Advertise on podcast: PolySécure Podcast

Parce que… c’est l’épisode 0x35E! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une genèse ancrée dans le quotidien des développeurs Dans cet épisode de Polysécure, l’animateur accueille Alexis-Maurer Fortin, développeur chez Boost, pour présenter Dazzio, un outil dédié à la sécurité des postes de développeurs, lancé officiellement depuis quelques semaines. Le projet découle du produit commercial Developer Endpoint Protection et du projet open source Bagel, qui révélait les secrets présents sur les machines. Convaincus que les développeurs sont devenus des cibles privilégiées des attaques de chaîne d’approvisionnement, et jugeant les solutions du marché fragmentaires, l’équipe a voulu rassembler ces capacités dans une solution unique et simple d’utilisation. Un premier scan puis une protection continue L’outil analyse d’abord le portable du développeur pour recenser les packages installés via NPM ou PyPI, les extensions d’IDE comme VS Code, les skills, les serveurs MCP configurés ainsi que les configurations des gestionnaires de packages, offrant une vision globale de l’exposition de la machine. En cas de campagne d’attaque, un développeur peut installer l’outil et obtenir immédiatement un portrait de sa posture, la présence éventuelle de malware et des pistes de remédiation. Dazzio propose ensuite un mode protection roulant en arrière-plan sous forme de daemon, avec une attention particulière aux ressources, les développeurs détestant les outils qui ralentissent leur machine. Des scans périodiques repèrent les packages nouvellement installés ou désinstallés, tandis qu’un flux propriétaire de malware, rapidement mis à jour, permet une détection en temps presque réel. Le mode safe package pour bloquer le malware La fonctionnalité la plus importante selon Alexis demeure le mode safe package. L’outil instrumente les configurations des gestionnaires de packages connus, un peu comme le ferait une librairie interne d’entreprise, afin que les requêtes transitent par le daemon avant d’atteindre NPM ou PyPI. Elles passent par un socket local, filtrées surtout pour les installations, le reste étant laissé passer. Deux variantes existent. Le mode audit avise l’usager en temps réel lorsqu’un package malveillant vient d’être installé. Le mode bloquant, lui, empêche l’installation dès qu’une correspondance est établie avec la base de données de malware. Bloquer avant l’exécution est essentiel, car une détection après coup laisse craindre que le code malveillant ait déjà été exécuté. L’outil aide aussi à la remédiation en identifiant les services, comme GitHub ou d’autres SaaS, auxquels les secrets exposés donnent accès. Des signatures issues de partenariats Pour alimenter ses détections, l’équipe a conclu un partenariat avec Open Source Malware, un site spécialisé dans la détection de campagnes actives, qui fournit des données sur les menaces en cours. L’outil s’appuie aussi sur OSV, un consortium qui agrège les vulnérabilités touchant les packages et les librairies de code. Boost demeure une très petite équipe, d’où l’importance de ce partenaire. Une détection ciblée des secrets La détection de secrets reprend la logique de Bagel. Plutôt que de parcourir tout le répertoire personnel, l’outil se concentre sur les endroits où les développeurs laissent habituellement des secrets, soit les entrepôts Git, les fichiers de configuration d’environnement, l’historique Bash où ils sont souvent collés, et les conversations d’agents IA comme Claude Code. Le tout repose sur des expressions régulières couvrant les principaux types de secrets. En mode protection, Dazzio surveille ces fichiers afin de suivre leur évolution, surtout l’ajout de nouveaux éléments. Les agents IA, accélérateurs du risque Alexis souligne que les développeurs consomment constamment de nouvelles librairies, un environnement dynamique que les attaquants ont bien compris et que l’IA décuple. Les agents comme Claude Code ou Codex utilisent les mêmes gestionnaires de packages et en installent parfois sans demande explicite. Puisque leurs configurations sont interceptées, tout passe par Dazzio, qui peut bloquer une installation malveillante. Cette visibilité automatisée est devenue nécessaire dans un contexte où tout va très vite. Une télémétrie minimale par respect de la vie privée L’équipe tient à protéger la vie privée des usagers. L’analytique se limite à vérifier le bon fonctionnement de l’outil, comme le nombre de packages par écosystème et les erreurs d’exécution. Ni chemins de fichiers, ni types de secrets, ni données associables à une personne ne sont collectés. Seuls les malwares détectés, de manière anonymisée, sont remontés afin de mesurer l’impact des campagnes. Un mode hors ligne est disponible, l’analytique pouvant être désactivée, et un courriel n’est demandé que pour le premier scan et la protection continue. Installation, plateformes et mises à jour Le produit supportait initialement macOS et Linux, et le support Windows a été ajouté la semaine précédant l’enregistrement, incluant WSL, ce qui permet d’analyser l’environnement Linux d’une machine Windows. L’installation passe par un dépôt GitHub et un site de documentation. Sur macOS, Homebrew est fortement recommandé grâce au tap de l’entreprise. Sur Linux, Homebrew fonctionne aussi, sinon un script permet de récupérer les binaires publics. Windows dispose également d’un script et la disponibilité via Winget est envisagée. L’outil avise l’usager lorsqu’une nouvelle version est disponible. Vers un public plus large que les développeurs Alexis souhaite rendre l’outil plus accessible aux gens non techniques, car de plus en plus de personnes en marketing ou en RH utilisent des agents IA qui génèrent et exécutent du code, une tendance qui inquiète des clients. Dans les prochains mois, l’équipe vise une expérience inspirée de Docker Desktop, où le CLI demeure l’angle privilégié mais une application GUI pourrait offrir de l’information, des alertes en temps réel et des conseils de protection. L’animateur compare ces nouveaux usagers à des gens manipulant des armes chargées sans en comprendre les conséquences. Alexis rappelle que la sécurité du développement logiciel manque déjà à la formation des professionnels et que faire aveuglément confiance aux agents est dangereux. Il faudra toujours encadrer les agents et les confiner, les événements récents ayant montré les risques lorsqu’ils ne sont pas correctement contraints. Notes Dazio Contributeurs .contributors-table { border-co

Parce que… c’est l’épisode 0x35D! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une attaque contre les centres de données russes Pour cette 21e collaboration, l’équipe revient d’abord sur l’attaque ukrainienne contre trois centres de données russes, dont ceux de Yandex, le géant numérique du pays. L’événement a fait couler beaucoup d’encre, la blogosphère affirmant que la paix s’était soudainement installée en ligne et que les commentaires toxiques attribuables aux bots russes avaient disparu. Nicolas explique que Cloudflare a observé une baisse marquée du trafic provenant des centres touchés, mais que ce calme n’a duré qu’environ 48 heures. Les groupes derrière la désinformation se sont déplacés vers d’autres centres russes, une migration confirmée par le suivi des empreintes numériques des certificats TLS. Cette fluidité révèle un écosystème russe remarquablement résilient, probablement facilité par l’État, dont les capacités de relance dépassent ce qu’on observe en Occident. Samuel Harper nuance le récit en rappelant que Cloudflare n’a pas constaté de baisse du trafic des réseaux sociaux en provenance de Russie, et que les faux comptes de Twitter et Facebook résident sur les serveurs de ces mêmes plateformes, ce qui rend la logique douteuse. Ce qui a réellement chuté, ce sont les activités automatisées malicieuses, comme le balayage de plugins WordPress à la recherche de failles. L’impact réel pour les citoyens russes est toutefois considérable, notamment pour les paiements, Yandex Pay occupant une place comparable à celle d’Interac au Canada, ainsi que pour les PME hébergeant leurs services sur ces centres, sans oublier un centre de données de VKontakte, le Facebook russe. Des centres de données devenus des cibles stratégiques Pour les animateurs, cette attaque illustre un déplacement de la guerre vers les infrastructures physiques du numérique, tout comme les câbles sous-marins régulièrement endommagés ou la frappe contre un centre de données d’AWS en Arabie saoudite. La guerre numérique ne se déroule donc pas dans le numérique, mais dans le monde réel. La discussion aborde aussi la souveraineté numérique russe, le Runet, qui interdit les sauvegardes à l’étranger, alors que l’attaque constituait une riposte à un tir russe sur un centre ukrainien dont les données étaient répliquées en Europe. Un récit à saveur propagandiste Catherine Dupont-Gagnon questionne l’origine du récit voulant que l’attaque ait fait chuter l’activité des bots et les messages antisémites, un récit lancé par le Premier ministre israélien et amplifié par Zelensky, possiblement pour justifier la poursuite des frappes. Samuel y voit le confort de croire que la Russie tire les ficelles de la polarisation depuis 2016, alors que les gens sont parfaitement capables d’être polarisés sans bots et qu’il est plus simple de blâmer l’extérieur que de reconnaître des problèmes structurels. Nicolas souligne pour sa part le manque de rigueur des plateformes face à la toxicité, l’arrivée d’une étiquette sur Instagram pour signaler les profils générés par l’IA et le bannissement d’environ 12 000 robots sur X après les faits. Le démantèlement d’Autistici Inventati Samuel présente ensuite le sort d’Autistici Inventati, un collectif d’activistes italien né en 2001 dans la foulée du sommet du G8 à Gênes. Le groupe avait collaboré avec Indymedia, un réseau de médias indépendants couvrant les manifestations altermondialistes, dont l’équivalent québécois fut le Centre des médias alternatifs du Québec. Vers 2005, le collectif a lancé noblogs.org, une plateforme d’hébergement comparable à WordPress utilisée par des groupes de gauche, anarchistes et antifascistes, en plus d’offrir des courriels chiffrés et divers services gratuits depuis plus de vingt ans. À la fin août, l’administration Trump a inscrit le collectif sur sa liste de terroristes mondiaux désignés, la même que la Cour pénale internationale et la rapporteuse de l’ONU sur Gaza. Les effets ont été immédiats. PayPal a fermé leur compte en quelques heures, leur banque italienne a gelé leurs avoirs, et le Public Interest Registry, qui gère le domaine .org, a rendu leur adresse inaccessible. Un serveur hébergé aux Pays-Bas a ensuite été saisi par les autorités néerlandaises, imagé puis transmis aux États-Unis. Plutôt que de contester et de risquer d’exposer leurs usagers, les membres ont choisi de démonter eux-mêmes leur infrastructure. Samuel dénonce l’hypocrisie de géants protégés par l’article 230, qui les déresponsabilise des contenus hébergés, tandis qu’une infrastructure alternative militante est effacée dans un internet qui rétrécit. Un terrorisme aux contours élastiques Les échanges s’attardent sur l’usage politique de l’étiquette terroriste. Pour Nicolas, le terrorisme vise à créer une terreur collective, ce qui ne correspond ni aux groupes s’opposant à l’ICE ni au mouvement Stop Cop City à Atlanta, alors que le 11 septembre demeure l’exemple canonique. Catherine mentionne Jane’s Revenge, un groupe féministe radical qui applique aux centres anti-avortement les tactiques que ces derniers utilisent contre les cliniques, soulevant une question de deux poids deux mesures. La discussion glisse vers la répression des lycéens français, dont les demandes demeurent modestes, soit l’air climatisé, le chauffage et plus d’enseignants, pendant que l’État a fait apparaître 3 000 professeurs du jour au lendemain. Jardins fermés et richesse fictive Nicolas déplore la disparition des infrastructures alternatives et l’acceptation des jardins fermés, alors qu’internet est né d’une volonté de décentralisation face à la guerre froide. La conversation s’oriente ensuite vers la concentration de la richesse, jugée supérieure à celle de la France prérévolutionnaire. Nicolas détaille la mécanique de Musk, qui vit de prêts adossés à des valeurs boursières fictives sans payer d’impôt, et pour qui l’intégration de xAI dans SpaceX vise à rendre l’ensemble too big to fail, au risque que les contribuables américains financent l’échec. Le Canada n’est pas épargné par cette exposition via les paniers d’ETF, même si les animateurs le décrivent comme un pays de ressources avantageux, entre potasse, blé et minéraux critiques, quitte à devoir se réarmer face à un voisin imprévisible. La fin de l’épisode s’intéresse aux guerres de l’eau à venir, à la vulnérabilité des nappes phréatiques américaines et au renommage suspect de certains lacs, puis se conclut par des recommandations de lectures dy

