pathbreak-audit : trouvez les permissions IAM exploitables dans votre compte AWS

Par l'équipe Pathbreak · 21 octobre 2026 · 4 min de lecture

La carte d'escalade de privilèges AWS est une référence : chaque permission AWS qu'un attaquant peut utiliser pour avancer vers l'administration, les données ou la persistance, et le changement qui brise chaque chemin. La carte vous indique ce qui pourrait mal tourner dans AWS en général. pathbreak-audit vous indique lesquelles de ces permissions se trouvent dans votre propre compte en ce moment.

Ce qu'il fait

pathbreak-audit lit les politiques attachées à chaque rôle et utilisateur, gérées, en ligne, ainsi que les politiques que les utilisateurs héritent des groupes, détermine les actions autorisées pour chaque principal et les compare au catalogue des permissions et combinaisons dangereuses. Pour chaque principal, il affiche ce qu'il détient et le changement de moindre privilège qui le supprime, avec un lien vers l'explication complète sur la carte.

Les résultats sont de deux types. Une permission directement exploitable est une action unique qui permet à un principal d'escalader, de persister ou d'altérer la journalisation, par exemple iam:CreateAccessKey sur un autre utilisateur. Une combinaison toxique est un ensemble de permissions qui ne sont dangereuses qu'ensemble, comme iam:PassRole avec lambda:CreateFunction, qu'une revue politique par politique a tendance à manquer.

Pourquoi la vue par défaut est courte

Un outil qui signale chaque lecture large et chaque permission recrée la fatigue des alertes qu'il est censé résoudre. La vue par défaut porte donc sur les permissions exploitables quelle que soit la cible : escalade, persistance, altération de la journalisation et destruction. Les lectures larges de données et de secrets, l'invocation de Lambda, l'endossement de rôle et l'accès aux sessions ne comptent que lorsque la ressource qu'ils atteignent est privilégiée, ce qu'une vérification statique sur un seul compte ne peut pas savoir, ils sont donc écartés sauf si vous les demandez avec --include-access. Les administrateurs complets et les rôles par défaut d'AWS sont également écartés par défaut, pour que la liste reste courte et digne d'être lue.

Essayez-le

Vous pouvez voir le résultat sans aucun compte AWS :

pip install pathbreak-audit
pathbreak-audit --demo

Pour l'exécuter sur votre propre compte, utilisez des identifiants quelconques disposant d'un accès en lecture à l'IAM. Les politiques gérées AWS SecurityAudit ou ViewOnlyAccess suffisent toutes les deux :

pathbreak-audit --profile my-profile

Toutes les options, un exemple de sortie et le code source sont sur GitHub.

Ce qu'il ne fait pas

C'est une vérification ponctuelle d'un seul compte. Il lit ce que les politiques autorisent, de sorte qu'une autorisation à portée restreinte peut quand même apparaître, et il vous indique qu'une permission pourrait être exploitée, pas qu'elle s'enchaîne jusqu'à quelque chose de sensible. Il ne parcourt pas le graphe entre les comptes, il ne valide pas qu'un chemin se résout face à votre autorisation réelle, et il ne surveille pas les dérives. Nous traçons cette limite volontairement.

pathbreak-audit montre les permissions qui pourraient être exploitées, principal par principal. Pathbreak montre lesquelles s'enchaînent en un chemin validé qui atteint vos données sensibles, les classe par rayon d'impact sur tous les comptes et vous renvoie le changement unique qui brise le plus de chemins, en continu. Si l'outil vous est utile, c'est l'étape suivante.

Questions fréquentes