Hermes Agent sait désormais rechercher les vulnérabilités du code grâce au plugin officiel Security

Quiconque a déjà confié du code à un LLM en lui demandant de « trouver les vulnérabilités » connaît la suite. Le modèle produit une longue liste de « problèmes potentiels », dont la moitié sont inventés ou impossibles à atteindre depuis un véritable point d’entrée. Éplucher ce rapport prend plus de temps que de chercher les bugs soi-même. C’est précisément ce problème que Nous Research tente de résoudre : Hermes Agent dispose désormais d’un plugin officiel Security, développé par @mark_s.

Ce que l’on sait du fonctionnement du plugin

D’après l’annonce, Hermes ne se lance pas directement dans la recherche de bugs : il commence par une phase de reconnaissance. L’agent cartographie d’abord ce qui, dans le projet, est accessible à un attaquant et les données d’entrée auxquelles le code fait confiance. C’est la logique classique de la modélisation des menaces. Une vulnérabilité dans une fonction inaccessible depuis l’extérieur et la même erreur dans le gestionnaire d’une requête publique n’ont pas le même coût.

Le code est ensuite réparti entre des sous-agents travaillant en parallèle. Chacun analyse sa partie, ce qui évite qu’un grand dépôt soit limité par le contexte d’un seul modèle. À en juger par le texte, la troisième étape est la plus importante : l’agent vérifie chaque problème détecté dans le code avant de l’inscrire dans le rapport. La fin de la publication étant tronquée, la source ne permet pas de dire ce qui se passe exactement après cette vérification.

Pourquoi cette approche paraît pertinente

Prenons un service web classique. Un point de terminaison reçoit un nom de fichier fourni par l’utilisateur et lit ce fichier sur le disque. Un simple prompt de revue peut signaler une dizaine d’occurrences du mot open dans différents fichiers. Le processus décrit dans l’annonce procède autrement. Il relève d’abord que le paramètre provient d’une entrée non fiable. L’agent suit ensuite son parcours et ne signale qu’après cela une possible traversée de répertoires. Le problème détecté est rattaché à un flux de données précis, ce qui facilite sa vérification par un humain.

Les sous-agents parallèles répondent ici à un problème d’ingénierie. Auditer un monolithe de façon séquentielle prend beaucoup de temps et sature rapidement la fenêtre de contexte. Découper le travail accélère l’analyse et réduit le risque que le modèle perde des détails en cours de route.

Ce que l’on ignore encore

La publication est courte et sa portée modeste : environ 15 000 vues. Il faut donc éviter de lui faire dire plus qu’elle ne dit. La source ne fournit aucune donnée sur le taux de faux positifs, les langages pris en charge, le coût d’une analyse sur un grand dépôt ou la comparaison avec les analyseurs statiques. Elle ne donne pas non plus d’exemples de vulnérabilités réelles découvertes. Pour l’instant, il s’agit d’une approche annoncée, pas d’un résultat démontré.

Tous les agents d’audit présentent par ailleurs un risque commun : la vérification « dans le code » reste effectuée par un modèle. Celui-ci peut confirmer avec assurance une fausse découverte ou passer à côté d’une véritable vulnérabilité. Un tel outil ne remplace ni le SAST, ni un test d’intrusion, ni une revue humaine.

Que faire en pratique

Si vous utilisez déjà Hermes Agent, il peut être utile de tester le plugin sur un petit service dont vous connaissez les faiblesses. Introduisez au préalable quelques problèmes connus, puis observez si l’agent les détecte et combien de bruit il ajoute. C’est le moyen le plus rapide d’évaluer sa qualité sans se fier à l’annonce.

Pour les équipes sans spécialiste de la sécurité dédié, cet outil a une place raisonnable : un premier examen avant une mise en production ou un véritable audit. Il doit repérer les problèmes évidents et formuler des hypothèses en précisant sur quoi elles reposent. Pour les responsables produit et les fondateurs, le constat est simple : les agents de revue de sécurité évoluent de la génération de listes vers un processus de « reconnaissance, répartition du travail, vérification ». C’est sur ces trois critères qu’il convient de comparer les solutions concurrentes.

L’arrivée d’un plugin officiel de l’équipe Nous révèle aussi une autre évolution. L’écosystème de Hermes Agent se développe grâce aux extensions, et pas seulement au modèle lui-même. Ce sont des tests indépendants, plutôt qu’une publication sur X, qui montreront l’utilité réelle de ce plugin.