KushoAI

Une phrase pour présenter

KushoAI est une plateforme de test et de fiabilité logicielle pilotée par l’IA, capable de générer, d’exécuter et de maintenir automatiquement des tests API, des workflows inter-services, des tests de sécurité et des tests UI, en se basant sur les spécifications API ou les actions du navigateur.

Présentation des outils

KushoAI est géré par Kusho, Inc et s’adresse aux développeurs, aux ingénieurs QA, aux managers d’ingénierie ainsi qu’aux entreprises ayant besoin d’une gouvernance des tests à grande échelle. Le produit est passé de la génération de cas d’utilisation API initiaux à une infrastructure de test couvrant les contrats d’interface, les processus bout en bout, les vérifications de sécurité OWASP, l’automatisation de l’UI et l’évaluation des risques de déploiement.

Les utilisateurs peuvent télécharger des spécifications OpenAPI ou Swagger, des collections Postman, coller des commandes cURL, ou saisir manuellement les informations de la requête. Pour l’interface web, il est également possible d’enregistrer une opération réelle, puis de faire en sorte que l’IA génère des tests Playwright avec différentes entrées, cas limites et chemins d’erreur.

Niveau de capacité du produit

Fonction principale

Génération automatique de suites de tests API

KushoAI comprendra la structure de l’interface, les types de champs et les risques commerciaux courants, afin de générer des requêtes valides, des entrées invalides, des valeurs limites, des conditions de combinaison et des cas de régression. Les résultats générés comprennent la charge de la requête, des instructions de test et des assertions vérifiables ; l’utilisateur doit néanmoins vérifier la sémantique commerciale.

Plusieurs méthodes d’importation API

L’utilisateur peut saisir manuellement la méthode, les en-têtes de requête, les paramètres de chemin, les paramètres de requête et le corps de la requête, ou bien importer des collections OpenAPI, Swagger, Postman ou des commandes cURL. Le produit prend également en charge l’identification de candidats d’interfaces à partir de documents produits au format texte ou Markdown, avant que l’utilisateur ne confirme les endpoints spécifiques.

Test du contrat API

La plateforme lit la définition de l’interface et vérifie les changements d’implémentation, afin d’aider l’équipe à détecter les problèmes avant que des modifications destructrices ne soient déployées dans les environnements suivants. Lorsque la spécification elle-même manque de contraintes, d’exemples ou de réponses en cas d’erreur, la profondeur des tests automatisés est également limitée.

Exécution des tests et assertions

Chaque test peut être exécuté séparément, en sélectionnant une partie d’entre eux ou en les exécutant tous ensemble. La page des résultats affiche la requête réelle, la réponse et le statut de validation des assertions. Les cas d’utilisation ne disposant pas d’assertions ne permettent que d’observer la réponse, sans pouvoir prouver automatiquement la correction du fonctionnement métier.

Workflow API bout en bout

La fonction d’entreprise permet de relier de 2 à 20 interfaces en un flux séquentiel, et de transmettre les champs de réponse de l’étape précédente aux requêtes suivantes. Elle convient à la validation des opérations interinterfaces telles que l’inscription, le connexion, la passation de commandes, le paiement et les notifications.

Données de test dynamique

Les flux de travail peuvent générer des dates aléatoires, des chaînes de caractères, des identifiants et d’autres valeurs dynamiques, et peuvent également faire référence aux réponses précédentes d’interfaces pour effectuer des traitements de chaînes, d’arrays ou arithmétiques. Des exemples clairs doivent être fournis pour les expressions complexes, afin d’éviter des faux positifs dus à des données de test erronées.

Changements d’interface et mises à jour de tests

Lorsque les spécifications OpenAPI ou Postman changent, KushoAI peut comparer les tests existants et générer des suggestions de modification. Les différences sont générées par l’IA ; avant leur application, il faut vérifier que les variables personnalisées, les champs paramétrés et les assertions manuelles n’ont pas été modifiés par erreur.

Test d’édition en langage naturel

Les utilisateurs peuvent ajouter des tests en langage courant, modifier les attentes ou étendre les scénarios de limites, ce qui réduit le travail d’édition directe des scripts. Certaines nouvelles fonctionnalités de test sont indiquées dans la documentation comme étant des fonctionnalités d’entreprise ; les droits réels doivent être vérifiés dans le compte.

