Binarly | AI-Powered Firmware Supply Chain Security Platform

Binarly exécute une analyse statique et une exécution symbolique sur les artefacts compilés, avec un moteur de dépaquetage en boîte noire qui reconnaît archives, charges compressées, enveloppes propres aux fabricants et systèmes de fichiers peu courants. Une équipe peut ainsi inspecter l'image firmware d'un fournisseur qui ne partage que le binaire. L'effet concret : le code que les analyseurs fondés sur les sources ne voient jamais entre dans le champ, microcode, chargeurs d'amorçage et bibliothèques tierces liées statiquement compris.

La plateforme cherche des vulnérabilités sans identifiant CVE au lieu de comparer des chaînes de version. Elle couvre l'UEFI, les contrôleurs de gestion de carte mère, les images RTOS, le Linux embarqué, les partitions Android, les conteneurs cloud et les instantanés de machines virtuelles. Des modèles d'apprentissage automatique entraînés sur de vastes corpus de binaires aident à signaler les motifs suspects, et les chercheurs vérifient ce que ces modèles remontent.

Toute image livrée peut transporter des identifiants qui n'auraient jamais dû quitter le serveur de build. Binarly recherche clés d'API en dur, jetons OAuth, JWT, URL de webhook et clés privées dans les firmwares, partitions mobiles, conteneurs et instantanés. Les résultats indiquent le fichier et l'offset exacts, donc le développeur confirme et renouvelle le secret sans fouiller un dépôt à la main.

L'analyse d'accessibilité relie une vulnérabilité signalée à des chemins d'exécution réels dans le binaire. Si une fonction défectueuse n'est atteignable depuis aucun point d'entrée de votre configuration, elle descend dans la liste. C'est la fonction qui change le quotidien de la plupart des équipes, car une pile de centaines de CVE devient une liste courte de choses réellement atteignables en production.

Binarly construit un inventaire cryptographique à partir du binaire lui-même, avec chaque algorithme, clé, certificat et protocole identifié. Clés faibles, certificats expirés, contournements de Secure Boot et crypto obsolète sont signalés, et les tableaux de bord suivent l'avancement de la migration. La préparation à la cryptographie post-quantique devient ainsi un projet mesurable plutôt qu'une diapositive, et la sortie sert aussi de preuve d'audit.

Le score de maturité d'exploitation combine les entrées du catalogue KEV de la CISA, la télémétrie d'exploitation active, la disponibilité de preuves de concept et les données de campagnes rançongiciels dans un classement vivant. La valeur évolue avec le paysage de menaces, donc une décision de correctif prise le lundi ne repose pas sur les notes de gravité du trimestre précédent.

La plateforme se branche sur la chaîne de compilation et contrôle chaque artefact avant livraison. Les builds qui violent la politique, pour une faille critique atteignable, un secret exposé ou une mitigation absente, s'arrêtent à la porte. Les avis automatiques et les documents VEX à la demande sortent du même flux, ce qui épargne la paperasse après une découverte.