Transcription

• Speaker #0

  L'IA va-t-elle remplacer les « Bug Hunters » ou est-elle simplement en train de changer complètement leur métier ? Depuis quelques mois, plusieurs plateformes de « Bug Bounty » constatent une augmentation des scans automatisés, des tentatives de brute force et de comportements qui ressemblent davantage à des robots qu'à des chercheurs en sécu. Et cela pose une vraie question en fait. Quand une IA dépasse les limites d'un programme de « Bug Bounty » , qui est responsable ? Le chercheur ? L'éditeur de l'IA ? la plateforme ou l'entreprise qui a ouvert son programme. Bienvenue dans Compliance without coma, le podcast qui parle de cyber, de gouvernance et d'ISO 27001 sans te plonger dans le coma. Je suis Fabrice De Paepe et depuis plus de 20 ans... j'accompagne des organisations à construire des systèmes de management qui fonctionnent vraiment. Et aujourd'hui, je vais te parler d'un sujet qui pourrait bien transformer le métier du Pentest dans les prochaines années. Imagine un peu, tu participes à un programme de bug bounty. Si tu es de la génération X, certainement que tu es déjà en train d'imaginer deux amoureux courir sur une île paradisiaque avec un goût de paradis. Pour tous les autres, allez voir la référence, bounty. un goût de paradis. Et oh, revenez sur Terre, car cela pourrait être en fait ce que tu payes avec la récompense du Bug Bounty plutôt. Car oui, un Bug Bounty, c'est avant tout un programme qui invite des chercheurs en sécurité externe, des hunters comme on les appelle, à rechercher et signaler des failles. Mais, c'est pas gratuit ça. Donc, ils vont recevoir une récompense lorsqu'une vulnérabilité valide est trouvée. Et le bug bounty permet aussi de tester continuellement la sécurité d'un produit, selon des règles et un périmètre défini. Et avant qu'un attaquant officiel, donc pas ton hunter, n'exploite les failles. Donc on a Tesla, Microsoft, Amazon, ils en ont des célèbres d'ailleurs de bounty programs. Va un peu voir les rewards. Et comme beaucoup de chercheurs, tu décides d'utiliser l'IA. Analyse cette cible, cherche toutes les vulnérabilités possibles, continue jusqu'à ce que tu trouves quelque chose. Et quelques minutes plus tard, l'IA a envoyé plusieurs milliers de requêtes, et je suis gentil. Elle a testé des centaines d'URL, elle a essayé différents identifiants, elle a déclenché des protections anti-brute force, elle a généré plusieurs alertes dans le SOC, et pourtant, tu n'avais jamais demandé explicitement de lancer une attaque de force brute ou de brute force. Tu voulais juste qu'elle trouve une vulnérabilité. La question est donc simple. Est-ce que je n'ai pas demandé ça ? Est-ce que c'est encore une excuse lorsqu'on utilise une IA ? Et petit rappel aussi, t'es pas James Bond, t'as pas le permis de tuer. Donc un bug bounty n'est pas un permis de tout faire. Il y a un programme qui définit toujours un périmètre. Il y a des systèmes autorisés, des systèmes interdits, des techniques acceptées et interdites. Et très souvent... Le brute force est interdit. Le déni de service est interdit. Le spam est interdit. Les attaques contre les utilisateurs sont interdites. Pourquoi ? Parce qu'un bug bounty cherche des vulnérabilités, pas à mettre l'entreprise en difficulté. Mais l'IA, elle ne connaît pas forcément l'intention du programme. Elle cherche un résultat. Comment tu la promptes ? Et si personne ne la contrôle, elle peut aller beaucoup plus loin que prévu. Finalement, l'IA devient un stagiaire. extrêmement puissant et rapide, mais qu'il faut surveiller en permanence. Maintenant, plaçons-nous de l'autre côté. Tu es le CISO. Ton entreprise vient d'ouvrir un bug bounty. Qu'est-ce que cela change dans ton SMSI ? Première chose, l'analyse des risques. Tu ne dois plus uniquement considérer le risque qu'un chercheur découvre une vulnérabilité. Tu dois aussi considérer le risque qu'un outil automatisé dépasse les limites prévues. Deuxième chose, La gestion des fournisseurs ? Ben oui, tu externalises ton bug bounty, très bien, mais as-tu vérifié comment la plateforme détecte les comportements abusifs ? Ou est-ce que toi tu l'es fait ? Existe-t-il des mécanismes de limitation ? Est-ce que tu as des alertes automatiques ? Des procédures de suspension ? Des clauses contractuelles en cas d'abus ? Le fournisseur reste une partie prenante de ton SMSI, et comme tout fournisseur critique, bon à toi de voir s'il est critique ou pas, il mérite une véritable évaluation. 