SDK : Software Development Kit
Infrastructure
SDK : Software Development Kit. « Kit de développement logiciel », par analogie avec la boîte à outils livrée avec le meuble en kit, clé six pans comprise et notice plus ou moins traduite.
Contenu : Bibliothèques pour appeler une API ou une plateforme, outils en ligne de commande, documentation, exemples. Le SDK épargne l'écriture des requêtes à la main et impose, au passage, les choix de son éditeur.
SDK cloud et identifiants : Les SDK des fournisseurs cloud cherchent seuls leurs identifiants : variables d'environnement, fichiers de configuration, puis service de métadonnées IMDS de l'instance. Cette commodité explique pourquoi une SSRF vers ce service vaut de l'or.
Dépendance : Un SDK embarque ses propres dépendances, qui entrent dans la chaîne d'approvisionnement du projet et dans son SBOM. On l'ajoute pour trois appels ; il arrive avec deux cents paquets, comme un invité qui viendrait dîner avec sa famille élargie.
Ce qui arrive si on s'en passe
Un SDK cloud cherche seul ses identifiants, jusqu'au service de métadonnées de l'instance : une application vulnérable à la SSRF, capable d'interroger ce service, livre alors à l'attaquant des identifiants temporaires portant tous les droits accordés à la machine. Ajouté sans inventaire, un SDK fait par ailleurs entrer ses propres dépendances dans la chaîne d'approvisionnement du projet, et une faille dans l'une des deux cents bibliothèques embarquées devient la faille du projet, sans que personne sache qu'elle y figurait, faute de SBOM à jour. On l'avait installé pour trois appels ; il est venu avec toute la famille, et la famille avait les clés.
Explication de la marmotte
Pour construire une application qui utilise un service existant, par exemple un système de paiement ou un espace de stockage en ligne, les développeurs n'ont pas envie de tout réinventer. Le fournisseur leur remet alors une trousse prête à l'emploi : des morceaux de programme déjà écrits, un mode d'emploi et quelques outils. C'est comme recevoir, avec un meuble à monter, la notice, les vis et le tournevis adaptés. On gagne beaucoup de temps, à condition de faire confiance à ce qu'il y a dans la boîte.
Où ce terme est utilisé
- LM Studio utilité, éditeur et limites sur poste de travail (3 occurrences)
- Mettre en place la fédération d’identité de charge (3 occurrences)
- SSRF vers IMDS et vol d’identifiants IAM (3 occurrences)
- Agentique : définition, lectures d'OpenAI et d'Anthropic, Claude Code (2 occurrences)
- Backend Foundry Local expliqué et comparé à LM Studio (2 occurrences)
- Détournement de bibliothèque partagée Linux et ld.so (1 occurrence)