Pentest et IA : le dilemme de la souveraineté face à l’industrialisation des attaques

L’intelligence artificielle (IA) transforme significativement la manière dont les cybercriminels ciblent les systèmes d’information, tout en modifiant progressivement les pratiques de cybersécurité. Les équipes de pentest et d’audit se trouvent désormais confrontées à un impératif : intégrer l’IA dans leurs méthodologies sans dépendre d’outils tiers pour analyser et évaluer des systèmes sensibles, tout en préservant la confidentialité et la souveraineté des données de leurs clients.

Ce que l’IA a réellement changé côté Hackers

L’IA générative et agentique a principalement industrialisé les attaques plutôt que d’en accroître la sophistication. Des tâches auparavant manuelles, telles que la reconnaissance d’une surface d’attaque ou la génération de scripts d’exploitation, peuvent désormais être accomplies en quelques minutes grâce à des agents autonomes. Cette évolution a été illustrée par des cas récents, tels que des scripts PowerShell générés par IA pour cibler des environnements Active Directory, et des agents capables d’exécuter de manière autonome des séquences d’attaques avec une intervention humaine minimale.

La question de la souveraineté, au-delà du slogan

L’IA est désormais un levier fondamental de la sécurité offensive, notamment dans le cadre du pentesting. La question cruciale n’est plus de savoir s’il faut utiliser l’IA, mais plutôt laquelle adopter, où elle est hébergée et quelles garanties elle offre en matière de confidentialité et de gouvernance des données. Un pentest implique la manipulation d’informations sensibles, et un agent IA hébergé hors d’Europe sans garanties contractuelles suffisantes peut introduire des risques supplémentaires.

Le terme « souveraineté » comprend trois enjeux principaux :

1. Contrôle juridictionnel des données : savoir où les informations sont stockées et sous quel cadre juridique elles relèvent.
2. Conformité réglementaire : le RGPD et la directive NIS2 imposent des exigences strictes concernant les sous-traitants, particulièrement lorsque des vulnérabilités actives ou des données critiques sont impliquées.
3. Indépendance stratégique : limiter la dépendance envers un fournisseur unique, surtout s’il est non européen.

Ces dimensions ne se recoupent pas entièrement et nécessitent des réponses variées. Par exemple, héberger une solution dans une région européenne d’un fournisseur cloud international avec un Data Processing Agreement robuste peut répondre à certaines exigences sans résoudre complètement le problème d’indépendance stratégique.

Construire son propre agent d’audit : une fausse bonne idée ?

Certaines équipes choisissent de développer leur propre système agentique pour garder la maîtrise des données, mais cette approche peut se révéler complexe. Un agent d’audit doit être capable de planifier ses actions et de sélectionner les outils adaptés, ce qui nécessite une sécurisation rigoureuse. Un agent mal conçu peut être vulnérable à des attaques ou à des manipulations.

Des référentiels comme MITRE ATLAS et l’OWASP Top 10 for Agentic Applications fournissent des lignes directrices pour sécuriser ces systèmes. L’OWASP a également publié l’Autonomous Penetration Testing Standard (APTS), qui définit un cadre de gouvernance pour les plateformes de pentest autonomes, abordant des questions telles que l’autonomie graduée et la traçabilité des décisions prises par les agents.

La valeur n’est pas dans l’agent, mais dans ses compétences

Une alternative consiste à s’appuyer sur un agent IA existant tout en l’enrichissant de compétences spécifiques au pentesting. Les modèles de langage actuels peuvent traiter des problématiques de sécurité, mais ils manquent souvent de rigueur méthodologique. En intégrant des compétences – telles que des procédures et des scripts d’automatisation – on peut améliorer la qualité des résultats.

Cette approche s’inscrit dans une tradition de la sécurité offensive, où les pentesters s’appuient sur les travaux de la communauté. Plusieurs initiatives, comme celle de community.rifteo.com, offrent des bibliothèques de compétences réutilisables pour les étapes d’un pentest.

Ce que cela implique concrètement pour une équipe d’audit

Pour les équipes souhaitant intégrer l’IA dans leurs pratiques, trois priorités émergent :

1. Évaluer le niveau de confiance requis pour chaque mission.
2. Sécuriser les systèmes agentiques en s’appuyant sur des référentiels reconnus.
3. Capitaliser sur des méthodologies éprouvées, afin d’asr rigueur et traçabilité.

L’enjeu n’est plus de se demander s’il faut utiliser l’IA, mais comment l’intégrer efficacement tout en maintenant le contrôle sur le processus.

Source : IT Connect