STRIDE GPT est un outil de modélisation des menaces propulsé par l'IA qui s'appuie sur les grands modèles de langage (LLM) pour générer des modèles de menaces et des arbres d'attaque pour une application donnée, selon la méthodologie STRIDE. Les utilisateurs fournissent les détails de l'application, tels que le type d'application, les méthodes d'authentification, et si l'application est exposée à Internet ou traite des données sensibles. Le modèle génère ensuite sa sortie en fonction des informations fournies.
Table des matières
Soutenir le projet
Si vous trouvez STRIDE GPT utile, pensez à soutenir le projet :
- ⭐ Ajoutez une étoile au dépôt sur GitHub pour aider davantage de personnes à découvrir l'outil
- ☕ Offrez-moi un café pour soutenir le développement et la maintenance continus
Fonctionnalités
- Analyse agentique de base de code : pointez la CLI vers une base de code et obtenez un modèle de menaces STRIDE autonome et approfondi — l'agent planifie, explore et synthétise les conclusions à travers les sous-systèmes
- CLI et REPL interactif : expérience terminal complète avec autocomplétion, historique et progression en temps réel — aucun navigateur requis
- Interface web Streamlit simple et conviviale
- Génère des modèles de menaces selon la méthodologie STRIDE
- Prise en charge de l'IA agentique : modélisation des menaces spécialisée pour les systèmes d'IA agentique avec intégration de l'OWASP Top 10 for Agentic Applications (ASI)
- Prise en charge de l'IA générative : modélisation des menaces pour les applications GenAI avec intégration de l'OWASP LLM Top 10
- Mappage MITRE ATT&CK et ATLAS : les menaces sont annotées avec des identifiants standardisés de techniques d'adversaire (MITRE ATT&CK Enterprise pour les attaques d'infrastructure traditionnelles, ATLAS pour les attaques spécifiques au ML/LLM) — présentés sous forme de colonnes en markdown, de pastilles liées en HTML, et de propriétés
mitre_attack en SARIF
- Détection de motifs architecturaux : détecte automatiquement les pipelines RAG, les systèmes multi-agents, les environnements d'exécution de code, les écosystèmes d'outils, et plus encore, à partir des descriptions d'application (inspiré de CSA MAESTRO)
- Éditeur de diagrammes draw.io intégré : créez et modifiez des diagrammes d'architecture directement dans STRIDE-GPT grâce à l'éditeur diagrams.net intégré — aucun outil externe nécessaire. Les diagrammes sont analysés en XML pour extraire les composants, les connexions et les frontières de confiance, offrant un contexte nettement plus riche pour la génération de modèles de menaces que la seule analyse d'images. Le flux de travail existant de téléversement d'images reste inchangé. Par défaut, l'éditeur se charge depuis
embed.diagrams.net hébergé ; pour les déploiements auto-hébergés ou isolés, pointez-le vers votre propre draw.io via la variable d'environnement STRIDE_GPT_DRAWIO_URL
- Multi-modal : utilisez des diagrammes d'architecture, des organigrammes, etc. comme entrées pour la modélisation des menaces sur tous les modèles compatibles avec la vision pris en charge
- Diagrammes de flux de données : générez des DFD à partir de votre description d'application (ou analysez une image DFD téléversée), modifiez la source Mermaid en direct, et réinjectez le diagramme confirmé dans les invites Threat Model et Attack Tree comme modèle système de référence. La commande CLI
/analyze produit également un DFD au niveau système en plus de ses conclusions
- Génère des arbres d'attaque pour énumérer les chemins d'attaque possibles
- Suggère des mitigations possibles pour les menaces identifiées
- Prend en charge le scoring de risque DREAD pour les menaces identifiées
- Génère des cas de test Gherkin basés sur les menaces identifiées
- Analyse de dépôt GitHub pour une modélisation complète des menaces (y compris la prise en charge de GitHub Enterprise)
- Formats de sortie multiples : Markdown, JSON, SARIF (importable dans GitHub, GitLab, Azure DevOps, IDE), et une vue HTML autonome pour le partage avec les parties prenantes
- Prise en charge des modèles de raisonnement avancés (séries OpenAI GPT-5.4/5.5, Anthropic Claude 4.6/4.8 avec Extended Thinking, Google Gemini 3, série Mistral Magistral)
- Prise en charge complète des fournisseurs de LLM via LiteLLM : OpenAI, Anthropic, Google AI, Mistral, Groq, DeepSeek, plus l'hébergement local via LM Studio Server
- Aucun stockage de données ; les détails de l'application ne sont pas sauvegardés
- Disponible sous forme d'image conteneur Docker pour un déploiement facile
- Prise en charge des variables d'environnement pour une configuration sécurisée
Déploiement en entreprise
Vous souhaitez personnaliser STRIDE-GPT pour votre organisation ? Consultez notre Guide d'opérationnalisation complet pour apprendre à :
- 🎯 Injecter les contrôles et normes de sécurité de votre organisation
- 📋 Personnaliser les modèles de menaces avec vos exigences de conformité
- 🔧 Forker et déployer STRIDE-GPT en interne
- 📊 Obtenir des modèles de menaces contextuels et exploitables, spécifiques à votre environnement
Le guide comprend des instructions étape par étape, des exemples de code et des modèles de déploiement pour les organisations qui souhaitent déployer la modélisation des menaces assistée par IA à l'échelle de leurs équipes.
Présentation à l'Open Security Summit
En janvier 2024, j'ai donné une présentation sur STRIDE GPT à l'Open Security Summit. Durant cette présentation, j'ai abordé la genèse du projet, ses fonctionnalités principales, les mises à jour récentes et quelques projets futurs. Vous pouvez visionner la présentation complète ci-dessous :
Cette vidéo est une excellente ressource pour quiconque souhaite comprendre le fonctionnement de STRIDE GPT et comment il peut être utilisé pour améliorer la modélisation des menaces.
Journal des modifications
Version 0.20 (dernière)
mrwadams/stride-gpt
