calmaria
Comment ça marcheNotre scan gratuit

Entreprises & environnements régulés

L’IA écrit le code.
Nous le sécurisons.

Vos équipes et vos prestataires développent avec des agents IA. Nous scannons ce qu’ils livrent — code, infrastructure et backend — pour détecter les failles et donner à vos développeurs de quoi les corriger.

Demander le scan gratuit Voir comment

Scan gratuit. Des failles détectées ? Le rapport détaillé est payant.

La suite commence ici

L’expérience Imagine-App

La confiance ne part pas de zéro.

Banque, santé, finance. Ils nous ont confié du développement logiciel.

Références de l’équipe Imagine-App, qui porte Calmaria.

Une application fonctionne.
Mais qu’est-ce qu’elle expose ?

Un tentacule indigo soulève une pièce d’un assemblage lavande parcouru de ramifications menthe.

Le code livré

Un contrôle d’accès oublié. Un secret dans le dépôt. Une dépendance vulnérable. Nous cherchons ce que la recette fonctionnelle ne voit pas.

Ce qu’on examine ↗
Trois tours lavande reliées par un câble menthe, qu’un tentacule indigo examine à travers une arche.

L’infrastructure

Un service exposé. Des droits trop larges. Une préproduction oubliée. Nous examinons ce qui est réellement configuré.

Ce qu’on examine ↗
Deux rangées de cartes menthe séparées par une cloison translucide, devant un tentacule indigo.

Les accès aux données

Un client peut-il lire le dossier d’un autre ? Un agent peut-il accéder à des données sensibles ? Nous examinons les règles qui l’empêchent.

Ce qu’on examine ↗

Votre application fonctionne.

Et si elle exposait tout ?

L’interface ne montre pas les failles.
Nous allons les chercher dans le code et l’infrastructure.

L’équipe / Imagine-App × Calmaria

La puissance des agents.
La responsabilité des associés.

Trois associés. Des ingénieurs qui construisent, déploient et exploitent. Une mission : sécuriser ce que vos équipes produisent avec l’IA.

Portrait de Aurélien Noce

Aurélien Noce

in

Architecture, recherche & transmission

Du modèle à la production.

Docteur en robotique, architecte logiciel, il enseigne ponctuellement aux Mines de Paris. Aurélien va au fond du code, des modèles et des systèmes pour comprendre ce qui tient — et ce qui peut casser.

  • Architecture logicielle
  • Enseignement aux Mines

Certifications et certificats

  • ISC2 CISSP
  • ISACA AAISM
Portrait de Raphaël Prasquier

Raphaël Prasquier

in

Infrastructure & sécurité applicative

Le détail qui change tout.

Des infrastructures aux accès aux données, Raphaël traque les raccourcis qui deviennent des failles. Son terrain : le code qui tourne, les configurations et les corrections vérifiables.

  • Infrastructure
  • Revue du code

Certifications et certificats

  • OffSec OSWE
  • OffSec OSCP
  • CSA CCSK
Portrait de Raoul Barmat

Raoul Barmat

in

Stratégie IA & enjeux métiers

L’accélération, avec les bons réflexes.

Relier la puissance des agents aux exigences de l’entreprise. Raoul transforme les risques techniques en décisions claires, avec vos équipes, votre DSI et vos partenaires.

  • Direction technique
  • Systèmes agentiques

Certifications et certificats

  • IAPP AIGP
  • ISO/IEC 42001 Lead Implementer

Vous parlez à ceux qui font le travail.

Préparer un échange avec un associé ↗

Sécurité. Gouvernance de l’IA.

Gouverner les agents.
Sécuriser ce qu’ils livrent.

Management de l’IA, sécurité de l’information, audit, confiance : les cadres reconnus pour gouverner le travail avec les agents.

