L’intelligence artificielle bouleverse de nombreux secteurs et celui de la cybersécurité n’est pas épargné. Si les outils IA ont d’abord grandement inquiété le secteur et ont fait craindre l’apparition de nouvelles menaces, la démocratisation de ses outils a également été bénéfique pour les pentester toujours à la recherche de nouveaux moyens de tester la sécurité des organisations. Dans cet article, nous allons faire un tour d’horizon des bénéfices, des outils, mais également des limites de l’IA dans le domaine du pentesting.
Vous souhaitez prouver vos compétences en pentesting avec une certification qui prend en compte les mutations du secteur ? Notre formation OSCP de 5 jours vous permettra de passer l’examen avec succès et de démontrer votre expertise en cybersécurité.
Pentesting et IA, une nouvelle ère
L’intelligence artificielle bouleverse le monde de la cybersécurité dans les grandes largeurs et le pentesting est donc nécessairement impacté.
Aujourd’hui, chaque pentester dispose de plusieurs outils IA, particulièrement d’IA générative, dans sa boite à outils, des études montrent aujourd’hui que les entreprises qui y ont recours économisent en moyenne 1,76 million de dollars par fuite de données par rapport à celles qui n’en utilisent pas.
Gartner prédit même que 75 % des entreprises utiliseront l’IA en 2026 pour automatiser des workflows et des processus de cybersécurité.
L’IA générative pour le pentesting
Les modèles de LLM récents agissent comme de véritables assistants pour les pentesteurs. On pourrait même définir l’utilisation d’un LLM comme avoir un stagiaire très doué qui connait toute sa documentation sur le bout des doigts, mais qui aurait besoin d’encadrement.
Concrètement, les pentesteurs peuvent utiliser un LLM pour réaliser de nombreuses tâches :
- Analyse contextuelle des vulnérabilités : les outils IA ne sont pas juste bons à faire une liste brute des vulnérabilités. En leur donnant suffisamment de contexte, ils peuvent vous donner un excellent aperçu de l’impact que celles-ci peuvent avoir sur votre business et donc de suggérer des correctifs prioritaires.
- Génération de payloads sur mesure : les listes statiques de payloads sont souvent détectées très facilement par les défenses des infrastructures. L’IA générative permet de créer des vecteurs d’attaques bien plus personnalisés pour la cible. Ces payloads uniques rendent les tests d’intrusion plus réalistes et imprévisibles pour les systèmes en face.
- Reconnaissance intelligente et accélérée : l’IA est un excellent outil pour recouper et analyser de grosses masses d’informations provenant de sources disparates. Un agent IA peut en quelques minutes analyser des profils sur les réseaux sociaux, des dépôts GitHub publics, des offres d’emploi et d’autres données ouvertes pour dresser un portrait détaillé de la cible. Un travail fastidieux à faire à la main et qui est pourtant crucial pour le pentester dans sa recherche d’actifs oubliés (shadow IT), des fuites d’informations ou des points d’entrée potentiels.
- Automatisation de la rédaction de rapports : rédiger des rapports n’est généralement pas le moment le plus amusant de votre vie de pentester et, quand il faut en plus en faire plusieurs versions adaptées à différentes audiences, c’est souvent une véritable corvée. N’importe quel LLM peut le faire pour vous et rendre vos rapports plus accessibles aux différents niveaux des organisations.
- Soutien aux scénarios de social engineering : le phishing et les méthodes de social engineering sont des techniques assez classiques de l’arsenal varié des pentester. L’IA générative est évidemment un allié de choix dans la création d’e-mails de hameçonnage convaincants. Les LLM peuvent même imiter le style et le ton d’un interlocuteur précis, rendant accessible la création de faux plus convaincants. Des deepfakes vidéo et vocaux sont même de plus en plus utilisés pour simuler des appels de dirigeants ou de cadres haut placés.
Pentesting et IA, quels outils ?
Au-delà des outils IA un peu génériques et grand public (comme les LLM de type ChatGPT), de nombreux outils dédiés et de nombreux gadgets apparaissent à destination des spécialistes de la cybersécurité et des pentesters en particulier :
- Chatbot pour pentester : sur le modèle des chatbot grand public, des outils comme PentestGPT offrent une interface en langage naturel pour conduire un test d’intrusion. Sur un modèle un peu similaire à ChatGPT, il peut vous guider à travers les étapes de votre opération de pentesting. S’il ne remplace évidemment pas la créativité de l’humain et l’œil du pentester chevronné, c’est un peu le copilote du hacker éthique, qui aide à ne rien oublier et à accélérer les vérifications de base.
- Agents autonomes et pentest automatisé : certains projets sont encore plus ambitieux et cherchent à automatiser intégralement des opérations de pentesting. Le framework Villager (développé initialement pour le red teaming) permet d’orchestrer des attaques à grande échelle à l’aide de modèles IA et d’outils classiques intégrés. Le projet open source Strix propose des agents IA autonomes qui se comportent comme de vrais hackers, exécutant le code cible, trouvant des vulnérabilités et les exploitants de façon autonome pour un test de sécurité rapide.
- Intégration de l’IA dans les outils classiques : les éditeurs d’outils de pentesting établis n’ont eux aussi pas attendu avant de proposer des extensions liées à l’IA dans leurs outils. Par exemple, DeepSeek Pentest AI pour Burp Suite intègre un modèle génératif couplé à du fuzzing intelligent. Cela permet d’automatiser la création de requêtes malveillantes et de tester des failles web de manière plus approfondie.
Si ces outils ne remplacent évidemment pas l’expertise humaine, mais servent d’excellents multiplicateurs de force. La plupart des experts s’accordent sur le fait qu’une IA peut traiter un grand volume d’actions ou de données en un clin d’œil, mais c’est le spécialiste qui oriente l’outil, interprète les trouvailles subtiles et monte les attaques sur mesure les plus sophistiquées.
Limites, défis et considérations éthiques
L’IA n’est évidemment pas infaillible et certains angles morts existent dans son utilisation.
Tout d’abord la notion d’intelligence de l’intelligence artificielle est plutôt relative. Si elle s’en sort souvent très bien dans des scénarios conventionnels, elle a énormément de mal lorsque l’on sort des sentiers battus. Une suite d’étapes exploitant un enchaînement inhabituel de fonctionnalités (ce qu’on appelle une attaque par chaînage créatif) demeure difficile à concevoir pour une IA.
De la même façon, plus vous serez expérimenté en pentesting, plus vous pourrez sortir du cadre classique d’une attaque. Suivre les recommandations d’une IA trop à la lettre sera alors plus un frein qu’une véritable aide.
Un autre gros problème lors de l’utilisation d’outils IA externes (comme ChatGPT) est la confidentialité des données. Envoyer des portions de code propriétaire ou des informations d’une cible vers un service cloud d’IA peut violer la confidentialité ou la conformité réglementaire. Il est de la responsabilité du pentester de rester dans un cadre éthique et légal.