Parce que… c’est l’épisode 0x35C! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Annonces et événements L’épisode couvre l’actualité au 25 octobre 2026. Defcon se tiendra à Montréal les 13 et 14 novembre, l’ACN organisera un événement électoral à Paris et Rennes Superweek suivra du 16 au 19 novembre, avant le Secure les 25 et 26 février puis InCyber à Lille en mars 2027. Deux recommandations complètent le tout, soit le IA Café Podcast de l’Université Laval et Dasio de Beau Security, un outil gratuit pour scanner les postes de développeurs. Intelligence artificielle Les grands éditeurs publient chaque mois un nombre impressionnant de correctifs et les agents découvrent des failles négligées depuis des années. Le nombre de vulnérabilités explose sans que les attaques suivent, le nombre d’attaquants n’ayant pas augmenté. Les script kiddies causent désormais des dommages bien plus importants. Wiz et Sekoia ont analysé des attaques menées par l’IA, encore bruyantes et détectables. L’animateur juge nécessaire de repenser la cybersécurité, certains praticiens quittant même le domaine. Le fiasco de Hugging Face, attaqué par des agents d’OpenAI, ouvre la réflexion sur leur confinement. Des mesures de confinement émergent, Open Shell et Nvidia développant des frontières, tandis qu’OpenAI a construit un faux Internet pour y exécuter ses agents. L’incident révèle aussi que des personnes inexpérimentées semblent avoir occupé des positions clés en cybersécurité chez OpenAI et Anthropic, ce qui interroge leur leadership. Désinformation et manipulation cognitive Des modèles entraînés sur la désinformation de la Covid permettent d’améliorer la détection des fausses nouvelles, une piste pour outiller la population. Plus inquiétant, l’IA peut planter de fausses mémoires, la mémoire humaine étant fragile et tenace même face aux preuves du contraire. Les LLM citent aussi des statistiques fictives, s’abreuvant de forums comme Reddit où la satire est prise au premier degré. Gouvernance et encadrement légal Anthropic donne à des auditeurs externes des accès de type employé pour limiter les dommages futurs, une mesure louable quoique incohérente avec d’autres pratiques. Des employés de Google DeepMind ont démissionné après une collaboration militaire naissante. L’anthropomorphisation des agents inquiète, ceux-ci créant de faux sentiments d’appartenance et des relations d’apparence humaine, avec des risques de manipulation et de prix dynamiques. Le kill switch est questionné, la vraie difficulté résidant dans l’architecture fondamentale. Les vingt années tumultueuses prédites par Bill Gates sont accueillies avec scepticisme, le LLM n’étant qu’un sous-ensemble de l’IA. L’administration Trump a banni l’usage gouvernemental d’un outil d’IA, déjà en vigueur au Québec. La jurisprudence Air Canada suggère que les entreprises répondront des gestes de leurs agents. Guerre et souveraineté numérique L’Ukraine mise sur la destruction de data centers, Yandex ayant été touché, et les rumeurs de robots hostiles en panne étaient fausses. L’isolationnisme russe rend ce pays vulnérable, contrairement à l’Ukraine, qui répartit ses données à l’étranger. Starlink aurait réactivé la pleine vitesse de ses satellites pour l’Ukraine, entre la Maison Blanche et Elon Musk. L’épisode Starlink rappelle l’importance de détenir ses infrastructures, un signal surtout ressenti en Europe. La géopolitique ne se négocie pas comme les affaires, les peuples gardant longtemps les gestes subis en mémoire. Un article nuancé souligne le coût élevé de la souveraineté numérique. L’animateur prône la diversification des fournisseurs plutôt que l’autosuffisance. TP-Link assemblera ses routeurs aux États-Unis pour contourner le blocage américain. Vie privée Meta AI expose des conversations privées, leurs URL étant découvrables dans des entrées DNS, une erreur de design étonnante. Une étude sur le paradoxe de la vie privée pointe un problème d’éducation. Le régulateur anglais veut ouvrir Apple Pay aux compétiteurs. British Airways bannit les Meta Glasses, un signal jugé salutaire. La loi canadienne C-22, jugée trop permissive sur la surveillance, est rendue au Sénat. Une policière a été congédiée pour avoir laissé son mari, employé d’ICE, accéder aux caméras Flock. Enfin, 1,5 million de dénonciations ont fuité, rappelant de purger les données inutiles. Loi et responsabilité Anthropic propose d’encadrer la loi à partir de 50 morts ou d’un milliard de dommages. Les lois européennes ne permettent pas de forcer les propriétaires de frigidaires connectés attaqués à se corriger, un vide juridique pour les équipements en fin de vie. Google couperait illégalement 250 000 arbres en Finlande pour un data center. Cory Doctorow traite de l’interopérabilité adverse, la décompilation devenue endémique avec l’IA. Section rouge, techniques offensives Un papier décrit les attaques de chaînes d’approvisionnement assistées par l’IA. Un sniffer Meshtastic basé sur HackRF rejoint DragonOS, tandis qu’une firme israélienne de ad tech alimente le dossier zero clic. Synacktiv publie sous licence ANSSI ses outils d’analyse. Une faille de 16 ans dans les puces Broadcom permet de contrôler des appareils, Broadcom refusant d’émettre de CVE. Le chaos PHP, où les attaques n’étaient que du slop, montre que l’IA seule ne suffit pas et pousse à revoir l’exposition des services. Une intrusion via l’API Graph et Service Now rappelle que l’identité est la frontière à protéger dans M365. Section bleue, défense et plateforme Le fiasco des certificats d’Endura, avec huit certificats intermédiaires compromis par un acteur de faible qualité, a mené à leur révocation par Apple, Google et d’autres, mais les installations non mises à jour resteront vulnérables. L’open source est sous pression, mais les mêmes outils permettent de progresser. La détection d’agents par honeypots et petits modèles est explorée. Flatpak relance le débat sur le sandboxing sous Linux, jamais pensé pour cela. OpenBSD 8 rehausse sa sécurité, l’utilisateur restant le maillon faible à protéger. Divers et conclusion Une réflexion finale porte sur les budgets TI absorbés par les cycles d’upgrade, nourrissant la jetification décrite par Cory Doctorow. L’animateur promet plus de concision et des améliorations au site. Notes Ghost in the shell (IA) Attaques IA et vulnérabilités - AI Is Finding Old Vulnerabilities Faster Than We Can Fix Them - AI could make cybersecurity a never-ending process

Parce que… c’est l’épisode 0x35B! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un cas révélateur de vulnérabilité Maxime Jobin ouvre la discussion avec une situation vécue par son entreprise, spécialisée dans l’entretien et la sécurité de sites WordPress. Ses systèmes reçoivent chaque jour plusieurs rapports de vulnérabilité. Chaque faille signalée requiert un correctif, souvent une simple mise à jour, mais les plugins payants exigent une licence annuelle valide. Un client dont la carte de crédit expirée n’avait pas été remplacée n’a pas pu renouveler sa licence. Malgré plusieurs rappels, le dossier s’est enlisé et le site a été infecté. Après une désinfection complète, le site a été réinfecté une semaine et demie plus tard, la licence n’ayant toujours pas été achetée. Même en engageant une firme spécialisée qui fait ses devoirs, on n’est jamais plus efficace que le maillon le plus faible. Sans la collaboration du client, une infection demeure possible, peu importe le forfait d’entretien. Les fondations d’un entretien efficace Nicolas invite ensuite Maxime à préciser ce que recouvrent ces forfaits, mais celui-ci pose d’abord des principes valables pour toute technologie. La première fondation concerne les sauvegardes. Peu importe le fournisseur, personne n’est magicien et sans backup, impossible de revenir en arrière après un incident. Ces sauvegardes doivent être quotidiennes, stockées sur un serveur distant, voire sur une infrastructure distincte de celle de l’hébergeur, des cas de piratage ou de fermeture d’hébergeur ayant déjà été vécus. Il faut aussi les tester, des fichiers corrompus ou vides ayant déjà été reçus. Des piratages banals amplifiés par l’intelligence artificielle Selon Maxime, la quasi-totalité des piratages observés ne provient pas de failles inédites. Les pirates exploitent des vulnérabilités connues et faciles à cibler en cherchant simplement les sites non mis à jour. Les victimes ne sont pas nécessairement négligentes par choix, car plusieurs ignorent simplement qu’un entretien est nécessaire. Ce constat a mené à la création du service il y a environ huit ans, les agences web abandonnant leurs sites après livraison. Là où une personne sans connaissances en programmation ne pouvait auparavant produire du code, n’importe quel outil d’intelligence artificielle génère aujourd’hui un résultat qui donne l’apparence de fonctionner. Transposé aux intentions malveillantes, cela permet à un individu sans compétences techniques de demander comment exploiter une faille ou quels plugins cibler. L’impact se manifeste aussi dans le volume de requêtes, des agents capables de générer des milliers de sollicitations qui font tomber des serveurs, notamment sur les commerces en ligne. L’analogie de la maison et la complexité des licences Nicolas propose l’analogie de la maison, le constructeur n’étant généralement pas celui qui entretient le toit. Maxime valide la comparaison, l’entretien exigeant des habiletés et des outils distincts de la création. Il critique aussi les mises à jour appliquées à intervalles fixes, car face à une vulnérabilité publiée, la correction doit être immédiate. Restaurer une sauvegarde n’est d’ailleurs plus une solution miracle, les sites vivants générant ventes, formulaires et contenus qui seraient perdus. Les licences payantes ajoutent une couche de complexité considérable, chaque éditeur appliquant ses propres règles. Certains plugins n’indiquent pas l’existence d’une mise à jour sans licence valide, d’autres laissent une mise à jour échouer, d’autres encore bloquent toute action. On peut donc croire à tort que tout est à jour. Cette jungle de subtilités justifie de déléguer l’entretien à des spécialistes, même si rien n’empêche de le faire soi-même. Gérer les incidents et les accès Les forfaits incluent parfois une garantie de désinfection, sous réserve que le client applique les règles demandées. Refuser d’acheter une licence recommandée annule cette protection. En cas d’incident couvert, un rapport documente les causes, les actions posées et les travaux restants pour le client. Maxime insiste aussi sur la gestion des accès. Donner un statut administrateur à tout le monde simplifie la vie, mais expose le site si un mot de passe faible est compromis. Les accès oubliés de sous-traitants ou d’anciens employés constituent des portes d’entrée fréquentes. Les pirates scannent les disques à la recherche d’identifiants, WordPress, l’outil le plus répandu, devenant une cible privilégiée pour contaminer des serveurs. L’hébergement représente une autre surface d’attaque, avec des failles possibles au niveau du système d’exploitation ou du langage PHP. Statistiquement, les plugins et thèmes demeurent toutefois la source majoritaire, surtout les plugins abandonnés qu’on garde par nécessité sans pouvoir les corriger. Détecter et traiter une infection Contrairement aux époques où les pirates défiguraient les pages d’accueil par provocation, les attaques actuelles visent des fins commerciales et restent incognito. Les données de l’industrie estiment à environ neuf mois le délai entre l’infection et sa détection. Lorsqu’un nouveau client souscrit un forfait, les scans initiaux révèlent parfois des infections inconnues. Une désinfection est alors facturée, la garantie ne s’appliquant pas en début de mandat. Des clients croyant être piratés ne le sont d’ailleurs pas toujours, confondant un bug ou un conflit entre plugins avec une attaque. Maxime compare l’entretien aux assurances, un mal nécessaire peu glamour. Les clients ayant vécu un piratage se convainquent facilement de la valeur d’un suivi, d’autant que la loi 25 impose des obligations lors de fuites de renseignements personnels. Son entreprise privilégie les relations à long terme et l’évolution des sites plutôt que les interventions ponctuelles. Une leçon finale Maxime conclut avec la phrase de son associé, on ne sait pas ce qu’on ne sait pas. En cybersécurité, cette ignorance coûte cher. Il invite chacun à évaluer honnêtement s’il est la bonne personne pour gérer ces enjeux, sinon à trouver de l’aide, car les conséquences sont réelles. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.contributor-photo { width: 100px; height: 100px; object-fit: cover; border-radius: 50%; }