Grouper les tests et exécuter en lot

Les ensembles de tests peuvent être regroupés, permettant aux équipes d’exécuter plusieurs interfaces ou un ensemble complet de tests de régression en même temps. Les tâches en batch doivent être classées par environnement, service et niveau de risque, afin d’éviter que de nombreuses exécutions simultanées n’affectent le système de test partagé.

Test de flux UI

KushoAI peut enregistrer les clics, les saisies et les navigations entre pages dans le navigateur, et les étendre grâce à l’IA à de nombreux scénarios réels. Les scripts générés sont basés sur Playwright, peuvent fonctionner sans interface graphique, et conservent des captures d’écran, des vidéos ainsi que des rapports de test.

Tests de sécurité

Les capacités d’entreprise comprennent des tests de sécurité API axés sur OWASP, permettant de vérifier les risques courants en matière d’authentification, d’autorisation, de traitement des entrées et de processus métier. Les cas d’utilisation de sécurité automatisés ne peuvent pas remplacer le modélisation des menaces, les tests d’infiltration manuels et la vérification des correctifs.

Maintenance des tests d’autoguérison

La plateforme détecte l’évolution du contrat API et met à jour les tests concernés, réduisant ainsi les coûts de maintenance liés à l’invalidation de nombreux scripts après des itérations d’interfaces. La correction automatique doit préserver l’examen des différences et la possibilité de revenir en arrière, afin d’éviter que les tests ne modifient les attentes pour s’adapter aux défauts.

Publier le score de risque

KushoAI peut calculer des signaux de risque de publication en fonction des changements de contrat, de la couverture d’exécution, des échecs et des données historiques. Le score de risque est utile pour faciliter l’évaluation de la publication, mais ne doit pas être le seul critère permettant de contourner la validation des responsables.

Formats d’entrée pris en charge

Processus de génération des tests API

1. Inscrivez-vous et créez un espace de travail de test isolé.
2. Sélectionnez saisie manuelle, OpenAPI, Postman, cURL ou la documentation du produit.
3. Supprimer les jetons de production, les données des clients réels et les adresses non testables.
4. Vérifier les méthodes, paramètres, corps de la requête et variables d’authentification identifiés.
5. Générer le jeu de tests et consulter d’abord les descriptions des cas d’utilisation ainsi que la charge.
6. Ajouter des affirmations claires et des attentes métier pour les scénarios clés.
7. Se connecter à l’environnement de test via une extension de navigateur ou un proxy local.
8. Exécutez d’abord un cas d’utilisation unique, puis le sous-ensemble et l’ensemble complet.
9. Analyser si l’échec est dû à un défaut du produit, à un problème environnemental ou à une erreur de test.
10. Une fois la stabilité confirmée, connectez-vous à CI/CD et définites une stratégie en cas d’échec.

Exécuter les API locales et intranet

Lorsque le navigateur est soumis à des restrictions inter-domaines, KushoAI peut envoyer des requêtes de test via une extension Chrome, permettant ainsi à l’interface web d’accéder à localhost, à une VPN ou à un environnement de test intranet. L’extension ne doit fonctionner que sur les pages autorisées par KushoAI, mais l’entreprise doit néanmoins examiner ses permissions et son code.

Si l’extension est bloquée par la stratégie de l’entreprise ou si un navigateur non Chromium est utilisé, un proxy local officiel peut être déployé. Le proxy accède aux en-têtes de requête, aux informations d’authentification et au contenu de la réponse ; il doit fonctionner sur une machine contrôlée et son champ d’écoute doit être limité.

Test de flux de travail bout en bout

Le constructeur bout en bout relie les interfaces par des nœuds et permet de piloter les étapes suivantes à l’aide de réponses antérieures, de requêtes, de codes d’état et d’en-têtes de requête. Lorsque plusieurs nœuds choisissent chacun plusieurs cas d’usage, le nombre de combinaisons s’multiplie, ce qui permet une expansion rapide de l’échelle d’exécution.

