DevSecOps : sécuriser la chaîne de développement avec des agents IA

Objectifs

• Cartographier sa chaîne de développement (dépôt, intégration, artefacts, déploiement) et en établir le modèle de menace avec les points d’attaque classés par gravité
• Intégrer dans le pipeline l’analyse statique du code, l’analyse des dépendances, la détection de secrets et le scan des images de conteneurs, avec blocage automatique au-delà d’un seuil fixé
• Durcir le dépôt et le pipeline : protection des branches, revues obligatoires, permissions au moindre privilège, secrets stockés hors du code et renouvelés
• Déployer un agent IA qui trie les alertes de sécurité, propose un correctif et prépare la synthèse pour la revue humaine, sans jamais fusionner seul
• Mettre en place la supervision assistée de la chaîne (journaux, alertes) et un plan de réponse à incident écrit et testé sur un scénario

Public

Développeurs, ingénieurs DevOps, responsables sécurité applicative, équipes IT ayant suivi DEV-101 ou exploitant déjà un pipeline d’intégration continue.

Prérequis

Avoir suivi DEV-101 ou exploiter au quotidien un pipeline d’intégration et de déploiement continus avec Git et Docker. Vérifié par un test de positionnement.

Prérequis techniques

• Un ordinateur portable par participant, 16 Go de mémoire recommandés, avec Git, Docker et un éditeur de code installés avant le premier jour (procédure fournie à la convocation).
• Dépôt Git de formation, environnement cloud et clés d’API pour l’agent fournis par Yolea, crédits inclus.
• En distanciel, connexion stable de 10 Mbit/s minimum, micro et caméra.
• Pipeline du participant accepté s’il est accessible en lecture.

Compétences visées

• Modélisation des menaces
• Automatisation des contrôles de sécurité
• Durcissement des accès et des secrets
• Assistance IA supervisée à la sécurité
• Réponse à incident sur la chaîne de développement

Programme

• 25 % d’apports, 75 % d’ateliers.
• Une chaîne de formation volontairement vulnérable, assainie contrôle après contrôle.
• Exercice d’attaque et de défense sur le dépôt.
• Construction encadrée de l’agent de tri des alertes avec périmètre écrit et validation humaine.
• Cas pratiques inspirés de situations d’entreprise (sécurisation d’une chaîne de développement, dépendance compromise, secret exposé dans un historique).
• Outils du millésime : GitHub Actions, analyseurs de code et de dépendances, scan d’images, agent construit sur LangGraph ou Pydantic AI.
• Supports remis : dépôt de référence, gabarits de pipeline sécurisé, modèle de menace, plan de réponse à incident, glossaire.
• Plan d’action personnel.
• Point de suivi à trois semaines.

Format

21 heures, 3 jours consécutifs de 7 h, ou 2 + 1 jours à une semaine d’intervalle avec coaching intermodule. Présentiel recommandé, hybride possible ; intra-entreprise sur votre chaîne ou inter-entreprises ; 8 à 12 participants.

Évaluation

En amont, test de positionnement. En cours, quiz de contrôle et revue de pipeline. En fin, challenge de mise en situation (sécuriser une chaîne imposée et traiter un incident simulé, évalué sur grille : contrôles actifs, accès durcis, agent supervisé, incident tracé), évaluation à chaud, attestation nominative de fin de formation. À trois semaines, point de suivi.

Le dernier exercice est un plan d’action : trois tâches réelles que vous repartez outiller.