Les clients de Tanium proviennent de secteurs d'infrastructures critiques, parmi lesquels figurent certaines des plus grandes banques, des réseaux hospitaliers et des administrations publiques au monde. Ils confient à notre agent la gestion de leurs terminaux les plus sensibles, ce qui signifie que le logiciel que nous leur fournissons doit répondre aux normes élevées qu’ils se sont eux-mêmes fixées. C'est pourquoi nous recherchons nous-mêmes nos vulnérabilités avant que quiconque ne puisse le faire.
Nous avons récemment annoncé sur que Tanium participait au projet Glasswing d’Anthropic, dans le cadre duquel nous testons Claude Mythos 5 pour des missions de sécurité défensive, et nous avons lancé des initiatives similaires avec d’autres partenaires dans le cadre d’une préversion privée. Tout au long de notre cycle de développement, nous avons testé des modèles d'IA de pointe pour la détection des vulnérabilités – et nous souhaitons partager avec vous les enseignements que nous en tirons, ainsi qu'une conséquence concrète à laquelle nos clients doivent se préparer.
Repousser les limites des pratiques traditionnelles en matière de sécurité des applications
Depuis des années, Tanium évalue en permanence son produit à l'aune des meilleures pratiques du secteur. Tanium procède régulièrement à des tests d'intrusion sur ses applications, réalisés tant par son équipe de sécurité interne, composée d'experts produits, que par des cabinets de conseil tiers reconnus. L'équipe de R&D en sécurité de Tanium a intégré des chaînes d'outils de fuzzing, de SAST et de DAST à notre cycle de vie de développement. Bien que notre programme de sécurité soit déjà bien rodé, nous adoptons également des technologies d'intelligence artificielle qui améliorent sensiblement la sécurité de nos logiciels.
Les outils SAST permettent de détecter des catégories spécifiques de vulnérabilités pouvant être exprimées sous forme de modèle, comme une valeur corrompue atteignant un récepteur ou un appel d'API connu pour être défectueux. Les outils DAST permettent de détecter les vulnérabilités classiques des applications web, telles que les injections SQL ou les erreurs de configuration courantes. Cependant, ces outils se révèlent peu efficaces pour détecter les vulnérabilités qui nécessitent une compréhension plus approfondie du comportement attendu et ont également du mal à prendre en compte les interactions entre plusieurs composants. Le rapport signal/bruit de ces outils est très faible, et l'amélioration du taux de vrais positifs nécessite un réglage minutieux et une maintenance continue.
Jusqu'à présent, les bogues complexes étaient généralement détectés par des ingénieurs qui maîtrisaient parfaitement l'architecture, le modèle de menace et le code source de nos logiciels. Cependant, renforcer les capacités en matière de sécurité en se contentant d'augmenter les effectifs n'est ni une solution durable ni une solution réaliste.
Au cours de l'année écoulée, les modèles d'IA de pointe ont considérablement progressé en matière de cybersécurité. Ils sont désormais capables d'analyser des bases de code complexes et de déterminer les fonctionnalités prévues tout en détectant les vulnérabilités. Même s'ils commettent encore des erreurs et ont besoin d'être encadrés, nos expériences ont mis au jour de nombreuses failles de sécurité dont nos ingénieurs en sécurité ont confirmé l'impact. Lors de nos tests internes, le rapport signal/bruit s'est révélé nettement meilleur que celui observé avec les outils de sécurité traditionnels. Grâce à ces capacités améliorées, l'extension à grande échelle de l'identification et de la correction des vulnérabilités à l'aide d'une IA de pointe est devenue une priorité absolue pour notre équipe.
Différents outils détectent des bogues différents dans le même code
Nos ingénieurs en sécurité ont mis au point un cadre d'évaluation sur mesure autour d'un modèle « frontier » polyvalent. Ce dispositif intègre le modèle de menaces de Tanium, les limites de confiance présentes dans notre architecture, les comportements prévus par conception, ainsi qu’un ensemble de données sur les vulnérabilités issues de nos propres recherches menées depuis des années et de notre historique de divulgation. Ce dispositif a permis de mettre au jour des types de vulnérabilités qui nécessitent une connaissance approfondie du système et de son contexte – celles-là mêmes que les outils traditionnels n’auraient pas pu détecter.
Par ailleurs, nous avons testé divers modèles et systèmes d'analyse basés sur des agents sur la même base de code. Ces harnais performants n'ont reçu aucune consigne spécifique à Tanium, et chacun d'entre eux a détecté des bogues valides, distincts de ceux identifiés par d'autres harnais.
Si l'on examine l'ensemble des résultats fournis par ces outils, les recoupements sont nettement moins importants que ce à quoi nous nous attendions. Nous ne sommes pas encore en mesure de déterminer avec certitude s’il s’agit d’une caractéristique propre aux modèles, au harnais, à notre base de code ou au fait que nous n’en sommes qu’aux prémices de ce projet, mais les implications pratiques à court terme sont déjà suffisamment claires pour que l’on puisse agir en conséquence : les processus de sécurité agentique ne doivent pas reposer sur un seul modèle ou fournisseur et doivent intégrer le contexte institutionnel afin d’améliorer leurs performances.