• D’abord, dessinez le flux de processus et les dépendances d’interface.
• Choisir pour chaque nœud uniquement des tests représentatifs.
• Déterminer quel champ de réponse être transmis à la requête en aval.
• Configurer un délai d’attente raisonnable pour le traitement asynchrone.
• Limitez le nombre de combinaisons pour éviter une explosion des tests.
• Ajouter des étapes de nettoyage aux données créées.
• Enregistrer la configuration d’exécution pour des retours stables.
• Comparer les exécutions historiques pour identifier les échecs intermittents.

Workflow de test d’interface utilisateur

1. Sélectionnez un compte de test dédié et nettoyez l'historique.
2. Ouvrez le enregistreur et terminez un flux d’utilisateur minimal.
3. Vérifiez le script Playwright généré après avoir fermé le navigateur.
4. Corriger les sélecteurs instables, les conditions d’attente et les entrées sensibles.
5. Permettre à l’IA d’élargir les différents données, frontières et chemins d’échec.
6. Continuer à ajuster les affirmations et les scénarios en langage naturel.
7. Téléchargez d’abord le navigateur visible et observez le comportement de la page.
8. Une fois stabilisé, passer à l’exécution sans tête tout en conservant le rapport.
9. Activez la capture d’écran ou l’enregistrement vidéo en cas de besoin de débogage.
10. Gérer régulièrement l’inactivation des scripts due aux mises à jour de page.

Test d’exportation

Les suites de tests API peuvent être exportées dans divers formats universels, ce qui facilite leur utilisation localement, dans des frameworks de test existants ou dans des processus CI/CD. L’export en masse crée un fichier compressé ; il convient de vérifier avant l’importation que les identifiants et les variables d’environnement y sont bien inclus.

Intégration CI/CD

L’équipe peut créer des clés API d’espace de travail qui n’apparaissent qu’une seule fois, et déclencher des ensembles de tests ou des groupes depuis CI/CD. Les clés doivent être stockées dans la gestion des secrets du pipeline, et ne doivent pas être écrites dans le dépôt, les journaux de construction ou les rapports de test.

• Créer des clés indépendantes pour différents environnements.
• Accorder uniquement les minimales permissions nécessaires à l’exécution.
• Fixer le kit de tests et la version de configuration de l’environnement.
• Distinguer les échecs entraînant un blocage de la publication de ceux ne provoquant qu’une alerte.
• Mettre en place un processus d’isolement pour les tests instables, plutôt que des tentatives infinies.
• Limiter la concurrence pour éviter de submerger les services partagés.
• Conserver les rapports de test et les identifiants de construction pour le suivi.
• Renouveler immédiatement les clés en cas de départ du personnel ou de migration du système.

Principales directions d’intégration

Prix et versions

KushoAI propose actuellement deux versions : une édition Developer gratuite et une édition Enterprise à prix sur mesure, sans mentionner de forfaits de paiement mensuel fixe. Les devis pour les entreprises sont calculés en fonction du nombre d’interfaces, des flux UI, du volume d’exécutions mensuelles, de la taille de l’équipe, du mode de déploiement et des intégrations sur mesure.

L’Édition Développeur ne nécessite pas de carte de crédit et peut être utilisée pour vérifier si le produit convient à l’équipe. Les engagements minimaux pour les contrats entreprise, la durée annuelle, les frais d’exécution supplémentaire, de stockage, de support et de déploiement ne disposent pas de chiffres fixes publiés ; il est nécessaire de les confirmer un par un au moment de l’achat.

Facteurs de tarification des entreprises

Comparaison des méthodes de déploiement

Le cloud public est déployé dans la région AWS de Stockholm ; les entreprises peuvent négocier des solutions locales ou régionales. Le déploiement local est une fonctionnalité payante pour les entreprises et ne doit pas être confondu avec les scripts de déploiement publics sur GitHub ou les charts Helm, qui constituent des produits auto-hébergés gratuits.

