Comment choisir un produit japonais de sécurité par IA

Par exemple, une équipe qui souhaite réduire les risques d’injection SQL dans un SaaS avant sa mise en production ne choisira pas le même produit qu’une équipe qui veut faire le tri dans les nombreuses alertes reçues chaque jour. La première s’intéressera surtout à l’analyse de code ou aux tests de sécurité Web, la seconde à l’aide à la surveillance et à l’investigation. Protéger l’IA générative elle-même constitue encore un autre cas : il faut alors examiner la manière dont les prompts et les données externes sont traités.

Pour faciliter la comparaison, cet article présente des produits et services proposés par des entreprises dont le siège se trouve au Japon. Cela ne signifie pas que leurs composants ou leurs modèles d’IA ont été développés au Japon, ni que les données y sont traitées. Les exemples ci-dessous constituent un point de départ pour votre sélection, et non une liste exhaustive des produits.

Pour examiner du code en cours de développement, Hi AUDIT Agent, proposé par TECHFUND, permet de demander une analyse de sécurité du code depuis un environnement de développement connecté via MCP. On peut envisager de l’utiliser pour examiner les points signalés et les corrections proposées, puis laisser les développeurs vérifier les corrections.

Pour évaluer en continu la sécurité du code et des applications en fonctionnement, Takumi byGMO de GMO Flatt Security propose des analyses à partir du code, des tests en boîte noire et des suggestions de correction. Des analyses périodiques portant sur les différences de code dans GitHub sont également proposées : les équipes qui privilégient l’intégration à leur processus de développement auraient donc intérêt à examiner cette option.

Pour tester une application Web depuis l’extérieur, AeyeScan de Aeye Security Lab est un outil cloud qui utilise l’IA pour automatiser les tests de sécurité. Sa capacité à parcourir les pages accessibles après authentification est un point à tester avec la configuration réelle et l’application cible.

Si vos données confidentielles ne peuvent pas sortir de votre infrastructure, Purple Agent de CoWorker propose des évaluations de vulnérabilités et des analyses forensiques utilisant un LLM local déployé sur site. Vérifiez au préalable les prérequis de l’environnement de déploiement et l’organisation nécessaire à son exploitation.

Pour gérer l’utilisation de l’IA générative par les employés, Layer Base de Layer Security examine localement les saisies et les pièces jointes du navigateur et peut avertir, remplacer ou bloquer selon les règles. L’entreprise décrit aussi des contrôles pour les opérations prises en charge des agents IA. Vérifiez les navigateurs et opérations compatibles et distinguez ce besoin de la protection en production des applications intégrant l’IA.

Pour alléger la charge liée à la surveillance de sécurité, CTC-MSS AI SOC de ITOCHU Techno-Solutions aide à détecter et à examiner les menaces ainsi qu’à proposer des mesures de réponse grâce à l’IA. Ce service est proposé par une entreprise japonaise, mais repose sur les produits de l’entreprise américaine Exaforce.

Lorsque vous comparez les résultats des tests réalisés par l’IA, il est difficile de juger les outils uniquement sur le nombre de problèmes détectés. Un test qui s’arrête à la page de connexion et un test qui atteint les pages correspondant aux différents niveaux de droits n’ont tout simplement pas examiné le même périmètre. Pour l’analyse de code, vérifiez aussi les dépôts et les langages couverts, ainsi que la prise en compte des chemins allant du code appelant jusqu’à la base de données.

Effectuez les essais sur la même application, pour laquelle vous disposez d’une autorisation de test, et sur la même révision. Comparez la capacité à détecter les problèmes connus, à retracer les éléments justifiant les signalements et à effectuer une nouvelle vérification après correction. Définir également qui sera responsable de la vérification des résultats et des corrections permet de limiter le risque que l’outil cesse d’être utilisé après son déploiement.

Même lorsque le fournisseur est une entreprise japonaise, le lieu de stockage des données d’entrée, la région où s’effectue l’inférence et l’utilisation des données pour l’entraînement de modèles externes relèvent de conditions distinctes. Avant de transmettre du code confidentiel ou des journaux, vérifiez ces points dans le contrat et la documentation la plus récente, ainsi que la durée de conservation, les modalités de suppression et les éventuels sous-traitants ultérieurs.

Vérifiez séparément les conditions relatives aux données. AeyeScan indique que les données clients sont stockées dans la région japonaise d’AWS, tout en précisant que les données présentes sur Azure dans le cadre de l’option d’IA générative sont automatiquement supprimées après une conservation maximale de 60 jours à compter de leur utilisation. Pour les services de notre entreprise, nous précisons que TECHFUND n’utilise pas lui-même les données pour l’entraînement, mais que les modèles externes sélectionnés peuvent les utiliser à cette fin. Le stockage au Japon, l’utilisation pour l’entraînement, la durée de conservation et la région de traitement sont des conditions distinctes.