Bon, même si ce n’est finalement pas mentionné directement dans cet article, c’est en quelque sorte un aveu que la stratégie d’Apple visant à construire en interne, au sein de son propre écosystème, un environnement d’IA au niveau qu’elle souhaitait a échoué… (dans la lignée de l’Apple Car). On se dit qu’avec seulement deux ans d’avance, ça aurait peut-être changé la donne.
Merci pour les documents détaillés et le résumé. Au début, je pensais qu'il s'agissait de quelque chose de similaire aux capabilities de Linux, mais en fait cela inclut aussi de l'analyse dynamique.
J’ai demandé à Gemini de l’expliquer. Je ne suis pas non plus spécialiste sécurité, donc je ne sais pas vraiment.
[Rapport approfondi : « Capability Analysis », la technologie de sécurité de nouvelle génération sur laquelle misent PyPI et l’OpenSSF]
Alors que les attaques de supply chain menaçant récemment l’écosystème open source deviennent plus sophistiquées, PyPI (Python Package Index) et l’OpenSSF (Open Source Security Foundation) accélèrent l’adoption de la « Capability Analysis » (analyse des fonctionnalités/capacités), qui va au-delà des approches classiques de pattern matching.
Le cœur de cette technologie est de voir non pas « ce qu’un package prétend être », mais « ce qu’il est réellement capable de faire ».
Qu’est-ce que la Capability Analysis (analyse des capacités) ?
Si l’analyse antivirus traditionnelle consistait à comparer une « liste des personnes recherchées » (signatures de malwares connus), la Capability Analysis consiste, elle, à vérifier les « capacités comportementales » d’un package.
Même s’il se déguise en utilitaire légitime, un package qui veut prendre le contrôle du système ou voler des informations doit forcément utiliser certaines ressources spécifiques du système d’exploitation (réseau, fichiers, processus). Cette technique d’analyse suit si le package exerce les « permissions sensibles (capabilities) » suivantes lorsqu’il exécute du code :
Réseau (Network) : le script d’installation tente-t-il discrètement d’exfiltrer des données vers une IP externe ou d’établir une communication ?
Système de fichiers (FileSystem) : tente-t-il d’accéder à des fichiers sensibles ou de les modifier, comme des clés SSH, des identifiants AWS ou /etc/passwd ?
Exécution de processus (Execution) : exécute-t-il des commandes shell, ou crée-t-il des sous-processus en générant dynamiquement du code (eval, exec) ?
Usages réels et principaux outils de sécurité supposés
À l’heure actuelle, les projets OpenSSF et les groupes de recherche en sécurité développent et intègrent dans leurs pipelines des outils comme ceux-ci pour mener ce type d’analyse.
A. OpenSSF Package Analysis (projet officiel)
- Vue d’ensemble : projet piloté par l’OpenSSF, qui installe et exécute réellement les packages publiés sur PyPI ou NPM dans un environnement sandbox isolé.
- Principe de fonctionnement : les appels système (System Calls) produits lors de l’exécution du package sont interceptés au niveau du noyau afin de collecter des données de comportement du type « ce package a tenté de se connecter à 192.168.x.x pendant l’installation ».
- Stack technique : utilise notamment gVisor (sandbox) et Strace (traçage des appels système).
B. Packj
- Vue d’ensemble : outil développé à partir de travaux de recherche universitaires (Georgia Tech, entre autres), spécialisé dans le marquage des « fonctionnalités risquées (Risky Capabilities) » d’un package.
- Principe de fonctionnement : combine analyse statique et analyse dynamique. Il repère les appels d’API sensibles dans le code source et analyse les métadonnées du package pour déterminer s’il s’agit d’un « package abandonné » ou d’un cas de typosquatting (usurpation de nom), entre autres.
- Particularité : détecte des combinaisons de permissions anormales, par exemple « ce package est une bibliothèque audio, mais il dispose aussi de fonctions de communication réseau et d’accès au carnet d’adresses ».
C. GuardDog
- Vue d’ensemble : outil CLI publié par Datadog, qui s’appuie sur Semgrep (moteur d’analyse statique) pour détecter des patterns malveillants.
- Principe de fonctionnement : identifie des patterns de code (heuristics) implémentant des « fonctionnalités malveillantes », comme du code obfusqué caché dans un package, des scripts de minage ou des téléchargeurs d’exécutables.
D. Falco & Sysdig
- Vue d’ensemble : outils de sécurité runtime pour les environnements cloud-native.
- Rôle : servent de moteur pour détecter en temps réel les comportements anormaux survenant lorsqu’un package s’exécute dans un conteneur (par ex. ouverture d’un shell inattendue, lecture de fichiers sensibles).
Ressources et liens de référence
Pour mieux comprendre cette technologie, vous pouvez consulter les projets et blogs d’origine ci-dessous.
Je crois qu’ils récupèrent probablement le package, puis l’exécutent, le décompressent, ou font ce genre d’analyses statiques et dynamiques pour voir ce que fait le code. C’est surtout comme ça que les malwares se propagent souvent.
