En bref : Aikido Testez dès maintenant la sécurité de votre réseau externe. Les pirates testent déjà votre périmètre tous les jours, et grâce aux agents IA qui se chargent du gros du travail, ils sont plus rapides que jamais. Vous pouvez désormais effectuer ce même test en premier. Confiez un domaine à nos agents : ils répertorieront les systèmes exposés à Internet que vous exploitez et les attaqueront depuis l’extérieur, exactement comme le ferait un acteur malveillant.
En ce moment même, quelque part, des outils automatisés parcourent vos sous-domaines, analysent vos serveurs et les comparent à des vulnérabilités connues telles que PHP2Shell, ces failles critiques de PHP qui, la semaine dernière, sont passées du statut de fuite à celui d’exploitation active en l’espace de quelques heures. Les agents IA sont désormais capables de faire bien plus que simplement repérer un framework obsolète ou un fichier de configuration exposé. Ils tentent l’exploitation, s’adaptent en cas d’échec et utilisent tout ce qu’ils trouvent pour atteindre le système suivant. Des failles qui nécessitaient autrefois un expert et un week-end libre sont désormais des proies faciles, exploitées automatiquement dans des milliers d’entreprises à la fois.
À quelle vitesse cela s'est-il produit ? Lorsque PHP2Shell a été rendu public, Cloudflare avait déjà enregistré des milliers de tentatives d'exploitation au cours des 10 heures précédant l'annonce. Ce chiffre est passé à plusieurs dizaines de milliers en 45 minutes, à plusieurs centaines de milliers en deux heures, puis à plusieurs millions dès le lendemain.
À ce rythme, la réponse officielle face aux failles les plus graves peut consister à mettre hors ligne les systèmes exposés jusqu’à ce qu’ils soient corrigés. Lorsque des pirates ont pris pour cible les appareils VPN d’ Ivanti en 2024, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a donné 48 heures aux agences fédérales pour déconnecter tous les appareils concernés, et ne les a autorisées à se reconnecter qu’une fois ceux-ci réinstallés et entièrement mis à jour. Et PHP2Shell n’est pas un cas isolé. Les chiffres du « Zero Day Clock » établis par a16z montrent qu’en 2018, 18,7 % des vulnérabilités exploitées par les attaquants l’ont été le jour même de leur divulgation publique ou avant. À ce jour, en 2026, ce chiffre s’élève à 86,7 %.
Mais on ne peut mettre hors tension qu'un système dont on connaît l'existence, et seulement après avoir été averti qu'il est menacé. Lorsque les pirates agissent aussi rapidement, la seule façon de garder une longueur d'avance sur eux est de procéder à des tests tout aussi fréquents.
Wout Debaenst, responsable des tests d'intrusion chez Aikido, a passé des années à réaliser ces tests manuellement :
« Ce que nous testons, c'est exactement ce qui fait déjà l'objet de tests permanents. Vous pouvez nous laisser nous charger du piratage, ou laisser les groupes criminels s'en charger. C'est le même test, et vous préférez que ce soit nous qui le découvrions plutôt qu'eux. »
Dès aujourd'hui, vous pouvez commencer par effectuer ce test. Le test d'intrusion sur réseau externe proposé par Aikido simule les attaques d'un pirate externe sur votre périmètre de sécurité, en ne disposant au départ que de votre domaine et d'une petite armée d'agents IA.
Qu'est-ce qu'un test d'intrusion sur le réseau externe ?
Les termes relatifs aux tests d'intrusion sont souvent utilisés de manière imprécise ; voici donc ce que chacun d'entre eux signifie généralement :
- Test d'intrusion d'une application web : analyse approfondie d'une application, de sa logique, des rôles de ses utilisateurs et de son code. C'est là que se révèlent les failles de la logique métier et les défaillances des contrôles d'accès.
- Test d'intrusion du réseau externe : couvre tout ce qui est accessible depuis l'Internet public sous votre domaine, comme les serveurs, les passerelles VPN et les serveurs de messagerie. Vos applications sont également concernées, mais uniquement la partie visible par tout utilisateur sur Internet : le serveur sur lequel elles s'exécutent et les pages accessibles sans connexion. Pour tester ce qui se passe après la connexion, comme les rôles des utilisateurs et la logique métier, il faut recourir à un test d'intrusion des applications web.
- Test d'intrusion interne : concerne les systèmes inaccessibles depuis Internet, tels qu'un réseau d'entreprise, une « cloud » privée ou Active Directory. Les tests d'intrusion externes ne couvrent pas ces éléments.
Si l'essentiel de votre activité repose sur une seule application, commencez par celle-ci. Effectuez d'abord un test d'intrusion sur cette application Web, puis corrigez les failles détectées. Procédez ensuite à un test d'intrusion sur le réseau externe afin de vérifier l'ensemble de l'environnement qui l'entoure, de manière à ce que le reste de votre périmètre de sécurité n'offre pas aux attaquants une voie d'accès plus facile.
Votre périmètre évolue plus rapidement que votre calendrier de tests d'intrusion
De nombreuses entreprises soumettent leur réseau externe à des tests d’intrusion une ou deux fois par an, et tout ce qui change une fois les tests terminés n’est pas vérifié avant la prochaine session. Si quelqu’un crée un nouveau sous-domaine la semaine suivant le test d’intrusion, celui-ci peut rester en place pendant des mois avant que quiconque de votre côté ne tente de s’y introduire. Dans le rapport « 2026 State of AI in Pentesting » d’Aikido, 48 % des 400 responsables de la sécurité et de l’ingénierie que nous avons interrogés ont déclaré que les résultats des tests d’intrusion étaient déjà obsolètes au moment où ils leur parvenaient.
