Repérez les vulnérabilités open source
avant qu’elles n’explosent.
Open Source Component Analysis & Response
OSCAR collecte un SBOM (nomenclature logicielle) à chaque build et vérifie en continu si les composants open source de vos services présentent des vulnérabilités connues. L’interface parle votre langue, et vous pouvez interroger une IA en langage courant — « Quels projets ont des vulnérabilités Critical ? » — pour obtenir la réponse.
Projets les plus exposés parts vulnérables par gravité
Nouvelles détections 12 dernières semaines
- loan-batchCVE-2021-44228 · log4j-core 2.14.1Critical
- payment-apiCVE-2022-22965 · spring-beans 5.3.17Critical
Tableau de bordle risque de tous les projets sur un seul écran
Requête IAil suffit de demander — aucun menu à apprendre
Savez-vous dire, dès maintenant, ce que contiennent vos services ?
Quand une vulnérabilité open source comme Log4Shell éclate, la première question est toujours « Est-ce qu’on l’utilise ? ». Pendant que chaque équipe épluche ses listes de bibliothèques à la main, le temps joue pour l’attaquant. OSCAR prépare cette réponse à l’avance.
| Domaine | Jusqu’ici | Avec OSCAR |
|---|---|---|
| Fréquence | Une revue manuelle par an — les nouvelles vulnérabilités entre deux revues passent inaperçues | Un SBOM est envoyé à chaque build et revérifié à chaque publication de nouvelles vulnérabilités |
| Méthode | Des personnes vérifient les listes de bibliothèques à la main — les oublis sont faciles | La machine confronte la liste des composants aux bases de vulnérabilités (nom, version, hash) |
| Délai de réponse | Des jours rien que pour confirmer « Est-ce qu’on l’utilise ? » | Tous les projets touchés par une CVE retrouvés immédiatement |
| Interface | Des outils uniquement en anglais, difficiles à lire pour les équipes métier | Interface localisée ; textes de licence complets affichés avec une traduction à côté de l’original |
| Interrogation | Apprendre menus et filtres pour obtenir le tableau voulu | Interroger une IA en langage courant — 47 outils se chargent de la recherche |
En un coup d’œil
Trouver les vulnérabilités n’est qu’un début : OSCAR les rend lisibles, enregistre qui a envoyé quoi et retrace comment un composant est arrivé là. Les écrans ci-dessous utilisent des données fictives.
└ spring-boot-starter-log4j2
└ log4j-core 2.14.1
Ce que fait OSCAR
OSCAR utilise sans le modifier un moteur d’analyse open source éprouvé (OWASP Dependency-Track) et y ajoute ce dont les équipes ont besoin.
SBOM automatiques — trois types de build
Un plugin pom pour Maven, un script d’envoi pour npm et la CLI ssemsbom pour les projets Ant ou construits à la main sans pom.xml — le SBOM est envoyé dès la fin du build.
Détection continue
NVD, GitHub Advisory, OSV, Sonatype OSS Index et Trivy réunis. Lorsqu’une nouvelle vulnérabilité est publiée, les listes de composants existantes sont revérifiées.
IA en langage naturel (MCP)
47 outils couvrant projets, vulnérabilités, composants, politiques, licences et SBOM, exposés via MCP. Interrogez-les depuis un client IA comme Claude ou depuis un LLM interne.
Interface localisée · traduction des licences
Une interface en coréen fournie d’origine, et des textes de licence complets traduits par un LLM à côté de l’original. Au choix : un LLM interne (Ollama, LM Studio) ou Gemini.
Historique des envois · tags standard
Enregistre qui a envoyé chaque SBOM, quand et pour quel projet. Des tags standard — équipe, type de service, technologie, outil de build, serveur d’applications — regroupent des centaines de projets.
Identifie les JAR hérités désordonnés
Six étapes — nom de fichier, pom.properties, MANIFEST, inférence du groupe, Vendor-Id et (en option) une recherche par hash dans Maven Central — retrouvent noms et versions. En cas de doute, OSCAR ne devine pas.
Comment les équipes l’utilisent
Aucun nouvel outil à apprendre pour les développeurs : une étape de plus dans le build, et les résultats à l’écran ou via l’IA.
Installer sur vos serveurs
Le moteur d’analyse et la base de données tournent sous Docker ; la passerelle et l’interface tournent sur Tomcat 11. Tout reste dans votre réseau.
