Les attaques ciblant la chaîne d’approvisionnement logicielle deviennent plus fréquentes. Selon l’équipe de recherche de Wiz.io, les attaques notables dans ce domaine représentaient environ 10 % des incidents significatifs au second semestre 2025, ce pourcentage grimpant à 25 % au premier semestre 2026, et atteignant désormais un cas sur quatre des incidents de sécurité majeurs.
Face à cette montée en puissance, Wiz.io annonce avoir développé un pipeline dédié. Ce système analyse les nouveaux paquets dès leur publication sur npm, permettant de détecter des compromissions de type zéro-jour avant même qu’une CVE ne soit publiée officiellement.
Le développement logiciel actuel dépend énormément des paquets open source. La rapidité avec laquelle les développeurs et les agents d’IA intègrent ces dépendances est un moteur d’accélération, mais cette vélocité crée une faille sécuritaire. Lorsqu’un paquet de confiance est compromis, le code malveillant peut s’introduire dans les environnements de développement et les chaînes de construction avant que les bases de données de vulnérabilités ne signalent la menace.
Historiquement, les équipes de sécurité attendaient un avis de menace ou une mise à jour de base de données. L’attaque sur axios en est un exemple : un acteur malveillant a compromis le compte d’un mainteneur npm pour publier deux versions malveillantes (v1.14.1 et v0.30.4). Bien que ces versions aient été retirées en quelques heures, l’impact était déjà là : le paquet était présent dans environ 80 % des environnements cloud et de code, et téléchargé près de 100 millions de fois par semaine, entraînant une exécution observée dans 3 % des environnements affectés. Cette réalité souligne l’urgence d’agir rapidement.
Détecter la menace avant l’alerte officielle
Le pipeline de Wiz.io vise à combler ce délai. Il intercepte les nouvelles versions de paquets au moment précis de leur publication sur npm. Le processus est en plusieurs étapes. D’abord, une analyse statique examine la version et les précédentes pour repérer des fichiers suspects. Ensuite, un moteur d’intelligence artificielle émet un premier verdict. Les versions jugées suspectes passent alors à une validation dynamique.
Cette validation est poussée. Elle implique d’installer le paquet dans un environnement bac à sable pour surveiller son activité en temps réel, et d’exécuter le paquet via l’interface en ligne de commande, si possible. Le capteur Wiz observe ce comportement d’exécution pour confirmer le verdict de l’IA. Une fois qu’une version est confirmée malveillante, le pipeline publie automatiquement les indicateurs de compromission (IOC) dans le service de réputation de Wiz. Les clients sont ainsi alertés via le centre de renseignement sur les menaces ou par des règles de détection mises à jour dans Wiz Defend.
Quand les règles statiques ne suffisent plus
L’efficacité de cette approche combinant analyse statique et exécution en direct est illustrée par l’attaque keyv. Dans ce cas, plusieurs paquets de l’écosystème keyv/cacheable ont été compromis suite à une intrusion sur un compte GitHub. Le malware ne codait pas les domaines de commande et de contrôle (C2) directement dans le code source, mais les récupérait dynamiquement en interrogeant un contrat intelligent Ethereum. Par conséquent, une analyse statique classique ne pouvait rien détecter.
Grâce au pipeline de Wiz.io, l’équipe de recherche a pu observer l’activité réseau vers le domaine malveillant, détectant la connexion sans intervention humaine. Cette capacité à agréger l’analyse statique, dynamique, l’intelligence artificielle et le suivi en temps réel est un atout considérable. D’ailleurs, Google Cloud, dans son programme de récompenses de vulnérabilités, a récemment introduit un palier supérieur de 250 000 dollars pour récompenser les recherches architecturales complexes, soulignant la complexité croissante des failles à trouver aujourd’hui.
Sources
- Detect Supply Chain Zero-Days Packages at Publication | Wiz | Wiz Blog, wiz.io
- Cloud CISO Perspectives: Introducing new $250,000 tier for Google Cloud VRP (Q&A), Google Cloud, 29 octobre 2026
Crédits photo
- Image en une : Le torrette con i bocchettoni per il raffreddamento ad aria dei server in un data center attivo dal…, par Lapalmauz, CC BY-SA 4.0, via Wikimedia Commons (recadrée)
- Image dans l’article : Open Compute Server Rear, par Robert.Harker, CC BY-SA 3.0, via Wikimedia Commons (recadrée)
