Chainguard Harness prouve les failles dans les applis actives

Chainguard lance Harness le 14 octobre 2026 pour rechercher des vulnérabilités exploitables dans des applications en fonctionnement. L’outil utilise des modèles d’IA de pointe, notamment Claude Mythos 5.1 d’Anthropic. Il construit l’application depuis son code source dans une microVM isolée. Le modèle examine ensuite une instance active, plutôt que le seul code statique. Harness reproduit chaque découverte avant de proposer une correction adaptée. Un ingénieur Chainguard relit chaque correctif et chaque rapport avant leur transmission au client. L’annonce est détaillée par Help Net Security. L’offre est disponible dans la place de marché Claude d’Anthropic.

Les scanners montrent des limites lorsqu’ils analysent uniquement le code statique. Ils peuvent signaler des problèmes inatteignables et manquer des défauts de logique, des chemins d’injection ou des erreurs d’épuisement de ressources. Ces défauts apparaissent parfois seulement quand l’application fonctionne réellement. Chainguard présente Harness comme une réponse à cette difficulté. L’outil recherche des vulnérabilités exploitables dans du code propriétaire et dans des dépendances à code ouvert. Les équipes reçoivent des résultats reproduits, au lieu d’une simple accumulation d’alertes. Dan Lorenc, directeur général de Chainguard, affirme que Harness a trouvé des vulnérabilités graves dans des logiciels déjà analysés plusieurs fois. Son profil est disponible sur LinkedIn.

Chainguard isole chaque exécution

Le dépôt déclenche le test grâce à l’application Guardener GitHub. Harness construit l’application comme elle est livrée, puis la démarre dans une microVM isolée. Chaque exécution repose sur Chainguard OS et ne dispose d’aucune sortie réseau. Aucun identifiant d’accès n’est présent dans l’environnement. Les opérations font aussi l’objet d’une journalisation complète. Un modèle de pointe sonde ensuite l’instance active, comme le ferait un attaquant, afin d’identifier des défauts exploitables dans leur contexte. Cette méthode cible notamment les failles de logique, les injections et l’épuisement de ressources. Elle concerne le code propriétaire comme les composants à code ouvert utilisés par l’application.

La reproduction filtre les alertes avant leur livraison aux équipes. Chaque découverte est rejouée dans un environnement isolé distinct jusqu’à obtenir une reproduction systématique. Chainguard fournit alors les étapes précises de reproduction, la gravité, l’impact et une recommandation de correction. La correction est écrite pour le code concerné, et non sous la forme d’une consigne générale. Un ingénieur Chainguard examine et approuve chaque correctif et chaque rapport. Pour les vulnérabilités touchant le code ouvert, l’entreprise transmet les résultats aux mainteneurs via Athena, son processus de divulgation coordonnée. Les clients reçoivent ainsi un rapport exploitable et une voie de remédiation associée.

Anthropic distribue Harness directement

La place de marché Claude permet aux clients d’Anthropic d’acheter Harness directement avec une partie de leur engagement existant. Anthropic gère la facturation, ce qui permet de regrouper cette dépense avec les services déjà souscrits. Au lancement, les ingénieurs Chainguard exploitent Harness pour les clients. Ils l’exécutent sur des artefacts à code ouvert distribués par Chainguard et fournissent des versions corrigées via Chainguard Repository. Ils peuvent aussi tester le code source d’un client, puis remettre un rapport examiné par un ingénieur. Daniela Hurtado, responsable du cyber commercial chez Anthropic, explique que l’isolement, la reproduction et la revue humaine encadrent l’usage de Claude Mythos 5.1. Son profil figure sur LinkedIn.