Nous continuons à investir dans la mise en place et l'optimisation du contexte dans lequel nous alimentons ces outils, en repoussant les limites du possible plutôt que de nous contenter de la première approche qui fonctionne.
Tanium augmente le volume et la cadence de ses correctifs de sécurité
Notre engagement à fournir des mises à jour de maintenance à nos clients utilisant nos solutions sur site au moins une fois par mois reste inchangé. Ce qui va changer, c'est la fréquence des publications hors cycle et le nombre de vulnérabilités divulguées à chaque publication. Nous nous imposons des accords de niveau de service (SLA) très stricts pour la correction des vulnérabilités que nous estimons exploitables, avec des délais exprimés en jours pour les problèmes les plus critiques, et nous avons l'intention de continuer à les respecter, même à mesure que nos capacités de détection s'améliorent.
Cela signifie que vous devez vous attendre à une augmentation du nombre d'avis de sécurité, d'enregistrements CVE et de correctifs de sécurité de notre part au cours des prochains mois, à mesure que nous continuons à mettre en œuvre et à faire évoluer ces techniques dans l'ensemble de notre infrastructure. Nous souhaitons définir clairement cette attente, car l'augmentation du nombre de CVE peut facilement prêter à confusion. Cela ne signifie pas que la qualité de notre logiciel se détériore. Au contraire, nous parvenons de mieux en mieux à mettre au jour des failles de sécurité latentes, difficiles à détecter.
Il s'agit d'une tendance que nos homologues du secteur des logiciels ont observée : Mozilla a corrigé 271 vulnérabilités à la suite de sa première évaluation de Mythos (s'ouvre dans un nouvel onglet) et Microsoft a corrigé plus de 900 failles de sécurité lors du « Patch Tuesday » du 9th’s septembre (s'ouvre dans un nouvel onglet).
Outre le fait de rechercher de manière proactive les vulnérabilités dans notre base de code et de les corriger sans délai, nous informons nos clients en toute transparence des problèmes de sécurité connus. Nous continuerons à remplir nos obligations en tant qu'autorité de numérotation CVE et à divulguer ces vulnérabilités de manière responsable (voir https://security.tanium.com pour les avis publiés), car ces informations permettent à nos clients d'évaluer leur exposition et de planifier les mesures correctives en conséquence. Nous sommes conscients que l'application de correctifs peut poser des difficultés opérationnelles à nos clients, et nous ne prenons pas cela à la légère. Mais la réalité est que le rythme de découverte des vulnérabilités et de développement des exploits s'accélère, tant pour les défenseurs que pour les attaquants, et que les cycles de correctifs dans le secteur devront eux aussi s'accélérer afin de garantir la sécurité de nos systèmes.
Tanium s'engage à aider ses clients à rationaliser la gestion des correctifs pour leurs déploiements Tanium. Tous les clients ont accès à la solution « Endpoint Configuration » de Tanium, conçue pour permettre des mises à jour sécurisées, transparentes et fréquentes du client Tanium et des outils de gestion des terminaux. Les clients utilisant une solution sur site doivent également mettre à jour leur backend Tanium afin de bénéficier de tous ces correctifs de sécurité. Nos versions de maintenance semestrielles comprennent des modifications limitées du code, visant à corriger les bogues critiques et de sécurité, afin d'offrir à nos clients la prévisibilité et la stabilité dont ils ont besoin pour mettre en œuvre des cycles de mise à jour rapides.
Quelles sont les prochaines étapes ?
L'équipe de R&D en sécurité de Tanium continuera à développer et à mettre en œuvre des capacités de cybersécurité de pointe basées sur l'IA dans nos produits logiciels et nos opérations de sécurité. À mesure que nous approfondissons nos connaissances sur la conception des harnais, le processus de triage et la nature des lacunes de couverture entre les différents modèles, nous avons l’intention de partager publiquement les résultats de nos recherches et de continuer à agir de manière responsable pour garantir la sécurité des clients de Tanium. Nos clients comptent sur Tanium pour leurs opérations informatiques et de sécurité, ce qui leur permet de se concentrer sur leurs enjeux stratégiques. C'est en détectant nous-mêmes nos propres vulnérabilités avant qu'aucun autre ne puisse le faire que nous continuons à mériter cette confiance.
Les déclarations et les informations fournies par Tanium concernant ses projets, ses orientations et ses intentions sont confidentielles et susceptibles d'être modifiées sans préavis, à la seule discrétion de Tanium. Les informations concernant les produits ou fonctionnalités potentiels à venir ont pour but de présenter la direction générale des produits de Tanium et ne doivent pas être utilisées comme base pour une décision d'achat, ni être intégrées dans un contrat. Il ne s'agit pas d'un engagement, d'une promesse ou d'une obligation légale. Le développement, la mise sur le marché et le calendrier de lancement de tout produit ou fonctionnalité futurs relèvent de la seule appréciation de Tanium.
