AWS et les correctifs de sécurité

LLéna

Amazon Web Services a rendu généralement disponible son agent de sécurité Continuum for Code Vulnerabilities, selon The New Stack. L’outil recherche et valide des vulnérabilités dans les dépôts de code, les vérifie au regard de l’environnement AWS et propose des correctifs sous forme de demandes de fusion. Sur CyberGym-E2E, Continuum a réussi 819 tâches sur 920, soit 89 %, mais ce taux mesure la capacité à trouver et reproduire une vulnérabilité, à empêcher le crash et à préserver les tests existants, pas nécessairement à corriger la faille précise visée. Pour réussir une tâche, l’agent devait donc repérer un bug, le reproduire sans provoquer de plantage et maintenir les tests du projet en réussite. Le benchmark porte uniquement sur des bugs de sûreté mémoire en C et en C++, dans 139 projets open source, et accorde 90 minutes par tâche. Les résultats intermédiaires atteignent 92,5 % pour trouver et reproduire un bug, 89,6 % pour arrêter le crash et 89 % pour maintenir les tests en réussite. La vulnérabilité historique ciblée a été corrigée dans 37,8 % des tâches, contre un précédent meilleur score public de 26,2 % ; AWS indique que l’agent ne connaissait pas l’identité de cette vulnérabilité. Les performances de Continuum lorsqu’une équipe lui demande de corriger une vulnérabilité précise restent inconnues : les résultats disponibles évaluent sa capacité à trouver une faille, à arrêter le plantage et à préserver les tests, sans établir qu’il répare toujours la vulnérabilité désignée.