Comment Mobbin obtient un tri de sécurité quasi immédiat avec Hacktron

« Je ne vois pas comment nous pourrions passer à l’échelle autrement.

« Ça aide beaucoup que Hacktron fasse le premier passage sur nos problèmes de sécurité. »

Jian Jie Liau
CTO

À propos de Mobbin

Mobbin est devenu une infrastructure essentielle pour les équipes produit modernes. Plus de deux millions de designers utilisent sa bibliothèque de plus de 600 000 écrans issus d’applications mobiles, d’applications web et de sites publiés pour apprendre des meilleurs produits numériques du monde.

Le défi : des découvertes après la mise en production, sans responsable clair

L’IA a considérablement accéléré la vitesse à laquelle l’équipe d’ingénierie de Mobbin écrit et livre du code.

Les découvertes de sécurité n’apparaissaient souvent qu’après la livraison d’une fonctionnalité. À ce stade, personne n’en était clairement responsable, et l’équipe devait trouver le bon ingénieur pour examiner chaque problème.

« Avant, une découverte de sécurité apparaissait après la livraison d’une fonctionnalité. Personne n’en était responsable, donc il fallait trouver quelqu’un pour s’en charger. »

Jian Jie Liau
CTO

Le défi : une revue manuelle en difficulté face aux modifications transverses

Avant Hacktron, la revue de sécurité était manuelle. Les ingénieurs écrivaient des tests et relisaient eux-mêmes les pull requests. Cela fonctionnait pour les petites modifications isolées. Les modifications transverses étaient plus difficiles, car un relecteur ne pouvait tenir compte que des interactions système déjà visibles pour l’équipe.

« En général, les petites unités testables ne posent pas de problème. Mais pour les modifications transverses, la suite de tests est limitée par la compréhension qu’a l’équipe des interactions entre les systèmes dans la base de code. »

Jian Jie Liau
CTO

À mesure que la génération de code s’accélérait, Mobbin avait besoin d’une revue de sécurité capable de suivre le rythme, d’apporter le contexte plus large de l’application à chaque modification et d’aider les ingénieurs à prendre leurs décisions tant que le code était encore frais.

Hacktron intègre la revue de sécurité à chaque pull request

Mobbin utilise désormais Hacktron comme première passe de sécurité sur chaque pull request. Lorsque Hacktron identifie une découverte, celle-ci apparaît dans le processus de revue de la PR, si bien que la revue de sécurité avance avec le code plutôt qu’après la mise en production. Hacktron vérifie chaque modification au regard de l’ensemble de la base de code, suit ses interactions avec l’application et publie ses découvertes directement dans GitHub.

« Avec Hacktron, une découverte de sécurité apparaît dans le processus de revue de la PR, et le responsable de la PR est aussi le responsable de la découverte de sécurité. »

Jian Jie Liau
CTO

Lorsque le code change, Hacktron le vérifie à nouveau. Les ingénieurs voient la découverte pendant que la pull request est active, examinent les éléments de preuve et prennent la décision finale de tri.

« La vitesse à laquelle nous livrons du code a considérablement augmenté.

« Le besoin d’un outil automatisé de revue de sécurité des PR, comme paire d’yeux supplémentaire, était bien réel. »

Jian Jie Liau
CTO

• Avant Hacktron : les découvertes apparaissaient souvent après la mise en production, sans responsable clair.
• Avec Hacktron : les découvertes apparaissent pendant la revue de la PR, ce qui intègre la sécurité à la modification en cours.

Le contexte de toute la base de code

Hacktron accélère le tri des découvertes en apportant le contexte de l’application à la décision.

Hacktron peut relier une modification à du code situé ailleurs dans l’application et mettre en évidence des implications de sécurité difficiles à voir dans un diff isolé. Il peut aussi identifier des changements structurels susceptibles de créer un chemin vulnérable à mesure que la base de code évolue.

« Ce que j’apprécie, c’est que Hacktron ne se contente pas de rechercher des vulnérabilités existantes.

« Il met aussi en évidence des surfaces ou des modifications à haut risque, c’est-à-dire des zones qui ne présentent aucun risque au moment de l’écriture, mais qui pourraient créer une vulnérabilité lors de modifications futures en raison de la façon dont le code a été structuré. »

Jian Jie Liau
CTO

Les résultats : de la découverte à la décision en quelques minutes

« Comme Hacktron fait partie du processus de revue des PR, les ingénieurs réagissent aux découvertes presque immédiatement.

« Le responsable de la PR est aussi le responsable de la découverte de sécurité. »

Jian Jie Liau
CTO

Au cours des huit premières semaines de Mobbin avec Hacktron, 21 découvertes ont reçu un verdict final. Le délai médian de tri était d’environ 32 minutes. Même le cas le plus long a été trié en 10,3 heures. En intégrant la revue de sécurité à chaque pull request et en rassemblant le contexte de l’application autour de chaque découverte, Hacktron a fait du tri, autrefois un relais après la mise en production, une étape du flux de développement actif.

Pour une équipe d’ingénierie native IA, la revue de sécurité peut désormais suivre le rythme de la génération de code et faire remonter les problèmes tôt, pour agir pendant que les modifications sont encore en cours.