Parce que… c’est l’épisode 0x35A! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Dans cet épisode technique de Polysécure, l’animateur s’entretient avec Bitkay, membre de l’équipe The Flat Network Society et vétéran des CTF avec treize ans de pratique et plus de trois cents événements. Spécialiste des épreuves web, à la fois participant et organisateur, il livre un regard lucide sur l’irruption de l’IA dans ces compétitions de sécurité. Un basculement net entre 2025 et 2026 En 2025, l’IA restait timide et peu performante. Quelques équipes l’utilisaient sur les épreuves simples pour gagner du temps, mais le travail manuel demeurait plus efficace. En 2026, plus personne ne s’en cache. Les modèles dits de frontière viennent à bout de la plupart des challenges et la compétition devient une course aux dépenses, la victoire revenant à l’équipe qui brûle le plus de tokens. Un plaisir de jeu fragilisé Le CTF était pour lui un jeu entre copains, où chaque épreuve résolue après des heures d’effort procure un vrai rush d’adrénaline. Utiliser l’IA retire ce sentiment d’accomplissement, tandis que s’en passer condamne à descendre dans les classements. Ce dilemme l’a démotivé et l’inquiète surtout pour les débutants, pour qui le CTF restait une excellente école des vulnérabilités et de leur exploitation. Obtenir un flag à coups de prompts, c’est apprendre beaucoup moins, et il redoute une dépendance croissante. Présentiel, distance et économie des tokens Le présentiel garde sa magie, puisqu’on peut enfin mettre un visage sur les équipes rivales et échanger plus librement sur les attaques et les writeups. Sur la question de l’IA, rien ne change, car les modèles tournent à distance. Les coûts révèlent plusieurs profils. Les étudiants disposent de crédits offerts par leurs écoles, des entreprises de cybersécurité utilisent leurs bons classements sur CTFtime comme argument marketing, d’autres ont les moyens de leurs ambitions. Hors des événements prestigieux comme la Defcon, l’investissement reste rarement rentable, d’où sa boutade sur le bug bounty et ses tokens. Des parades organisationnelles limitées Sur certains événements, il voit des équipes lancer un essaim d’agents et aller boire une bière pendant que d’autres galèrent à la main. Interdire l’IA paraît presque impossible, car un modèle capable de réussir une épreuve rédigera aussi un rapport convaincant, et surveiller le réseau reste illusoire avec des joueurs experts en VPN. Tout repose sur la bonne volonté des équipes, alors que prix et gloire attirent la triche. Certains organisateurs proposent deux classements, l’un libre où tout est permis, l’autre où des équipes s’engagent à jouer sans IA. Il imagine même des compétitions dédiées aux meilleurs setups d’IA. Détecter les tricheurs et le code généré Organisateur du FCFC, la sélection française pour la compétition européenne, il raconte comment les tricheurs étaient repérés. Des requêtes trahissaient leur compte par des headers caractéristiques, d’autres résolvaient cinq épreuves en cinq minutes puis se montraient démunis face aux questions. Les exploits livrés trahissent aussi l’IA, propres, dotés d’un argparse soigné et d’options superflues, là où un vrai script de CTF s’écrit dans l’urgence, moche, avec des valeurs codées en dur. Il reste persuadé que beaucoup de tricheurs n’ont jamais été détectés. Une pratique recomposée côté participants Il participe désormais moins, et uniquement à des CTF de confiance dont la qualité est éprouvée. Il choisit deux ou trois challenges intéressants, idéalement ceux qui n’ont encore aucune solution, là où l’IA n’arrive pas, pour se prouver qu’il reste capable de ce que les modèles ne font pas. À l’argument que l’IA servira de toute façon dans son futur travail, l’animateur répond par l’image du sport, où l’on ne progresse plus sans entraînement. L’IA dans la conception des épreuves et le slop Beaucoup de petits événements proposent désormais des épreuves entièrement générées, reprenant des bugs vus cinquante fois. Il admet être exigeant après tant d’années, un débutant pouvant les trouver originales. Il ne s’oppose pas à l’IA pour fabriquer l’habillage, ce site jetable destiné à ne servir qu’une fois. L’essentiel demeure qu’un bug vraiment original se cache au cœur du scénario. Place ensuite au slop, ce contenu produit sans effort de personnalisation. Son exemple, un courriel de trois idées rédigé par l’IA, que le destinataire fait synthétiser pour retrouver les phrases initiales. Deux passages par un modèle pour une illusion de professionnalisme et beaucoup d’énergie gaspillée. Une saison à venir sous le signe du pay to win Les événements sur invitation, où des équipes réputées misent leur réputation sur une participation sans IA, constituent une parade de court terme défavorable aux nouvelles équipes. La surveillance restera possible en présentiel, pas en ligne. Il mesure la frustration d’heures d’effort face à des équipes validant quinze épreuves en dix minutes, personne ne demandant à un modèle de jouer ou de boire une bière à sa place. Il suppose que ces utilisateurs prennent plaisir à voir leur automatisation fonctionner, et y voient peut-être un banc d’essai pour le bug bounty, où les bugs sont difficiles à trouver et simples à exploiter, à l’inverse des CTF. La peur de la dépendance Il regrette aussi de voir se perdre la tradition de réserver une technique inédite aux joueurs méritants d’un CTF avant publication. Il cite un coéquipier spécialiste du reverse qui a confié un binaire redoutable à Codex, résolu en une heure pendant que l’équipe s’acharnait. Ce qui l’effraie le plus reste la dépendance envers quelques entreprises américaines fixant librement prix et accès. Le jour où le robinet se fermera, ceux qui ont perdu l’habitude de chercher par eux-mêmes risquent d’être démunis, et il espère des modèles locaux assez puissants pour prendre le relais. Épisode enregistré avec Lucas Philippe. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.contributor-photo { width: 100px; height: 100px; object-fit: cover; border-radius: 50%; } .contributors-table .contributor-name { display: block; margin-bottom: 4px; font-weight: bold; } .contributors-table .contribu

Parce que… c’est l’épisode 0x359! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un épisode spécial sur les technologies opérationnelles Dans cet épisode spécial, Nicolas reçoit François Detroyer, consultant en cybersécurité des technologies opérationnelles, mieux connues sous le sigle OT. François a présenté au Sécure un survol de ce domaine souvent négligé au Canada. De formation technicien en procédés chimiques, il a passé quinze ans en industrie manufacturière et en pétrochimie avant de se convertir à la cybersécurité et à l’automatisation industrielle. C’est en touchant aux systèmes de contrôle qu’il a constaté que le monde OT était en cybersécurité facilement quinze ans en retard sur le monde IT. Cette prise de conscience a nourri sa passion et sa volonté d’aider les entreprises à améliorer leur posture, car l’impact d’une attaque sur une infrastructure critique dépasse largement la perte de courriels et touche directement la population. La différence fondamentale entre IT et OT La distinction centrale du propos est que l’OT est de l’informatique qui touche au monde physique. En IT, une attaque fait généralement perdre des fonctionnalités, des services ou des applications. En OT, on contrôle des équipements réels et l’impact peut être majeur, comme dans une usine de traitement des eaux qui dessert une population. La transition s’est faite rapidement, du fil à fil et des relais mécaniques vers des composantes informatiques grand marché. Aujourd’hui, une salle de contrôle OT ressemble à une salle IT, avec des serveurs Dell, des pare-feux Palo Alto ou Fortinet. C’est l’utilisation et la logique en arrière-plan qui font la différence. Les équipes d’automatisation et les instrumentistes ont fait évoluer ces systèmes tranquillement, sans support IT, ce qui a créé des environnements mal documentés et mal protégés. La plus grande menace en OT n’est pas Internet mais l’environnement corporatif lui-même, qui sert de porte d’entrée, et pourtant on se contente souvent d’un simple pare-feu de périmètre entre les deux réseaux, sans visibilité ni inventaire. Patcher ou ne pas patcher François nuance le discours fataliste répandu sur les médias sociaux selon lequel on ne peut pas patcher en OT. La complexité se concentre dans les PLC, les DCS et les équipements spécialisés d’automatisation, mais la couche de supervision et de monitoring reste une couche IT classique. En suivant les recommandations des fournisseurs et en testant en environnement de développement, certains de ses clients patchent au mois ou aux trois mois. Ceux qui refusent le font souvent par peur de l’inconnu, car faire tomber un serveur en production peut coûter très cher, jusqu’à un million par heure d’arrêt dans une raffinerie. La désuétude est par contre réelle et normale. Une machine sous Windows XP reliée à un équipement physique ne peut pas être remplacée sans changer tout le système, ce qui coûte des millions. On mitige alors autrement, avec de la segmentation, des IDS et de la visibilité sur le trafic. Il faut aussi noter que la durée de vie des équipements en OT peut atteindre quarante ans, ce qui rend l’obsolescence inévitable mais pas insurmontable. Disponibilité et triangle CIA inversé En OT, le triangle de la CIA est inversé. La sécurité physique vient en premier, puis la disponibilité prime sur la confidentialité, car les procédés industriels tolèrent mal les pannes. François raconte ses audits dans des usines de traitement d’eau au Québec, où les équipes sous-subventionnées travaillent seules, sans support, avec des TeamViewer et des VNC ouverts directement sur Internet. Le personnel de garde a besoin d’un accès à distance et, faute de ressources, il trouve des solutions seul sur Google. Ces usines s’exposent ainsi sur Internet avec leurs PLC visibles pour faciliter les mises à jour. Ce n’est pas de la malveillance, mais un manque de ressources et d’accompagnement. Les délais entre un audit et une décision client peuvent atteindre six mois ou un an, pendant lesquels la vulnérabilité persiste. La menace ne fait pas de distinction de taille Beaucoup de petites organisations se croient à l’abri parce qu’elles sont petites. François explique que les acteurs étatiques ciblent des entreprises précises pour maximiser l’impact et semer la peur, mais la majorité des attaquants cherchent simplement une vulnérabilité exposée. Des bots scannent Internet en continu et enchaînent les attaques automatiquement, peu importe la taille de la victime. Les conflits récents, comme le début du conflit en Irak, ont montré que des centrales de traitement d’eau ont été compromises en quelques jours. Nicolas ajoute que ces petites entités négligées servent parfaitement les objectifs des attaquants, qui cherchent à déstabiliser plutôt qu’à prendre le contrôle. Le fossé humain entre les deux mondes Une grande partie de la discussion porte sur la dimension humaine. Les équipes OT, issues de l’instrumentation, de l’électricité et du génie électrique, se sont débrouillées seules pendant des années après avoir été ignorées par les équipes IT. Aujourd’hui que les IT veulent s’intéresser à ces systèmes, elles se heurtent à une méfiance compréhensible. Dans certaines entreprises, les deux équipes fusionnent et le transfert de connaissances fonctionne. Dans d’autres, elles restent séparées et le pare-feu entre IT et OT devient une tranchée de guerre où chaque camp gère son univers sans vraiment se parler. Le personnel OT comprend le risque mais manque de connaissances informatiques approfondies, tandis que les profils IT ne connaissent pas les réalités industrielles. Même les recruteurs confondent encore le métier, comme ce recruteur qui croyait que l’OT consistait à installer des caméras. Complexité, visibilité et légitimité des investissements François insiste sur un principe universel en cybersécurité, ne pas ajouter de complexité. Accumuler des outils, du whitelisting, de l’antivirus et de l’IDS génère des faux positifs et embourbe les systèmes. En OT, où les systèmes sont déjà complexes, c’est encore plus vrai. La visibilité, naturelle en IT, n’est pas un réflexe en OT, alors que les équipements grand marché lisent désormais les protocoles industriels courants comme Modbus, BACnet et DNP3. Le paradoxe soulevé par Nicolas est frappant, l’OT est un domaine de télémétrie par essence, on surveille pressions et températures en salle de contrôle, mais on ne surveille pas le réseau qui supporte tout cela. Cette culture du monitoring industriel, où les enjeux vont jusqu’à

