Trouvez et brisez
les chemins d'attaque
dans AWS

Pathbreak trouve les chemins d'escalade de privilèges dans vos comptes AWS, valide chacun d'eux en lecture seule en résolvant l'autorisation réelle, et classe les correctifs selon le nombre de chemins qu'ils brisent, avec la commande exacte pour chacun. Il exécute aussi les vérifications d'exposition et le scoring de conformité que vous attendriez d'un scanner, il peut donc en remplacer un ou fonctionner à ses côtés.

Un chemin d'attaque est la chaîne d'étapes, souvent à travers des identités, des rôles, des relations de confiance et des ressources, qu'un attaquant relie pour passer d'un point d'ancrage initial au contrôle administratif ou à des données sensibles. Pathbreak trouve et valide ces chemins dans AWS et indique la modification qui casse chacun d'eux.

Les scanners traditionnels et les outils CSPM listent des milliers de résultats isolés. Pathbreak raisonne sur l'ensemble de votre environnement, valide quels chemins sont exploitables en résolvant l'autorisation réelle, en lecture seule, et ne signale que ceux qui se résolvent, avec le correctif qui sectionne chaque chaîne.

Pathbreak est disponible pour AWS aujourd'hui, avec la couverture la plus approfondie des chaînes du control plane AWS telles que l'escalade de privilèges IAM et l'abus de confiance inter-comptes. Azure et Microsoft Entra ID suivent, avec Google Cloud et l'hybride sur la feuille de route.

La sécurité cloud agentique utilise des agents autonomes pour cartographier, raisonner et valider le risque en continu. Pathbreak associe cette automatisation au jugement de praticiens offensifs et défensifs, de sorte que l'agent raisonne comme le ferait un attaquant plutôt que d'appliquer des règles statiques.

Il le peut. Pathbreak exécute des centaines de vérifications de sécurité continues sur votre cloud et les cartographie vers des cadres de conformité, il peut donc se substituer à un scanner autonome ou à un CSPM. La différence, c'est qu'il valide aussi les chemins d'attaque réels, ce que la plupart de ces outils ne font pas, vous consolidez donc sans perdre en profondeur. Il fonctionne aussi aux côtés de votre pile existante si vous préférez la conserver.

Pathbreak relève de l'Adversarial Exposure Validation (AEV) : il valide les véritables chemins d'attaque qu'un attaquant pourrait enchaîner à travers votre cloud et montre le seul changement qui brise chacun d'eux, ce qui correspond aux étapes de validation et de remédiation d'un programme de Continuous Threat Exposure Management (CTEM). Ce n'est pas du Breach and Attack Simulation (BAS) ; le BAS vérifie si les contrôles de sécurité détectent des techniques isolées, tandis que Pathbreak valide des chemins d'attaque exploitables en lecture seule, en résolvant l'autorisation réelle, et montre comment les sectionner. Il est cloud-native et agentique, concentré aujourd'hui sur les chemins du control plane AWS, avec Azure et Entra ID à suivre.

Chaque scan est évalué par rapport à 44 cadres, dont SOC 2, ISO 27001 (2013 et 2022), PCI DSS 3.2.1 et 4.0, HIPAA, NIST 800-53, 800-171 et CSF, les CIS Benchmarks, les AWS Foundational Security Best Practices, le pilier sécurité du AWS Well-Architected, ASD Essential Eight et C5. Il surveille selon un calendrier et produit des preuves prêtes pour l'audit à partir des mêmes scans.

Pathbreak est conçu par des praticiens de la sécurité cloud offensive et l'équipe derrière redamon, un framework agentique de red-team open-source avec 3,000+ étoiles GitHub. Nous trouvons ces chemins d'attaque à la main, puis nous encodons cette expérience dans la plateforme.

Non. Pathbreak lit les métadonnées de votre control plane et la configuration de vos ressources, telles que les politiques IAM, les rôles, les relations de confiance et les paramètres où les identifiants sont couramment exposés. Il ne lit pas le contenu de votre stockage d'objets ou de vos bases de données, et les valeurs de secrets détectées ne sont pas conservées. Quand un scan trouve une clé d'accès AWS exposée, il ne garde que l'identifiant de clé public afin que la remédiation puisse nommer la clé ; la clé d'accès secrète n'est jamais lue ni stockée. Il fonctionne sur un LLM que vous fournissez, sous vos propres identifiants, et n'utilise pas vos données pour entraîner un quelconque modèle. Les expositions et chemins d'attaque qu'il trouve ne sont visibles que par votre équipe, ne sont jamais utilisés à d'autres fins, et sont supprimés sur demande.

Pathbreak est développé de manière indépendante. Il n'est ni conçu ni entraîné sur des données clients, sur des données de communauté ou de plateforme de formation, ni sur des données de Pwned Labs, qui est une entreprise distincte. Son analyse est déterministe : il résout votre autorisation réelle en interrogeant un graphe de votre configuration cloud réelle, de sorte qu'un chemin est confirmé plutôt que prédit par un modèle. Le LLM que vous connectez gère le langage, l'exploration et l'explication. Il ne décide pas si un chemin est réel.

Le control plane est la couche d'identité, de confiance et de configuration du cloud, telle que les politiques IAM, les endossements de rôles et les rôles d'annuaire. C'est là que se produisent les mouvements les plus dommageables, et là que Pathbreak se spécialise.