Le chercheur en sécurité d'Anthropic a publié gratuitement un guide expliquant comment utiliser l'IA pour réduire la surface d'attaque de vos programmes. Et au milieu de tous ces exploits que nous observons actuellement, cela est plus important que jamais. Si vous gérez un site web, une application ou un système en ligne, c'est cette partie qui est la plus exposée, car un attaquant peut y accéder sans avoir besoin d'aucun mot de passe. Au lieu de chercher une vulnérabilité après l'autre, l'idée est de réduire le nombre d'éléments accessibles depuis l'extérieur. Ainsi, même une faille encore inconnue devient plus difficile à atteindre. Anthropic a testé cette approche sur OpenSSH, le programme utilisé par les administrateurs pour accéder aux serveurs via Internet, qu'elle qualifie de l'un des codes les plus revus au monde. Selon les chiffres de l'entreprise elle-même, ce travail a réduit d'environ un cinquième le code accessible sans authentification dans la configuration par défaut du programme. Anthropic a fait appel à Claude pour rechercher sur trois axes et vérifier chaque découverte, et affirme que cette approche générale fonctionne même sans l'outil qu'elle a développé. Voici la démarche pas à pas : 1 - Avec le programme dans son état d'installation par défaut, identifiez le code accessible depuis l'extérieur mais qui n'est utilisé par aucune fonction normale du programme. 2 - Recherchez le code complexe et sensible qui s'exécute avant une protection comme la connexion. 3 - Testez les combinaisons de configurations. Deux options peuvent sembler raisonnables séparément, mais ensemble, elles peuvent désactiver une protection sans avertissement. 4 - Vérifiez chaque découverte en exécutant réellement le programme, et non en lisant uniquement le code. 5 - Après chaque blocage ajouté, exécutez les tests du projet lui-même et exigez les mêmes résultats qu'auparavant. Si le changement affecte une configuration non par défaut, laissez une personne humaine décider. Lors des tests d'Anthropic, Claude a identifié 493 problèmes dans 25 projets open source totalisant plus de 5 millions de lignes de code. Dans OpenSSH, il s'agissait d'environ 4 500 lignes d'une fonction expérimentale accessible à n'importe qui avant la connexion, dans la configuration par défaut du programme. Anthropic a informé les responsables d'OpenSSH et a corrigé les failles en collaboration avec eux. Une première partie a été publiée dans la version 10.5 en août, et le reste dans la version 10.6 le 6 octobre. Commencez par votre propre programme, dans son état d'installation par défaut. Si cela existait dans OpenSSH, imaginez ce qui se trouve dans le code jamais revu.