Sur cette page
Leur CI/CD était parfait. Snyk tournait. Dependabot veillait. Tous les voyants au vert. Dix minutes après le début de l'audit, j'avais acheté tout leur stock pour 0 €.
J'ai audité récemment la codebase d'un client. Leur pipeline CI/CD était magnifique. Ils faisaient tourner Snyk en SAST. Dependabot pour la SCA. Tous les indicateurs au vert. Zéro vulnérabilité critique. « On est secure », m'a dit le Lead Dev.
Dix minutes plus tard, j'avais acheté tout leur stock pour 0 €.
Pas de buffer overflow. Pas d'injection SQL. J'ai juste manipulé le workflow.
La logique soustrayait le prix au total. La syntaxe du code était parfaite, donc le SAST n'a rien vu. Les libs étaient à jour, donc la SCA n'a rien vu. Mais la logique métier était cassée.
Le problème de l'iceberg
Les scanners traditionnels (SAST/DAST) sont des vérificateurs de syntaxe. Ils cherchent des patterns dans le code, des eval(), des inputs non assainis. Mais ils ne comprennent pas ce que le code est censé faire.
- Erreurs de syntaxe & inputs non assainis
- CVE connues dans les libs tierces
- Secrets en dur dans le code
Contournement de paiement
Passer au checkout sans jamais payer.
Abus de coupons
Empiler 50 coupons « -10 % » pour avoir le produit gratuit.
Élévation de privilèges
Changer user_id=123 → user_id=1 pour devenir admin.
Manipulation de workflow
Sauter des étapes obligatoires d'une transaction.
Ce ne sont pas des erreurs de code. Ce sont des erreurs de logique. Le scanner voit une fonction de paiement valide qui s'exécute correctement. Un attaquant voit comment sauter l'étape paiement. Et jusqu'ici, seuls des pentesters humains coûteux, facturés 5 k€/semaine, savaient les trouver.
Entrée en scène : la BLSA
Chez CybeDefend, on est convaincus que le futur de l'AppSec n'est pas de trouver plus d'erreurs de syntaxe, c'est de comprendre le contexte. On construit le premier moteur Business Logic Security Analysis (BLSA) de l'industrie.
Avec des workflows d'IA agentique, notre scanner ne se contente pas de lire le code, il comprend les flux. Il croise le chemin de la donnée avec le rôle utilisateur, avec l'état de la transaction, avec le champ prix, et il rend son verdict avant même que la ligne soit mergée.
On passe de l'analyse statique à l'analyse intelligente. On ne lit plus le code, on raisonne sur ce qu'il est censé protéger.
L'impact sur votre portefeuille
Ignorer ces failles n'est pas qu'un risque sécurité, c'est une décision financière. Corriger une vulnérabilité en production coûte environ 60× plus cher qu'en développement (rule of thumb du secteur, après Pressman, Software Engineering, et NIST Planning Report 02-3, 2002). Si vous attendez qu'un pentester trouve la faille logique en prod, vous avez déjà payé le pentest (10 k€+) plus la remédiation.
Si vous l'attrapez en PR avec un outil automatisé, ça vous coûte 0 €. Si elle atteint la prod, vous payez l'incident response, le hotfix, le downtime, et les tickets support. Et ça, c'est avant le pentest que vous auriez dû faire plus tôt.
Comment vérifier votre logique aujourd'hui
En attendant la sortie complète de la BLSA, voici ce que chaque équipe d'ingé devrait faire dès maintenant :
- Cartographiez vos workflows critiques. Ne scannez pas que les fichiers, dessinez vos flux paiement et auth sur un tableau blanc. Cherchez les raccourcis, toute étape qu'on peut sauter.
- Méfiez-vous de vos builds « verts ». Si votre scanner ne trouve rien, soyez méfiant. Probablement qu'il a juste raté les bugs de logique, pas qu'ils n'existent pas.
- Essayez CybeDefend. On combine SAST, SCA et IaC avec notre moteur Cross-Analysis. On corrèle les findings pour réduire le bruit de 70 % et libérer le temps de votre équipe sur les vraies failles logiques.