Chainguard présente Harness pour la recherche de vulnérabilités dans les modèles d’IA de pointe

Le 14 octobre 2026, Chainguard a présenté Chainguard Harness, une offre qui s’appuie sur Claude Mythos 5.1 d’Anthropic pour rechercher des vulnérabilités exploitables dans une version active et isolée de l’application d’une organisation, puis fournir chaque vulnérabilité vérifiée avec une correction recommandée. L’entreprise a ouvert une liste d’attente pour la version bêta le même jour et a rendu l’offre disponible à l’achat sur Claude Marketplace d’Anthropic.

Dans son annonce, Chainguard a déclaré que les modèles de pointe capables d’assurer la détection de vulnérabilités dans du code propriétaire et open source n’étaient jusqu’ici accessibles, pour l’essentiel, qu’à un groupe restreint d’organisations menant des activités de sécurité défensive pour des infrastructures critiques. L’entreprise a indiqué que Harness rend cette capacité accessible aux organisations qui n’ont pas accès aux modèles de pointe, ou qui ne disposent pas des compétences en sécurité et en ingénierie nécessaires pour les utiliser elles-mêmes.

Le PDG et cofondateur Dan Lorenc a déclaré dans le communiqué de l’entreprise : « Chaque fois que nous avons soumis du code à Harness, l’outil a découvert des vulnérabilités graves et exploitables, y compris dans des logiciels analysés à de nombreuses reprises et dans du code qui fait fonctionner des infrastructures critiques. » Il a ajouté que Harness offre aux équipes de sécurité une autre solution pour obtenir des vulnérabilités avérées et des correctifs que leurs ingénieurs peuvent déployer.

Fonctionnement de Harness

L’annonce de Chainguard décrit un processus en cinq étapes. Les clients connectent leurs dépôts au moyen de l’application GitHub de Chainguard, avec un accès en lecture seule, ou téléversent une archive du code source. Harness compile l’application à partir du code source exactement comme elle serait déployée en production, puis la démarre dans une microVM isolée. Mythos 5.1 sonde ensuite l’application en cours d’exécution à la recherche de failles logiques, d’injections et d’épuisement des ressources. Pour ce faire, il s’appuie sur le code source, l’historique Git, le code source des dépendances et la configuration de compilation, tout en observant les réactions de l’application active.

Le confinement se déroule en deux phases. Lors de la phase de préparation, un modèle distinct compile l’application, récupère ses dépendances et ses outils, puis la lance dans la microVM, qui est ensuite suspendue. Lors de la phase de recherche, la microVM redémarre pour Mythos 5.1, sans sortie réseau ni identifiants d’accès à l’intérieur, et le modèle ne dispose que d’un interpréteur de commandes et de paquets compilés par Chainguard. La boucle de l’agent s’exécute à l’extérieur du bac à sable, de sorte que chaque appel d’outil et chaque commande émis par le modèle sont consignés. Le code testé est considéré comme une donnée non fiable, ce qui, selon l’entreprise, protège contre les injections de prompt dissimulées dans le code analysé.

Chaque exploit est rejoué dans une nouvelle microVM, et une vulnérabilité qui ne se reproduit pas à chaque fois n’est pas incluse dans le rapport. Chaque correctif recommandé est vérifié de la même manière : l’exploit doit réussir contre le code actuel du client et échouer contre le correctif. Le rapport remis comprend un résumé destiné à la direction, la gravité et l’impact de chaque vulnérabilité, les étapes permettant de la confirmer, ainsi qu’un correctif recommandé adapté à la base de code du client. Un ingénieur de Chainguard nommément désigné examine et approuve chaque correctif et chaque rapport avant leur remise.

Selon l’annonce, seuls les employés de Chainguard utilisent le modèle, et personne à l’extérieur de l’entreprise ne peut lui donner d’instructions ni voir ses résultats bruts. Lorsque Harness découvre une faille dans une dépendance open source plutôt que dans le code du client, Chainguard coordonne la divulgation avec les responsables en amont. Une fois le problème résolu en amont, la version corrigée est distribuée par l’intermédiaire de Chainguard Repository. Le communiqué désigne cette procédure de divulgation sous le nom d’Athena, le processus de divulgation coordonnée des vulnérabilités de Chainguard.

