An Open-Agent Framework for Intelligent Compliance Analysis in Infrastructure as Code Using Large Language Models

Dans le monde numérique moderne, l'infrastructure qui alimente nos applications, stocke nos données et fait fonctionner nos services ne se trouve plus dans une salle de serveurs physiques avec des rangées de voyants clignotants. Au lieu de cela, elle vit dans le cloud, un vaste réseau d'ordinateurs distants gérés par de grandes entreprises technologiques. Pour les organisations qui utilisent ces services, la responsabilité de la sécurité a changé. Si les fournisseurs de cloud garantissent le bon fonctionnement du matériel, les clients doivent s'assurer que leurs configurations numériques sont correctement paramétrées. Une seule erreur dans la manière dont un compartiment de stockage est ouvert ou dont une permission réseau est accordée peut exposer des informations sensibles à l'ensemble d'Internet. Pour gérer cette complexité, les ingénieurs utilisent une méthode appelée « Infrastructure as Code » (Infrastructure en tant que Code). Cette approche traite la configuration des ressources numériques comme un programme logiciel, en écrivant les règles sous forme de fichiers texte lisibles par des machines. Cela permet la cohérence et la rapidité, mais cela signifie aussi qu'une seule erreur dans le code peut être copiée instantanément sur des centaines de systèmes, créant une vulnérabilité généralisée avant même que quiconque ne s'en aperçoive.

Pour détecter ces erreurs, les équipes de sécurité s'appuient sur des outils automatisés qui scannent le code à la recherche de fautes connues, de la même manière qu'un correcteur orthographique trouve des coquilles. Cependant, ces outils traditionnels sont souvent rigides ; ils peuvent vous dire qu'une règle a été enfreinte, mais ils peinent à expliquer pourquoi cela importe ou comment le corriger d'une manière qui fasse sens pour un auditeur humain. D'un autre côté, une technologie plus récente connue sous le nom de modèles de langage étendus peut lire le code et générer des explications en langage naturel, mais ils sont sujets à l'invention de faits ou à des résultats incohérents lorsqu'ils sont utilisés seuls. Le défi pour les chercheurs a été de combiner la fiabilité stricte des scanners automatisés avec le pouvoir explicatif des modèles de langage intelligents pour créer un système qui soit à la fois précis et compréhensible.

Une équipe de chercheurs de l'Université Princess Sumaya pour la Technologie a construit un nouveau cadre qui fusionne avec succès ces deux approches. Ils ont créé un système qui utilise d'abord un moteur strict, basé sur des règles, pour scanner le code d'infrastructure à la recherche de violations de normes de sécurité spécifiques, puis transmet ces violations confirmées à un modèle de langage intelligent pour générer des rapports clairs, lisibles par l'homme, et des suggestions de corrections. Les chercheurs ont testé ce système sur une large collection de 231 fichiers de configuration réels. Ils ont constaté que le système hybride était remarquablement précis, identifiant correctement les failles de sécurité dans près de 97 pour cent des cas où il levait une alerte, tout en détectant plus de 90 pour cent des problèmes réellement présents dans les fichiers. Cette performance est nettement supérieure aux outils industriels existants, qui ont tendance à signaler trop de problèmes sans importance, provoquant un travail inutile pour les ingénieurs.

Le cœur de ce nouveau cadre est un processus en cinq étapes qui transforme le code brut en un rapport d'audit soigné. Premièrement, le système prend les fichiers de configuration bruts et les traduit dans un format que le moteur de scan peut comprendre. Ensuite, un moteur de politique déterministe, qui opère comme un arbitre strict, vérifie le code par rapport à un ensemble spécifique de 16 règles de sécurité. Ces règles sont basées sur la norme NIST SP 800-53, un catalogue de contrôles de sécurité largement reconnu utilisé par les gouvernements et les entreprises. Le moteur recherche des motifs spécifiques, tels qu'un lecteur de stockage qui manque de chiffrement ou un port réseau laissé ouvert au public. Parce que ce moteur suit des règles fixes, il ne devine jamais ; il rapporte seulement ce qu'il peut prouver être une violation.

