Nous lançons aujourd'hui l'Aikido Machine et accueillons l'équipe qui a contribué à sa création. Aikido Machine est un serveur sur site qui exécute le pentest IA d'Aikido Security et l'analyse de code par IA (et bien d'autres à venir) entièrement au sein de votre réseau : GPU locaux, modèles locaux, résultats locaux. Aucun code source, aucun dépôt et aucune invite ne quittent jamais votre infrastructure.
Certaines équipes ne peuvent pas envoyer leur code en dehors de leur réseau.
Pour une banque, un organisme gouvernemental, un fournisseur du secteur de la défense ou un hôpital, deux réalités s'imposent simultanément.
Premièrement : la pression ne cesse de monter. Les attaquants agissent plus rapidement que jamais, et l’IA a réduit le coût lié à la découverte et à l’exploitation d’une vulnérabilité. Pour les régulateurs, ce n’est pas une hypothèse. La BCE a récemment donné à 110 banques un délai de quatre mois pour présenter des plans d’action contre les cybermenaces liées à l’IA, tandis que le Comité européen du risque systémique a relevé son évaluation du risque cyber systémique au niveau « grave » et a qualifié les derniers modèles de « changement de paradigme pour la cybersécurité ». Dans le même temps, les anciennes défenses montrent leurs limites. L’ DAST e basé sur les signatures a été conçu pour un monde où les attaquants exécutaient des scripts. Aujourd’hui, les attaquants utilisent des modèles qui comprennent une application mieux qu’un scanner, et les tests d’intrusion manuels sont eux aussi dépassés : 51 % des RSSI et des directeurs techniques affirment que les failles logiques, les contrôles d’accès défaillants et les vulnérabilités en plusieurs étapes sont systématiquement ou souvent négligés.
Deuxième point : le pentesting continu piloté par l'IA existe, mais il a fonctionné dans le cloud jusqu'à présent, ce qui signifie que ces équipes des secteurs hautement réglementés ne pouvaient pas l'utiliser. En effet, les politiques internes ou la réglementation interdisent l'envoi du code source, des données de référentiel et des prompts vers un cloud externe ou un tiers.
La seule façon de fournir à ces équipes un pentest IA continu est d'implanter physiquement l'ensemble du serveur, modèles compris, au cœur de leur réseau. C'est le rôle de l'Aikido Machine.
Aikido Security rachète Milou
Aikido travaille depuis un certain temps sur le développement d'un produit de pentest IA fiable et à la pointe de la technologie.
Pour le concevoir en local et atteindre un niveau d'excellence capable de satisfaire les exigences d'organisations complexes et réglementées, nous avons dû faire preuve d'inventivité. Nous devions collaborer avec des profils qui maîtrisent la sécurité offensive et affichent des résultats concrets.
C'est pourquoi Aikido a fait l'acquisition de Milou pour poursuivre cette mission. Cette entreprise basée en Belgique a été fondée par deux pentesters et Hunters chevronnés, Tiburce Gridello et Selim Decamps. L'objectif initial de Milou était simple : simplifier la vie des pentesters en automatisant le reporting pour leur permettre de se concentrer sur leur cœur de métier, le piratage. Nous avons acquis Milou pour apporter cette expertise, ainsi qu'une grande ambition, à nos activités on-prem. Depuis son arrivée, l'équipe s'est concentrée sur la R&D et sur le test de modèles sur le matériel le plus rapide disponible afin de trouver la configuration idéale pour un pentesting exécuté entièrement sur l'appareil.
"Milou se concentrait sur l'exécution d'outils offensifs sur du matériel local, afin d'être utilisable dans des environnements hautement réglementés. Aikido a développé la technologie de pentest IA pour l'exécuter dessus. L'Aikido Machine associe ces deux aspects pour qu'une équipe de sécurité entière puisse les utiliser ".
Selim Decamps, cofondateur de Milou.
