Cet article s'appuie sur la conversation entre Mackenzie et Jason Haddix dans le podcast The Secure Disclosure. Écoutez l'épisode complet ou visionnez-le ci-dessous.
Jason Haddix a figuré en tête des classements Bugcrowd, a dirigé la sécurité en tant que CISO chez Ubisoft et a rédigé The Bug Hunter's Methodology, le guide de référence de nombreux pentesters en activité. Son avis sur l'évolution du domaine mérite donc d'être écouté. Il estime que « 90 % des pentests seront réalisés par l'IA » dans un avenir proche. Alors que l'IA abaisse la barrière à l'entrée des cyberattaques et amplifie considérablement le volume et la vitesse des opérations malveillantes, le seul moyen pour les défenseurs de suivre le rythme est de mettre l'IA à contribution de leur côté. Comme le dit Haddix : « Nous allons devoir combattre l'IA par l'IA. »
Naturellement, cela effraie les pentesters humains (leurs emplois sont-ils menacés ?). Cependant, Haddix ne pense pas que le pentest IA soit un événement synonyme d'extinction pour les humains, même s'il va inévitablement impacter leur flux de travail actuel.
L'IA résout le problème de couverture des pentests
Non seulement le pentest manuel est prohibitif en termes de coûts, mais sa cadence typique de deux fois par an n'est plus adaptée à la vitesse à laquelle les équipes déploient du code généré par l'IA. Dans le rapport d'Aikido State of AI in Pentesting 2026, 79 % des 400 CISO et responsables techniques interrogés ont déclaré s'inquiéter de voir des vulnérabilités se glisser entre les tests planifiés, et 48 % ont indiqué que les résultats étaient déjà obsolètes au moment de leur réception.
{{cta}}
« Le plus grand problème auquel nous avons toujours fait face est l'échelle », explique Haddix. Si vous gérez la sécurité d'une grande organisation, les calculs montrent que vous ne pouviez de toute façon pas tester manuellement tout ce que votre équipe mettait en production. Couvrir l'ensemble avec des tests manuels « aurait coûté un milliard de dollars en pentests ». Vous testiez donc de manière bisannuelle en espérant que tout se passe bien.
« Nous avons déjà par le passé prié pour obtenir cette mise à l'échelle », déclare Haddix, « et aujourd'hui, les gens s'y opposent vertement. » Selon lui, les personnes qui mènent cette résistance « veulent se tenir en retrait et jeter de l'huile sur le feu alors qu'elles devraient s'impliquer et aider les équipes à construire ».
Ce qui va réellement disparaître
« Des scanners déguisés », c'est ainsi que Haddix qualifie les sociétés qui exécutent des scanners open-source et en reconditionnent les résultats. Ceux-ci fonctionnent différemment des vrais pentests et fournissent des résultats bien inférieurs, raison pour laquelle ils seront les premiers à disparaître.
L'autre victime est le pentest de conformité que achète un client uniquement pour satisfaire un auditeur. Réaliser ces tests a toujours été le premier emploi d'un testeur pour débuter, et ceux qui y travaillent n'y restent généralement pas. Les personnes qui s'en chargent préféreraient apprendre de véritables exploits et élaborer leur propre méthodologie. L'IA fait place nette au bas de l'échelle.
Haddix reconnaît toutefois franchement le problème. Si l'IA se charge des tâches qui permettent de mettre un pied dans la porte, comment la prochaine génération de testeurs pourra-t-elle faire ses débuts ? « Je n'ai pas de réponse satisfaisante à cette question », admet-il. « Nous y réfléchissons encore. »
Le pentest IA ne fonctionne qu'avec une méthodologie humaine intégrée
Pointez Claude Code vers une cible et demandez-lui de trouver des bugs, et « ce sera catastrophique. Même le meilleur modèle, avec un raisonnement maximal, n'y changera rien », déclare Haddix. « La puissance vient du moment où vous intégrez votre propre méthodologie. »
Prenons le processus de reconnaissance de Haddix, qui comporte 18 étapes pour cartographier les sites qu'une grande organisation possède réellement. Deux ou trois d'entre elles nécessitaient auparavant l'œil et le jugement d'un humain. Une entreprise comme Nintendo a enregistré des centaines de milliers de domaines, dont la plupart sont parqués, et déterminer lesquels hébergent une véritable cible était difficile à automatiser. Désormais, un agent lit la page et prend cette décision de manière autonome.
Dans l'ensemble du secteur, « les plus malins embauchent des pentesters dotés de méthodologies uniques pour les codifier et les intégrer dans les prompts », explique Haddix, et « les plus brillants entraînent des jeux de données synthétiques » pour garantir la fiabilité de ce raisonnement.
Une fois cette base intégrée, l'IA accomplit ce travail créatif et itératif que l'on pensait réservé aux humains. Dans un cas tiré du propre benchmark d'Aikido, des agents testant une application de signature de documents ont analysé sa logique et prouvé qu'il était possible de falsifier des signatures électroniques, le tout en environ neuf heures. L'équipe humaine senior a passé environ deux semaines sur la même application, n'a identifié qu'une faille XSS et une faille SSRF, sept de leurs neuf découvertes étant des vérifications de durcissement routinières, et est passée totalement à côté de la falsification.
Donner à un pentester accès au code source d'une application garantit un test plus approfondi. La plupart des pentests menés par des humains s'effectuent en boîte grise ou noire, ce qui limite la profondeur du test. Sur plus de 1 000 pentests IA, Aikido a constaté que les tests en boîte blanche mettaient en évidence 7 fois plus de vulnérabilités tout en nécessitant moins de tentatives qu'un test en boîte grise seul. Les humains ne pratiquent généralement pas les tests en boîte blanche, car la vérification de chaque chemin dans le code n'est pas réalisable. Un pentest IA combiné à des tests en boîte blanche est capable de coordonner une flotte d'agents pour examiner chaque ligne de code et d'établir le lien avec l'environnement de production.
Bien que l'on puisse y intégrer une méthodologie, les humains passent également à côté de certains éléments. Dans le rapport State of AI in Pentesting 2026 d'Aikido, la moitié des 400 CISO et responsables techniques interrogés affirment que les failles de logique, les contrôles d’accès défaillants et les bugs complexes en plusieurs étapes échappent toujours ou souvent aux tests manuels, et ce chiffre grimpe à 92 % pour les équipes effectuant des déploiements quotidiens ou plus fréquents. Cela démontre que si la méthodologie humaine est solide, elle n'est en rien parfaite, et l'IA aide à couvrir ce qu'une analyse manuelle laisserait passer.
Le pentest IA d'Aikido repose sur l'expertise
Aikido Security a conçu AI Pentesting en s'appuyant sur l'expertise décrite par Haddix, et des tests indépendants le confirment. Doyensec a évalué Aikido sur deux applications open-source tirées au hasard parmi 442 candidats, avec un chercheur senior validant chaque découverte manuellement. Aikido a mis en évidence 49 vulnérabilités vérifiées, dont 9 de niveau critique ou élevé, avec un taux de faux positifs de 4 %, et s'est exécuté de manière autonome sur les deux applications en moins de 20 minutes.
{{pentest}}
