conçue pour détecter.
Prioriser en fonction de l'exploitabilité, et non du volume
La contribution la plus concrète de l'IA à la sécurité des applications modernes ne réside pas dans la détection de nouvelles vulnérabilités, mais dans le traitement des informations déjà identifiées. L'analyse d'accessibilité détermine si un chemin de code vulnérable est effectivement exécuté. Le score d'exploitabilité compare les données d'attaques réelles à un score CVSS brut. Ensemble, ces outils permettent aux équipes de se concentrer sur la fraction des détections présentant un risque réel et exploitable, au lieu de trier manuellement des milliers d'alertes de faible pertinence.
Détection d'anomalies au niveau de pipeline niveau
In Enquête de Darktrace sur l'état de la cybersécurité de l'IA en 2026Les responsables de la sécurité ont désigné la détection des menaces et le repérage des anomalies (72 %) comme le domaine où l'IA a le plus d'impact, devant la réponse automatisée (48 %) et la gestion des vulnérabilités (47 %). Appliqué à CI/CDCela signifie signaler un script d'installation dont le comportement est inédit. pipelineou une mise à jour de dépendance qui introduit un appel réseau inattendu.
Remédiation automatisée et vérifiable
Au-delà de la détection et du classement des risques, l'IA génère désormais la solution : une modification de code sûre et spécifique au framework, soumise en tant que pull request plutôt qu'un ticket qui s'accumule dans les arriérés. IBM Une étude a révélé que les organisations qui utilisent largement l'IA et l'automatisation dans leurs opérations de sécurité ont réduit le cycle de vie total d'une violation de données à 204 jours, contre 284 jours pour celles qui ne le font pas (soit environ 80 jours de moins), tout en économisant en moyenne 1.9 million de dollars par violation. Détecter un risque sans le corriger ne fait que déplacer le problème ; associer le triage par l'IA à des correctifs générés par l'IA permet de boucler la boucle.
Le déficit de gouvernance que la plupart des équipes n'ont pas comblé
Voici le point préoccupant : l’étude Darktrace de 2026 révèle que 77 % des organisations utilisent désormais l’IA générative dans leur infrastructure de sécurité, mais que seulement 37 % disposent d’une politique formelle pour une utilisation sécurisée de l’IA. Ce chiffre est en baisse par rapport aux 45 % de l’année précédente. L’adoption est plus rapide que la gouvernance, et les attaquants exploitent cette faille.
Pour les équipes de développement logiciel, cela se traduit concrètement : des assistants de codage IA, des agents et des connexions MCP sont déjà opérationnels sur l’ensemble du réseau. SDLCSouvent, les entreprises n'ont aucune visibilité centralisée sur les ressources auxquelles elles accèdent ni sur celles qu'elles ont mises en place. La plupart des organisations connaissent leurs fournisseurs de cloud. En revanche, rares sont celles qui peuvent nommer tous les modèles d'IA, agents et serveurs MCP accessibles depuis la machine d'un développeur. Cet inventaire, la nomenclature des composants d'IA (AI-BOM), constitue le socle de la sécurité de la chaîne d'approvisionnement en IA. On ne peut sécuriser ce que l'on n'a pas inventorié.
Que doivent faire les équipes AppSec maintenant
Le violation de données moyenne Le coût s'élevait à 4.44 millions de dollars en 2025 (IBM), et la chaîne d'approvisionnement représente un point d'entrée de plus en plus important. La réponse concrète ne consiste pas à « adopter l'IA » de manière abstraite. Il s'agit plutôt d'une liste courte et précise :
- Faites l'inventaire des IA exécutées dans votre système. SDLC. Les modèles, les agents, les serveurs MCP et les outils de programmation IA sont des ressources. Commencez par établir la nomenclature IA.
- Traitez le code généré par l'IA comme du code écrit par l'homme. Un code qui compile n'est pas automatiquement sûr, et ses dépendances méritent le même examen que tout autre élément.
- Détectez les logiciels malveillants par leur comportement, et non par leurs signatures. La numérisation par signature est structurellement trop lente pour les campagnes de colis à volume élevé et de courte durée.
- Privilégiez la vulnérabilité à l'exploitation, et non le volume d'alertes. La valeur défensive de l'IA réside dans sa capacité à distinguer les risques réels du bruit, et non à en générer davantage.
- Automatisez la correction, pas seulement la détection. Détecter un problème sans le corriger ne fait que déplacer le retard ailleurs.