Première vulnérabilité rendue publique dans vLLM

L’annonce a été publiée un jour après que Chainguard a révélé la première vulnérabilité découverte par Harness. Dans un article de recherche publié le 13 octobre 2026, l’entreprise a indiqué que Harness avait détecté un bogue dans vLLM, un moteur open source destiné à servir de grands modèles de langage, qui permettait à un client de forcer l’affichage de la réponse à la requête d’un autre client sur un moteur partagé. La faille concernait allowed_token_ids, un paramètre de requête qui limite les jetons que le modèle peut générer : lorsqu’une requête était terminée, sa ligne dans une table de restrictions partagée était réattribuée sans que l’ancienne restriction soit effacée, si bien qu’une requête ultérieure pouvait hériter des limites du client précédent. Le bogue touchait les versions de vLLM antérieures à v0.31.0.

Chainguard a indiqué avoir reproduit l’exploit trois fois sur trois. L’entreprise a signalé l’impact sur la sécurité aux responsables de vLLM le 23 septembre 2026 ; le correctif a été publié dans la version v0.31.0 le 2 octobre 2026, et l’avis GHSA-6cxc-2vcg-w5qc a été publié le 6 octobre 2026. Le bogue figurait dans le suivi public des problèmes de vLLM depuis le 28 mai 2026, où il était étiqueté comme un bogue ordinaire. vLLM a attribué au problème un niveau de gravité faible, et le correctif consistait en une modification d’une ligne ainsi qu’en un correctif associé, selon l’article.

Selon l’article, l’analyse de vLLM a duré 10 heures et 48 minutes, traité environ 115 millions de jetons et sondé 30 parties du projet ; 37 vulnérabilités potentielles ont été reproduites sur un hôte vierge, et 13 ont résisté à l’examen technique. Chainguard a déclaré avoir soumis Harness à plus de 65 projets et validé plus de 680 vulnérabilités, dont plusieurs font l’objet d’une divulgation coordonnée. Selon l’article, le développement de Harness a pris son essor lorsque Chainguard a rejoint le projet Project Glasswing d’Anthropic.

Accès à la version bêta et disponibilité sur la marketplace

Chainguard ouvre d’abord l’accès à un groupe restreint d’organisations. La page du produit Harness indique que l’offre est en version bêta et constitue un aperçu technologique régi par le contrat-cadre de services et de licence de Chainguard.

Harness est répertorié sur la place de marché Claude d’Anthropic, où il est indiqué que les clients ayant déjà un engagement auprès d’Anthropic peuvent le faire valoir en passant par le parcours de demande d’achat de la place de marché. Selon l’annonce de Chainguard, Anthropic gère la facturation : ses clients peuvent donc ajouter Harness sans procédure d’achat distincte et regrouper leurs dépenses liées à l’IA.

Au lancement, les ingénieurs de Chainguard exploitent Harness pour le compte des clients, soit en l’exécutant sur les artefacts open source que Chainguard distribue déjà et en leur fournissant des versions corrigées via Chainguard Repository, soit en l’exécutant sur le code source d’un client et en lui remettant un rapport de résultats validés, examiné par un ingénieur, qui précise leur gravité et leur impact, les étapes permettant de les reproduire ainsi que les mesures correctives recommandées.

Dans l’annonce, Daniela Hurtado, responsable de la cybersécurité commerciale chez Anthropic, a déclaré que des modèles comme Mythos 5.1 peuvent révéler des vulnérabilités passées inaperçues pendant des années, et que Harness entoure le modèle de mesures d’isolation, de reproduction et de vérification humaine, afin que chaque résultat soit confirmé avant d’être communiqué à un client. Les organisations peuvent s’inscrire sur la liste d’attente de la bêta depuis la page Harness de Chainguard.