Ajouter une étape SBOM
Un plugin dans le pom, un script pour npm, une ligne ssemsbom dans le build Ant. Ensuite, chaque build envoie son SBOM automatiquement.
Recevoir les données de vulnérabilités
Les bases de vulnérabilités sont récupérées périodiquement. En réseau isolé, seul le sens entrant est ouvert via la passerelle réseau.
Voir · demander · corriger
Suivez le risque sur le tableau de bord, interrogez l’IA sur l’impact et consignez l’état d’analyse (en tri, non concerné).
Fonctionnement
Tous les flux passent par une seule passerelle OSCAR. L’interface, les builds et l’IA n’appellent jamais directement le moteur d’analyse : la passerelle peut ainsi ajouter traduction et historique — et le moteur peut être mis à jour sans y toucher.
- Le moteur d’analyse n’est pas modifié. OSCAR exécute la version officielle d’OWASP Dependency-Track et modifie les réponses dans la passerelle placée devant. Mettre à jour le moteur ne touche pas à OSCAR.
- La traduction a lieu dans la passerelle, pas dans l’interface : l’écran, l’IA et les clients de l’API reçoivent donc le même texte traduit.
- Le serveur MCP tourne sur le PC de chaque utilisateur, lancé par le client IA, et accède à la passerelle avec une clé d’API délivrée. L’IA ne peut faire que ce que cette clé autorise.
- La ligne pointillée est uniquement entrante. Les données de vulnérabilités alimentent le moteur ; vos listes de composants ne quittent jamais votre réseau.
Dependency-Track 4.13
Open source OWASP · Docker. Analyse des SBOM ; évaluation des vulnérabilités, des politiques et des licences.
Java 21 · Tomcat 11
Relais des requêtes, traduction des licences et historique des envois, servis avec l’interface localisée.
Serveur MCP · 47 outils
Un seul jar Java via STDIO. Fonctionne avec Claude Desktop, Claude Code et d’autres clients MCP.
CycloneDX 1.5 · PURL
La norme internationale des SBOM (ECMA-424). Les composants sont identifiés par PURL et confrontés aux données de vulnérabilités.
Principes de sécurité
Un outil de sécurité ne doit pas devenir un nouveau risque : nous avons donc posé ces limites en premier.
- Installé sur vos serveurs — les listes de composants et les résultats ne sont pas confiés à un cloud externe.
- Ce qui est envoyé est une liste de composants (SBOM), pas du code source — uniquement des noms, des versions et des hashs.
- La seule connexion externe sert à récupérer les données de vulnérabilités, ce qui facilite l’homologation en réseau isolé.
- Avec un LLM interne (Ollama, LM Studio) pour traduire les licences, même le texte à traduire reste en interne.
- L’IA ne fait qu’appeler des outils ; elle ne juge pas d’elle-même — les réponses reposent toujours sur les données du moteur.
- L’accès de l’IA utilise une clé d’API dédiée et ne peut pas dépasser les droits de cette clé (lecture, envoi…).
- Si la traduction échoue, l’original reste affiché — rien ne disparaît à cause de la traduction.
- Le moteur est un logiciel open source éprouvé, utilisé sans modification ; OSCAR n’ajoute qu’une fine couche devant lui.
Prérequis
Ce dont OSCAR a besoin pour fonctionner.
- Docker (moteur d’analyse, PostgreSQL) et Tomcat 11 (Java 21) sur vos serveurs. Le moteur d’analyse demande beaucoup de mémoire (plusieurs Go ou plus).
- Un chemin entrant depuis Internet pour recevoir les données de vulnérabilités. En réseau isolé, n’autorisez que les adresses nécessaires via la passerelle réseau.
- Les SBOM sont produits par les builds : vous devez pouvoir ajouter une étape SBOM à vos pipelines (Maven, npm, Ant, builds manuels).
- Les JAR commerciaux ou internes sans métadonnées ne peuvent pas être identifiés et peuvent échapper à la correspondance des vulnérabilités.
- Les requêtes IA nécessitent un client compatible MCP ; les LLM internes doivent prendre en charge l’appel d’outils.
- Les traductions de licences sont données à titre indicatif. Les décisions juridiques s’appuient sur le texte original.
Vous envisagez OSCAR ?
Décrivez-nous votre environnement — réseau isolé ou non, nombre de projets, outils de build — et nous planifierons avec vous l’installation et le calendrier.
Contacter l’équipe commerciale