Cloudsmith, reçoit 72 millions de dollars d'investissement... La diffusion de l'IA entraîne une augmentation de la demande en sécurité de la chaîne d'approvisionnement

Le jeune entreprise de gestion de composants logiciels Cloudsmith a réussi à attirer 72 millions de dollars de nouveaux investissements. En yen coréen, cela représente environ 106,38 milliards de yens. Dans un contexte où le développement open source et l’intelligence artificielle se répandent rapidement, la demande des entreprises pour la “sécurité de la chaîne d’approvisionnement logicielle” ne cesse de croître, ce qui est considéré comme un facteur clé de cette nouvelle levée de fonds.

Ce tour de financement de série C a été mené par TCV. TCV était également le plus grand investisseur lors de la précédente levée de fonds de Cloudsmith l’année dernière. Lors de cette nouvelle opération, les investisseurs existants ainsi qu’Insight Partners ont également participé. Au total, le financement externe cumulé de Cloudsmith dépasse désormais 110 millions de dollars.

Basée à Belfast, en Irlande du Nord, Cloudsmith propose une plateforme cloud permettant aux équipes de développement de gérer de manière centralisée divers composants et fichiers d’applications utilisés. En termes simples, il s’agit davantage d’une plateforme de stockage et de vérification destinée aux entreprises, permettant de regrouper la gestion de projets open source, de scripts de configuration, de modèles d’intelligence artificielle, de fichiers système d’exploitation et autres “actifs logiciels”.

Ce service suscite l’intérêt car l’environnement des entreprises devient de plus en plus complexe. Les développeurs ne se contentent pas de télécharger des composants depuis GitHub, mais aussi depuis plusieurs dépôts externes. Par exemple, les modèles d’IA sont souvent obtenus via des plateformes indépendantes comme Hugging Face. Le problème, du point de vue des responsables de la sécurité, est que la vérification de la conformité de ces éléments externes à chaque étape demande beaucoup de temps et de ressources.

Cloudsmith se concentre sur la réduction de cette charge. Son concept est que les administrateurs n’ont pas besoin de surveiller séparément chaque dépôt externe dispersé sur différents sites, mais peuvent gérer tous les composants via la plateforme. Sa particularité est qu’il ne s’agit pas seulement d’un stockage de code simple, mais aussi de la gestion de divers “produits”. Les produits désignent l’ensemble des fichiers utilisés dans un projet logiciel.

Intégration de la vérification des conteneurs et modèles d’IA

Cloudsmith supporte également le stockage de conteneurs logiciels. Un conteneur peut contenir plus de dix composants indépendants, chacun pouvant représenter un risque potentiel pour la sécurité. Pour réduire cette complexité, la société génère automatiquement pour chaque conteneur une “liste de matériaux logiciels”, appelée SBOM. La SBOM est un fichier qui recense tous les éléments constituant un environnement de travail spécifique.

Les fonctionnalités de vérification de sécurité ont également été renforcées. Avant de publier un composant open source en téléchargement, Cloudsmith vérifie d’abord l’existence de vulnérabilités connues. Le niveau de risque de ces vulnérabilités est évalué à l’aide d’un cadre appelé “Système de notation de prédiction d’exploitation des vulnérabilités” (EPSS). Il s’agit d’un standard qui estime la probabilité que des hackers exploitent effectivement la vulnérabilité dans les 30 prochains jours.

La société indique également qu’elle détecte d’autres problèmes que les vulnérabilités. Par exemple, elle identifie les clauses de licence pouvant imposer des contraintes au projet logiciel. Cela permet de filtrer à l’avance les risques liés aux licences pouvant impacter directement les services de l’entreprise, comme celles interdisant l’usage commercial.

L’expansion du développement de l’IA accroît la demande en sécurité de la chaîne d’approvisionnement

Les clients de Cloudsmith peuvent également élaborer des stratégies automatisées basées sur les données découvertes via la plateforme. Par exemple, ils peuvent automatiquement bloquer l’utilisation de composants open source présentant des vulnérabilités à haut risque. Ce flux de travail automatisé est écrit en utilisant une syntaxe spécialisée appelée “Rego”, souvent utilisée dans la configuration d’infrastructures cloud.

Le PDG Glenn Weinstein déclare : “Les agents IA génèrent une quantité énorme de logiciels à une vitesse extrêmement rapide, rendant presque impossible pour l’humain de les examiner minutieusement un par un. Grâce à sa capacité à analyser largement l’écosystème open source et à sa scalabilité, Cloudsmith peut protéger les entreprises contre les nouvelles menaces engendrées par le développement piloté par l’IA.”

Cloudsmith prévoit d’utiliser les fonds levés pour améliorer ses fonctionnalités futures, notamment en renforçant les contrôles de sécurité réseau et en développant des fonctionnalités d’automatisation basées sur l’IA. Le marché considère généralement que plus la vitesse de développement de l’IA s’accélère, plus l’importance des plateformes de “sécurité de la chaîne d’approvisionnement” qui la soutiennent augmentera également.

Remarques sur l’IA TP : Cet article a été résumé à l’aide du modèle linguistique TokenPost.ai. Le contenu principal peut avoir été omis ou ne pas correspondre entièrement à la réalité.