RevEng.AI lève 15 millions de dollars en série A pour vérifier la sécurité et l’intégrité des logiciels générés par l’IA

À mesure que le code généré par l’IA s’intègre de plus en plus dans les systèmes d’entreprise et gouvernementaux, les startups de cybersécurité sont en train de résoudre un problème de confiance croissant : comment les organisations peuvent-elles vérifier ce qui se passe réellement à l’intérieur des logiciels qu’elles déployent. RevEng.AI a annoncé un cycle de financement de série A de 15 millions de dollars mené par le Fonds d’innovation de l’OTAN, avec la participation de Sands Capital, In-Q-Tel, IQ Capital et Episode One. L’entreprise déclare que le financement aidera à étendre sa plate-forme conçue pour analyser les binaires logiciels compilés à la recherche de menaces cachées, de fonctionnalités malveillantes et de risques de chaîne d’approvisionnement logicielle.

La société basée à Londres se concentre sur un défi croissant en matière de cybersécurité : l’incapacité des organisations à inspecter complètement les logiciels une fois qu’ils ont été compilés en forme exécutable. Les outils de sécurité d’application traditionnels se concentrent principalement sur l’analyse du code source, les référentiels et les métadonnées des packages. Mais les binaires compilés qui s’exécutent réellement sur les systèmes restent souvent opaques, en particulier lorsqu’il s’agit de logiciels tiers, de micrologiciels ou d’applications à code fermé.

Le risque croissant du code généré par l’IA

L’industrie du logiciel subit une transformation majeure à mesure que les assistants de codage IA évoluent en agents de codage de plus en plus autonomes capables de générer et de déployer de grandes quantités de logiciels avec une surveillance humaine minimale. Même si ce changement accélère les cycles de développement, il crée également de nouveaux points aveugles en matière de sécurité.

RevEng.AI soutient que les organisations entrent dans une ère où une grande partie des logiciels expédiés ne seront peut-être jamais entièrement examinés par un humain. Cela soulève des inquiétudes quant aux vulnérabilités cachées, aux fonctionnalités malveillantes intégrées et aux comportements involontaires qui pourraient rester invisibles à l’intérieur des exécutables compilés.

Ce problème devient particulièrement important dans les environnements où les logiciels alimentent les systèmes financiers, les réseaux de santé, les réseaux d’énergie, les systèmes de transport et les opérations de défense. Un composant logiciel compromis enfoui dans une chaîne de dépendances peut potentiellement affecter des millions d’utilisateurs ou perturber des infrastructures critiques.

Les attaques de chaîne d’approvisionnement logicielle sont déjà devenues l’une des menaces de cybersécurité à croissance la plus rapide au monde. Des incidents de premier plan au cours des dernières années ont démontré comment les attaquants peuvent infiltrer des mises à jour de logiciels fiables ou des bibliothèques tierces pour accéder à large échelle aux systèmes d’entreprise. RevEng.AI tente de relever ce défi en déplaçant les efforts de vérification directement au niveau binaire.

Analyser les logiciels sans code source

L’un des aspects les plus notables de la technologie de RevEng.AI est qu’elle fonctionne sans nécessiter d’accès au code source. Au lieu de cela, la plate-forme fonctionne directement sur les binaires compilés, les exécutables, les micrologiciels et d’autres artefacts logiciels lisibles par machine.

Cette approche est importante car de nombreuses organisations s’appuient régulièrement sur des logiciels développés par des fournisseurs externes, des communautés open source ou des sous-traitants. Dans de nombreux cas, le code source d’origine peut ne pas être accessible, pratique à inspecter ou même disponible du tout.

La plate-forme de RevEng.AI utilise un modèle d’IA fondamental appelé BinNet, que l’entreprise déclare avoir été formé aux côtés d’unités cybernétiques d’élite au sein des gouvernements alliés et des équipes de sécurité commerciales. Le système est conçu pour automatiser les tâches de reverse engineering traditionnellement gérées par des experts très spécialisés.

En examinant les binaires directement, la plate-forme peut prétendument identifier les composants cachés, les changements de version suspects, les comportements malveillants, les vulnérabilités et la fonctionnalité inattendue intégrée dans les artefacts logiciels avant leur déploiement.

L’entreprise déclare que cela réduit considérablement le temps et l’expertise nécessaires pour inspecter manuellement l’intégrité du logiciel, un domaine qui a historiquement dépendu d’un talent de reverse engineering rare.

Pourquoi la vérification au niveau binaire est importante

La plupart des outils de cybersécurité d’aujourd’hui sont encore centrés sur les référentiels de code source et les dépendances logicielles déclarées. Cependant, l’exécutable compilé qui s’exécute réellement sur une machine peut différer considérablement de ce que les organisations pensent déployer.

Cette distinction devient de plus en plus importante à mesure que les systèmes IA commencent à générer du logiciel de manière autonome. Les équipes de développement peuvent ne pas comprendre pleinement chaque dépendance, module généré ou comportement intégré dans les applications assistées par l’IA.

L’approche de RevEng.AI traite effectivement le binaire compilé lui-même comme la source de vérité finale. Plutôt que de s’appuyer uniquement sur les déclarations sur ce que contient le logiciel, la plate-forme tente d’inspecter ce qui se trouve réellement à l’intérieur de l’exécutable qui s’exécutera sur les systèmes de production.

Selon l’entreprise, sa plate-forme peut comparer les nouvelles versions de logiciels avec des versions fiables, identifier les dérives anormales entre les versions et découvrir les composants cachés ou non déclarés qui peuvent avoir été introduits pendant le développement ou le déploiement.

Ce type de vérification peut devenir particulièrement important pour les organisations qui gèrent des chaînes d’approvisionnement logicielle complexes qui incluent des fournisseurs tiers, des sous-traitants, des composants open source et du code généré par l’IA.

Le futur de la vérification logicielle

L’essor des systèmes de codage autonomes est susceptible de redéfinir la façon dont les organisations pensent la confiance et la sécurité logicielle au cours de la prochaine décennie. À mesure que le logiciel généré par l’IA devient plus courant, le volume de code entrant dans les environnements de production peut finalement dépasser ce que les réviseurs humains peuvent réaliste inspecter manuellement.

Ce changement peut pousser la vérification au niveau binaire et l’ingénierie inverse automatisée à jouer un rôle plus central dans les opérations de cybersécurité d’entreprise. Au lieu de traiter l’ingénierie inverse comme une discipline de niche réservée aux chercheurs de sécurité d’élite, les organisations peuvent commencer à intégrer l’inspection binaire continue directement dans les flux de travail de déploiement, de mise à jour et de déploiement de logiciels.

Les implications vont au-delà de la cybersécurité traditionnelle. Des industries comme la santé, la finance, l’énergie, le transport, la fabrication et la défense dépendent de plus en plus d’écosystèmes logiciels interconnectés où des vulnérabilités cachées ou une fonctionnalité malveillante peuvent avoir des conséquences opérationnelles à grande échelle.

En même temps, l’adoption rapide des agents de codage IA peut créer une pression pour de nouvelles formes de responsabilité logicielle. Les organisations pourraient finalement exiger des couches de vérification indépendantes capables de valider que les logiciels déployés se comportent comme prévu, quel que soit le lieu ou la manière dont le code a été généré.

À mesure que le développement logiciel devient de plus en plus automatisé, les technologies axées sur l’inspection des binaires compilés plutôt que sur l’analyse du code source peuvent devenir une partie importante de la façon dont les entreprises sécurisent la prochaine génération d’infrastructures propulsées par l’IA.