Analyse statique pour le code genere par l'IA
Un scanner de securite specialement concu pour detecter les vulnerabilites introduites par les assistants de codage IA. 210 regles couvrant cinq categories -- patterns de vibe code, securite des agents, risques des applications LLM, vulnerabilites des frameworks et erreurs de configuration cloud -- propulse par l'analyse AST tree-sitter et un triage assiste par IA optionnel.
210 regles de securite
10 langages
5 categories de regles
Sortie SARIF
Le probleme
Pourquoi le code genere par l'IA est un risque de securite
Les assistants IA generent du code plus rapidement que les humains ne peuvent le relire. Le vibe coding -- accepter les suggestions de l'IA avec un examen minimal -- est devenu la norme.
L'IA optimise pour du code fonctionnel, pas pour du code securise. Le meme secret en dur, la meme concatenation SQL, le meme CORS permissif -- repetes dans des milliers de projets.
Semgrep, Snyk et CodeQL ne comprennent pas les modeles de prompts, les definitions d'outils d'agents ni la gestion des sorties LLM. Les nouvelles surfaces d'attaque n'ont aucune couverture.
Les agents autonomes prennent des decisions reelles avec un acces au systeme de fichiers, des ecritures en base de donnees et des commandes shell. Aucun outil existant n'audite leurs limites de permissions.
Regles
210 regles ciblant cinq domaines de vulnerabilites specifiques a l'IA
40 regles pour les schemas couramment generes par les assistants de codage IA : secrets en dur dans les prompts, injection SQL par concatenation, execution de code dangereuse, parametres par defaut non securises, authentification manquante, traversee de chemin, deserialisation non securisee et cryptographie faible.
30 regles pour le code des agents autonomes : definitions d'outils trop permissives, acces illimite au systeme de fichiers, execution de commandes shell a partir d'entrees utilisateur, journalisation d'audit manquante, absence de confirmation avant les actions destructrices, communication inter-agents non securisee et vecteurs d'escalade de privileges.
40 regles pour les applications LLM en production : entrees utilisateur brutes dans les prompts systeme, rendu HTML non assaini, execution de SQL genere par le LLM, cles d'API exposees, detection d'injection de prompts manquante, flux OAuth non securises, utilisation de SDK obsoletes, sorties d'outils non validees et risques d'exfiltration de donnees d'entrainement.
50 regles pour les mauvaises configurations des frameworks IA/ML : definitions de chaines LangChain non securisees, lacunes de securite FastAPI/Flask, contournement de validation Pydantic non securise, endpoints de debug exposes, politiques CORS manquantes, piles middleware non securisees et patterns de dependances vulnerables dans les frameworks IA populaires.
50 regles pour les risques de deploiement cloud : roles IAM trop permissifs, identifiants AWS/GCP/Azure en dur, buckets de stockage exposes publiquement, chiffrement au repos manquant, configurations de conteneurs non securisees, secrets Kubernetes non proteges et groupes de securite VPC mal configures dans les deployements de charges de travail IA.
Integrez Mistral AI ou des modeles Ollama locaux pour reduire les faux positifs, reajuster la severite en fonction du contexte et generer des suggestions de correction contextuelles. Activez avec un simple flag --ai -- fonctionne avec tout modele pris en charge.
Retours de securite en temps reel dans votre editeur via le serveur LSP Achilles AI. Diagnostics en ligne, actions de code et suggestions de correction pendant que vous tapez -- compatible avec VS Code, Neovim et tout editeur compatible LSP.
Ecrivez des regles personnalisees en YAML -- aucune connaissance de Rust requise. Definissez des types de noeuds AST, des schemas regex, des contraintes de contexte ancetre et des suggestions de correction. Generez de nouvelles regles avec une seule commande.
Sortie native SARIF v2.1.0 pour l'integration avec l'onglet Securite de GitHub. Les resultats apparaissent sous forme d'annotations en ligne sur les PR avec severite, suggestions de correction et references. Prend aussi en charge les formats JSON et texte.
GitHub Action integrable pour une analyse automatisee a chaque push et pull request. Compatible aussi avec GitLab CI, Bitbucket Pipelines et les hooks de pre-commit. Binaire unique -- aucune dependance d'execution.
Capacites
Ce que Achilles AI offre
210
Regles de securite integrees
10
Langages pris en charge
5
Categories specifiques a l'IA
1
Binaire unique -- sans dependances
5
Compilations multiplateformes
3
Formats de sortie
Technologies
Espace de travail Rust (5 crates), tree-sitter, serde, regex, moteur de regles YAML, configuration .achilles-ai.yaml
tree-sitter-javascript, tree-sitter-typescript, tree-sitter-python, tree-sitter-go, tree-sitter-java, tree-sitter-rust, tree-sitter-ruby, tree-sitter-php, tree-sitter-c-sharp, tree-sitter-swift
Mistral AI SDK, client Ollama, selection de modele configurable, filtrage des faux positifs, reajustement de severite
clap, colored, serde_json, sortie SARIF v2.1.0, Language Server Protocol
GitHub Actions (CI + compilation croisee), GitLab CI, Bitbucket Pipelines, hooks de pre-commit
Linux (amd64/arm64), macOS (amd64/arm64), Windows (amd64), crates.io
Tarification
Contactez notre equipe pour decouvrir comment Achilles AI peut securiser votre code genere par l'IA a grande echelle.
Besoin d'aide pour sécuriser du code généré par IA en production ? Nos services de conseil complètent Achilles AI.
70% des pilotes IA n'atteignent jamais la production. Recevez le guide de ceux qui y arrivent.
Désabonnez-vous à tout moment. Pas de spam, jamais.