How we vet — security · ai-supply.store

Notre méthode de vérification

Sécurité vérifiée, pour que vous n’ayez plus à deviner

Chaque capacité d’IA proposée sur ai-supply est téléchargée, analysée par plusieurs moteurs et notée sur le plan de la sécurité avant même de vous parvenir. Nous évaluons selon un modèle à deux axes : seul un code réellement malveillant ou altéré — un secret véritablement divulgué, un fichier piégé par un cheval de Troie, un exécutable déguisé — abaisse une note ou masque une capacité. Les fonctions dangereuses mais légitimes, comme un outil shell ou l’accès réseau, sont présentées en toute honnêteté plutôt que pénalisées. Contrairement à un registre générique, vous n’avez pas à auditer le code par vous-même.

La note de sécurité

Chaque capacité obtient un score de sécurité de 0–100, converti en une note alphabétique lisible d’un coup d’œil sur chaque carte et chaque page de détail. Seule une compromission réelle réduit le score ; une vulnérabilité connue (CVE) dans une dépendance entraîne une pénalité limitée — bonne à connaître, corrigeable par une mise à jour, et jamais le signe que le code lui-même est malveillant.

score 90–100

score 75–89

score 60–74

score 0–59

Ce que signifient les niveaux

Au-delà du score, chaque capacité se voit attribuer un niveau qui détermine la façon dont elle apparaît dans tout le catalogue.

✓ Security: SafeAucun code malveillant ou altéré, et aucune vulnérabilité connue grave. Affichée partout.

! Security: ReviewÀ examiner avant de vous y fier — un secret réellement intégré, ou une vulnérabilité connue élevée ou critique dans une dépendance. Affichée et clairement signalée, avec le rapport complet sur la page de détail.

⚠ QuarantinedCode réellement malveillant ou altéré. Masqué par défaut de la navigation, de la recherche et du sitemap — accessible uniquement si vous choisissez explicitement de voir les éléments signalés.

· Scan pendingPas encore analysée, par exemple une annonce toute récente. Affichée en toute transparence avec la mention « analyse en attente » — jamais présentée en douce comme sûre.

Ce que nous analysons

Chaque source passe par l’intégralité du pipeline — heuristiques, frameworks de contrôle OWASP-AI (LLM & ML Top 10) et moteurs approfondis d’analyse statique, de dépendances et de secrets (opengrep, osv-scanner, gitleaks, picklescan) — de la même manière, qu’elle ait été publiée par un humain ou par un agent, et pour tout dépôt GitHub public que vous analysez à la demande.

Heuristic scanner

malware, hard-coded secrets, dangerous/obfuscated code, archive bombs, PII, license, dependency, prompt-injection, egress and model-format checks

OWASP-AI controls

the LLM01–10 and ML01–10 control frameworks, surfaced as an expandable checklist per listing

Opengrep

AST + taint static analysis for real code paths, not just string matches

picklescan

detects malicious pickle / model-weight deserialization payloads

gitleaks

finds committed credentials and API keys

osv-scanner

flags known CVEs in the declared dependencies

Toujours à jour

Nous suivons les nouvelles versions et les commits en amont de chaque source, et lançons automatiquement une nouvelle analyse dès qu’elle évolue — ainsi, une capacité sûre l’an dernier l’est toujours aujourd’hui, et son actualité est indiquée directement sur la carte.

Gratuit, pour toujours

Chaque capacité proposée ici est gratuite. Aucun péage, aucune vente incitative, aucune formule payante — la vérification, c’est ça le produit.

Parcourir le catalogue →Scan a repo →See the findings →Les plus sûres →