Face à l’accélération du développement logiciel permise par l’intelligence artificielle, la Fondation OpenSSF a étoffé ses ressources pour combler l’écart entre la vitesse de production de code et sa sécurisation. L’organisation a récemment accueilli trois nouveaux membres lors de la conférence Open Source SecurityCon North America : Beautiful Majestic Dolphin, DevGuard et UElement Technologies. Mais l’initiative va au-delà de l’expansion de sa communauté.

Elle se concentre sur des outils concrets pour les équipes. OpenSSF a publié un guide intitulé « Finding and Fixing Software Vulnerabilities Using AI: A Guide for Developers », destiné aux développeurs et chercheurs en sécurité. Ce document explique comment utiliser l’IA pour déceler et réparer les failles avant que des acteurs malveillants ne puissent les exploiter. Le message est clair : les correctifs générés par une IA ne doivent jamais être adoptés sans tests automatisés et une validation humaine.

Ce besoin de clarté opérationnelle est d’autant plus pressant que les délais de détection et de signalement se raccourcissent sous l’effet de réglementations comme le Cyber Resilience Act de l’Union européenne. Laura Guazzelli, Architecte en sécurité pour les systèmes IA/ML/LLM/Agentic chez OpenSSF, insiste sur cette urgence. Elle affirme que « la fenêtre entre la découverte d’un bug et l’attaque automatisée s’est effondrée », exposant ainsi des défenses non préparées aux menaces pilotées par l’IA.

OpenSSF renforce également ses collaborations. La Fondation est désormais membre de MOSAIC (Multi-Organization Secure AI Coordination), un regroupement visant à établir des normes et des directives uniformes en matière de sécurité de l’IA. Parallèlement, elle a rendu public son rapport « State of AI Impact on Software Security and Cybersecurity 2026 ». Les chiffres sont révélateurs : 58 % des équipes interrogées livrent du code plus vite que les revues de sécurité ne peuvent suivre, et 60 % indiquent que les assistants de codage basés sur l’IA ont augmenté le nombre de paquets externes dans leurs bases de code.

Pour aider les professionnels à s’orienter dans ce contexte, OpenSSF lancera la certification Secure AI Associate (SAIA) en décembre 2026. Ce nouveau titre couvre l’intégralité du cycle de vie de l’IA, de la préparation des données d’entraînement jusqu’aux pipelines de production. Des progrès notables sont également observés au niveau de la chaîne logistique : une étude de cas illustre comment GitHub a intégré les données de paquets malveillants d’OpenSSF, étendant les alertes Dependabot à huit écosystèmes, dont PyPI, Maven, RubyGems, NuGet, Go, crates.io et PHP Composer. Ce référentiel communautaire recense désormais plus de 238 000 rapports de paquets malveillants.

Le travail d’OpenSSF s’étend aussi à la gestion des environnements déconnectés, avec la sortie de Zarf 1.0, qui améliore les flux de signature et de vérification des paquets pour les déploiements hors ligne. Il faudra surveiller l’impact que l’adoption de ces méthodologies standardisées aura sur la réduction des risques dans les infrastructures critiques.

Sources

• OpenSSF Welcomes New Members and Expands AI Security Resources, OpenSSF, 9 novembre 2026
• OpenAI announces GPT-6 Cyber, its most capable cybersecurity model yet, Neowin, 5 novembre 2026