En un coup d'œil
- Pentests manuels annuels augmentés par des tests boîte blanche basés sur l'IA
- Identification d'une vulnérabilité complexe de cas limite grâce à une exploration sensible au contexte
- Intégration du pentest IA dans la gestion continue des vulnérabilités
- Réduction des rapports de sécurité manuels de plusieurs jours par mois à quelques heures
- Application directe de la sécurité dans les workflows de pull request
Enjeu
TechWolf développe une couche de données basée sur l'IA qui aide les entreprises à comprendre les emplois, les tâches et les compétences alors qu'elles naviguent dans la transformation de la main-d'œuvre. Opérer dans la tech RH implique de travailler avec des informations commerciales et personnelles sensibles. La sécurité n'est pas une fonctionnalité. C'est un prérequis.
TechWolf a longtemps investi dans sa posture de sécurité. L'entreprise maintient sa certification ISO 27001, réalise des audits SOC 2 annuels, effectue des tests d'intrusion externes chaque année et utilise des outils SAST, SCA et DAST sur l'ensemble de sa stack technique.
Mais la maturité en matière de sécurité n'est pas statique.
« L'une de nos valeurs est « Viser la lune ». Pour moi, cela inclut de relever la barre de la sécurité année après année », a déclaré Kilian, Ingénieur en opérations de sécurité chez TechWolf.
Avec le temps, les pentests manuels ont commencé à produire moins de découvertes évidentes. C'était un bon signe. Pourtant, l'équipe savait que dans une base de code croissante et en évolution, les cas limites nuancés peuvent rester difficiles à déceler dans le cadre d'une mission à durée limitée.
TechWolf voulait aller plus loin.
« Bien que nous réalisions un test d'intrusion manuel annuel avec un fournisseur externe, nous avons trouvé moins de problèmes majeurs, et nous pensions qu'il y avait plus de risques cachés plus profondément dans la base de code. »
Ajouter le pentest IA pour étendre le programme de sécurité
TechWolf a décidé de tester le pentest IA d'Aikido comme une extension de son programme existant. La configuration a été simple car leur environnement était déjà connecté au sein d'Aikido.
« J'ai passé moins de 15 minutes à la configuration. En quelques heures, les agents avaient déjà mis en évidence quelque chose d'intéressant. »
Contrairement à une mission traditionnelle limitée par le temps et le périmètre, les agents IA ont pu analyser directement le contexte du code source, explorer les cas limites et générer des chemins d'attaque reproductibles.
« Je crois que l'efficacité réside dans les pentests LLM d'Aikido qui utilisent beaucoup plus de contexte qu'un pentester manuel ne pourrait jamais le faire, spécifiquement en analysant le code source. »
Pour TechWolf, il ne s'agissait pas de remplacer les tests manuels, mais de les compléter.
« Les deux approches ont leur place. Le pentest IA ajoute de la persistance et de la profondeur, surtout dans les zones plus difficiles à atteindre dans le cadre d'une mission à durée limitée. »
Ce que le pentest IA a découvert
Pendant l'essai, le pentest IA d'Aikido a identifié une vulnérabilité complexe ancrée dans la logique applicative.
Il ne s'agissait pas d'une mauvaise configuration superficielle ou d'une simple vérification manquante. Cela nécessitait de comprendre comment des composants spécifiques interagissaient à travers différentes parties de la base de code.
« Nous avons été impressionnés par la profondeur », a déclaré Kilian. « Il ne s'agissait pas de trouver quelque chose de basique. Il s'agissait d'explorer des parties de l'application qui sont naturellement plus difficiles à atteindre. »
Les agents IA ont généré une analyse d'attaque détaillée ainsi qu'un script de preuve de concept, permettant à l'équipe de vérifier et de reproduire le problème rapidement.
« Les scripts de PoC étaient cruciaux », a déclaré Kilian. « Ils éliminent le doute, réduisent les faux positifs et facilitent la compréhension par les ingénieurs de ce qui doit être corrigé. »
Pour TechWolf, cela a validé la décision d'élargir sa stratégie de test. Les pentests manuels restent un pilier important de leur programme. Le pentest IA ajoute une couche d'exploration contextuelle qui renforce la couverture globale.
Au-delà du pentest : consolider la sécurité sur une seule plateforme
Bien que le pentest IA ait apporté une valeur immédiate, l'impact plus large est venu de l'utilisation d'Aikido comme plateforme centrale de gestion des vulnérabilités.
« Nous utilisons déjà des outils de sécurité standard comme SAST, SCA, DAST et les tests d'intrusion traditionnels », a déclaré Kilian. « Cependant, ceux-ci sont souvent isolés, rendant difficile la priorisation à partir de diverses découvertes cloisonnées. »
Aikido consolide les découvertes de tous les outils, y compris les résultats de pentest, et les priorise automatiquement grâce à sa fonctionnalité AutoTriage.
« La valeur clé d'Aikido est de garantir que nous concentrons nos efforts sur les problèmes les plus critiques en premier grâce à sa fonctionnalité AutoTriage, tout en gardant une trace de toutes les autres découvertes. »
La sécurité est désormais appliquée directement dans le flux de travail de développement. Les pull requests ne peuvent pas être mergées tant que des vulnérabilités non résolues subsistent, empêchant ainsi les problèmes d'atteindre la production dès le départ.
Résultats
Au fil du temps, les améliorations opérationnelles sont devenues évidentes.
Avant Aikido, Kilian passait un temps considérable à consolider les résultats de différents outils, à préparer la documentation d'audit et à prioriser manuellement les vulnérabilités.
Désormais, les vulnérabilités sont automatiquement priorisées et assignées aux équipes concernées.
« L'amélioration mesurable la plus significative est la réduction du temps consacré aux opérations de sécurité manuelles », a déclaré Kilian.
Améliorations mesurables
.png)
Verdict final
Pour TechWolf, l'adoption du pentest IA ne visait pas à remplacer les contrôles ou partenaires existants. Il s'agissait de continuer à élever le niveau d'exigence.
« Pour nous, il s'agit d'élever continuellement le niveau d'exigence », a déclaré Kilian.
« Aikido nous aide à rester proactifs, à prioriser les bonnes problématiques et à réduire le temps consacré à la surcharge opérationnelle. »
En combinant des pentests manuels annuels avec des tests IA contextuels et une gestion des vulnérabilités centralisée, TechWolf a renforcé un programme de sécurité déjà mature, ajoutant de la profondeur, de la visibilité et de l'efficacité sans perturber les processus existants.