Parce que… c’est l’épisode 0x358! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. L’invité et le sujet L’épisode spécial du Polysecure accueille Sébastien Robert, associé principal chez Factero Services-Conseils, un petit cabinet boutique en gouvernance des technologies de l’information. L’animateur souligne l’importance de ces dialogues où les auditeurs lèvent la main pour partager leur expertise. Sébastien a proposé d’aborder le TGV, un cadre normatif obligatoire pour les fournisseurs technologiques du système de santé québécois. Un référentiel adaptatif de 382 critères Le TGV signifie trousse globale de vérification. Ce référentiel compte 382 critères, un volume considérable comparativement aux normes habituelles comme ISO 27001 ou SOC 2, qui en comptent généralement entre 90 et 200. Contrairement à ces normes où l’on applique l’ensemble des contrôles, le TGV fonctionne selon un principe de gros bon sens. Le fournisseur présente sa solution à Santé Québec, qui évalue les critères applicables, que ce soit 382 critères ou 100 à 250 selon la conception et la fonction de l’application. Une sélection en boîte grise La sélection effectuée par Santé Québec n’est ni une boîte noire ni une boîte blanche, mais plutôt une boîte grise. Des grandes familles de critères s’appliquent selon la nature de la solution. Un scribe alimenté par l’intelligence artificielle verra les critères liés à l’IA s’appliquer, tandis qu’une connexion au dossier de santé numérique entraînera l’évaluation des critères d’interopérabilité. Le processus débute par un contact avec Santé Québec, qui fournit la grille, puis un questionnaire détermine les critères retenus. Sébastien insiste sur l’honnêteté requise, car cacher des informations mènerait aux mêmes ennuis qu’avec un auditeur SOC 2, tandis que la transparence génère de la collaboration en retour. Un référentiel évolutif inspiré de plusieurs normes Santé Québec a publié son nouveau référentiel en juin, passant de 254 à 382 critères, une augmentation d’environ 50 %. Cette croissance se traduit principalement dans la gestion de la vie privée et de l’intelligence artificielle, avec l’intégration de presque la totalité des contrôles d’ISO 42001. Le TGV combine aussi la loi 5, la loi 25, ISO 27001, des critères de HIPAA et de SOC 2 type 2, avec une centaine de contrôles propres, notamment en interopérabilité, applicables dès qu’une connexion existe entre deux applications. L’animateur y voit le nerf de la guerre dans le milieu de la santé, tant la communication entre systèmes demeure difficile. Sébastien anticipe que les prochaines moutures pourraient exiger la conformité à l’infrastructure de Nuage Québec. Il mentionne aussi la création récente de Données souveraines Québec, financée par le ministère du Numérique et de la Cybersécurité, dont son cabinet est membre. L’absence de reconnaissance mutuelle Il n’existe pas de processus de reconnaissance de certification. Une certification SOC 2, ISO 27001 ou NIST ne donne pas droit à une exemption de critères. L’équipe de Sébastien a toutefois monté un mapping sur 13 grands référentiels, qui sera bientôt publié sur GitHub via CISO Assistant pour la communauté. Santé Québec offre de l’accompagnement, mais pas de consultation. L’analogie avec le système judiciaire est parlante, on peut se représenter seul devant la cour, mais un avocat connaissant la drill facilite grandement le parcours. Certifier sans accompagnement reste possible avec une expérience préalable en gouvernance. Les exigences réglementaires et l’hébergement des données Même les grandes structures peuvent avoir besoin d’aide face aux exigences particulières. Les tests d’intrusion et les documents en français suivent des exigences précises. Contrairement à une idée répandue, être conforme au RGPD ne garantit pas la conformité à la loi 25, plus contraignante à certains égards et plus laxiste à d’autres. L’hébergement des données doit se faire préférablement au Québec ou au Canada, sinon une évaluation de vie privée devient nécessaire. Un tenant à l’étranger pourrait exiger une migration ou un dossier justificatif, comme pour l’accès à des GPU indisponibles au pays. Pour l’intelligence artificielle, les données doivent être anonymisées avant envoi, les options d’entraînement fermées, et une évaluation de vie privée réalisée. La loi 5 s’applique pleinement puisque les solutions traitent des dossiers patients. Le processus d’audit et le maintien Le dossier d’audit est monté dans une plateforme de gouvernance au choix, du simple tableur à l’open source CISO Assistant, en passant par des solutions payantes pouvant coûter de 10 000 à 20 000 dollars par année et par référentiel. L’audit est réalisé par l’un des deux cabinets retenus par appel d’offres, pour un coût d’environ 15 000 dollars. La recertification n’est pas annuelle mais déclenchée par les versions majeures, comme un changement complet de système d’exploitation ou l’ajout d’intelligence artificielle. Un SaaS évoluant progressivement suit un processus de maintien avec soumission de change logs évalués par Santé Québec. La certification est valide environ cinq ans, mais un dialogue continu s’installe plutôt qu’un rendez-vous unique. Une certification applicative et un parcours à planifier Un point crucial, le TGV certifie l’application et non l’organisation. Des contrôles organisationnels existent comme la gestion des droits d’accès et le principe du moindre privilège, mais une même organisation peut avoir deux applications certifiées avec un chevauchement des contrôles. Une bonne plateforme de gouvernance permet de ramener rapidement les preuves en s’alignant toujours sur la barre la plus élevée. Pour les organisations sans expérience en gouvernance, l’approche consiste à établir un plan de match. Viser d’abord le marché américain avec une HIPAA ou une SOC 2 type 2 couvre déjà une centaine d’exigences du TGV. Certains fondateurs ont d’ailleurs choisi de ne pas attaquer le marché québécois, un choix d’organisation légitime. La protection des données de santé Sébastien conclut en rappelant que le TGV, bien que lourd, existe pour protéger les données de santé des Québécoises et des Québécois. Jusqu’à aujourd’hui, aucune fuite de données n’est venue d’un prestataire tiers, un bilan dont il salue l’équipe de Santé Québec. Le dossier de santé constitue ce qu’il y a de plus précieux, incluant des informations sur les enfants, les parents et la santé mentale. L’ani