Ce que permet le pentest IA on-prem
L'Aikido Machine est un serveur GPU qu'Aikido Security installe, exécute et maintient. Voici les avantages pour vous :
- Tout reste on-prem : L'inférence s'exécute sur les propres GPU de la machine Aikido. Rien de ce que vous lui transmettez ne touche un fournisseur de cloud ou un modèle externe. Isolation totale (air-gapped) par conception, sans nécessité de connexion Internet.
- Toujours actif : Exécutez des pentests en continu. L'inférence locale signifie qu'il n'y a pas de frais par jeton (token) ou par pentest, ce qui évite d'avoir à rationner les tests entre deux missions.
- Visibilité complète : Avec un accès total à votre code source, votre documentation et votre runtime, l'Aikido Machine travaille à partir d'un contexte inaccessible à un attaquant en boîte noire (black-box), et peut égaler ou surpasser un modèle de pointe testant votre application de l'extérieur.
- Un véritable harness : Authentification simple ou multifacteur, gestion des sessions, couche proxy et application du périmètre. C'est cette structure qui permet à la machine Aikido de tester derrière de véritables flux de connexion et de rester dans les cibles que vous définissez.
- Preuve : Chaque vulnérabilité détectée s'accompagne d'un exploit fonctionnel, afin que votre équipe puisse se concentrer sur les problèmes avérés. L'Aikido Machine fournit également des pull requests prêtes à l'emploi (ready-to-merge) ainsi qu'un nouveau test sur le même périmètre.
- Opérationnel dès le premier jour : Un ingénieur d'Aikido Security se déplace sur site, branche l'alimentation et le réseau, et lance votre premier pentest avant son départ.
Le pentest IA et l'analyse de code par IA sont d'ores et déjà disponibles sur l'Aikido Machine, et une grande partie de la pile d'Aikido Security viendra s'y ajouter prochainement.
Une banque européenne disposant de 192,8 milliards d'euros d'actifs l'a déjà déployé
Belfius, la banque-assureur détenue par l'État fédéral belge et disposant de 192,8 milliards d'euros d'actifs, figure parmi les premières à faire tourner la machine Aikido au sein de son propre data centre. Plus de 200 agents IA testent désormais les systèmes de la banque 24h/24, depuis l'infrastructure propre de Belfius. Belfius apporte la complexité opérationnelle et l'expertise d'une grande institution financière à la stack technologique d'Aikido. La banque contribuera à affiner le produit pour répondre aux exigences réglementaires et de sécurité strictes.
"La cybersécurité n'est plus un exercice ponctuel. C'est devenu une mission continue. En déployant des agents IA qui testent nos systèmes 24h/24, nous pouvons identifier les risques plus rapidement, renforcer notre résilience en continu et accroître encore la confiance que des millions de clients accordent à Belfius chaque jour. L'IA devient l'un de nos plus grands alliés pour protéger ce qui compte le plus."
Fabian Delava, Head of Technology chez Belfius
Pourquoi le pentest on-prem est crucial aujourd'hui
L'IA accélère le développement logiciel tout en offrant aux attaquants des moyens plus simples et moins coûteux de cibler les organisations. Ils peuvent ainsi agir plus fréquemment. Pour suivre le rythme, les organisations doivent tester leurs systèmes aussi souvent que possible. Mais nous savons qu'il y a un décalage : 76 % déploient des modifications majeures chaque semaine ou plus rapidement, et 21 % valident la sécurité à chaque release.
Jusqu'à présent, les meilleurs tests de sécurité pilotés par l'IA n'étaient accessibles qu'aux équipes capables de tout envoyer dans le cloud. Les organisations aux règles les plus strictes, et ayant souvent le plus à perdre, étaient tenues à l'écart, à moins de développer leur propre solution en interne. L'Aikido Machine comble cet écart.
Bienvenue à Tiburce et Selim. Le portage du pentest IA on-prem était déjà en cours, et leur travail nous a fourni les bases nécessaires pour proposer un produit à la pointe du progrès.
Si vous gérez la sécurité dans un secteur hautement réglementé et que la phrase « cela ne peut pas quitter notre réseau » a systématiquement mis fin à vos discussions sur le pentest IA, il est temps de découvrir l'Aikido Machine.
{{cta}}
