Les agents d’IA face à la chasse aux vulnérabilités

MMarc

YesWeHack a évalué Codex, Claude Code et Gemini CLI lors de tests de chasse aux vulnérabilités, dans un exercice décrit par Clubic. La plateforme française a soumis les 3 agents à 2 exercices de PortSwigger, à l’aveugle, avec Burp Suite, sans leur révéler la vulnérabilité recherchée ni les autoriser à décoder un indice caché. Codex, propulsé par GPT-5.6 d’après l’article, a résolu l’exercice XSS en moins de 4 minutes, puis contourné une authentification JWT en 1 minute et 14 secondes, jusqu’à obtenir les droits administrateur. Claude Code, animé par Opus 4.8 selon l’article, a rapidement cartographié l’application et repéré des pistes, mais il n’a pas conclu seul. Sur le laboratoire XSS, il a tourné près de 20 minutes sans résoudre l’épreuve ; pour reproduire une faille de contrebande de requêtes, il a eu besoin de l’intervention d’un humain. Codex a donc réussi les 2 exploitations décrites, tandis que Claude Code a surtout avancé dans l’exploration avant de buter sur la réalisation finale. Ces essais indiquent que les agents peuvent accélérer certaines étapes, mais ne démontrent pas qu’ils prennent seuls en charge toute une recherche de vulnérabilité : une aide humaine reste nécessaire dans certains cas observés par YesWeHack.