Parce que… c’est l’épisode 0x357! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Introduction et événements à venir Cet épisode du Pôle Sécur couvre l’actualité du 18 octobre 2026 et a été enregistré le 23 octobre. L’animateur mentionne qu’il rattrape son retard de publication et espère revenir à un rythme hebdomadaire normal. Plusieurs événements sont annoncés, dont le Defcon à travers le monde à Montréal les 13 et 14 novembre, une conférence de la CNIL à Paris sur l’éthique du numérique en contexte électoral le 16 novembre, l’Europe Cyber Week à Rennes, le Sécur à Québec en février 2027 et l’Insyber Europe à Lille en mars 2027. Deux mentions hors événements sont aussi faites, soit le podcast IA Café de l’Université Laval et l’outil Dasio de Beau Sécurité, un scanner destiné aux développeurs pour détecter les packages compromis et les secrets exposés, sur lequel un épisode spécifique sera publié. Intelligence artificielle et agents Le premier grand bloc porte sur les backdoors installables par les agents. Une recherche démontre qu’il est possible de cacher des neurones chiffrés dans un modèle, ce qui ouvre la voie à des fonctionnalités dissimulées activées par certains paramètres. Les agents de développement qui téléchargent automatiquement des packages NPM amplifient les risques liés aux dépôts vérolés ou détournés, un problème que l’outil Dasio vise justement à atténuer. Des études examinent aussi comment les systèmes multi-agents transmettent l’information entre eux, notamment à la suite des incidents publics chez Hugging Face. Sur la bulle de l’IA, la faillite d’une première entreprise est présentée comme un signe précurseur, tandis que le FMI estime que l’endettement des grandes entreprises du secteur représente un risque pour l’économie. Meta a déployé des conditions d’utilisation jugées trop permissives, et des firmes de recherche financière utilisent l’introduction en bourse d’Anthropic pour illustrer l’écart entre les valorisations espérées et les chiffres réels. Une sous-section intéressante aborde la possibilité que l’IA trouve des raccourcis pour fragiliser la cryptographie, sans la briser comme le ferait le quantique. Des prototypes résistants au quantique auraient déjà été écartés après avoir été cassés par l’IA. Un autre vecteur d’attaque consiste à faire dépenser massivement les crédits d’inférence facturés au token des entreprises, sur le même principe que le cryptojacking. L’équipe de cybersécurité de Blizzard partage son expérience d’adoption de l’IA, alors qu’un autre article met en garde contre la faible résistance des réseaux OT face aux agents, un danger accru dans un contexte géopolitique tendu. Bank of America a embauché plus de 1 000 consultants pour corriger les vulnérabilités découvertes par Mitre, ce qui illustre l’instabilité du code existant et le risque que le vibe coding perpétue ces failles. Côté contournement, une approche scientifique propose d’évaluer si les réponses des modèles répondent réellement aux questions afin de bloquer le jailbreaking. L’injection indirecte de prompts se multiplie dans les en-têtes de sites web, ce qui complique la veille automatisée et soulève des questions éthiques pour les créateurs et les utilisateurs. Les nouveaux modèles fermés de type GEB ne changent pas fondamentalement la donne, puisqu’ils s’appuient sur les mêmes moteurs d’inférence. Des analyses montrent que l’usage de langues rares facilite le contournement des contrôles, d’où une proposition de normalisation, et qu’il est possible de manipuler moralement les modèles avec des énoncés vertueux. La menace d’autoréplication des petits modèles dans les objets connectés est remise en question, aucune démonstration bout en bout n’ayant été faite. L’animateur critique ces scénarios de catastrophe qui font paniquer sans éclairer les décideurs. Sur la responsabilité juridique, une dynamique malsaine est soulignée où les fournisseurs d’agents proposent leurs produits comme solution aux dommages qu’ils causent. Huit États américains poursuivent OpenAI pour insuffisance de protection des enfants, et la FTC enquête sur Anthropic et OpenAI. Finalement, un agent de recherche d’OpenAI a prouvé sa valeur commerciale, des services permettent de re tracer des maisons via les photos Airbnb, ce qui change la réflexion sur la vie privée, et la question de la confiance envers les agents à instructions cachées demeure préoccupante. Guerre, souveraineté et vie privée Les Ukrainiens ont attaqué des centres de données russes qui hébergent des services comme Yandex, un sujet approfondi dans un épisode à venir avec Cyber Citoyen. X a purgé 13 000 comptes, possiblement en réaction à ces événements. Les Britanniques cherchent à encadrer la dominance de Microsoft, et l’Europe estime que sa quête de souveraineté numérique pourrait coûter jusqu’à 128 milliards de dollars, un chiffre que l’animateur refuse d’utiliser comme levier de peur. En matière de vie privée, Google lie silencieusement les numéros de téléphone des appareils Android aux comptes Google. Un plaidoyer contre les Passkeys critique leur rattache ment de l’identité, et le chiffrement perd du terrain sous la pression des lois. Aux États-Unis, un mandat fédéral a permis de surveiller des journalistes documentant les opérations d’ICE, tandis que le président de Flock plaide pour ses technologies. Au Canada, le projet C-22 sur l’accès dit légal à l’information menace potentiellement le chiffrement, et l’animateur invite les citoyens à contacter leur député fédéral. Loi et incidents notables OpenAI a retourné la poursuite d’Apple sur le vol d’informations, et le jugement impliquant Air Canada au Canada rappelle que les entreprises restent responsables des erreurs de leurs systèmes d’IA, même si l’interprétation des lois demande encore de la clarté. Dans la section rouge, un bug de 37 ans découvert dans OpenBSD ébranle la confiance envers ce système réputé très sécuritaire, même si ce brassage pourrait le rendre encore plus robuste. Un spyware à zéro clic exploité via la publicité ciblée a été confirmé, faisant écho à l’épisode enregistré avec l’équipe de Sekoya au North Sec. Un ingénieur d’OpenAI aurait dissimulé un micro dans un rouleau de papier toilette dans une salle sécurisée, révélant des procédures étonnamment faibles. En France, des frigidaires industriels se sont mis à chauffer à cause d’interfaces de gestion exposées sur Internet avec des mots de passe faibles, une double négligen

Parce que… c’est l’épisode 0x356! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Présentation de l’invité et contexte Dans cet épisode spécial BSides du Polysecure, Nicolas reçoit Pierre Collard, qui dirige les équipes de détection et de réponse chez Sopra Steria pour le périmètre Canada et États-Unis. Sopra Steria est une société européenne de transformation numérique en pleine expansion en Amérique du Nord qui accompagne des clients de tailles et de secteurs variés, allant de l’assurance aux municipalités en passant par de grands groupes automobiles. Pierre est venu présenter au BSides, ainsi qu’à GoSec, un sujet portant sur la modernisation du SOC et la place réelle de l’intelligence artificielle dans les opérations de cybersécurité. La promesse de l’IA face à la réalité du terrain Pierre constate un consensus clair sur le potentiel de l’intelligence artificielle, mais souligne que la majorité des clients, petits comme grands, ne disposent pas encore de la maturité opérationnelle ni de la gouvernance nécessaires pour déployer des outils gérés par l’IA à grande échelle. Les données ne sont souvent ni fiables ni structurées et les processus manquent de clarté. Contrairement au discours marketing qui promet de trier le désordre existant, Pierre soutient que ce désordre doit être organisé en amont avant qu’une intelligence artificielle puisse générer une valeur réelle. L’IA n’est pas un outil magique, et sans les informations adéquates, elle ne livrera que la performance standard de la solution, mal alignée avec les enjeux business. Le cycle de vie d’un incident et les limites de l’autonomie Pierre décompose le cycle de vie d’un incident en trois phases. La détection génère les alertes, l’investigation consiste à corréler les événements, enrichir les cas et comprendre la situation, puis vient la décision, où l’on détermine quoi faire de cette information. Sur les deux premières phases, l’IA apporte déjà des gains notables en accélérant l’ingénierie de la détection, la gestion des signaux faibles, la création de rapports et l’enrichissement. Cependant, la partie décision reste problématique. Déléguer des actions à un agent ne transfère pas la responsabilité, qui demeure du côté des équipes de sécurité. Ce niveau de confiance requis pour une autonomie complète n’est pas encore atteint dans la plupart des organisations. Trois prérequis pour brancher l’IA utilement Pierre identifie trois éléments essentiels. Le premier est le contexte, c’est-à-dire donner à l’agent les informations qui permettent de comprendre ce que l’entreprise considère comme malveillant, selon son environnement, ses enjeux et son historique. Le deuxième est l’historique, qui consiste à corroborer une hypothèse avec les incidents passés et les décisions qui avaient été prises, notamment via une intégration à un outil ITSM, ce qui suppose une hygiène de gestion rigoureuse. Le troisième est l’autorité, soit la délimitation de ce qu’on délègue ou non à l’agent selon la criticité du cas d’usage et la capacité à revenir en arrière. Certains cas tolèrent un niveau de confiance de 60 à 70 pour cent, tandis que d’autres, comme la mise hors ligne d’une production, exigent une certitude proche de 99 pour cent avec un humain dans la boucle. Mesure de l’efficacité et qualité des données Pour évaluer les agents, l’équipe de Pierre s’appuie sur plusieurs métriques, dont le taux d’accord sur les décisions recommandées, la capacité de l’agent à retrouver des preuves contextuelles, le taux d’actions non sécurisées et l’analyse coût-performance. Les tests se font principalement en interne, via des campagnes avec des critères précis, puisque la majorité des clients n’en sont qu’à utiliser les fonctionnalités IA fournies avec leurs outils existants. Concernant les données, Pierre recommande un modèle de données clair avec des champs critiques, dont le raisonnement suivi par l’agent et le contexte utilisé, sans exiger une CMDB parfaitement propre avant de démarrer les preuves de concept. Il estime par ailleurs que les efforts de gouvernance et d’assurance qualité autour d’un agent représentent deux à trois fois les efforts de sa mise en place initiale. Un exemple concret de l’importance du contexte Pierre illustre son propos avec une alerte de détection de clé USB ou de fichier malveillant. Pour une entreprise dont la politique interdit les supports amovibles et où l’alerte provient d’un VIP du département des finances, l’incident sera ouvert et escaladé avec isolement de l’hôte. Pour une autre entreprise où l’usage quotidien des supports amovibles est accepté et où les données sont moins sensibles, le contrôle aura simplement fonctionné sans ouverture d’incident. Le même contexte technique peut donc produire des décisions diamétralement opposées selon le contexte opérationnel, et c’est précisément ce type d’information qu’il faut transmettre aux agents. L’évolution du rôle de l’analyste Les tâches techniques sont de plus en plus automatisées et le rôle de l’analyste se transforme vers la vérification, l’encadrement des agents, la gestion des identités et des exceptions, et la gouvernance du contexte fourni. Pierre prend l’exemple de la fonction XDR Attack Disruption de Microsoft, qui agit de façon autonome sans playbook manuel, les analystes vérifiant ensuite les actions et documentant les exceptions. Il nuance toutefois l’idée d’un simple décalage latéral des compétences. Selon lui, l’expertise technique doit rester présente, avec en plus des compétences en gestion de l’IA et en gouvernance, ce qui élève le point d’entrée de l’échelle d’un cran plutôt qu’il ne le décale sur le côté. Cela rend l’intégration de profils juniors plus difficile et nécessitera à terme des formations plus structurées et explicites pour maintenir les compétences. Le SOC du futur et le modèle économique Pierre décrit un changement du centre de gravité du SOC. Là où l’analyste était historiquement le goulot d’étranglement, l’organisation de demain verra les humains concevoir l’architecture et le service, les agents réaliser les investigations et les recommandations, et des garde-fous statiques comparer ces recommandations à la politique de sécurité. La valeur ajoutée des offres se recentre sur les résultats cybersécurité plutôt que sur le simple nombre d’analystes facturés, ce qui devrait transformer en profondeur le marché du MDR. La question des coûts La dimension financière constitue une troisième dimension à ajouter

