VibeDefend by CybeDefend

L'installeur repère lesquels parmi Claude Code, Cursor, Windsurf, GitHub Copilot et OpenAI Codex sont présents sur la machine et les câble tous en une passe. Il écrit lui-même le câblage MCP, les hooks de règles et les fichiers de doctrine, sans pipeline à monter ni agent à configurer un par un. L'installation prend quelques secondes et la connexion se fait une seule fois.

Les règles métier sont extraites de votre dépôt, et les règles de sécurité viennent de votre stack, de vos obligations de licence et de référentiels comme OWASP, SOC 2 et le RGPD. Le couple arrive pendant que l'agent modifie un fichier, choisi pour ce fichier et non déversé en un long bloc d'instructions. CybeDefend indique que les agents ont appliqué 89% des règles précises avec VibeDefend, contre 12% sans outil et 13% avec un fichier de règles.

Les suppressions de schéma, sudo, les push forcés, la lecture d'un .env et l'écriture dans un dossier protégé passent par vos gardes avant que la commande démarre. L'agent reçoit un refus qui explique la règle et propose une autre voie, comme une clause WHERE expires_at < now() ou une référence process.env. Chaque blocage rejoint la piste d'audit, et chaque règle bascule entre avertir et bloquer.

Quand l'agent s'arrête, ses changements passent par une analyse avant le commit : injection atteignable, dépendance vulnérable, jeton exposé, réglage Terraform ou Kubernetes risqué, action CI compromise. Le résultat revient dans la session de l'agent sous forme d'un point corrigeable, avec CWE, fichier et ligne. L'agent patche le diff avant de valider, et la revue reçoit du code propre plutôt qu'un rapport.

BLSA, développé avec le CNRS et le laboratoire CRIStAL, vérifie qu'une modification respecte encore une règle métier. Son mode preuve montre la règle, le chemin dans le code et la ligne où se trouve le contrôle : le verdict arrive avec un argument, pas avec une note. Il tourne après le commit et reste aujourd'hui réservé à un programme de partenaires.

Chaque règle servie, chaque action refusée et chaque correction remonte à un agent et à un développeur sur une seule carte. La sécurité voit quel dépôt attire les blocages, et l'encadrement vérifie que les règles atteignent les bonnes personnes. Rien de tout cela n'oblige à ouvrir un journal par agent.