Vercel publie deepsec, un scanner IA qui traque les vulnérabilités cachées dans le code

Vercel a publié deepsec, un outil open source et un harnais d'IA pour rechercher des vulnérabilités dans de grandes bases de code. C'est le premier scanner de sécurité qui fonctionne sur votre infrastructure, avec vos propres clés d'API, sans envoyer le code source dans le cloud. L'idée est simple : plutôt que d'expédier du code sensible vers les serveurs d'un tiers, des agents Claude et GPT l'analysent en local.

À quoi sert deepsec

Les scanners de sécurité existants (comme les outils SAST) produisent souvent tant de faux positifs que leurs résultats deviennent inexploitables. L'autre option consiste à engager un cabinet d'audit de sécurité, mais c'est coûteux et lent. deepsec cherche à combler ce vide : des agents IA qui travaillent comme un ingénieur sécurité chevronné, mais à moindre coût, rapidement et en local.

Architecture et fonctionnalités

Deepsec utilise Claude Opus 4.7 en mode d'effort maximal et GPT-5.5 avec un raisonnement de haut niveau. L'outil peut tourner en local sur votre ordinateur portable, sans configurer de services cloud. Pour passer à l'échelle sur de grands monorepos, deepsec prend en charge l'exécution parallèle via Vercel Sandboxes : pendant le développement, Vercel a lancé des analyses sur plus de 1000 instances concurrentes. L'analyse d'un grand dépôt peut prendre plusieurs jours sur une seule machine, d'où l'importance cruciale du parallélisme.

Comment fonctionne l'analyse

Le processus comporte cinq étapes :

• Scan — des expressions régulières repèrent les fichiers et fonctions sensibles du point de vue de la sécurité
• Investigate — des agents de codage analysent chaque candidat en profondeur, suivent les flux de données et vérifient les mesures d'atténuation
• Revalidate — une seconde passe des agents écarte les faux positifs et reclasse la gravité de chaque découverte
• Enrich — un agent utilise les métadonnées git pour identifier les développeurs qui doivent corriger le problème
• Export — les résultats sont convertis en instructions exploitables pour créer des tickets dans un système de suivi

Résultats sur des projets réels

Vercel a testé deepsec sur ses propres monorepos et sur des projets ouverts de clients. Les résultats ont impressionné même des ingénieurs sécurité et des fondateurs expérimentés. Sur le code ouvert de dub.co (plateforme de raccourcissement de liens dotée de systèmes d'attribution complexes pour des programmes d'affiliation), deepsec a trouvé des erreurs cachées dans la logique d'authentification : des cas limites subtils dans les conditions d'authentification. Ces erreurs étaient vraiment cryptiques : les outils SAST standard ne les détectaient pas, mais elles pouvaient conduire à un accès non autorisé. Ces résultats ont poussé Vercel à développer un plugin de scanner personnalisé pour vérifier tous les chemins d'authentification dans ses propres monorepos.

«

Nous recevons beaucoup de rapports de sécurité automatiques, mais la plupart sont inexploitables. deepsec est le premier outil qui a trouvé précisément les problèmes qu'un ingénieur sécurité aurait signalés, et il fonctionne sur notre infrastructure. » — Steven Tey, fondateur de dub.co

Ce que cela signifie

L'automatisation de l'analyse de sécurité quitte le domaine des services cloud pour celui des outils qui placent la confidentialité en premier. Pour les développeurs et les équipes de sécurité, cela signifie qu'on peut chercher des vulnérabilités sans envoyer le code dans le cloud, en toute confidentialité, avec les clés d'API Claude et OpenAI que l'on possède déjà. Des outils comme deepsec commencent à occuper la niche entre les audits de sécurité professionnels coûteux (qui demandent des semaines et coûtent des centaines de milliers) et les scanners automatiques inefficaces (qui produisent 95 % de faux positifs). Cela pourrait potentiellement devenir un standard dans la chaîne de sécurité des grandes entreprises.