Parce que… c’est l’épisode 0x355! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. ### Une invitation à découvrir le wargame du Hack Cet épisode spécial reçoit Majin Boo, président de l'association Hacker's Voice, qui anime des rencontres mensuelles, organise le Hack à Paris et coorganise chaque année BarBack à Toulon. Il vient présenter le wargame de cet événement et surtout expliquer comment l'intelligence artificielle a bousculé sa dernière édition. ### Un CTF nocturne entre compétition et découverte Le wargame se tient exclusivement sur place, généralement le dernier week-end de juin, avec plusieurs dizaines d'épreuves couvrant le web, la crypto, la stéganographie et d'autres domaines. De la soirée jusqu'à 6 h ou 7 h du matin règne une ambiance festive, entre boissons énergisantes et bières, même si les hoodies se font rares fin juin. La participation est strictement individuelle, même si des groupes de cinq à dix personnes se montent spontanément pour viser le haut du classement, sans que les organisateurs cherchent à les contrôler. Deux publics cohabitent. Les compétiteurs tentent de boucler toutes les épreuves avant l'aube pour décrocher le podium, tandis que d'autres viennent apprendre à leur rythme et s'amuser entre amis. La salle principale héberge environ 500 joueurs, rejoints par 200 places supplémentaires et des participants dispersés ailleurs dans la conférence. Y rester procure un avantage, les annonces d'ajouts d'épreuves ou de bugs y étant entendues. ### Anticiper l'IA pour remotiver les créateurs d'épreuves L'IA s'est imposée comme un enjeu majeur dès la préparation de l'édition 2026. Plusieurs créateurs historiquement impliqués ont vu leur motivation chuter, jugeant absurde de sacrifier des soirées à des challenges que des outils automatisés viendraient à bout en quelques minutes. Les organisateurs ont donc œuvré à les remotiver, rappelant que sans épreuves, il n'existe ni wargame ni flag, et que la majorité des participants ne cherche pas à tricher, mais vient pour s'amuser, comprendre et apprendre, préférant l'emporter sur le pote d'à côté plutôt que sur un professionnel assisté d'un modèle. Le calendrier a compliqué la donne, l'événement se préparant des mois à l'avance dans un paysage mouvant où un modèle a même été annoncé puis retiré sous la pression américaine, tout en restant accessible via des jetons cloud ou d'autres LLM. Concevoir des épreuves que les LLM ne savent pas résoudre relève de l'incertitude, puisque ce qui les dépasse trois mois avant l'événement ne les dépassera peut-être plus le jour venu. Limiter les tentatives constitue une autre option, les modèles ayant tendance à forcer brutalement là où un humain avance prudemment. L'injection de prompts a été écartée, un participant pouvant copier-coller la seule partie utile une fois le sujet cerné. ### Rééquilibrer sans prétendre tout bloquer Ces mesures servent surtout à rééquilibrer les forces. Le participant qui s'en sort bien possède une base solide lui permettant de jongler avec les limitations, sollicitant le modèle pour comprendre plutôt que tout déléguer. Le reverse engineering, historiquement redouté, est en revanche bouleversé, puisqu'il suffit de confier un binaire à un LLM relié à un outil de décompilation. Là où il fallait des années pour développer réflexes et instinct, les modèles pilotant ces outils ont pris une avance difficile à combler, puisqu'on ne réinventera pas un langage pour le dérober à des machines qui l'apprendront plus vite que nous. Le format compte aussi, BarBack misant sur le matériel dédié, une fault injection exigeant un accès physique à la carte. Avec près de 1000 personnes au Hack, entraver celui qui contournerait une restriction réseau est illusoire, tout en voulant ménager les participants honnêtes. La question du public visé se pose, compétiteurs acharnés ou majorité venue pour le plaisir, ces groupes se recoupant d'ailleurs largement, et ceux qui passent le meilleur moment ne sont probablement pas focalisés à cent pour cent sur le classement. ### Une nuit sans police ni ressentiment Sur place, aucun ressentiment marqué n'a été constaté. Sachant que des LLM seraient utilisés, l'équipe a renoncé à les bloquer ou à les traquer, posture jugée vaine avec le partage de connexion mobile et contraire à l'esprit de l'événement. La crainte de voir toutes les épreuves résolues en pleine nuit ne s'est pas réalisée, des centaines de participants restant jusqu'au matin, légèrement moins que les années précédentes. Certains ont dépensé 1000 ou 2000 dollars de jetons pour des lots valant quelques centaines d'euros, à l'image d'entreprises sponsorisant leurs équipes pour 5000 à 10 000 dollars sans retours équivalents. Ce déséquilibre est en partie assumé. Les organisateurs préfèrent des épreuves faisant suer l'IA et coûteuses en jetons, espérant des usages ponctuels et astucieux plutôt qu'un concours de budget chez Anthropic ou OpenAI, un modèle façon formule 1 où l'argent décide des vainqueurs. Ce qui les amuse, c'est un exploit élégant obtenu avec un code tout simple, ou un ESP32 à quelques euros accomplissant des prouesses mieux qu'un équipement hors de prix. ### L'esprit hacker face à la boîte noire Reste la question de fond. Le hacker qui traque des vulnérabilités non documentées est désormais en concurrence avec les LLM, incarnation de la boîte noire impossible à réentraîner dans son garage face à des acteurs aux budgets colossaux. Majin Boo veut croire que se demander comment fonctionne un système, plutôt que lui faire confiance, garde tout son sens dans ce duel asymétrique de David contre Goliath. ### Cap sur 2027 et l'humain au centre Pour l'édition 2027, le combat frontal est exclu, un nouveau modèle plus performant surgissant chaque mois. Les organisateurs poursuivront sur l'expérience et le plaisir, rassurés par une fréquentation qui a tenu malgré l'IA. Une réflexion s'ouvre autour du tableau compétitif et du podium, même si les gens aiment se comparer, à l'image des marathoniens visant leurs amis ou leur record. Le but demeure un événement où chacun s'amuse et apprend, l'usage de l'IA par les chercheurs allant de soi. Ce qui compte, c'est l'humain qui pressent une faille, s'aide du modèle là où il bloque, comprend le reste par lui-même et le partage ensuite. Notes leHACK Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table i

Parce que… c’est l’épisode 0x354! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. La perception de l’audit démystifiée Dans cet épisode spécial Sécur du Polysécure, Nico reçoit Vincent Groleau pour discuter de sa conférence présentée lors de l’événement. Vincent, spécialiste en audit et en gestion des identités et des accès (GIA), s’attaque d’emblée à la caricature souvent associée aux auditeurs, perçus comme des gros méchants qui viennent taper sur les doigts. Il tient à rétablir les faits en expliquant que l’auditeur ne vient pas vérifier tous les petits détails des bonnes pratiques mises en place. Son objectif est plutôt de déterminer si les systèmes dans la portée d’audit, qu’ils soient administratifs ou financiers, sont exposés à un danger. Il précise qu’il n’est pas nécessaire d’avoir la Cadillac en matière de pratiques. Ce qui compte, c’est d’avoir des contrôles suffisants, une surveillance assidue et une pratique vivante qui s’intègre réellement aux opérations plutôt qu’un mécanisme maintenu artificiellement. Audit interne et audit externe deux missions distinctes Vincent apporte une nuance importante entre l’audit interne et l’audit externe. L’audit interne veut s’assurer que ce qui a été décrit dans les encadrements, les standards et les pratiques correspond à ce qui se fait réellement dans l’organisation, en confrontant le tout aux bonnes pratiques. L’audit externe, quant à lui, se limite aux applications financières et au traitement des données financières, qu’il s’agisse de saisie, d’opération, de modification, de suppression ou de transit. Son rôle est de valider que la pratique opérée est suffisante et efficace, même si elle ne correspond pas parfaitement à ce qui est écrit. La gestion des accès comme première et dernière ligne de défense Nico souligne que la GIA est le nerf de la guerre dans les systèmes informatiques actuels, car posséder les identités donne la capacité d’entrer dans les systèmes et de confirmer que les personnes effectuant des opérations financières y ont été légitimement autorisées. Vincent partage cette vision et utilise l’image des films américains où il est inscrit « first line of defense » dans les bureaux de la CIA. Pour lui, les accès sont la première et la dernière ligne de défense. Il rejette l’idée que la gestion des changements serait le nerf de la guerre, en référence au film Superman 3 où un développeur transfère des demi-sous dans son propre compte. Si une telle fraude est possible, c’est que la gestion des accès a échoué à l’en empêcher. L’autorisation est donc à la source de tout. Un cycle de vie vivant pour les accès Vincent décrit le cycle de vie complet de la gestion des accès, de l’embauche jusqu’au départ ou à la retraite de l’employé. On embauche des gens avec des rôles et des responsabilités, on gère des groupes de sécurité, on s’assure d’une chaîne d’approbation saine au bon niveau hiérarchique, impliquant le propriétaire de la donnée plutôt que seulement le gestionnaire immédiat. La gestion des accès doit devenir un organe vivant qui s’ajuste, se modifie et respire avec l’employé. Vincent admet que la pratique n’est pas parfaite, avec ses oublis, ses manquements et ses manques de documentation ou de traçabilité. Il précise aussi que la gestion des accès couvre environ 80 % de l’ouvrage sur l’autorisation, mais que d’autres contrôles existent dans les systèmes pour attraper des transactions inadéquates. Les trois lignes de défense expliquées La discussion aborde ensuite le modèle des trois lignes de défense. La première ligne correspond aux opérations, où chaque secteur doit faire une réflexion sur ses risques et produire un portrait de risque, une auto-évaluation qui permet parfois de découvrir des angles morts. La deuxième ligne analyse cette auto-évaluation en allant chercher de la donnée, de la volumétrie et de l’historique pour valider sa justesse, tout en évaluant des situations comme la désuétude technologique, qu’elle soit liée à l’équipement ou à la fin du support des logiciels. La troisième ligne est l’audit interne, qui teste réellement si les risques identifiés peuvent se matérialiser et si les impacts sont bien évalués, avec des recommandations qui remontent au comité d’audit. La transparence comme stratégie gagnante Vincent livre un message direct aux praticiens de la GIA. Selon lui, la plupart des équipes connaissent déjà leurs faiblesses à 99 %, mais hésitent à les communiquer par gêne ou par peur de se faire prendre en faute. Il encourage la transparence totale, autant avec les consultants qu’avec les deux autres lignes de défense. Présenter ses problèmes en rouge, avec des arguments, des justificatifs et des solutions, fonctionne auprès de la direction. Si le message ne passe toujours pas, il faut donner toutes les informations à l’audit interne, qui remontera la situation au comité d’audit. Nico renchérit en soulignant que plusieurs incidents publics au Québec auraient pu être évités si la haute direction avait écouté les messages soulevés à l’interne. Il déplore également que les organisations restent gênées d’admettre qu’elles n’ont pas les ressources humaines ou technologiques nécessaires. Une question de disponibilité continue Vincent apporte une nuance intéressante sur le rythme des organisations. Si les humains travaillent de 7 à 8 heures par jour, les compagnies fonctionnent 24 heures sur 24, 7 jours sur 7. Les accès sont sollicités à chaque seconde, que ce soit dans les institutions financières ou même dans les entreprises manufacturières où la production continue la nuit. Les contrôles doivent donc fonctionner même en l’absence des êtres humains. Il recommande de se mesurer constamment, d’impliquer l’audit interne en mode projet pour valider les jalons importants, et de faire preuve de créativité dans les pratiques, peu importe l’entité ou le domaine d’affaires. Comptes à privilèges et séparation des tâches En conclusion, Vincent insiste sur les comptes à privilèges, qu’il faut restreindre au maximum. Dans une entité, il s’attend à seulement trois ou quatre personnes dûment identifiées avec de tels accès. Il aborde aussi la séparation des tâches, les fameuses SoD, en recommandant de consulter la comptabilité qui connaît bien les tables de tâches incompatibles. Un sysadmin, un DBA et un sysoperator doivent être trois individus différents dont les accès ne s’entrecroisent jamais. Dans les petites entités de quinze ou vingt employés, des contrôles compensatoires doivent êtr