Sécurité des données et conformité

Le portail de sécurité indique que KushoAI est conforme à SOC 2 Type II et ISO 27001, et offre un DPA, des documents de sécurité et une évaluation d’entreprise. Lors de l’achat réglementé, il convient de demander les rapports d’audit les plus récents, le champ d’application, les exceptions et la durée de validité du certificat, plutôt que de se fier uniquement au texte sur la page.

Confidentialité et traitement des données par l’IA

La plateforme peut gérer les spécifications API, les paramètres de requête, les variables d’environnement, la génération de tests, les résultats d’exécution, les métadonnées CI/CD, les configurations d’intégration, les journaux et l’analyse de l’utilisation. Bien qu’un accès direct à la base de données des utilisateurs en production ne soit pas requis, la charge de test elle-même peut contenir des informations hautement sensibles.

Les données déployées au moyen d’un paiement par l’entreprise ne seront pas utilisées pour entraîner des modèles d’IA, sauf accord explicite des deux parties. Une partie des données utilisées dans la version gratuite peut être employée pour améliorer les produits et les capacités d’automatisation ; par conséquent, les équipes sensibles ne doivent pas placer de données de production réelles dans un compte gratuit avant d’avoir confirmé la politique en vigueur.

• Remplacer les données clients réelles par des données fictives ou anonymisées.
• Les jetons, les cookies et les clés utilisent uniformément des variables sécurisées.
• Le journal des tests ne conserve pas les informations d’authentification complètes.
• Masquer les données personnelles dans les réponses aux échecs.
• Vérifier les conditions d’entraînement de l’IA pour les versions développeur et entreprise respectivement.
• Confirmer les délais de conservation des données, de leur suppression et du nettoyage après interruption.
• Vérifier le hébergement régional et la protection contractuelle lors de l’utilisation transfrontalière.
• Les entrepôts de tiers, les tickets de travail et les systèmes de notification sont évalués séparément.

Propriété et restrictions d’utilisation

Le client conserve la propriété des données qu’il soumet à la plateforme ; la plateforme principale de KushoAI, les documents ainsi que les technologies sous-jacentes restent la propriété de l’entreprise ou du concédant. Les scores de test et de risque générés par l’IA peuvent être imparfaits et ne servent qu’à soutenir les processus internes de qualité.

• L’autorisation de la plateforme est réservée à un usage interne non exclusif et non transférable.
• Il est interdit de copier, de modifier ou de créer des produits dérivés de la plateforme principale.
• Il est interdit de procéder à du reverse engineering ou d’essayer d’obtenir le code source principal.
• Il est interdit de contourner les restrictions techniques ou de compromettre la sécurité et la disponibilité du service.
• L’intégration avec des tiers reste soumise aux conditions des différents fournisseurs.
• Sauf indication contraire dans le contrat, le paiement n’est généralement pas remboursable.
• L’accès cesse à la fin et les données concernées peuvent être supprimées conformément à la politique de conservation.
• Les tests clés nécessitent encore une validation indépendante, un contrôle qualité et une audit réglementaire.

GitHub et l’état open source

KushoAI dispose d’une organisation GitHub officielle et publie plusieurs projets auxiliaires, mais sa plateforme principale de tests cloud et de gouvernance d’entreprise n’a pas été publiée en tant que produit open source complet. Pour déterminer si quelque chose est open source, il faut préciser chaque répertoire et licence individuellement.

Outil de test d’UI open source

Les outils TUI locaux exigent Node.js 18 ou supérieur, Git, le navigateur Playwright et un éditeur de terminal. Ils peuvent appeler OpenAI, Anthropic ou Gemini, et enregistrer les clés de modèle fournies par l’utilisateur dans un fichier de préférences local.

• Enregistrer les interactions du navigateur et générer le code initial de Playwright.
• Laissez l’IA étendre les tests de variations d’entrée, d’anomalies et de limites.
• Continuer à modifier le script généré en utilisant un langage naturel.
• Exécuter les tests avec un navigateur sans tête ou visible.
• Il est possible de sauvegarder des vidéos, des captures d’écran et des rapports HTML.
• La clé ne doit être envoyée qu’au fournisseur de modèles choisi par l’utilisateur.
• L’script de génération doit encore vérifier les sélecteurs, les attendus et les assertions.
• Avant de les adopter, l’entreprise doit auditer les dépendances, les licences et les droits d’accès aux fichiers de identifiants.

