Concevoir un pentesteur IA : ce qu’il faut pour égaler un testeur humain

Cette vidéo est disponible uniquement en anglais

Rogier Fischer, CEO et cofondateur de Hadrian, explique ce qui distingue un bon pentest d’un simple scan de vulnérabilités : le discernement, la créativité, le contexte, le bon sens et la persévérance. Les grands modèles de langage ne réunissent pas toutes ces qualités à eux seuls. Demandez à l’un d’eux de tester une application et il lancera quelques vérifications avant de déclarer le travail terminé. Pour obtenir de vrais résultats, il faut construire un cadre autour du modèle.

Rogier détaille la manière dont Hadrian construit ce cadre. Un agent planificateur, qui s’appuie sur les modèles les plus performants, transforme le contexte métier et la reconnaissance en milliers d’hypothèses, puis les confie à environ 25 catégories d’agents d’exploitation spécialisés, souvent plusieurs centaines en parallèle. Chaque action offensive passe par des garde-fous codés en dur et définis dans les prompts, que Hadrian appelle « the leash », et chaque découverte fait l’objet d’une étape de validation distincte et d’une relecture humaine. Résultat : un pentest réalisé en deux à trois jours au lieu de plusieurs semaines, avec un historique complet de ce qui a été testé et jugé sûr, et pas seulement de ce qui s’est révélé vulnérable.