Je pense parfois la même chose. Il n’y a pas de fin.
« Il m’arrive parfois de me dire qu’avoir choisi le développement logiciel était peut-être une mauvaise décision.
Même en devenant senior, on attend toujours de moi que j’étudie et que je fasse des projets perso.
Je ne sais pas quand je pourrai enfin avoir des loisirs ou une vie sociale. »
Je pense qu’une confiance aveugle absolue est tout aussi erronée qu’une méfiance obstinée.
L’important, c’est de l’utiliser en pesant correctement les avantages et les inconvénients ; créer une ambiance de pur FOMO, c’est selon moi une stratégie commerciale des entreprises de l’IA.
C’est vraiment excellent. Un texte que tout le monde devrait lire, du junior au senior.
J’ai l’impression que la période entre l’an dernier et l’an prochain sera le plus grand tournant pour le software engineering.
Si on rate ici le sens de l’époque, on risque de se retrouver très vite loin derrière.
Comme je ne connaissais pas la cause, j’étais assez inquiet et j’ai simplement téléchargé une ancienne version pour l’utiliser, mais heureusement, la cause a pu être identifiée :)
> même dans les systèmes de divertissement à bord des avions, les fonctions de jeu basées sur l’IA sont en train de se généraliser
Comme je connais le fonctionnement des moteurs d’échecs, j’ai trouvé qu’on en faisait beaucoup trop, au point que ça n’avait aucun sens, donc je me suis demandé ce qu’il en était…
À la base, la vidéo originale ne contient rien de cette surenchère résumée ainsi.
On dirait plutôt une vidéo sarcastique sur le fait que le niveau EASY de Delta Air Lines joue si bien qu’il est difficile à battre même pour des gens qui ont un peu l’habitude des échecs.
En revanche, je me demande pourquoi l’opinion présentée dans le sens et les implications est devenue à ce point partiale et hallucinée.
> Un exemple montrant que la diffusion grand public des technologies d’IA s’étend désormais jusqu’au secteur des services aériens
Il semble probable que la capacité à construire et à fournir l’infrastructure voulue par Apple ait aussi fortement pesé dans ce choix.
Bon, même si ce n’est finalement pas mentionné directement dans cet article, c’est en quelque sorte un aveu que la stratégie d’Apple visant à construire en interne, au sein de son propre écosystème, un environnement d’IA au niveau qu’elle souhaitait a échoué… (dans la lignée de l’Apple Car). On se dit qu’avec seulement deux ans d’avance, ça aurait peut-être changé la donne.
Dis Siri...
Je suis un gamin, moi.
Merci pour les documents détaillés et le résumé. Au début, je pensais qu'il s'agissait de quelque chose de similaire aux capabilities de Linux, mais en fait cela inclut aussi de l'analyse dynamique.
J'ai hâte..
J’ai demandé à Gemini de l’expliquer. Je ne suis pas non plus spécialiste sécurité, donc je ne sais pas vraiment.
[Rapport approfondi : « Capability Analysis », la technologie de sécurité de nouvelle génération sur laquelle misent PyPI et l’OpenSSF]
Alors que les attaques de supply chain menaçant récemment l’écosystème open source deviennent plus sophistiquées, PyPI (Python Package Index) et l’OpenSSF (Open Source Security Foundation) accélèrent l’adoption de la « Capability Analysis » (analyse des fonctionnalités/capacités), qui va au-delà des approches classiques de pattern matching.
Le cœur de cette technologie est de voir non pas « ce qu’un package prétend être », mais « ce qu’il est réellement capable de faire ».
Si l’analyse antivirus traditionnelle consistait à comparer une « liste des personnes recherchées » (signatures de malwares connus), la Capability Analysis consiste, elle, à vérifier les « capacités comportementales » d’un package.
Même s’il se déguise en utilitaire légitime, un package qui veut prendre le contrôle du système ou voler des informations doit forcément utiliser certaines ressources spécifiques du système d’exploitation (réseau, fichiers, processus). Cette technique d’analyse suit si le package exerce les « permissions sensibles (capabilities) » suivantes lorsqu’il exécute du code :
/etc/passwd?eval,exec) ?À l’heure actuelle, les projets OpenSSF et les groupes de recherche en sécurité développent et intègrent dans leurs pipelines des outils comme ceux-ci pour mener ce type d’analyse.
A. OpenSSF Package Analysis (projet officiel)
- Vue d’ensemble : projet piloté par l’OpenSSF, qui installe et exécute réellement les packages publiés sur PyPI ou NPM dans un environnement sandbox isolé.
- Principe de fonctionnement : les appels système (System Calls) produits lors de l’exécution du package sont interceptés au niveau du noyau afin de collecter des données de comportement du type « ce package a tenté de se connecter à 192.168.x.x pendant l’installation ».
- Stack technique : utilise notamment gVisor (sandbox) et Strace (traçage des appels système).
