Toutes les études de cas DevOps / Étude de cas 03 / 05
Talvane RH
Revue de sécurité de l’infrastructure par IA
Une revue de sécurité qui comprend l’architecture, pas seulement la syntaxe
En clair
À chaque pull request qui modifie l’infrastructure, un agent IA analyse le code Terraform dans son contexte, repère les combinaisons dangereuses que les outils classiques ne voient pas, explique le risque en commentaire et propose le correctif.
- Client
- Talvane RH
- Secteur
- Logiciel de paie (SaaS)
- Taille
- 200 collaborateurs, données de 40 000 salariés
- 100 %des changements d’infrastructure revus
- −80 %de temps de revue sécurité
- 0fuite de données liée à une mauvaise configuration
Le contexte
Talvane RH héberge sur AWS les fiches de paie de dizaines de milliers de salariés. Chaque semaine, les développeurs modifient l’infrastructure en Terraform. Les outils d’analyse vérifiaient chaque fichier isolément, et l’unique expert sécurité ne pouvait pas tout relire.
Le défi
- 01
Une configuration peut être correcte seule, et dangereuse combinée à une autre.
- 02
Les droits IAM et les politiques de buckets sont difficiles à relire à la main.
- 03
La revue ne doit pas ralentir les développeurs.
- 04
Le correctif proposé doit lui-même passer toutes les règles de l’entreprise.
Notre approche
Une action GitHub se déclenche sur chaque pull request Terraform. Checkov et des règles OPA vérifient d’abord les bases. Un agent IA construit ensuite le graphe des ressources concernées (buckets, politiques, réseaux, rôles) avec l’état existant, et cherche les chemins d’exposition. Il commente la PR avec le risque expliqué simplement, et pousse un commit de correction qui repasse toutes les vérifications.
La solution, étape par étape
- 01
Une pull request
Un développeur ajoute un bucket d’exports de paie.
- 02
Les contrôles classiques
Checkov et OPA : aucune erreur de syntaxe, tout semble correct.
- 03
L’analyse du contexte
L’agent relie le bucket, sa politique, l’endpoint VPC et le sous-réseau public.
- 04
Le risque, expliqué
Un commentaire montre comment les fiches de paie deviennent lisibles depuis le réseau public.
- 05
Le correctif, proposé
L’agent pousse un commit corrigé ; toutes les vérifications passent au vert.
Résultats
- 100 %des PR d’infrastructure revues automatiquement
- −80 %de temps de revue pour l’équipe sécurité
- 37expositions évitées la première année
- < 3 minpour un commentaire de revue
Ce que nous livrons
- Action GitHub de revue sur chaque PR Terraform
- Règles de base Checkov et OPA
- Agent d’analyse contextuelle (graphe des ressources)
- Commentaires de PR et commits de correction
- Tableau de bord des risques évités
Technologies
- GitHub Actions
- Terraform
- Checkov
- Open Policy Agent
- OpenAI API / CodeLlama
- AWS
Délai
6 à 8 semaines
Équipe
1 ingénieur DevSecOps, 1 ingénieur IA
Cas illustratifs : clients et chiffres fictifs, représentatifs des solutions que nous livrons.