Une fois que le moteur identifie une violation, le système ne s'arrête pas là. Il envoie les détails de l'erreur à un modèle de langage étendu, qui agit comme un agent de raisonnement contextuel. Ce modèle est chargé de trois tâches spécifiques : expliquer le risque en langage clair, lier l'erreur à la norme de sécurité officielle qu'elle viole, et générer un extrait de code corrigé pour résoudre le problème. Pour garantir que le modèle ne commette pas d'erreurs dans les parties factuelles du rapport, les chercheurs ont intégré un mécanisme de sécurité. Le modèle n'est pas autorisé à deviner le nom de la norme de sécurité ; au lieu de cela, le système recherche le nom correct dans une liste vérifiée et l'insère automatiquement. Le modèle est libre de générer uniquement l'explication et la correction de code. De plus, les chercheurs ont ajouté des instructions strictes au prompt du modèle pour garantir que le code qu'il écrit soit syntaxiquement correct et exempt de texte inutile, une étape qui s'est avérée essentielle pour la fiabilité.

Les résultats de l'étude démontrent la puissance de cette approche combinée. Lors des tests sur les 231 fichiers de configuration, le système a atteint une précision de 96,9 pour cent, ce qui signifie que lorsqu'il signalait un problème dans un fichier, il avait presque toujours raison. Il a également atteint un rappel de 90,5 pour cent, trouvant la grande majorité des erreurs réelles cachées dans le code. En comparaison, un outil industriel de premier plan appelé Checkov, largement utilisé dans l'industrie, a trouvé chaque erreur du jeu de test, mais a également signalé près de la moitié des fichiers sains comme problématiques. Ce taux élevé de fausses alarmes forcerait les équipes de sécurité à perdre du temps à enquêter sur des problèmes qui n'existent pas. Le nouveau cadre, au contraire, a fourni un signal beaucoup plus clair, réduisant le bruit tout en maintenant des taux de détection élevés.

Un examen plus approfondi des données a révélé un schéma clair dans les types d'erreurs trouvées. La violation la plus courante concernait l'absence de chiffrement des données au repos, ce qui représentait plus de 64 pour cent de tous les problèmes détectés. Ce constat concorde avec les recherches antérieures suggérant que l'oubli du chiffrement des données stockées est l'oubli de sécurité le plus fréquent dans les environnements cloud. Le système a également identifié avec succès des problèmes liés aux contrôles d'accès et à la journalisation des audits, couvrant un large spectre d'exigences de sécurité. Les chercheurs ont noté que la capacité du système à générer des rapports précis et prêts pour l'audit était un avantage clé, car elle comble le fossé entre la détection technique et la documentation requise pour la conformité.

L'étude a également mis en évidence l'importance des garde-fous intégrés au système. Lorsque les chercheurs ont d'abord testé le modèle de langage sans contraintes strictes, celui-ci produisait des corrections de code qui étaient souvent syntaxiquement invalides ou remplies de prose inutile. En imposant des règles de formatage strictes et en utilisant une table de recherche vérifiée pour les données factuelles, le système a atteint un taux de réussite de 100 pour cent dans la génération d'extraits de code valides et de correspondances de contrôle exactes. Cela suggère que la fiabilité de tels systèmes ne provient pas de l'intelligence du modèle seul, mais de la conception méticuleuse du flux de travail qui l'entoure.

Bien que le système ait montré des résultats probants, les chercheurs ont pris soin de noter ses limites. Le cadre se concentre actuellement sur un ensemble spécifique de contrôles de sécurité et de ressources cloud, et il opère sur le code avant son déploiement, ce qui signifie qu'il ne peut pas détecter les problèmes découlant de modifications apportées au système en direct après le déploiement. De plus, la vérité de terrain utilisée pour tester le système provient d'une combinaison d'heuristiques automatisées et d'injection manuelle, ce qui peut ne pas capturer parfaitement chaque nuance d'un environnement réel. Malgré ces limites, l'étude constitue une preuve de concept convaincante. Elle montre qu'en combinant la précision inflexible des moteurs basés sur des règles et le raisonnement flexible des modèles de langage, il est possible de créer un outil d'analyse de conformité qui soit à la fois hautement précis et véritablement utile pour les opérateurs humains. Ce travail suggère une voie à suivre où les outils de sécurité automatisés ne se contentent pas de trouver des problèmes, mais aident les équipes à les comprendre et à les résoudre avec confiance.