À qui s’adresse-t-il

• Développeurs backend qui souhaitent créer rapidement un ensemble de tests de régression à partir des spécifications API.
• Besoin de réduire le nombre d’ingénieurs QA chargés de l’écriture de cas d’utilisation redondants.
• Équipe chargée des tests des processus métier trans-microservices.
• Équipes DevSecOps souhaitant intégrer des vérifications de sécurité des interfaces dans la chaîne de production.
• Nécessité d’une organisation d’ingénierie pour unifier la gouvernance de la qualité des API et de l’UI.
• Entreprises du secteur réglementé nécessitant un déploiement local, SSO et des fonctionnalités d’audit.
• Développeurs qui souhaitent générer des tests d’interface utilisateur à l’aide de Playwright et de modèles personnalisés.
• Responsable de projet chargé de diffuser les signaux de risque et les contrôles de qualité.

Scénarios d'utilisation typiques

Avantages du produit

• Couvre en même temps les tests API, de flux de travail, de sécurité et d’interface utilisateur.
• Prend en charge les normes courantes, les collections, les commandes et l’enregistrement des saisies depuis le navigateur.
• Génération automatique de requêtes, d’assertions, de scénarios de limites et de régression.
• Il est possible de citer des réponses antérieures pour construire des processus complexes à plusieurs interfaces.
• Après modification de la norme, il est possible de recommander la mise à jour des tests concernés.
• Prend en charge l’intégration CI/CD, des tickets, des notifications et de la surveillance.
• Fournit des déploiements cloud, locaux et hybrides pour les entreprises.
• La version développeur gratuite peut être utilisée pour des validations de concept réelles.
• Plusieurs outils auxiliaires et références de test ont été rendus publics sur GitHub.
• Le portail de sécurité fournit des informations sur le chiffrement, l’authentification et le contrôle d’accès.

Principales restrictions

• La version entreprise n’a pas de prix fixe public.
• La version développeur couvre jusqu’à 50 points d’API.
• Les nouvelles capacités de test pour l’IA bout en bout et partielle ne sont disponibles que dans l’édition entreprise.
• Pour que le navigateur puisse utiliser les interfaces intranet, il nécessite une extension ou un proxy local.
• La combinaison de cas d’usage pour des flux de travail complexes peut croître rapidement.
• Les scores de test, de différence et de risque générés par l’IA peuvent ne pas être précis.
• Des informations OpenAPI incomplètes limiteront la qualité de la génération.
• Les scripts UI restent influencés par les sélecteurs, la chronologie et les mises à jour de page.
• Les tests de sécurité automatisés ne peuvent pas remplacer les tests d’infiltration professionnels.
• Une partie des données utilisées dans la version gratuite peut être utilisée pour améliorer les fonctionnalités.
• La plateforme principale est fermée source, et son déploiement local par les entreprises nécessite un contrat commercial.
• Il faut faire preuve de prudence pour distinguer les anciennes adresses e-mail isolées et les contenus de pages redondantes dans les documents publics.

Liste de contrôle avant mise en ligne

1. Choisissez des API et des processus UI ayant une signification métier réelle comme exemples.
2. Préparer l’identification des données de test et d’un environnement indépendant.
3. Comparer la couverture des cas d’utilisation automatisés avec la base existante de défauts de l’équipe.
4. Vérifier aléatoirement si l’affirmation valide les résultats métier et non seulement les codes d’état.
5. Évaluer les faux positifs, les faux négatifs, le temps de fonctionnement et l’effort de maintenance.
6. Suggestions de différences après test des changements d’interface et reprise en arrière.
7. Vérifier les clés CI/CD, les permissions, la concurrence et les stratégies de défaillance.
8. Vérifier les limites réseau des extensions, des proxies et des déploiements locaux.
9. Obtenir une offre officielle, des SLA, un soutien et des règles pour les dépassements de consommation.
10. Vérifier les documents SOC 2, ISO 27001, DPA et de zone de données.
11. Vérifier les chemins d’exportation des tests après la fin, la suppression des données et la migration.
12. La décision finale de publication est laissée à la discrétion du responsable humain.