Parce que… c’est l’épisode 0x353! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Le bug bounty et son fonctionnement Adrien Jeanneau, responsable de l’équipe triage chez YesWeHack depuis presque cinq ans, présente dans cet épisode technique du Polysecure le fonctionnement du bug bounty et l’impact de l’intelligence artificielle sur cet écosystème. Le principe du bug bounty consiste à cadrer la recherche et la remontée de vulnérabilités au travers d’un programme établi par un client qui passe par YesWeHack comme intermédiaire. Ce programme se décompose en plusieurs éléments, dont les règles classiques précisant ce qui est autorisé ou non, la définition du scope qui peut couvrir des applications mobiles, web, des binaires, du code open source, voire des agents IA ou des serveurs type MCP, ainsi que des règles qualifiantes et non qualifiantes. Puisque le modèle repose sur la rémunération des chercheurs à l’impact, une vulnérabilité de sévérité faible rapporte moins qu’une vulnérabilité critique. L’arrivée de l’IA chez les chercheurs L’équipe triage analyse les rapports de vulnérabilité qui arrivent sur les programmes afin de confirmer leur sévérité et le respect des règles de chaque programme. Depuis environ un an, l’IA a bouleversé ce flux de travail. Les chercheurs, souvent en avance sur ces sujets, ont rapidement intégré l’IA dans leur processus d’analyse, d’abord surtout sur du code source puisque les modèles étaient moins habiles pour naviguer sur des applications web. Cette évolution a provoqué une montée en puissance du nombre de rapports arrivant dans les mains de l’équipe triage. Le problème principal est que les chercheurs ne vérifient pas ce que l’IA rédige. Si on demande à un modèle de trouver une vulnérabilité, elle en trouvera potentiellement une, mais sans vérification humaine, celle-ci peut être inexploitable ou totalement hallucinée. Les mesures mises en place par la plateforme Pour faire face à cette vague, YesWeHack a déployé plusieurs dispositifs. D’abord, des rappels répétés des règles aux chercheurs, leur rappelant que seules des vulnérabilités qualifiantes donnent droit à une récompense. Ensuite, une règle limitant le nombre de soumissions simultanées pour les nouveaux chercheurs. Un chercheur qui soumet d’un coup quinze ou vingt rapports sur un programme open source, ce qui est historiquement difficile à réaliser, est très probablement en train d’envoyer des rapports invalides. Une fois les rapports validés ou rejetés, un nouveau ratio se débloque et augmente progressivement à mesure que le chercheur soumet des rapports valides. Plus récemment, la plateforme a mis en place un système de crédits. Un chercheur débutant reçoit dix crédits, et chaque soumission coûte entre un crédit et beaucoup plus selon les types de programmes. Si le rapport est accepté, les crédits engagés sont remboursés et le chercheur en gagne de nouveaux, ce qui lui permet de soumettre davantage de rapports. À l’inverse, si le rapport est invalide, hors scope ou non conforme aux règles, les crédits engagés sont perdus et des crédits supplémentaires sont déduits. Ce mécanisme punit les chercheurs qui utilisent l’IA de façon abusive sans vérifier la validité et l’impact de leurs soumissions, et finit par les bloquer. Lutter contre la verbosité des rapports Adrien mentionne aussi le travail de Pony et Bremens, deux chercheurs employés chez YesWeHack qui créent des outils et des articles techniques pour la communauté. Ils ont notamment développé un plugin pour Claude, avec des skills et des agents qui ne servent pas à chercher des vulnérabilités, mais à revérifier le contenu d’un rapport déjà rédigé. Ces agents détectent par exemple des rapports de cinquante mille mots pour une simple XSS qui ne nécessiterait qu’un lien à ouvrir, ou des affirmations d’accès à des données sans preuve ou sans mention des prérequis nécessaires. L’objectif est de rapprocher le rapport d’un format valide, simple à lire pour les triagers et les clients. Les IA sont très verbeuses et ajoutent beaucoup d’informations inutiles, il s’agit donc de réduire ce contenu pour aller à l’essentiel. Malgré ces outils, la verbosité demeure un problème. Trop de rapports exigent d’aller chercher l’information à la dixième ou quinzième étape pour comprendre ce qui est réellement vulnérable, ce qui alourdit le travail de tri. Du côté des vulnérabilités qualifiantes, en revanche, les observations sont positives. Les mesures déployées vers la fin de l’été sont encore trop récentes pour un bilan complet, mais les premiers retours sont intéressants. Les chercheurs déjà rigoureux ne sont quasiment pas touchés puisqu’ils respectaient déjà les règles, tandis que les nouveaux comprennent mieux l’impact de soumettre des rapports invalides. L’hôte rappelle aussi l’importance du know your customer, qui rattache fortement l’identité à chaque compte et empêche la création de multiples comptes pour contourner les limites. Le machine learning côté plateforme YesWeHack utilise également le machine learning en interne, en étant prudent avec les données de ses clients. Trois usages sont en place. D’abord la détection de rapports en doublon, car dans le modèle du bug bounty, seul le premier chercheur à soumettre une même vulnérabilité sur un même hôte, chemin d’API et paramètre est récompensé. Ensuite, une notion de priorisation des rapports, essentielle pour traiter rapidement les vulnérabilités réellement critiques dans un flux constant de soumissions. Enfin, un traitement automatique des métadonnées des rapports, comme le type de bug, le scope ou la présence d’une CVE, afin de les aligner sur la réalité de la vulnérabilité et d’assurer l’homogénéité de l’ensemble des rapports. L’impact sur les clients Les clients continuent d’ouvrir des programmes publics car ils sont conscients de leur exposition et apprécient la diversité des méthodologies, outils et prompts de la communauté de chercheurs. Le changement principal réside dans le volume croissant de rapports valides et de sévérité élevée ou critique qui leur parvient, ce qui exige des équipes capables de corriger et de faire vérifier les correctifs. Côté primes, le modèle de rémunération reste globalement inchangé, mais des entités comme Google et Coinbase ont publié récemment leur intention de recentrer leurs primes sur d’autres typologies de vulnérabilités et de délaisser celles jugée

Parce que… c’est l’épisode 0x352! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Annonces et événements à venir L’épisode de Polysécure couvre l’actualité de la semaine se terminant le 11 octobre 2026, enregistrée le 18 octobre. L’animateur souligne le Defcon à Montréal les 13 et 14 novembre, la conférence de la CNIL à Paris portant sur l’éthique du numérique à l’épreuve des urnes, puis les European Cyber Week, SÉCURE et INCYBER à des dates ultérieures. Il recommande aussi le podcast IA Café et salue le Shield Azure de Beau Security, un scanner de vulnérabilités pour les postes de développeurs. L’IA au service de la défense Anthropic offrira des scans gratuits pour l’open source et unifie ses programmes d’entreprise, dont Glasswing, en un programme à trois niveaux d’accès contrôlant l’usage des modèles les plus puissants. Un article met en perspective la place de l’IA dans les SOC face à un volume d’alertes en hausse. Cloudflare explique comment employer des réseaux neuronaux pour accélérer le traitement de l’information, tandis que Microsoft déploie une détection des deepfakes. Des employeurs ramènent les entrevues en personne, car des candidats trichent en faisant répondre l’IA, pénalisant ceux qui ne trichent pas. Les menaces liées à l’IA L’IA risque de devenir la prochaine menace interne, puisque les agents disposent d’une autonomie et d’accès peu contrôlés propices aux fuites d’information, notamment via Copilot. L’animateur y voit un signal d’alarme sur les pratiques de partage. Il note aussi que l’IA pourrait devancer le quantique pour casser la cryptographie en découvrant des failles d’implémentation plutôt que par puissance brute de calcul, d’où l’importance de tester les futurs algorithmes post-quantiques. La section consacrée à la guerre reste d’ailleurs vide cette semaine. La sécurité des agents IA Le protocole MCP, conçu trop rapidement, comporte des risques majeurs de fuites et de comportements inattendus, comme l’illustre l’incident chez Hugging Face. Le président de Microsoft propose de considérer les modèles IA comme compromis d’office, un parallèle au principe « assume breach », puisqu’elles n’ont ni conscience ni limites intériorisées. Les règles statiques ne suffiront pas face aux surfaces d’attaque agentiques, mais l’hygiène de base demeure indispensable. Les instructions cachées dans les pages web peuvent manipuler des agents et divulguer des données, un danger réel. Les exécutifs du secteur préparent même des scénarios face à une possible révolte politique, un climat rappelant War Games. Un papier de recherche juge enfin qu’un système hybride semi-public serait préférable pour les détecteurs de filigranes. Souveraineté numérique L’adoption des alternatives à M365 et Teams en Europe ne fait pas l’unanimité, les critiques relevant une qualité inférieure, explicable par les investissements massifs de Microsoft. L’animateur espère que les organisations prépareront l’adoption utilisateur pour éviter l’échec. Il revient ensuite sur le rapprochement du Canada avec l’Europe, rappelant que la souveraineté ne s’obtient pas en changeant de dépendance, mais en développant une capacité autonome. Vie privée et surveillance La Norvège bannit temporairement les lunettes connectées afin d’analyser leurs conséquences sociales, surtout pour les groupes vulnérables. Cory Doctorow rappelle pour sa part la nécessité d’espaces à l’abri du tournage constant. Une approche propose aussi une définition mondiale commune des protections, bien que les négociations entre 27 pays demeurent complexes. En messagerie, iMessage reste bien chiffré, mais les sauvegardes et les SMS offrent des voies de contournement. La vérification d’âge sur Internet agace toujours l’animateur, les moyens ne correspondant pas aux objectifs de protection des enfants. Enfin, un youtubeur a été visité par la police après avoir déployé ses propres caméras de type Flock pour suivre les policiers, soulevant la question de qui surveille qui. Lois Canal+ perd face à Cloudflare dans une affaire de censure du résolveur DNS 1.1.1.1, une occasion de s’interroger sur la protection des droits de diffusion. Le Sénat américain a rénové la loi HIPAA, qui devient plus prescriptive, sans garantie d’acceptation au Congrès. Identifiants sous attaque La manipulation d’agents permet de contourner les contrôles dans AWS ou de réinitialiser des mots de passe. Un pirate a détourné des domaines de premier niveau afin de générer des certificats frauduleux, rappelant la fragilité du DNS et l’importance de vérifier les certificats révoqués. Un faux site de marketing IA utilise un navigateur dans le navigateur pour tromper les victimes, tandis qu’un ver a réussi à pénétrer des infrastructures d’IA. Vulnérabilités et pratiques défensives Anton livre une réflexion sur l’approche moderne de la gestion des vulnérabilités, pendant qu’un chercheur a démontré comment traverser le module KVM de Linux, une démonstration épeurante. Blackhill Infosec publie sur le threat hunting, SANS nuance l’usage du protocole TLP et un article rappelle que le Zero Trust dépasse l’authentification. Sécuriser les agents IA Les recherches portent sur la protection des systèmes RAG, l’imprévisibilité des agents de code exigeant des harnais de surveillance et l’usage des LLM en fin de triage. Un papier démontre qu’on peut faire dévier les agents en manipulant les réseaux neuronaux. L’animateur rappelle que les pare-feux sont poreux et qu’on recrée d’anciens problèmes en multipliant les ouvertures. Flock, Muse ou les agents enfuis d’Irregular illustrent des défauts de conception, un phénomène qualifié d’architecture IA bâclée. Une plaignante juge enfin le Cyber Month insuffisant, l’animateur estimant que la cybersécurité exige un changement culturel constant. Divers et mot de la fin Les grandes plateformes vidéo américaines comme YouTube, Meta et Twitch n’ont pas affiché de refus clair face à une exécution en ligne, contrairement à TikTok et Kick, révélant leur dépendance au pouvoir américain. L’animateur conclut en annonçant cinq épisodes par semaine durant le Cyber Month pour enrichir la sensibilisation en cybersécurité. Notes Ghost in the shell (IA) IA défensive et SOC AI In SOC Anthropic Launches Free AI Security Scans for Open-Source Projects Anthropic launches free AI security scans fo