Où se dirige la sécurité de la chaîne d'approvisionnement en IA
Deux tendances marqueront les prochaines années. Premièrement, les attaques deviennent prévisibles à grande échelle plutôt qu'aléatoires : le slopsquatting fonctionne avantcisParce que les hallucinations de l'IA sont cohérentes, la défense doit passer de signatures ponctuelles à une reconnaissance de formes capable de s'adapter à l'échelle. De plus, elle évolue de l'alerte humaine à l'identification, l'évaluation et la réponse avant même la création d'un ticket. Les organisations qui prennent l'avantage sont celles qui détectent le comportement d'un package malveillant dès sa publication, sans attendre la création d'une CVE.
L'IA représente à la fois votre plus grand risque et votre meilleure défense, souvent au sein d'un même système.
L'IA exerce une double influence. Elle offre aux attaquants des outils automatisés et évolutifs, et aux défenseurs la capacité de détecter et de réagir à une échelle qu'une analyse manuelle ne permettrait jamais. C'est précisément cette dualité qui explique pourquoi la sécurité de la chaîne d'approvisionnement par l'IA ne peut être ajoutée a posteriori ni purement et simplement interdite.
C'est l'écart Xygéni a été construit pour fermer. Alerte précoce de logiciels malveillants (MEW) Il surveille en permanence les registres publics et privés et détecte les paquets malveillants dès leur publication, avant même qu'une signature n'existe, grâce à des verdicts d'IA validés par une équipe de recherche humaine. Xygéni Shield Elle met cette intelligence à profit au niveau du développeur : elle bloque les paquets malveillants lors de l’installation avant l’exécution de leurs scripts et recense les outils d’IA, les agents et les serveurs MCP sur chaque machine. Ensemble, ils sont conçus spécifiquement pour contrer les menaces décrites dans cet article : le slopsquatting, le typosquatting, la confusion des dépendances et la compromission du responsable de la maintenance, y compris… Shai Hulud et les outils basés sur la signature des attaques GlassWorm ont été ignorés. Combiné à une priorisation basée sur l'accessibilité, un BOM IA couvrant votre SDLCet la correction automatisée des demandes d'extraction, le code généré par l'IA et Attaques basées sur l'IA faire l'objet du même examen, sans ralentir les développeurs.
Commencez gratuitement. Le forfait Développeur de Xygeni est à 0 € : 10 dépôts, 200 analyses par mois, jusqu'à 5 contributeurs, sans carte de crédit. Sign up with GitHub, GitLab ou Google et exécutez votre première analyse en moins de 10 minutes ; Shield La protection des terminaux sera bientôt disponible dans le plan Développeur.
QFP
Qu’est-ce que la sécurité de la chaîne d’approvisionnement en IA ?
La sécurité de la chaîne d'approvisionnement IA protège la chaîne d'approvisionnement logicielle contre les risques que l'IA introduit ou amplifie, tels que les dépendances hallucinées, le code généré par l'IA contenant des vulnérabilités et les connexions MCP malveillantes, tout en utilisant l'IA pour la défendre grâce à la détection de logiciels malveillants basée sur le comportement, la priorisation de l'exploitabilité et la remédiation automatisée.
Comment l'IA est-elle utilisée pour protéger la chaîne d'approvisionnement logicielle ?
L'IA permet des défenses que les outils basés sur les signatures ne peuvent égaler : évaluer le comportement d'un package nouvellement publié au moment de son apparition, déterminer si un chemin de code vulnérable est réellement accessible, signaler les anomalies. pipeline activité, et génération de correctifs spécifiques au cadre comme pull requests plutôt que des tickets en attente.
Pourquoi les scanners traditionnels ne parviennent-ils pas à détecter les attaques de la chaîne d'approvisionnement pilotées par l'IA ?
Les outils traditionnels s'appuient sur des signatures connues et des CVE publiées ; ils ne signalent donc un paquet qu'une fois celui-ci identifié comme malveillant. Les campagnes de paquets massives et éphémères génèrent des téléchargements en quelques heures seulement après leur publication (bien avant l'existence d'une signature), d'où la nécessité d'une détection comportementale avant signature.
Qu’est-ce qu’une nomenclature AI-BOM et pourquoi est-elle importante ?
Une nomenclature des composants d'IA (AI-BOM) est un inventaire de tous les modèles d'IA, agents et connexions MCP utilisés tout au long du cycle de vie du développement logiciel. Elle est essentielle car il est impossible de sécuriser ce qui n'est pas répertorié, et la plupart des organisations ne disposent d'aucune visibilité centralisée sur les IA accessibles depuis le poste d'un développeur.
