Triage des vulnérabilités, chemin par chemin. 24/7.
Chaque alerte lue comme un chemin dans votre code, puis tranchée.
shop-apiCybe AnalysisProjet de démonstration
CritiqueManipulation du prix du panierCWE-472
Règle métier : les prix viennent du catalogue, jamais du client.
- POST /checkoutroutes/checkout.ts:18Point d'entrée. Le panier arrive du navigateur, prix compris.
- total = sum(items.map((i) => i.price))checkout.service.ts:57Faille. Le total est calculé avec les prix envoyés par le client.
- payments.charge(total)payments/stripe.ts:104Sink. La carte est débitée de ce total.
ExploitablePriorité 92Responsable : équipe paiements
Il lit votre application comme un graphe.
Une faille est un chemin dans votre code. Son correctif aussi.
Votre code, en graphe
Il écrit le verdict d'un analyste senior.
Un vrai triage, sans montage.
90 %
des alertes sans intérêt écartées pendant le scan lui-même, avant que quiconque les lise.
Chiffre CybeDefend
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Reachability
- Not reachable from untrusted input
Commencez par un dépôt.
Connectez GitHub, GitLab, Bitbucket ou Azure DevOps, choisissez un dépôt, et le premier scan démarre.
En détail
Le verdict complet
Cybe Analysis lit votre code comme un graphe, écarte les alertes sans enjeu et rend un verdict sur les autres.
Chaque fonction, chaque sink, chaque règle métier devient un nœud. Une faille est un chemin dans ce graphe, et le correctif aussi.
Une vraie session de triage, 12 secondes, sans montage : le flux de données, les preuves, la reachability, la décision.
Cybe Analysisvulpy2026-01-13 18:57- Verdict
- False positive
- Summary
- The reported SQL injection is a false positive: the code is part of a controlled initialization script with hardcoded, trusted values.
- Data flow
db_init_usersgood/db_init.py:22user_creategood/libuser.py:61- Evidence
user_createinserts a new user with predefined, trusted values.- The code is only reachable during database initialization, not from external or untrusted input.
- Sanitizers
- No sanitizers are present.
- Reachability
- Not reachable from untrusted input
- Remediation
- None required: the code is not exploitable in its current context.
- Assigned priority
- Low
Votre code reste dans votre région.
Des modèles que nous hébergeons nous-mêmes, et rien ne sort de la région.
Où vit votre codeEUUS
- Scan standardCloné dans un conteneur isolé, détruit à la fin du scan.
- Cybe Analysis et le Security ChampionConservent une copie du code, son historique git et un knowledge graph dans votre région, supprimés sur demande.
- ModèlesDes modèles open-weight hébergés par nos soins dans votre région : Scaleway dans l'UE, Google Cloud aux États-Unis.
- IA tiercesAucun code et aucun prompt ne part vers une API d'IA tierce.
Conforme au RGPD. Audit SOC 2 Type II en cours.
Cybe Analysis, en détail.
Qu'est-ce qui distingue Cybe Analysis d'un scanner SAST classique ?
Un SAST classique signale tout ce qui ressemble à un pattern connu et laisse aux développeurs le soin de trier 90 % de faux positifs. Cybe Analysis construit un knowledge graph de votre application (appels de fonctions, flux de taint, contrôles du framework) et ne remonte que les alertes atteignables, exploitables et significatives dans votre contexte métier. Ces 90 % de bruit sont éliminés pendant le scan, pas après.
Où est traité mon code ? Des données partent-elles vers une API externe ?
Cybe Analysis tourne sur notre infrastructure IA auto-hébergée (région UE ou US, isolée). Il n'appelle aucune API LLM externe (OpenAI, Anthropic ou autre). Votre code, vos vulnérabilités et l'analyse restent dans la région choisie à l'inscription. Pour répondre à partir de votre code, Cybe Analysis en conserve une copie et son historique git dans cette région, supprimés sur demande. Un scan standard tourne dans un conteneur détruit à la fin du scan.
Que veut dire « niveau analyste senior » concrètement ?
Chaque alerte est livrée avec un score de risque (exploitabilité + reachability + rayon d'impact + impact métier), une estimation de la complexité de correction, un responsable recommandé et une justification écrite qu'un ingénieur junior peut appliquer sans escalade. C'est ce niveau de production que nous comparons à celui d'un ingénieur AppSec senior.
Cybe Analysis remplace-t-il mes outils SAST / SCA existants ?
Cybe Analysis travaille sur ce que trouvent les scanners de CybeDefend : le CybeDefend Engine fait tourner des moteurs open source comme Opengrep, Gitleaks, Checkov et Trivy avec ses propres règles, pour le SAST, le SCA, l'IaC, les conteneurs et les secrets. Cybe Analysis y ajoute une couche reachability + contexte métier : la valeur, c'est cette analyse, pas le scan brut. Les équipes qui adoptent VibeDefend remplacent en général purement et simplement leur ancien SAST/SCA : une seule source de vérité, un seul graphe de déduplication, ~90 % de faux positifs en moins.
Combien de temps dure l'analyse ?
Le scan médian d'un diff se termine en quelques secondes. Le premier scan complet d'un dépôt prend généralement quelques minutes. Les analyses suivantes ne réexaminent que les chemins de code modifiés : en régime de croisière, le coût dépend du rythme de vos commits, pas de la taille du dépôt.
Où en est Cybe Analysis sur SOC 2 et RGPD ?
La conformité RGPD est effective aujourd'hui. L'audit SOC 2 Type II est en cours et nous attendons le rapport prochainement. Nous transmettons l'attestation sous NDA dès son émission. La résidence des données est ferme dans les deux cas : les clients UE tournent sur la région UE, les clients US sur la région US, et les résultats ne changent jamais de région. Des déploiements auto-hébergés sont disponibles pour les environnements fortement réglementés.
Qu'est-ce que le Security Code Knowledge Graph ?
Le Security Code Knowledge Graph est la représentation unifiée, par CybeDefend, de votre base de code sous forme de graphe de propriétés interrogeable. Chaque fichier source, fonction, flux de données, dépendance, ressource d'infrastructure et référence de secret devient un nœud ; leurs relations (arêtes d'appel, de flux de taint, d'import, chemins d'exploitation) deviennent des arêtes typées. Quand un scan s'exécute, nous interrogeons ce graphe plutôt que de faire du pattern matching sur le texte brut : c'est ce qui nous permet de détecter les chemins de taint multi-fichiers, les failles de logique métier entre services et les CVE atteignables que le SAST fichier par fichier ne voit jamais. Le graphe est calculé une fois par dépôt puis mis à jour de façon incrémentale à chaque diff d'agent, avec un temps de requête P95 inférieur à 1,2 seconde sur des dépôts de 100 000 lignes. Il alimente aussi la déduplication des alertes SAST, SCA, IaC, conteneurs et secrets : un graphe, une source de vérité, zéro alerte en double pour la même faille.