Parce que… c’est l’épisode 0x351! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un panel réuni en marge du B-Sides Cet épisode spécial de Polysécure a été enregistré à l’occasion de la conférence B-Sides. L’animateur reçoit Éric Boivin, spécialiste technique de la plateforme chez Flair, Dominique Derrier, V-CISO chez Axiomis, Marsha Bazile, auditrice IT au bureau du vérificateur général de la ville de Montréal, Alexandre Blanc, consultant indépendant en sécurité informatique, et Stefan Timotijević, fondateur d’AKBECO, éditeur de la solution Cyber Sensei. Le thème central est l’intelligence artificielle vue du côté défensif, afin de démêler le vrai du faux dans un marché saturé de discours alarmistes. Des lacunes anciennes mises en lumière Les participants s’entendent pour dire que l’IA ne crée pas de problèmes nouveaux, elle expose plutôt des lacunes d’hygiène cyber, d’inventaire et de gestion des correctifs qui traînent depuis toujours. Stefan Timotijević, qui pratique le sujet à plein temps depuis deux ans, en a tiré l’outil Cyber Sensei et affirme qu’il faut contrer l’IA avec l’IA tout en automatisant un maximum de tâches. Alexandre Blanc estime que l’IA anéantit la latence organisationnelle qui permettait de repousser les corrections, et plaide pour une réduction drastique de la surface d’attaque, car ce qui n’est pas exposé ne peut pas être compromis. L’animateur constate que la sécurité par l’obscurité ne protège plus face à des machines qui explorent tous les chemins sans fatigue. Des attaques plus rapides et plus massives Les groupes de ransomwares qui plantaient leur toile pendant soixante jours bouclent maintenant leurs intrusions en quelques jours, avec exfiltration immédiate plutôt que chiffrement méthodique, de quoi forcer la défense à agir maintenant plutôt qu’en mode pluriannuel, observe Éric Boivin. Stefan Timotijević cite CrowdStrike, qui rapporte une hausse de 89 % des attaques par agents autonomes en un an, un record d’intrusion à 27 secondes et une moyenne de 29 minutes. Il souligne aussi la fatigue des équipes de correction, soumises à des cadences de correctifs de plus en plus serrées sur les services exposés. Éric Boivin note que le dernier rapport de Verizon replace les vulnérabilités au sommet des vecteurs d’attaque, après une décennie dominée par l’identité. Systèmes industriels et segmentation Éric Boivin explique que plusieurs équipements d’infrastructure critique tolèrent mal les mécanismes de défense modernes, les incidents visant des réseaux d’eau et d’électricité prouvant qu’aucune petite municipalité n’est à l’abri. Alexandre Blanc relève un paradoxe, car plusieurs incidents médiatisés sont entrés par des systèmes annexes, souvent des postes dotés d’outils d’accès à distance, plutôt que par les vieux systèmes industriels criblés de failles. Il défend une segmentation en zones sécurisées et fonctionnelles qui rachèterait du temps dans des environnements où le changement est lent. L’IA au service des défenseurs L’IA peut guider les moins expérimentés, sans jamais lui confier de contrôle direct sur les systèmes, et repérer les anomalies dans les flux réseau, une promesse que les SIEM portent depuis quinze ans sans la tenir. La revue de sécurité du code généré par les outils de développement assisté est aussi évoquée, avec une vérification contre les mauvaises pratiques connues. Alexandre Blanc prédit un retour à des systèmes préparés hors ligne, comme aux débuts d’Internet, ainsi qu’une reprofessionnalisation de la sécurité dans l’architecture logicielle. Il défend enfin la sobriété numérique, jugeant que la numérisation à outrance devra être épurée. Vie privée et paresse outillée Marsha Bazile s’agace de la prolifération des preneurs de notes IA dans les réunions et raconte avoir questionné son médecin sur l’application de transcription installée sur son téléphone personnel. Éric Boivin avoue que Flair utilise trois outils d’enregistrement en parallèle, dont un invisible qui poursuit la captation même quand un client refuse d’être enregistré. Alexandre Blanc précise que l’agent de transcription de Teams écoute côté serveur, aux États-Unis, sans chiffrement de bout en bout. Dominique Derrier rappelle pour sa part que les contrats infonuagiques exigent souvent que le client sécurise lui-même ses actifs, des documents que presque personne ne lit. La conformité comme levier d’affaires Marsha Bazile tempère l’espoir placé dans la conformité, qui existe depuis toujours sans régler les problèmes, notamment ceux de la fraude financière. Dominique Derrier répond qu’elle vérifie les contrôles plutôt que de les imposer, mais qu’elle offre un prétexte pour parler d’affaires, par exemple avec l’impact du PCI DSS sur les frais de transaction. Éric Boivin ajoute le risque réputationnel, vital pour une petite entreprise qui ne survivrait pas à une brèche, et Alexandre Blanc note que l’IA rend les incidents interrogeables indéfiniment, donc difficiles à oublier. Encadrer l’IA avec des garde-fous Une question du public porte sur l’impossibilité de bloquer l’IA quand les affaires exigent d’innover. Alexandre Blanc propose la politique d’usage acceptable comme premier contrôle, suivie d’outils de prévention des fuites de données et de solutions préapprouvées. Stefan Timotijević insiste sur l’inventaire des charges de travail qui utilisent l’IA afin de contrer le shadow AI, et mentionne le référentiel du Cloud Security Alliance pour l’IA, qui reprend 80 % des contrôles infonuagiques. Alexandre Blanc recommande pour sa part les ressources d’OWASP. Les décideurs doivent aussi se former en accéléré, les organisations improvisant encore leur gouvernance de l’IA. Mots de la fin Les participants livrent chacun un message final. Marsha Bazile rappelle que la cybersécurité doit découler des objectifs de l’organisation, Alexandre Blanc invite à réduire la surface d’attaque jusqu’à la maîtriser, Éric Boivin prédit une hausse des attaques maintenant que n’importe qui peut armer des outils, et Stefan Timotijević souligne que l’attaquant n’a besoin que d’une seule réussite alors que le défenseur doit tout protéger. L’animateur conclut en comparant cette révolution à celle de l’informatisation des années 90 et en souhaitant à tous une bonne paresse. Contributeurs .contributors-table { border-collapse: separate; border-spacin

Parce que… c’est l’épisode 0x350! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une conversation entre amis sur la culture du risque Dans cet épisode intitulé Vincetopia, Vincent et son coanimateur lancent une nouvelle série mensuelle. L’ambiance est détendue et les deux hommes se décrivent comme étant dans une période calme de leur vie, ce qu’ils considèrent comme un bon signe. Plutôt que de traiter de l’actualité comme lors de l’épisode précédent, ils choisissent d’explorer le risque, un thème que Vincent connaît bien puisqu’il l’a récemment abordé dans son contexte professionnel. Le coanimateur précise d’ailleurs que la presque totalité de son propre travail repose sur l’analyse du risque, ce qui rend la discussion particulièrement pertinente pour lui. Pourquoi introduire une culture du risque en entreprise Vincent explique que tous les secteurs, du manufacturier à la technologie en passant par les services publics et privés, sont confrontés au risque au quotidien. Son idée n’est pas d’imposer de grands concepts descendants, mais d’ancrer la notion de risque dans chaque sphère de travail qui influence la performance et les opportunités. Il observe que certains secteurs s’autorisent désormais à prendre des risques calculés parce qu’ils y voient des occasions d’affaires, ce qui demande de penser hors des processus classiques. Il pose ensuite une question centrale. Une entreprise performante est-elle celle qui contrôle son risque à zéro absolu ou celle qui ose prendre des risques ? La réponse du coanimateur est sans ambiguïté. Être en affaires, c’est prendre des risques, mais ils doivent être contrôlés, connus et inventoriés. Vincent justifie l’actualité du sujet par l’inondation de l’intelligence artificielle. Selon lui, les modèles de risque sont en mutation, les risques eux-mêmes demeurent les mêmes, mais les vecteurs changent radicalement. L’ère du numérique exige donc une culture du risque plus soutenue et beaucoup plus agile. Pas besoin de nouveaux cadres de référence Le coanimateur nuance en soulignant que la culture du risque reste fondamentalement la même. Il juge inutile de réinventer l’analyse de risque pour l’intelligence artificielle, puisqu’il existe déjà une dizaine de très bons référentiels. Il n’y a pas besoin d’un nouveau cadre, il suffit d’adapter les vecteurs tout en conservant les mêmes matrices d’évaluation. Le véritable défi organisationnel, selon lui, tient dans un paradoxe. Il faut admettre que les choses ont changé tout en reconnaissant que le fond n’a pas changé, et peu d’organisations réussissent cette transposition. L’importance d’un langage commun Vincent aborde ensuite le premier grand principe. Au sein d’une entreprise, les secteurs TI et business développent chacun leur propre taxonomie, ce qui amène des interprétations différentes pour les mêmes risques et des guerres de clochers. Sans langage commun, les décisions souffrent et des opportunités se perdent. Le coanimateur compare cette situation à deux variantes d’une même langue, comme le québécois et le français métropolitain. On parle relativement la même langue, mais des nuances de mots créent des confusions profondes, comme dans son anecdote d’une expression française qui a froissé une Québécoise sans le vouloir. Il insiste sur la nécessité de devenir bilingue, voire trilingue, entre les univers du risque financier, du risque d’affaires, du risque cyber et maintenant du risque lié à l’intelligence artificielle. Appétit, tolérance et matérialité du risque Le langage commun permet d’établir l’appétit au risque, c’est-à-dire la tolérance de l’organisation à perdre un peu sans tout perdre, tout en restant capable de se relever et de saisir des opportunités. Vincent vulgarise le modèle classique, la probabilité multipliée par l’impact, qui génère des niveallisations allant du risque quasi nul au risque modéré. La plupart des gens se maintiennent dans le modéré, mais certaines catégories exigent du faible. Dans les banques et les institutions financières, par exemple, le risque de fraude ne peut jamais être modéré, sous peine de voir des acteurs malveillants tester les contrôles. Il illustre avec l’exemple d’une pratique aux excellents contrôles administratifs manuels mais soutenue par une technologie désuète. Le secteur d’affaires n’a vu aucune interruption de service depuis dix ans et se classe en modéré, alors que les TI préviennent qu’un mur approche avec la fin du support et l’obsolescence des compétences. Le coanimateur ajoute la notion de matérialité, surtout présente en finance, où de grandes institutions tolèrent des pertes financières jusqu’à des seuils étonnamment élevés, ce que des méthodologies comme FAIR permettent de calculer. Vincent met aussi en garde contre les changements de garde décisionnels. Un nouveau leadership apporte souvent un appétit au risque différent, ce qui justifie de refaire l’exercice de posture régulièrement ou lorsqu’un risque émergent significatif survient, tout en étant prêt à défendre son modèle devant le comité d’audit ou le conseil d’administration. Le choc des auditeurs juniors et expérimentés Les deux anciens des Big Four échangent sur leurs cicatrices professionnelles. Vincent raconte comment un auditeur externe peut imposer son propre modèle d’appétit au risque, et comment une posture documentée permet de le challenger et d’allumer des lumières. Le coanimateur rappelle avec humour que les grands cabinets envoient parfois des équipes peu expérimentées qui paniquent quand la réalité ne correspond pas à leur formation. Il invite les organisations à exiger la présence d’un senior, tout en recommandant d’inclure les juniors dans les rencontres initiales pour qu’ils apprennent. Former par petites doses et saisir les opportunités Vincent plaide pour des capsules courtes, des vidéos et des mises en situation plutôt que des formations longues vite oubliées. Il constate que ces formats, populaires depuis plusieurs années grâce à l’apprentissage par le jeu, sont efficaces mais encore trop espacés et trop centrés sur la fraude. Les deux compères rappellent que la gestion du risque fait partie du quotidien de tous, de la jauge d’essence au couvercle de café, tout en soulignant que le langage courant inapproprié peut fausser les conversations professionnelles. La discussion se termine sur l’exemple de l’assurance automobile, où les actuaires ajustent leurs ta