Vendredi 16h, un scan Grype remonte 1759 CVEs sur une image python:3.9-buster, dont 311 High et 15 Critical. Dans les attaques supply chain récentes, deux choses reviennent souvent : on détourne la confiance, et on vise le process de build plutôt que le code source. Avec l’IA qui fait exploser le volume de code et de dépendances, le problème ne fait que grandir.
En 10 minutes, démo en direct sur une application Python :

●    Scan de l’image avec Grype (et inventaire SBOM avec Syft)
●    Exploitation réelle : lecture de /app/.env et de /etc/passwd via une CVE ImageMagick, puis une path traversal aiohttp
●    Remédiation avec un Dockerfile multi-stage sur une image minimale construite à partir de Wolfi, apko et melange. On rescanne avec Grype, et on retente les exploits, qui échouent cette fois
●    Vérification de l’intégrité : signatures Cosign / Sigstore et provenance SLSA niveau 3