Kubescape, la plateforme de sécurité open-source pour Kubernetes, promet une surveillance totale, couvrant l’intégralité du cycle de vie du développement jusqu’à l’exécution en environnement de production. Ce projet, incubé par la Cloud Native Computing Foundation (CNCF) et créé par ARMO, fournit des capacités de durcissement, de gestion de posture et de sécurité en temps réel pour les clusters Kubernetes.

L’outil se décline en plusieurs fonctions spécifiques. Il permet notamment de scanner des clusters, des fichiers YAML ou des charts Helm en utilisant des référentiels reconnus tels que les Benchmarks CIS, MITRE ATT&CK® ou les directives NSA-CISA. Au-delà de l’analyse statique, Kubescape intègre des mécanismes actifs, comme l’Auto-Remediation, qui peut corriger automatiquement certaines erreurs de configuration dans les manifestes.

L’aspect sécuritaire va au-delà des fichiers de configuration. Il offre une détection des vulnérabilités dans les images de conteneurs grâce à Grype, et ajoute même la fonctionnalité de Image Patching via Copacetic pour réparer automatiquement les images compromises. Pour les environnements nécessitant une surveillance continue, il met en œuvre une sécurité en temps réel basée sur eBPF, via Inspektor Gadget, ce qui est loin d’être anodin pour quiconque gère des charges de travail critiques.

Les outils pour un contrôle granulaire des risques

La plateforme s’appuie sur une ligne de commande (CLI) riche qui permet une granularité impressionnante. On peut lancer un scan par défaut sur l’ensemble des cadres de référence, ou cibler spécifiquement un contrôle, par exemple, « kubescape scan framework nsa ». Pour les développeurs travaillant en continu, l’outil fournit des formats de sortie adaptés aux pipelines d’intégration et de déploiement continus (CI/CD), incluant SARIF pour GitHub Code Scanning ou JUnit XML. Il existe par ailleurs des options pour gérer les données sensibles, permettant d’encrypter les rapports afin de ne pas exposer de métadonnées critiques.

Il est aussi intéressant de noter l’intégration prévue pour l’intelligence artificielle. Kubescape intègre un serveur MCP (Master Control Plane) destiné à faciliter l’intégration d’assistants IA, ouvrant la porte à une automatisation des réponses aux failles, au-delà de la simple correction automatique.

La communauté valide la robustesse du projet

Le développement de cette plateforme n’est pas un exercice en vase clos. Récemment, Kubescape a participé au Security Slam de l’OpenSSF, atteignant les six badges de sécurité du projet. Ce parcours, qui s’étendait sur la période d’octobre à novembre 2026, a nécessité des contributions significatives de la communauté. Selon les données de l’OpenSSF, ce projet a permis de consolider son écosystème en intégrant des vérifications récurrentes dans les flux de travail de développement.

L’atteinte du statut OSPS Baseline Niveau Deux, publiée sur grc.store, témoigne d’un effort soutenu pour prouver sa propre sécurité. Les mainteneurs ont dû systématiser des contrôles et améliorer la documentation, transformant un défi de traçabilité en un avantage vérifiable pour les utilisateurs finaux. Matthias Bertschy, mainteneur chez ARMO, a souligné que cette participation donnait un « plan d’action clair et vérifiable par machine pour élever la sécurité de l’écosystème Kubescape » (Matthias Bertschy, Kubescape Maintainer et Senior Kubernetes Developer at ARMO).

En parallèle, d’autres projets dans l’écosystème CNCF, comme OpenKruise Agents, montrent une tendance vers la complexification des contrôles de sécurité à l’échelle des sandboxes, ajoutant des couches de contrôle réseau (L4 et L7) et des mécanismes d’optimisation des coûts, ce qui confirme cette pression montante sur la sécurisation des infrastructures conteneurisées.

Sources

• GitHub – kubescape/kubescape: Kubescape is an open-source Kubernetes security platform for your IDE, CI/CD pipelines, and clusters. It…, github.com
• Case Study: Kubescape Completes All Six Security Slam Badges with OpenSSF, OpenSSF, 5 novembre 2026
• OpenKruise Agents v0.6.0: Leaping ahead in agent Sandbox security and automation, CNCF, 3 novembre 2026 (contenu sous licence CC BY 3.0)