  • Gouvernance de l’IA
    ISO/IEC 42001

    Système de management de l’intelligence artificielle

    Norme ISO/IEC 42001:2023

  • Sécurité de l’information
    ISO/IEC 27001

    Système de management de la sécurité de l’information

    Norme ISO/IEC 27001:2022

  • Audit qualifié
    PASSI

    Audit de code source, de configuration et d’architecture

    Qualification ANSSI · hors tests d’intrusion

  • Label
    ExpertCyber

    Sécurisation des systèmes d’information professionnels

    Cybermalveillance.gouv.fr · audit AFNOR

  • Attestation
    SOC 2 Type II

    Efficacité des contrôles sur une période, revue par un auditeur indépendant

    AICPA · Trust Services Criteria

  • Enseignement

    Enseignement ponctuel d’Aurélien Noce

    Informatique et modèles de langage

Les logos des organismes de certification et de qualification ne sont pas reproduits. Le logo MINES Paris accompagne un enseignement ponctuel : il ne signale ni qualification en sécurité ni soutien de l’école. Les tests d’intrusion relèvent d’un prestataire indépendant.

Le regard des décideurs

Du code livré.
Des failles traitées.

Des équipes qui corrigent.
Des directions qui savent pourquoi.

Banque

« On pensait avoir fini.
Ils ont trouvé
ce qui nous exposait. »

Un rapport pour comprendre.
Un plan précis pour corriger.

Direction des systèmes d’informationGroupe bancaire

SaaS

« On livrait vite. Maintenant, on sait aussi quoi corriger avant de livrer. »

Une feuille de route que les développeurs peuvent prendre en main.

Dirigeant SaaSLogiciel B2B

Assurance

« On croyait avoir branché un assistant. On avait ouvert un guichet de paiement. »

Plafonds et validations sont désormais dans l’outil, pas dans le prompt.

Directeur des sinistresMutuelle d’assurance

01 / Le scan est gratuit

Vos agents produisent. Les nôtres examinent.

Un accès en lecture au code, à l’infrastructure et au backend. Nos agents recherchent les vulnérabilités dans ce qui a été livré. Un humain relit les constats et leur contexte avant restitution.

02 / Le rapport détaillé est payant

Des failles détectées ? Place au rapport.

Vous recevez une synthèse des risques. Si des vulnérabilités sont détectées, le règlement est demandé pour accéder au rapport détaillé : conséquences métier, preuves, priorités et instructions de correction. Son montant et ses conditions sont convenus avant le scan.

03 / Votre équipe, votre prestataire ou nous

De quoi corriger. Avec qui vous voulez.

Votre équipe ou votre prestataire dispose des éléments pour corriger, avec ses propres agents si elle le souhaite. Vous pouvez aussi nous confier la sécurisation et la vérification des corrections, dans une mission distincte.

04 / Un suivi proposé séparément

La prochaine livraison mérite le même regard.

Une application continue d’évoluer après le premier scan. Nous pouvons organiser un suivi pour examiner les nouvelles livraisons, vérifier les corrections et traiter les nouveaux risques. Périmètre et rythme définis avec vos équipes.

Au fil des livraisons · App GitHub

Chaque modification relue.
Directement dans GitHub.

Le scan examine une application à un moment donné. Notre app GitHub, Calmaria Security, relit automatiquement, côté sécurité, chaque pull request vers votre branche principale et chaque push sur cette branche. Les constats s’affichent sur les lignes concernées et dans la revue.

Découvrir la relecture GitHub Demander l’accès

Accès ouvert sur demande.

Produire plus vite.
Sécuriser ce qui sort.

Banque, santé, services financiers : vos exigences ne disparaissent pas parce que le code est produit avec l’IA. Nous aidons vos équipes à identifier et traiter les vulnérabilités, y compris dans les environnements régulés.

La méthode, sans boîte noire ↗
Un tentacule indigo soulève un assemblage lavande au-dessus d’un convoyeur menthe sur fond sombre.

Références sectorielles

Huit secteurs.
Huit risques différents.

Des équipes construisent vite avec des agents. Secteur par secteur, voici ce que nous rendons robuste : code, infrastructure, accès aux données, agents en production.

  1. Gestion d’actifs · capital-investissement

    Société de gestion agréée AMF, 40 personnes

    Un agent d’instruction des successions pouvait écrire seul dans le registre des porteurs.

    InterventionDroits ramenés à la lecture, validation à quatre yeux de l’écriture exacte, journal horodaté.

    Lire le cas

    0écriture au registre sans double validation en six mois

  2. Banque

    Banque régionale, 1 200 collaborateurs

    Des clés d’API écrites par un agent de code, poussées dans un dépôt partagé avec un prestataire.

    InterventionRévocation, coffre de secrets, détection automatique avant chaque fusion.

