Ce que montrent les faits
Des attaquants utilisent l’IA pour examiner des systèmes, tester des failles et obtenir des accès. Les défenseurs s’en servent aussi pour découvrir des vulnérabilités inconnues. Ces rapports publiés montrent concrètement cette évolution.
Attaque rapportée
C’est la part estimée par Anthropic dans une campagne d’espionnage visant une trentaine d’organisations. Quelques intrusions ont abouti. Des humains choisissaient les cibles et prenaient les décisions clés ; l’IA a aussi commis des erreurs.
Anthropic · novembre 2025 ↗Failles découvertes et corrigées
Mozilla a signalé ces découvertes lors d’une première évaluation de Claude Mythos Preview. Ces recherches sur Firefox ont été suivies de correctifs distribués aux utilisateurs : un exemple concret d’IA au service de la défense.
Mozilla · avril 2026 ↗Simulation d’attaque contrôlée
Selon l’AI Security Institute britannique, GPT-5.5 a accompli toute la chaîne dans 2 essais sur 10, depuis un premier accès au réseau jusqu’à une base de données protégée. Chaque essai disposait de 100 millions de tokens. Aucun défenseur actif n’était présent.
UK AI Security Institute · GPT-5.5 · 2026 ↗Nous en tirons une raison de mettre ces capacités au service de votre défense et de refaire les tests quand les systèmes ou les modèles changent. Ces résultats externes proviennent de contextes différents. Ils ne mesurent ni les performances d’EverBreach ni votre probabilité de subir une intrusion.
Une nouvelle version peut introduire une faille. Un modèle d’IA plus performant peut aider à en découvrir une qui existait déjà. Les attaquants peuvent profiter des deux. Il faut donc réexaminer les chemins vers les données sensibles, les processus métier et les services connectés.
Lire l'articleL’objectif est de simuler un parcours dans un environnement convenu : partir d’un compte ordinaire ou d’une interface publique pour atteindre un accès qui devrait être interdit. Chaque étape démontrée doit aboutir à des preuves, un impact clair et une correction.
Comment ça marche
Une analyse utile relie la faille technique à ce qu’elle permet de faire. La profondeur des tests est convenue pour chaque mandat.
Identifier applications, API ou infrastructure, rôles à tester et actions permises. Confirmer le périmètre et les accès avant de commencer.
Une simulation cherche à savoir si une action ordinaire peut mener à un accès indu. Des comptes contrôlés et des données de test permettent de le démontrer sans collecter inutilement de vrais dossiers.
Consigner version, dispositif de test et preuves. Distinguer une nouvelle faille d’une ancienne découverte lors d’un nouveau test. N’attribuer un progrès au modèle que si la comparaison le justifie.
Donner à l’équipe responsable la cause, les mesures immédiates et la correction durable. Vérifier les accès à refuser et les usages légitimes qui doivent continuer à fonctionner.
Les risques
Les décisions d’accès se répartissent entre applications, API, stockage et infrastructure. Une page peut sembler normale alors que les systèmes derrière exposent des données ou contournent une règle métier.
Tests autorisés
Une simulation exige une autorisation, un périmètre défini et un point d’arrêt clair. Nous les convenons avant les tests.
Définir les systèmes, comptes et actions permis. Les services tiers peuvent nécessiter leur propre autorisation.
Convenir des comptes de test, données fictives et critères d’arrêt. Une preuve limitée doit démontrer la faille sans devenir une collecte massive de données personnelles.
Avant les tests, nous expliquons le fournisseur du modèle, les informations transmises, le stockage et la durée de conservation. Le traitement des preuves sensibles est convenu explicitement.
Séparer l’accès démontré de l’impact plus large possible. Le rapport doit expliquer le raisonnement et permettre de reproduire le résultat dans le périmètre autorisé.
FAQ
Non. Le projet vise les applications, API et systèmes connectés des organisations de différentes tailles. Le scanner actuellement implémenté ici a un périmètre plus restreint : la configuration des sites publics. Nous distinguons ce point de départ des simulations plus larges en développement.
Un test assisté par IA suit un parcours possible dans des limites convenues : ce qu’un compte peut consulter, les informations révélées et ce qu’elles permettent ensuite. Les scénarios illustrent la profondeur visée. Ce ne sont pas des résultats du scanner actuel.
Une modification logicielle peut introduire une faille. Un meilleur modèle peut découvrir un défaut ancien passé inaperçu. Ce sont deux raisons distinctes de recommencer. Toute découverte n’est pas une faille zero-day et ne prouve pas que l’IA seule a été décisive.
Oui. Le rapport s’adresse aux personnes qui décident des corrections et à celles qui les réalisent : sécurité interne, développement ou prestataire. Chaque résultat doit avoir un responsable et une correction vérifiable.
Périmètre, disponibilités, prix et délai sont convenus avant votre engagement. La demande est gratuite ; elle ne lance pas de scan, ne réserve pas de créneau et ne vous oblige à aucun achat.
Les tests continus et les nouvelles vérifications automatiques après la sortie de modèles sont encore en développement. Les analyses actuelles et leurs suivis sont convenus individuellement.
Premières analyses
Indiquez votre organisation et le domaine à évaluer. Nous vous répondrons personnellement par e-mail pour voir si l’analyse pilote répond à vos besoins.
Commençons par un système ou un processus métier convenu ensemble. Le choix dépend des données, des accès ou de l’activité que vous souhaitez protéger.
Ce qui a été testé et démontré, les conséquences possibles et les corrections à apporter. Le périmètre et les limites sont documentés même si aucun problème n’est confirmé.
Examinons ensemble les preuves et les priorités. Invitez la personne qui apportera les corrections : développeur, équipe de sécurité ou prestataire informatique.
Les vérifications convenues sont répétées pour contrôler les corrections. La proposition précise le périmètre et la période de ce nouveau test.
Avant votre engagement, la proposition fixe le périmètre, le prix forfaitaire, la date de livraison et la période du nouveau test. Votre demande est gratuite et ne lance aucun test.
Avant d’accorder un accès, vous saurez qui est responsable de l’analyse, quel fournisseur de modèle intervient et comment les preuves seront traitées.
Indiquez les systèmes importants pour votre organisation. Nous discuterons du périmètre et de la prochaine étape.
