Pourquoi Krisp a choisi Hacktron pour ses revues de code de sécurité

« Hacktron se concentre sur de vrais problèmes de sécurité exploitables, avec un impact clair et des conseils de correction.

« Il révèle régulièrement des découvertes à forte valeur dans les PR avant leur publication, ce qui nous aide à passer moins de temps à trier et plus de temps à corriger le vrai risque. »

Davit Karapetyan
Ingénieur sécurité produit

À propos de Krisp

Krisp est une plateforme d’IA vocale en temps réel qui aide les particuliers et les entreprises avec la suppression du bruit, la conversion d’accent, la transcription en direct et les résumés de réunion par IA. Ses produits sont utilisés dans les centres de contact, les outils de réunion et les plateformes de développement d’IA vocale du monde entier.

Déployé sur plus de 200 millions d’appareils et traitant plus de 80 milliards de minutes de conversations vocales chaque mois, Krisp opère à l’échelle mondiale. La sécurité est donc une priorité critique pour Krisp et ses clients.

Le défi : la sécurité à la vitesse du développement, à l’ère de l’IA

Comme beaucoup d’équipes de sécurité, Krisp s’appuyait sur des outils SAST traditionnels qui généraient de grands volumes d’alertes. La plupart n’étaient pas exploitables. Les vrais risques étaient noyés dans le bruit, et le tri était devenu un travail chronophage à part entière.

À mesure que les équipes d’ingénierie se sont mises à utiliser l’IA pour accélérer le développement logiciel, Krisp avait besoin d’un moyen d’identifier les vulnérabilités significatives tôt dans le processus de développement, sans ralentir les équipes d’ingénierie ni les obliger à changer leur façon de livrer du code.

La solution : un flux de travail de sécurité natif IA dans le SDLC

Krisp a intégré Hacktron Review directement dans son flux de travail GitHub, ce qui fait entrer la sécurité dans le processus de revue des pull requests sans changer la façon dont les ingénieurs travaillent déjà.

Au lieu d’analyser les modifications de code isolément, Hacktron vérifie chaque pull request avec des modèles de menaces propres à l’application et le contexte complet de la base de code. En comprenant comment une modification s’inscrit dans l’ensemble de l’application, Hacktron peut évaluer si elle est réellement exploitable et faire remonter des failles de logique métier, des hypothèses de sécurité rompues et des vulnérabilités en plusieurs étapes que les scanners traditionnels fondés sur des motifs ne sont pas conçus pour trouver.

Les découvertes sont publiées en ligne, à côté du code concerné, et incluent les étapes pour reproduire le problème, des traces d’atteignabilité et des conseils de correction. Les ingénieurs de Krisp peuvent vérifier l’exploitabilité en quelques minutes au lieu de débattre de la réalité d’une alerte.

Les résultats : une sécurité renforcée, moins de bruit

Au cours des 4 premières semaines de déploiement, Hacktron a aidé Krisp à identifier et à traiter un certain nombre de vulnérabilités avant qu’elles n’atteignent la production, en moyenne dans les 8 jours suivant la détection du problème.

L’équipe sécurité de Krisp a utilisé les commentaires de tri GitHub, le MCP Hacktron et l’API Hacktron pour trier plus de 300 découvertes en une seule semaine. Chaque faux positif ou risque accepté a été marqué avec une raison, ce qui alimente directement le modèle de menaces que Hacktron tient pour la base de code de Krisp. Au fil du temps, ces retours aident Hacktron à mieux comprendre l’architecture, les contrôles de sécurité et la tolérance au risque de Krisp, ce qui réduit les faux positifs et améliore la qualité des découvertes.

Dans des systèmes complexes comme celui de Krisp, les points de contrôle et les primitives de sécurité s’étendent souvent sur plusieurs dépôts et applications. En combinant sa propre analyse avec les retours directs de l’équipe de Krisp, Hacktron Review a aidé Krisp à atteindre un rapport signal/bruit élevé tout en affinant en continu sa compréhension des contrôles de Krisp.