    37secrets révoqués et remplacés en neuf jours

  3. Assurance

    Mutuelle IARD, 700 collaborateurs

    Une pièce jointe piégée pouvait pousser l’agent de gestion des sinistres vers un paiement.

    InterventionPièces traitées comme des données, plafonds dans l’outil de règlement, validation humaine.

    Lire le cas

    100 %des paiements validés par un gestionnaire

  4. Santé

    Société Française de Cardiologie · Société savante médicale

    Des données de santé à héberger, puis à surveiller dans la durée.

    InterventionNous avons mis en place un hébergement de données de santé, scanné régulièrement par nos agents ainsi que par un prestataire d’hébergement.

    Lire le cas

    52scans par an de nos agents

  5. SaaS B2B

    Scale-up, 45 personnes, série A

    Une base sans contrôle d’accès par ligne : un client pouvait lire les données d’un autre.

    InterventionPolitiques par client, tests d’isolation, clé de service retirée du navigateur.

    Lire le cas

    0 → 38tables protégées par un contrôle d’accès par ligne

  6. E-commerce

    Marque de mode en ligne, 80 personnes

    Des préproductions ouvertes sur Internet, alimentées par une copie de la base clients.

    InterventionFermeture, authentification, données synthétiques, inventaire des sous-domaines.

    6environnements de préproduction retirés d’Internet

  7. Industrie

    ETI industrielle, 900 salariés

    Un portail fournisseurs écrit avec des agents, sauvegardé chaque nuit, jamais restauré.

    InterventionRestauration complète dans un environnement isolé, procédure écrite, exercice trimestriel.

    4 h 20pour une restauration complète mesurée, jusque-là jamais testée

  8. Legaltech

    Éditeur de logiciel juridique, 30 personnes

    Un agent de code pouvait modifier la chaîne CI/CD et déployer en production avec un jeton permanent.

    InterventionJetons de courte durée, branches protégées, revue obligatoire des workflows.

    15 minde durée de vie des jetons de déploiement, contre illimitée

Cas clients

Quatre cas,
en détail.

Quatre cas clients : ce qui avait été construit avec des agents, les risques trouvés, l’intervention, les résultats. Et ce qui reste du ressort du client.

Lire les quatre cas
  1. Illustration du cas client : un tentacule indigo présente un feuillet menthe devant un registre lavande et deux blocs.01Finance régulée · capital-investissement

    Des agents d’instruction des successions, un registre des porteurs à protéger.

    Injection via un PDF, droits d’écriture, quatre yeux, journal exploitable pour l’AMF.0écriture au registre sans double validationLire le cas
  2. Illustration abstraite : des cartes menthe abritées sous un pavillon lavande, éclairé de blanc et de menthe, à côté d’un tentacule indigo.02SantéSociété Française de Cardiologie

    Un hébergement de données de santé, scanné régulièrement.

    Mis en place par nos soins, surveillé par nos agents et par un prestataire d’hébergement.2regards réguliers : nos agents et le prestataire d’hébergementLire le cas
  3. Illustration du cas client : un tentacule indigo place une cloison entre trois modules lavande à tiroirs menthe.03Éditeur SaaS B2B

    Un produit écrit avec des agents, face au questionnaire d’une banque.

    Clé de service côté navigateur, base sans contrôle par ligne, préproduction ouverte.0 → 38tables sous contrôle d’accès par ligneLire le cas
  4. Illustration du cas client : un tentacule indigo retient une carte menthe devant deux portiques, près d’une coupelle de disques vierges.04Assurance

    Un agent de gestion des sinistres branché sur l’outil de règlement.

    Pièces jointes piégées, plafonds, séparation des droits, validation des paiements.100 %des paiements validés par un gestionnaireLire le cas

Code, infrastructure, backend

Les failles ignorent
les frontières.

Une permission dans la base peut compromettre toute l’application.
Nous croisons le code livré avec sa configuration réelle.

Voir les accès nécessaires ↗
Vos dépôtsVos donnéesVotre cloudVos accèsVos déploiementsVotre SI

Le périmètre réellement examiné et ses limites sont précisés dans la restitution.

Le blog

Ce que l’IA livre.
Ce qu’il faut vérifier.

Tous les articles
Un niveau à bulle menthe posé sur une rangée de blocs lavande et indigo assemblés ; la bulle est au centre.

