La course contre la montre de l'IA
Davantage de vulnérabilités, détectées plus rapidement, exploitées plus tôt.
Explosion mondiale des vulnérabilités CVE
72,812
Le nombre de CVE publiées depuis le début de l'année 2026 jusqu'en septembre est déjà supérieur de 51 % à celui de l'ensemble de l'année 2025
Réduire les délais de mise en exploitation
−7 jours
Délai moyen avant exploitation en 2025 : les attaques commencent désormais, en moyenne, avant la publication d'un correctif
Ce que l'administration fiscale attend
Les fabricants doivent informer l'ENISA et leur CSIRT national en trois étapes, à compter de 24 heures seulement après avoir pris connaissance d'une vulnérabilité exploitée.
24 h
Alerte précoce
Première alerte, avec une cause présumée et la liste des pays touchés
72 h
Notification
Informations détaillées sur la vulnérabilité, les produits concernés et les mesures correctives mises en œuvre
14d
Rapport final
Dans les 14 jours suivant la mise à disposition d'un correctif, en précisant le niveau de gravité, l'impact et la mesure corrective
Prêt à faire votre rapport dans les 24 heures ?
Pour respecter chaque échéance, vous avez besoin de réponses rapides :
- S'agit-il de véritables vulnérabilités, et non pas simplement de faiblesses potentielles ?
- Sont-elles accessibles et exploitables dans votre produit ?
- Existe-t-il un correctif validé, ou est-il possible d'en générer un rapidement ?
Les lacunes de l'ARC en matière de gestion des vulnérabilités
La CRA vous tient pour responsable de toute vulnérabilité présente dans votre produit, qu'elle se trouve dans votre propre code, dans un composant tiers ou dans une bibliothèque open source. Ces obligations sont inscrites dans la loi, tandis que la charge de travail qu'elles impliquent ne cesse d'augmenter.
Plus de code, des mises à jour plus rapides
Le développement basé sur l'IA implique davantage de code, davantage de dépendances et des cycles de publication plus courts. Chaque nouvelle version apporte son lot de composants propriétaires, tiers et open source, ainsi que de nouveaux risques de failles.
Difficile d'établir des priorités
En l'absence de preuves d'exploitabilité, ce sont les scores de gravité seuls qui déterminent l'ordre de priorité. Les équipes consacrent leurs efforts à des éléments sans importance, tandis que les risques réels restent en suspens.
Absence de preuve de risque
Les outils de scan signalent des milliers de problèmes, mais indiquent rarement si une vulnérabilité est accessible, exploitable et pertinente pour votre produit.
Piste d'audit succincte
Le code interne et les composants externes sont souvent gérés dans des flux de travail distincts, les décisions étant dispersées entre tickets, discussions en ligne et feuilles de calcul. Il est pratiquement impossible de rassembler des éléments de preuve traçables et prêts pour un audit en 24 ou 72 heures.
Correction des vulnérabilités grâce à l'IA, intégrée à votre cycle de développement
Keysight AI Analysis for CRA est un service d'analyse de code basé sur l'IA, doté d'une fonctionnalité de gestion des vulnérabilités qui automatise l'ensemble du cycle de vie des vulnérabilités. S'appuyant sur l'expertise de Keysight en matière de sécurité, notre infrastructure propriétaire basée sur l'IA identifie les vulnérabilités, vérifie si elles peuvent être exploitées, propose et valide des correctifs, et documente chaque étape.
Capacités clés
Triage intelligent
Il trie les vulnérabilités CVE et les résultats SAST en fonction de la SBOM, élimine les faux positifs et classe en priorité les risques exploitables.
Corrections vérifiées
Compile, teste et valide chaque correction dans un environnement de test afin de s'assurer que la vulnérabilité a bien été corrigée.
Analyse d'accessibilité
Indique quelles vulnérabilités peuvent effectivement être atteintes et exploitées à partir de véritables points d'entrée en production.
Éléments de preuve de l'ARC
Permet de créer des enregistrements traçables et prêts pour l'audit concernant la gestion des vulnérabilités, la divulgation coordonnée, le signalement des incidents et l'évaluation de la conformité.
- Intégration
- Évaluation initiale
- Analyse et validation par l'IA
- Analyse des résultats
- Rétrospective
Intégration
Vous nous donnez accès à votre dépôt de code source et aux informations relatives à votre environnement. Comme nous analysons le code source et non les fichiers binaires, chaque résultat indique la ligne exacte concernée, et les corrections sont fournies sous forme de correctifs prêts à être fusionnés.
Évaluation initiale
Keysight évalue avec vous les conditions préalables et résout les obstacles avant de procéder à l'analyse complète.
Analyse et validation par l'IA
Notre infrastructure collecte les données SCA, exécute des analyses SAST basées sur l'IA, puis met en place un environnement de test pour évaluer l'accessibilité et l'exploitabilité des vulnérabilités, ainsi que pour vérifier chaque correctif.
Analyse des résultats
Votre équipe et Keysight examinent ensemble les conclusions, les résultats des correctifs et les recommandations de remédiation.
Rétrospective
Nous identifions les lacunes en matière de couverture et recueillons les commentaires afin d'apporter des améliorations à l'avenir.
Toutes les options couvrent le code propriétaire, le code tiers et le code open source au sein d'un flux de travail IA unifié, avec une intégration au pipeline CI/CD prévue prochainement.
Votre adresse IP reste la vôtre
Votre code source est votre atout le plus précieux. C'est ainsi que nous le traitons.
- Héberger des projets sur des serveurs d'IA hors ligne, sans envoyer de données vers le cloud
- Choisissez des modèles d'IA adaptés aux exigences réglementaires régionales
- Possibilité d'exécution sur des fournisseurs de services cloud d'IA
- Aucune formation sur les données clients
Questions fréquemment posées
L'obligation de signaler les vulnérabilités activement exploitées et les incidents graves s'applique à compter du 11 septembre 2026. Les autres exigences, notamment celles relatives à la gestion des vulnérabilités et aux SBOM, s'appliquent à compter du 11 décembre 2027.
Non. L'IA propose des correctifs et les teste dans un environnement de test. Les correctifs critiques font toujours l'objet d'une vérification humaine avant d'être intégrés à votre base de code.
Non. Les projets peuvent fonctionner sur des serveurs d'IA hors ligne, et vos données ne sont jamais utilisées pour entraîner des modèles.
Vous savez déjà quelles vulnérabilités de votre produit sont accessibles et exploitables, et chaque découverte fait l'objet d'un enregistrement traçable. Lorsqu'une nouvelle vulnérabilité exploitée apparaît, vous pouvez en évaluer rapidement l'impact et établir un rapport étayé par des preuves.
Les résultats s'intègrent à votre flux de travail existant, par exemple sous forme de tickets Jira classés par ordre de priorité ou d'éléments de sprint.
À travers une démonstration de faisabilité réalisée sur l'un de vos propres produits. Elle suit les cinq étapes décrites ci-dessus et se termine par une rétrospective des résultats.