IA agentique, Red Hat OpenShift et NVIDIA : vers une sécurité de précision

Red Hat fait figure de pionnier dans l'utilisation de l'IA agentique pour faire passer la gestion des vulnérabilités d'une approche basée sur le volume à une approche de précision. En associant la base sécurisée de Red Hat OpenShift aux frameworks d'IA avancés de NVIDIA, nous fournissons des renseignements de sécurité exploitables qui apportent une réelle valeur métier aux entreprises. 

Voici le problème : Un seul paquet logiciel peut déclencher des centaines d'alertes, car une fonction ou une bibliothèque importée dans celui-ci est théoriquement vulnérable. Les outils d'analyse traditionnels s'arrêtent au niveau des paquets, ce qui génère un flux de faux positifs pour des vulnérabilités qui ne sont jamais réellement accessibles dans votre application. Les équipes sont contraintes de perdre d'innombrables heures à trier des risques qui n'existent pas en pratique.

C'est là que Red Hat Trusted Profile Analyzer, qui inclut la fonctionnalité exploit intelligence, change fondamentalement cette dynamique.

Elle ne s'arrête pas au paquet. L'IA agentique d'exploit intelligence effectue une analyse approfondie au niveau des fonctions des chemins de code réels de vos applications. Elle suit le flux d'exécution pour déterminer de manière définitive : La fonction vulnérable spécifique est-elle accessible et exécutable dans le contexte de votre application ?

Si la fonction n'est pas accessible, n'est pas exécutable ou est atténuée d'une autre manière, exploit intelligence déclare automatiquement que la vulnérabilité n'est pas exploitable dans votre environnement. Ce passage du bruit au niveau du paquet à une analyse de l'exploitabilité au niveau des fonctions constitue une véritable avancée. Le résultat est simple et transformateur : vos équipes de sécurité cessent de traquer des centaines de vulnérabilités théoriques pour concentrer leurs efforts exclusivement sur celles qui sont réellement exploitables et présentent un réel risque métier.

Fournir une plateforme de premier plan pour l'IA et les applications traditionnelles

Alors que les organisations s'empressent d'adopter l'IA générative, elles font face à un défi de taille : créer et déployer ces modèles de manière sécurisée sans que les données ne quittent leurs environnements. Red Hat OpenShift AI sert de plateforme de développement d'applications pour les charges de travail traditionnelles et les applications basées sur l'IA, ce qui permet aux équipes de déployer l'IA de manière plus sécurisée, conformément aux exigences de souveraineté numérique.

Grâce à sa collaboration avec NVIDIA, Red Hat donne vie à l'IA pour les entreprises. Cette collaboration a rapidement évolué, passant des opérateurs matériels aux solutions co-conçues, notamment l'intégration de NVIDIA NIM dans OpenShift AI, la validation du matériel DGX et des offres conjointes telles que la Red Hat AI Factory with NVIDIA. En utilisant ces modèles d'IA et en les exécutant sur OpenShift, nous permettons aux ingénieurs de plateforme d'exploiter la puissance de l'IA de manière plus sûre, derrière leurs propres pare-feu.

Exploit intelligence : Valeur métier grâce à la précision agentique

L'exemple le plus concret de la valeur de l'IA agentique est exploit intelligence, une fonctionnalité basée sur NVIDIA Morpheus Agent et NVIDIA NeMo Agent Toolkit.

Au cœur du flux de travail agentique d'exploit intelligence

Exploit intelligence met en œuvre un flux de travail agentique sophistiqué de type « planifier et exécuter » afin de fournir une preuve vérifiable par l'humain. Voici comment l'IA agit au nom de l'analyste en sécurité :

1. Entrée et ingestion du contexte : exploit intelligence accepte la nomenclature logicielle (SBOM) d'une image de conteneur ainsi qu'une vulnérabilité CVE (Common Vulnerabilities and Exposures) cible. Elle extrait ensuite les informations CVE correspondantes de diverses sources faisant autorité et intègre les détails spécifiques à l'utilisateur, s'il y en a. Elle extrait ensuite le contenu du conteneur et se prépare pour le processus d'inspection.
2. Planification par grands modèles de langage (LLM) : en fonction des informations sur les vulnérabilités recueillies auprès de sources publiques (National Vulnerability Database, GitHub, flux de données de sécurité Red Hat, etc.), l'agent de planification génère une liste de tâches contextuelle. Cette liste définit les étapes exactes nécessaires pour vérifier si la CVE est exploitable dans cette application spécifique.
3. Exécution de l'agent : un agent parcourt la liste de tâches. Red Hat a développé des outils d'analyse de code pour identifier des modèles de fonctions et explorer les relations dans la base de code, recueillant ainsi des preuves précises concernant l'accessibilité des fonctions, les chemins d'exécution, les configurations d'environnement et d'autres contrôles en place.
4. Synthèse et verdict : un agent de classification et de raisonnement condense les résultats pour parvenir à un verdict. Par exemple, si le code n'est pas accessible, l'agent attribue le statut « Non exploitable » et génère une justification claire et lisible (code_not_reachable ou protected_by_compiler, selon le chemin d'exécution du code et les arguments de la fonction vulnérable).

Intégration avec l'usine logicielle de confiance 

L'IA agentique apporte le plus de valeur lorsqu'elle est profondément intégrée à l'écosystème de développement. Exploit intelligence est une fonctionnalité essentielle de Red Hat Advanced Developer Suite et fonctionne en complément de l'usine logicielle de confiance.

• Red Hat Trusted Profile Analyzer : Trusted Profile Analyzer gère le profil de risque de vos logiciels via les SBOM. Lorsque Trusted Profile Analyzer détecte une CVE, il peut déclencher exploit intelligence. Si exploit intelligence détermine que la CVE est un faux positif, elle génère automatiquement un fichier CSAF VEX (Common Security Advisory Framework Vulnerability Exploitability eXchange) conforme aux normes de l'industrie. Trusted Profile Analyzer ingère ce fichier VEX pour éliminer les alertes inutiles.
• Red Hat Trusted Artifact Signer : tandis qu'exploit intelligence analyse le contexte du code, Trusted Artifact Signer signe cryptographiquement les artefacts logiciels et les modèles d'IA, ce qui permet de garantir la provenance et l'intégrité du code analysé avant son déploiement.
• Usine logicielle de confiance : une implémentation de référence d'usine logicielle de confiance qui reflète le système de création interne de Red Hat apporte aux entreprises les mêmes normes de sécurité rigoureuses que celles utilisées par Red Hat pour ses propres produits, via Red Hat Advanced Developer Suite.
• Red Hat Advanced Cluster Security for Kubernetes : la valeur d'exploit intelligence s'étend directement à votre environnement d'exécution grâce à l'intégration de Red Hat Advanced Cluster Security. Red Hat Advanced Cluster Security peut marquer les CVE comme des « faux positifs » afin qu'aucune alerte (violation) ne soit générée. Cela permet de réduire le « bruit » et de laisser les équipes de sécurité se concentrer sur les CVE qui présentent de réels risques. 

En s'appuyant sur Red Hat OpenShift, les frameworks d'IA de NVIDIA et la gamme complète Red Hat Advanced Developer Suite, les ingénieurs de plateforme peuvent faire abstraction du bruit. Exploit intelligence prouve que l'IA agentique peut être un outil pratique et hautement efficace qui améliore considérablement la rapidité de développement et renforce la chaîne d'approvisionnement logicielle des entreprises.

En savoir plus : Red Hat Advanced Developer Suite.