3. La journalisation. Tes équipes SOC sauront-elles distinguer des attaquants d'un chercheur autorisé ou d'une IA utilisée par ce chercheur ? Parce que les trois peuvent produire des comportements très similaires et en fait, le bug bounty, ils ne vont pas te dire quand ils vont tester les choses. Donc, comment vas-tu reconnaître la différence ? Quatrième point, la réponse aux incidents. Tiens, tes procédures prévoient-elles qu'un participant en bug bounty puisse volontairement ou non, d'ailleurs, provoquer un incident ? À quel moment suspend-on le programme ? Qui prend la décision ? Qui contacte la plateforme ? Qui valide la reprise ? Là encore, ce sont des décisions de gouvernance. Mais la vraie question, c'est peut-être celle-ci. Et là, je vais peut-être te parler de business continuity pour le bug bounty. Est-ce que le bug bounty va disparaître ? Personnellement, je ne le pense pas. Parce qu'une IA, sauit scanner. Elle sait générer des hypothèses. Elle sait produire énormément de résultats. Mais elle ne comprend pas toujours le contexte métier. En tout cas, pas encore. Elle ne sait pas non plus toujours distinguer un faux positif d'un véritable risque business. Elle ne négocie pas avec le client, elle n'explique pas les impacts au comité de direction. Elle ne construit pas une relation de confiance. Et surtout, elle ne porte pas la responsabilité de ses décisions. Et à celles et ceux qui rêvent de devenir pentester, ne faites pas l'erreur d'apprendre uniquement à utiliser les outils. Parce que demain, tout le monde utilisera les mêmes outils. les mêmes IA, les mêmes modèles, ce qui fera votre valeur. Ce sera votre compréhension des systèmes, des protocoles, des architectures, de la gouvernance, des impacts métiers et surtout, votre capacité à poser les bonnes questions. L'IA trouvera peut-être la vulnérabilité, je suis convaincu qu'elle trouvera toujours un chemin en tout cas. Mais c'est vous qui devrez expliquer pourquoi cette vulnérabilité est importante. Finalement, peut-être que la question n'est pas est-ce que l'IA remplacera les pentesters ? La vraie question est plutôt, qui supervisera les IA des pentesters ? Parce qu'en cyber comme ailleurs, l'automatisation ne supprime pas la responsabilité, elle la déplace. Et c'est précisément ce que devra apprendre la prochaine génération d'experts. Et si toi aussi tu te poses des questions sur l'arrivée de l'IA dans ton SMSI, ton ISO 27001, sur la manière d'adapter ton analyse de risque, tes politiques, tes fournisseurs, ou tout simplement, si les conséquences concrètes de ces nouvelles technologies te font réfléchir, Compliance without coma Solo est là pour ça. Tu peux venir avec un cas réel, une architecture, un programme bug bounty, une procédure, ou une simple interrogation. L'objectif n'est pas de te donner une réponse toute faite, c'est de t'aider à construire une gouvernance qui restera pertinente, même lorsque les technologies évolueront. Et dans l'académie, nous irons encore un peu plus loin, parce qu'un bon consultant, ce n'est pas celui qui connaît tous les outils. Ça, ça bouge trop vite. C'est celui qui comprend les conséquences de leur utilisation. Et cette compétence, aucune IA ne pourra la prendre à ta place. Si cet épisode t'a fait réfléchir, partage-le avec un pentester, un CISO, ou un ou une étudiante qui pense que l'IA fera bientôt tout le travail à sa place. Et si tu souhaites aussi soutenir Compliance without coma, laisse 5 étoiles sur Spotify ou Apple Podcasts et viens découvrir la version YouTube. On y développe toujours les sujets sous un angle différent. Merci d'être toujours plus nombreux à rejoindre les Coma Breakers. On se retrouve vendredi prochain pour un nouvel épisode. Et d'ici là, n'oublie jamais, en cybersécurité, les technologies évoluent, mais la responsabilité reste toujours humaine. Et même dans l'OT, prends soin de toi, Coma Breaker.