B. Packj
- Vue d’ensemble : outil développé à partir de travaux de recherche universitaires (Georgia Tech, entre autres), spécialisé dans le marquage des « fonctionnalités risquées (Risky Capabilities) » d’un package.
- Principe de fonctionnement : combine analyse statique et analyse dynamique. Il repère les appels d’API sensibles dans le code source et analyse les métadonnées du package pour déterminer s’il s’agit d’un « package abandonné » ou d’un cas de typosquatting (usurpation de nom), entre autres.
- Particularité : détecte des combinaisons de permissions anormales, par exemple « ce package est une bibliothèque audio, mais il dispose aussi de fonctions de communication réseau et d’accès au carnet d’adresses ».
C. GuardDog
- Vue d’ensemble : outil CLI publié par Datadog, qui s’appuie sur Semgrep (moteur d’analyse statique) pour détecter des patterns malveillants.
- Principe de fonctionnement : identifie des patterns de code (heuristics) implémentant des « fonctionnalités malveillantes », comme du code obfusqué caché dans un package, des scripts de minage ou des téléchargeurs d’exécutables.
D. Falco & Sysdig
- Vue d’ensemble : outils de sécurité runtime pour les environnements cloud-native.
- Rôle : servent de moteur pour détecter en temps réel les comportements anormaux survenant lorsqu’un package s’exécute dans un conteneur (par ex. ouverture d’un shell inattendue, lecture de fichiers sensibles).
Pour mieux comprendre cette technologie, vous pouvez consulter les projets et blogs d’origine ci-dessous.
Blog officiel d’OpenSSF Package Analysis (présentation et explication du principe)
https://openssf.org/blog/2022/…
GitHub d’OpenSSF Package Analysis (code source et architecture)
https://github.com/ossf/package-analysis
GitHub de Packj (téléchargement de l’outil et fonctions détaillées)
https://github.com/ossillate-inc/packj
GitHub de GuardDog (outil Datadog de détection de packages malveillants sur PyPI/NPM)
https://github.com/DataDog/guarddog
Rapport de sécurité PyPI (procédure de signalement et de traitement des packages malveillants)
https://pypi.org/security/
Je crois qu’ils récupèrent probablement le package, puis l’exécutent, le décompressent, ou font ce genre d’analyses statiques et dynamiques pour voir ce que fait le code. C’est surtout comme ça que les malwares se propagent souvent.
Je pense parfois la même chose. Il n’y a pas de fin.
« Il m’arrive parfois de me dire qu’avoir choisi le développement logiciel était peut-être une mauvaise décision.
Même en devenant senior, on attend toujours de moi que j’étudie et que je fasse des projets perso.
Je ne sais pas quand je pourrai enfin avoir des loisirs ou une vie sociale. »
des points communs de compétences..
Je suis passé à starship.
On voit souvent mention de Tailscale. En fait, je n’ai pas vraiment trouvé d’alternative valable...
Je pense qu’une confiance aveugle absolue est tout aussi erronée qu’une méfiance obstinée.
L’important, c’est de l’utiliser en pesant correctement les avantages et les inconvénients ; créer une ambiance de pur FOMO, c’est selon moi une stratégie commerciale des entreprises de l’IA.
Si vous n’intégrez pas encore suffisamment l’IA dans votre travail aujourd’hui, avoir un peu de FOMO me paraît plutôt sain.
Ah, j’avais oublié un
/oups. Je l’ai corrigé.C’est vraiment excellent. Un texte que tout le monde devrait lire, du junior au senior.
J’ai l’impression que la période entre l’an dernier et l’an prochain sera le plus grand tournant pour le software engineering.
Si on rate ici le sens de l’époque, on risque de se retrouver très vite loin derrière.
Comme je ne connaissais pas la cause, j’étais assez inquiet et j’ai simplement téléchargé une ancienne version pour l’utiliser, mais heureusement, la cause a pu être identifiée :)
https://github.com/kaniini/capsudo
> même dans les systèmes de divertissement à bord des avions, les fonctions de jeu basées sur l’IA sont en train de se généraliser
Comme je connais le fonctionnement des moteurs d’échecs, j’ai trouvé qu’on en faisait beaucoup trop, au point que ça n’avait aucun sens, donc je me suis demandé ce qu’il en était…
À la base, la vidéo originale ne contient rien de cette surenchère résumée ainsi.
On dirait plutôt une vidéo sarcastique sur le fait que le niveau EASY de Delta Air Lines joue si bien qu’il est difficile à battre même pour des gens qui ont un peu l’habitude des échecs.
En revanche, je me demande pourquoi l’opinion présentée dans le sens et les implications est devenue à ce point partiale et hallucinée.
> Un exemple montrant que la diffusion grand public des technologies d’IA s’étend désormais jusqu’au secteur des services aériens
Que sont des « outils de sécurité basés sur l’analyse des capacités (capability analysis) » ?
Des appareils comme les Galaxy Book sont pénibles à utiliser, car les pilotes Linux ne sont pas correctement pris en charge... :(