Sanofi teste le pentest agentique

OOndine

Sanofi a testé avec YesWeHack un outil de test d’intrusion agentique sur 5 applications web, selon Clubic. Certaines étaient en production et d’autres étaient des copies de test, ce qui a permis de mener l’expérience sur ces 2 types d’environnement. Sanofi et YesWeHack ont présenté ce retour d’expérience mercredi, le 7 octobre, aux Assises de la cybersécurité de Monaco. Le dispositif s’appuie sur des modèles à poids ouverts, et YesWeHack permet de choisir où et comment l’intelligence artificielle fonctionne pendant les tests. Concrètement, les agents commencent par cartographier l’application, puis répartissent les tâches entre des agents spécialisés dans différents types d’attaque. En quelques heures, ils ont repéré des failles que les outils automatiques classiques manquent parfois, dont un code de sécurité contournable lors de l’enregistrement d’une carte bancaire. Le résultat comporte aussi un point de comparaison important : plus de la moitié des failles découvertes par les agents avaient déjà été signalées par des hackers humains. Ce test montre donc que les agents peuvent repérer rapidement des vulnérabilités, mais que leurs découvertes recoupent souvent des signalements humains ; l’expérience portait sur 5 applications web et ne permet pas, à elle seule, de conclure qu’ils remplacent les experts en cybersécurité.