Le relecteur de sécurité IA de Vercel repère 6 029 failles graves en une semaine

En 24 heures, Vercel Security Review a signalé 6 817 vulnérabilités dans le code de ses clients. Moins d'une semaine après son lancement le 3 novembre, le compteur atteignait 57 897, dont 6 029 jugées critiques ou élevées, et l'agent de Vercel en avait déjà corrigé 14 665. Guillermo Rauch, PDG de Vercel, a publié ces chiffres le 10 novembre, jour de la fin de l'essai gratuit. Pour les développeurs derrière ces dépôts, des milliers de failles ont été refermées d'un clic et d'une relecture.

Un signalement toutes les dix secondes

Vercel Security Review est en bêta publique pour les équipes Pro et Enterprise. Dès qu'une équipe l'active, chaque push vers un dépôt GitHub connecté est analysé pour y chercher des vulnérabilités, y compris les pushs directs sur la branche de production. Les résultats arrivent dans un tableau de bord Sécurité, sous forme de vérification GitHub sur le commit et de commentaires sur la pull request.

Les totaux de la première semaine reviennent à environ un signalement toutes les dix secondes, jour et nuit. Le premier point de Rauch, au bout de 24 heures, comptait 580 signalements critiques ou élevés; le second en comptait plus de dix fois plus.

“Je suis stupéfait par le nombre de vulnérabilités critiques qui passeraient inaperçues.”— Guillermo Rauch

Ces chiffres sont ceux de Vercel, sans détail par type, et chaque niveau de gravité est attribué par l'IA. La question la plus parlante est de savoir quel genre de failles l'outil trouve, et comment.

Comment il repère ce que les scanners à motifs ratent

Chaque revue ne couvre que ce qui a changé, en comparant le push à une base, qui pour les déploiements est le déploiement précédent de la branche. C'est pourquoi une revue se termine en quelques secondes et peut tourner sur chaque déploiement de prévisualisation et de production.

L'agent lit le diff avec le code qui l'entoure, retrace comment le code modifié peut être atteint, vérifie les protections déjà en place et revérifie chaque signalement avant de le remonter. Vercel explique que c'est ainsi qu'il repère des failles de logique comme l'absence de contrôle d'autorisation, que ratent les scanners fondés sur des motifs. Son propre exemple est une route de téléchargement de factures qui ne vérifie jamais à quelle organisation appartient une facture, si bien que n'importe quel utilisateur connecté pourrait récupérer les factures d'une autre entreprise en changeant un identifiant.

La correction tient en un clic. L'agent confirme que la vulnérabilité existe toujours, fait le plus petit changement qui la corrige, met à jour les tests et ouvre une pull request, et rien n'est fusionné tant qu'un développeur ne l'a pas validé. Les équipes qui préfèrent leur propre agent de programmation peuvent récupérer les signalements avec la commande vercel security vulnerabilities, et rédiger des règles de sécurité en langage courant, par exemple exiger que toute route renvoyant des données clients vérifie que le demandeur en est le propriétaire.

Ce dernier point compte davantage chaque mois, pour une raison que Vercel détaille dans son annonce.

Pourquoi chaque push a désormais un second lecteur

L'argument de Vercel est que les deux côtés de la sécurité logicielle accélèrent. Les modèles d'IA les plus avancés rendent les vulnérabilités plus faciles à trouver et à exploiter, note l'entreprise: le mois dernier, des chercheurs ont transformé deux failles vieilles de dix ans dans le cœur de PHP en exploits fonctionnels d'exécution de code à distance. Dans le même temps, les agents écrivent une part croissante du code que publient les équipes, et chacun gère la revue de sécurité à sa façon, ou pas du tout.

Vercel est clair sur les limites. L'outil analyse le code source; ce n'est pas un audit de sécurité, il ne fait ni tests à l'exécution ni tests d'intrusion et ne peut pas garantir qu'une application est exempte de failles. Depuis le 10 novembre, il n'est plus gratuit: les revues sont facturées au tarif par token du modèle sous-jacent, sans marge, plus 0,25 dollar par million de tokens.

Dans son message, Rauch affirme qu'il fonctionne sur n'importe quel dépôt, où que le code soit déployé, et l'annonce cite les déploiements depuis la ligne de commande de Vercel parmi les prochaines étapes. Environ un quart de tout ce qu'il a trouvé la première semaine est déjà corrigé.

La revue de sécurité était autrefois une porte à franchir en fin de projet; elle lit désormais chaque push, et le correctif arrive avec l'alerte.

Ce que les gens en disent

Guillermo Rauch@rauchg

“Vercel Security Review, less than 1 week since launch: ✓ 𝟱𝟳,𝟴𝟵𝟳 vulnerabilities identified ✓ 𝟲,𝟬𝟮𝟵 critical or high ✓ 𝟭𝟰,𝟲𝟲𝟱 already patched by Agent I'm shocked at ① the number of critical vulnerabilities that would go unnoticed and ② the ease at which the”

550149Nov 10