How Worms Exposed the Real Attack Surface of Open Source - Charlie Eriksen - NDC Oslo 2026

Valeur des informations & solidité de l’argumentation

La valeur de cette présentation réside dans son témoignage d’expert, enrichi d’exemples concrets et récents. L’argumentation est solide : l’auteur relie les incidents à des causes structurelles (vitesse, automatisation, échelle) et montre comment les attaquants exploitent ces failles. Il met en lumière des mécanismes subtils comme l’exfiltration mutuelle via GitHub ou le dead man switch, ce qui apporte une perspective inédite sur les stratégies des attaquants. La démonstration est convaincante, même si elle reste essentiellement qualitative, sans données chiffrées approfondies. L’accent mis sur la confiance et la responsabilité est pertinent et invite à une réflexion au-delà du simple outillage.

Rigueur scientifique, qualité des sources, adéquation du titre

Le speaker s’appuie sur des incidents réels et documentés, mais il ne cite pas de sources externes détaillées dans le talk. La plupart des affirmations proviennent de son expérience directe ou d’observations de la communauté. Il mentionne des outils comme TruffleHog ou GitGuardian, mais sans référence vérifiable. Le titre est fidèle au contenu : le talk explore bien comment les vers ont exposé les failles de l’open source. La rigueur scientifique est correcte pour une conférence de type opinion experte, mais on manque de références bibliographiques. La description fournit des liens vers les conférences NDC, sans sources spécifiques. L’adéquation titre/contenu est bonne, sans être parfaite (le terme ‘vers’ est central, mais le talk couvre plus largement les attaques de supply chain).

Le titre est fidèle au contenu : la présentation explore comment les vers ont révélé les vulnérabilités de l'écosystème open source, avec une analyse des causes et des conséquences.

8/10

Le speaker est un chercheur en sécurité directement impliqué dans les incidents analysés, ce qui renforce la crédibilité. Les informations sont basées sur des événements réels et récents, mais la présentation reste qualitative, sans sources externes citées ni données chiffrées détaillées.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Introduction et présentation du speaker, avec un quiz interactif.
• 05:00Explication des trois conditions favorisant les vers : vitesse, automatisation, échelle.
• 15:00Attaque Singularity contre NX via une pull request malveillante.
• 25:00Compromission de debug et chalk par des pirates nord-coréens.
• 35:00Première utilisation d'un ver auto-propageant par Shy Hulud, avec exfiltration de secrets.
• 45:00Attaques plus larges contre Trivy, Aqua Security et d'autres, avec exfiltration mutuelle et dead man switch.
• 55:00Conclusion sur la confiance et la nécessité de repenser la sécurité de la chaîne d'approvisionnement.

• NDC Conferences — Site officiel de la conférence où le talk a été enregistré.
• NDC Oslo — Page de l'événement NDC Oslo.

• ndcoslo.com