Vous devez donc effectuer des tests plus fréquemment, idéalement à chaque fois que votre périmètre évolue. Le test d'intrusion du réseau externe de Aikido, qui s'exécute en continu, continue de cartographier l'ensemble de votre domaine, et les agents commencent à tester chaque nouvel hôte peu après sa mise en service. Le tarif de pentest continu est calculé sur une base annuelle, en fonction de la taille de votre réseau externe au moment du premier test d'intrusion. Si vous vous demandez encore à quelle fréquence tester quoi, voici comment planifier la fréquence de vos tests d'intrusion et votre budget en fonction des risques.
Fonctionnement
- Les agents cartographient votre périmètre. Ils recherchent les sous-domaines et les systèmes exposés à Internet sous votre domaine racine : sites web, applications, API, passerelles VPN, serveurs de messagerie et outils auto-hébergés tels qu'un serveur GitLab. Les sous-domaines pointant vers des services dont vous n'êtes pas propriétaire sont automatiquement filtrés, et vous pouvez supprimer tous ceux que vous ne souhaitez pas voir testés.
- Vous vérifiez que vous êtes bien le propriétaire. Une fois cela confirmé, vous recevez un devis précis et lancez le test d'intrusion. Aucun entretien préalable n'est nécessaire, et vous n'avez pas besoin d'un abonnement à Aikido .
- Les agents attaquent chaque hôte. Chaque hôte dispose de ses propres agents, qui opèrent via le serveur lui-même et tentent de s'introduire en exploitant des vulnérabilités CVE connues, des erreurs de configuration et des secrets exposés.
- Seules les conclusions avérées sont intégrées au rapport. Avant que ces conclusions ne soient acceptées, les agents doivent étayer leurs affirmations par des preuves concrètes, validées et reproductibles par d'autres agents.
- Vous corrigez le problème, puis vous effectuez un nouveau test. Chaque problème détecté s'accompagne d'une suggestion de correction. Une fois celle-ci appliquée, un nouveau test lance un agent supplémentaire qui vérifie si le problème a disparu et si la correction n'a pas créé une nouvelle faille ailleurs. Les nouveaux tests sont disponibles pendant une durée maximale de 6 mois.
Les agents qui décident de leur prochaine action
AikidoLe test d'intrusion de [nom] s'articule autour d'agents. Chacun d'entre eux part d'un point différent, avec un objectif qui lui est propre, et décide de la suite des opérations en fonction de ce qu'il découvre. Une mention de version, un port ouvert ou un fichier divulgué modifie le plan, exactement comme le ferait un pirate humain. C'est ce qui leur permet de s'adapter à votre environnement, quelle que soit sa configuration.
La plupart des outils de « pentest automatisé », y compris certains présentés comme basés sur l'IA, fonctionnent à partir d'un ensemble de contrôles prédéfinis. Si un contrôle ne correspond pas exactement à votre environnement, cette partie n'est pas testée, et c'est précisément ce genre d'angle mort qu'un pirate repère immédiatement.
Voici à quoi ressemble cette adaptation sur un périmètre type :
- Un dossier .git accessible rend l'historique du dépôt consultable sur un serveur public
- L'historique du dépôt contient des identifiants SSH
- Les mêmes identifiants fonctionnent sur un autre serveur
- Sur ce deuxième serveur, les agents trouvent les identifiants Azure
- Ces identifiants permettent d'accéder en tant qu'administrateur au tenant cloud
Peu de ces conclusions pourraient à elles seules constituer un rapport à part entière. Mais enchaînées les unes aux autres, elles révèlent l’ cloud . Le rapport présente l’enchaînement complet, ce qui permet de voir ce qu’un attaquant pourrait réellement atteindre et comment chaque étape l’y a conduit.
Un outil pour votre équipe de tests d'intrusion
Les testeurs humains donnent le meilleur d'eux-mêmes lorsqu'il s'agit d'un travail approfondi et créatif, comme le développement d'une application stratégique pour l'entreprise ou la conception d'un scénario d'attaque auquel seul quelqu'un connaissant bien votre activité pourrait penser. En revanche, leur temps est le moins rentable lorsqu'il s'agit de revérifier des centaines d'hôtes à la recherche de problèmes apparus depuis la dernière mission.
Les agents d'IA peuvent et doivent prendre le relais sur ce point. Ils couvrent tous les hôtes qu'ils détectent à chaque exécution, ce qui permet aux collaborateurs que vous rémunérez de consacrer leur temps aux tâches qui requièrent le plus de discernement. Pour les prestataires de tests d'intrusion, le principe est le même : déployez d'abord les agents sur le périmètre du client, puis consacrez le reste de la mission aux tâches qui nécessitent votre attention.
Peut être exécuté en toute sécurité en environnement de production
Votre réseau externe correspond à votre environnement de production ; les agents sont donc conçus pour le tester sans rien perturber :
- Un agent de supervision examine chaque action avant son exécution et bloque tout ce qui pourrait perturber les systèmes.
- Les agents s'arrêtent dès que l'exploitation est avérée et demandent une confirmation humaine avant d'aller plus loin.
- Ils ne téléchargent ni ne stockent vos données. Les résultats montrent que les agents ont pu y accéder sans rien copier.
- Au-delà de votre domaine racine, la propriété de chaque cible est vérifiée, de sorte que les agents ne testent jamais des systèmes qui ne vous appartiennent pas.
- Le bouton d'urgence arrête instantanément tous les agents.
Commencer
Regardez la démonstration pour voir les agents évoluer le long d'un périmètre.
Si vous préférez vous lancer directement dans votre propre analyse, il vous suffit de choisir le domaine qui vous intéresse le plus et de laisser les agents se mettre au travail. Vous pouvez suivre en temps réel chaque agent pendant qu'il travaille, et le rapport est prêt en quelques heures.
{{cta}}