Questions fréquentes

KushoAI ne teste-t-il que l’API en ce moment ?

Non, il couvre actuellement le contrat API, les workflows interinterfaces, la sécurité OWASP, les processus UI et l’évaluation des risques de publication. Les tests API restent l’entrée la plus mature et la plus importante du produit.

Quelles données API peuvent être importées ?

Il est possible d’importer des collections OpenAPI ou Swagger, Postman et cURL, ou de saisir manuellement les détails des interfaces. Des documents produits en texte ou au format Markdown peuvent être utilisés pour identifier des candidats d’interfaces.

Est-il possible de tester localhost ou l’interface VPN ?

Oui, depuis le navigateur, il est possible d’envoyer des requêtes vers l’appareil local et l’environnement intranet à l’aide d’une extension Chrome ou d’un proxy local. Avant utilisation, il convient de vérifier les permissions, les ports écoutés et les journaux des requêtes.

KushoAI est-il gratuit ?

L’Édition Développeur coûte 0 dollar par mois, sans besoin de carte de crédit, et prend en charge jusqu’à 50 points d’API, idéale pour les particuliers, les petites équipes et la validation de concepts. Les fonctionnalités enterprise de niveau production sont proposées selon un devis sur mesure.

Combien coûte l’édition entreprise ?

Aucun montant fixe n’est publié ; le devis dépend des points d’API, des flux UI, du volume de fonctionnement mensuel, de la taille de l’équipe, du mode de déploiement et des intégrations sur mesure. Avant l’achat, il est nécessaire d’obtenir un devis écrit ainsi que une définition des volumes utilisés.

Peut-on l’installer localement ?

Oui, Enterprise permet un déploiement local au sein du réseau d’entreprise, ou bien une architecture hybride combinant le cloud et le local. Le fait que les fichiers de déploiement soient publiés sur GitHub ne signifie pas que l’on obtienne gratuitement toute la plateforme d’entreprise.

Les tests générés peuvent-ils être exportés ?

Oui, le kit API peut être exporté en Postman Collection, Rest Assured, TestNG, JSON et CSV. L’outil UI open source génère du code Playwright exécutable.

KushoAI est-il open source ?

La plateforme principale n’est pas un produit open source, mais les dépôts tels que le testeur d’UI TUI, le lanceur de tests, le proxy local, les outils de navigateur et les benchmarks d’évaluation ont été rendus publics par l’éditeur. Chaque projet est soumis à une licence différente ; il n’est donc pas possible de décrire l’ensemble du produit avec une seule licence.

Les données d’entreprise sont-elles utilisées pour entraîner l’IA ?

Les données déployées par les entreprises payantes ne seront pas utilisées pour entraîner les modèles, sauf accord explicite dans le contrat. Une partie des données utilisées dans la version gratuite peut être utilisée pour améliorer les produits et les capacités d’automatisation.

Les tests générés par l’IA peuvent-ils remplacer le QA ?

Non, les cas d’utilisation, affirmations, recommandations de mise à jour et scores de risque générés peuvent présenter des écarts. L’équipe doit encore valider les attentes métier, les données de test, les limites de sécurité et la décision finale de publication.

Résumé

KushoAI est adapté aux équipes d’ingénierie qui souhaitent transformer rapidement des spécifications API en tests exécutables, et les étendre progressivement aux workflows, à la sécurité, à l’interface utilisateur et à la gouvernance des déploiements. Ses multiples méthodes d’importation, la modification par langage naturel, l’intégration CI/CD, la maintenance autonome et le déploiement local en entreprise en font un outil qui dépasse le cadre d’un simple générateur de cas d’utilisation d’interfaces.

Avant son adoption, il convient de valider, à l’aide de la Developer Edition, la capacité à détecter les défauts complexes dans les processus métier, la qualité des assertions, le taux de faux positifs et les coûts de maintenance. L’entreprise qui effectue l’achat doit également confirmer le prix sur mesure, la définition du volume d’exécution, les politiques de formation des données, les documents d’audit, les responsabilités de déploiement et les modalités d’exportation en cas de retrait.