Code généré

Nos agents ont écrit le code. Voici comment on a vérifié leur travail.

Du vendredi au lundi, des agents IA ont implémenté notre prototype de LLM privé hébergé à Paris. Décisions écrites, critères d’acceptation, vérifications sur les machines et revue adverse : ce que cette méthode a permis de contrôler, ce qu’elle a révélé, ce qu’elle ne garantit pas.

Portrait de Raphaël PrasquierRaphaël Prasquier8 min
Un tamis vide au-dessus d’une coupelle lavande ; une seule bille indigo est passée au travers et repose dans la coupelle.

Infrastructure

Zéro rétention de prompts : notre test, sa contre-épreuve, ses limites

« Nous ne conservons pas vos données » : facile à écrire, difficile à montrer. Sur notre LLM hébergé à Paris, un marqueur unique traverse la chaîne, puis on le cherche dans les journaux et fichiers. Une contre-épreuve provoque une fuite pour vérifier que le test la voit.

Portrait de Raphaël PrasquierRaphaël Prasquier12 min

Du risque à la correction

De quoi passer à l’action.

Voir la méthode ↗
Un tentacule indigo tient une clé menthe passée dans une ouverture, au-dessus d’une clé lavande plus large.
Les accès

Des accès bornés, vérifiés et révocables.

Comprendre les permissions ↗
Un tentacule indigo dépose une carte menthe dans des tiroirs lavande reliés à une seconde pile par un ruban.
L’infrastructure

Une reprise documentée au-delà de la configuration.

Distinguer réglage et preuve ↗
Un tentacule indigo ajuste une pièce menthe dans un livre lavande, à côté de trois formes géométriques.
La restitution

Un rapport pour décider. Des instructions pour corriger.

Voir ce que vous recevez ↗

Parlons simplement.

Ce qui est gratuit. Ce qui est payant. Ce que vos équipes reçoivent.

Le scan est vraiment gratuit ?

Oui. Nous examinons une application et un environnement convenus, sans facturer le scan. Si des vulnérabilités sont détectées, nous vous présentons une synthèse des risques et demandons le règlement du rapport détaillé. Le montant et les conditions de ce rapport sont convenus avant le scan. Les corrections et le suivi sont des prestations distinctes.

Et si vous ne trouvez aucune vulnérabilité ?

Aucun règlement n’est demandé pour le scan. Nous précisons ce qui a été examiné et les limites de l’examen. Ne pas trouver de faille ne constitue pas une garantie d’absence de vulnérabilité.

Que paie-t-on si vous trouvez des failles ?

Le rapport détaillé : une lecture des risques pour la direction, puis les constats techniques, preuves, préconditions, priorités et instructions pour les développeurs. Votre équipe ou votre prestataire peut s’en servir pour corriger. Vous n’êtes pas tenu de nous confier les corrections.

Quels accès faut-il vous donner ?

Lecture du code, configuration utile de l’hébergement, schéma et règles d’accès du backend. Les droits réels sont vérifiés avant ouverture. Si un accès est trop large, nous préférons un export expurgé ou une collecte chez vous. Aucun token dans le formulaire.

Vous travaillez avec des agents IA ?

Oui. Avant toute transmission, les outils, fournisseurs et règles de traitement sont précisés avec vous. Les agents assistent l’examen ; un humain relit les constats et leur contexte.

Notre prestataire utilise l’IA. Où intervenez-vous ?

Nous scannons ce que votre prestataire ou votre équipe a produit avec l’IA, avant la mise en production ou sur une application existante. Nous cherchons les vulnérabilités du code, de l’infrastructure et des accès aux données. Le rapport détaillé leur donne les éléments pour corriger.

Et pour une entreprise régulée ?

Nous cadrons l’examen avec vos exigences et vos interlocuteurs sécurité, risques ou conformité. Les constats techniques peuvent alimenter vos contrôles internes et vos échanges avec les prestataires. Le scan ne vaut ni certification, ni avis juridique, ni attestation de conformité réglementaire. Les examens complémentaires et le suivi se définissent séparément.

Avant la prochaine livraison

L’IA a produit.
Cherchons les failles.

Le scan est gratuit.
Des vulnérabilités détectées ? Le rapport détaillé est payant.

Demander le scan gratuit ↗