OpenHack : comment Hadrian transforme les agents IA en véritables auditeurs de sécurité du code

Un workflow pour transformer l’IA en auditeur de sécurité

Les agents de codage basés sur l’intelligence artificielle peuvent analyser rapidement d’immenses bases de code. Mais lorsqu’on leur demande simplement de « trouver des vulnérabilités », leurs résultats sont souvent bruyants ou incohérents. Faux positifs, vulnérabilités imaginées et analyses variables selon la formulation du prompt sont des problèmes fréquents.

OpenHack, un projet open source publié par la société de cybersécurité Hadrian (basée à Amsterdam), tente de résoudre ce problème. L’idée n’est pas seulement d’utiliser un modèle de langage pour examiner du code, mais de lui imposer une méthode d’enquête structurée comparable à celle d’un auditeur de sécurité humain.

Qu’est‑ce qu’OpenHack exactement ?

OpenHack est un espace de travail et une boîte à outils destinée à l’audit de sécurité du code source assisté par IA. Le projet inclut :

• des prompts spécialisés
• des workflows d’analyse
• de la documentation
• des utilitaires en ligne de commande

L’ensemble orchestre la façon dont un modèle analyse un dépôt et documente les vulnérabilités potentielles.

Le système est conçu pour fonctionner avec des environnements de développement pilotés par des agents IA, comme Claude Code, Codex ou Cursor, dans lesquels un assistant peut parcourir un dépôt, exécuter des tâches et raisonner sur l’architecture d’un projet.

Dans ce contexte, OpenHack permet d’intégrer l’audit de sécurité directement dans le flux de développement, plutôt que de dépendre d’une revue manuelle ponctuelle.

Pourquoi les revues de code par LLM sont souvent peu fiables

Demander à un modèle de langage d’examiner un dépôt entier avec une instruction vague produit généralement des résultats imprécis. Hadrian met en avant trois problèmes principaux :

• Trop de faux positifs : des modèles signalent des motifs bénins comme des vulnérabilités.
• Hallucinations : certaines failles décrites n’existent pas réellement dans le code.
• Analyses incohérentes : les conclusions changent selon le contexte ou la formulation du prompt.

OpenHack tente de corriger ces faiblesses en remplaçant les prompts génériques par une méthodologie d’investigation structurée.

Une analyse guidée par scénarios d’attaque

L’un des principes clés d’OpenHack est ce que Hadrian appelle le scenario‑based scoping.

Au lieu de demander à l’IA d’explorer un projet sans direction, le workflow lui assigne une classe d’attaque précise ou un chemin d’exploitation possible. Par exemple :

• suivre le flux des entrées utilisateur dans l’application
• rechercher des vulnérabilités de type Local File Inclusion (LFI)
• analyser la gestion des identifiants ou des configurations cloud

Cette approche limite le champ d’analyse et donne au modèle un objectif clair, ce qui améliore la qualité du raisonnement et réduit les résultats génériques.

Séparer découverte et validation

Autre idée centrale : dissocier la détection d’une vulnérabilité de sa validation.

Dans un workflow OpenHack typique :

1. un agent IA identifie une vulnérabilité potentielle
2. une étape distincte réalise le triage
3. des preuves techniques sont collectées avant de confirmer la faille

Ce processus encourage les modèles à produire des éléments concrets — chemins de code, chaînes d’exploitation ou preuves de configuration — avant qu’une vulnérabilité soit acceptée comme réelle.

Des tests sur des logiciels utilisés par l’administration néerlandaise

Hadrian affirme avoir utilisé une méthodologie similaire pour auditer plusieurs applications open source utilisées par des agences gouvernementales aux Pays‑Bas.

Selon l’entreprise, l’analyse assistée par LLM aurait permis de découvrir des centaines de vulnérabilités en quelques heures.

Un exemple cité dans la recherche décrit une chaîne d’attaque comprenant :

• une vulnérabilité LFI accessible sans authentification
• l’exposition d’identifiants Azure
• une voie possible vers une exécution de code à distance dans l’environnement Azure

Ces résultats proviennent principalement des communications de l’entreprise elle‑même et doivent donc être interprétés avec prudence en attendant des validations indépendantes.

Pourquoi Hadrian a publié OpenHack en open source

Le projet est disponible sur GitHub sous licence MIT, avec documentation, prompts, outils CLI et compatibilité Python 3.9 et versions ultérieures.

Pour Hadrian, l’objectif est de « rééquilibrer le terrain » dans la recherche de vulnérabilités. Si les outils d’IA capables d’explorer des bases de code à grande échelle restent propriétaires, les défenseurs — équipes de sécurité et développeurs — risquent d’être désavantagés face aux attaquants.

En publiant OpenHack, l’entreprise espère permettre à davantage d’organisations d’utiliser des modèles de langage courants pour auditer leurs propres bases de code.

Une tendance plus large : l’audit de sécurité assisté par IA

OpenHack s’inscrit dans une évolution plus large du développement logiciel. Les assistants de codage modernes peuvent déjà analyser l’architecture d’un projet, comprendre les dépendances et automatiser certaines tâches de développement.

La prochaine étape consiste à exploiter ces capacités pour la cybersécurité. Des workflows structurés comme OpenHack cherchent précisément à transformer des modèles généralistes en chercheurs systématiques de vulnérabilités, capables d’explorer des bases de code à grande échelle tout en produisant des analyses vérifiables.

À mesure que les environnements de développement deviennent plus « IA‑natifs », des approches mettant l’accent sur la portée d’analyse, la collecte de preuves et la vérification indépendante pourraient devenir essentielles pour rendre les audits de sécurité automatisés réellement fiables.