PolySécure Podcast

Parce que… c’est l’épisode 0x356!

Shameless plug



















































































































































































































































































































































































































































































































































































































13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












25 et 26 février 2027 -
Québec, Canada -

SéQCure 2027












9 au 11 mars 2027 -
Lilles, France -

Forum INCYBER - Europe 2027













I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle


























16 novembre 2026 -
Paris, France -

CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes













Boostsecurity - Dazio













Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Présentation de l’invité et contexte

Dans cet épisode spécial BSides du Polysecure, Nicolas reçoit Pierre Collard, qui dirige les équipes de détection et de réponse chez Sopra Steria pour le périmètre Canada et États-Unis. Sopra Steria est une société européenne de transformation numérique en pleine expansion en Amérique du Nord qui accompagne des clients de tailles et de secteurs variés, allant de l’assurance aux municipalités en passant par de grands groupes automobiles. Pierre est venu présenter au BSides, ainsi qu’à GoSec, un sujet portant sur la modernisation du SOC et la place réelle de l’intelligence artificielle dans les opérations de cybersécurité.

La promesse de l’IA face à la réalité du terrain

Pierre constate un consensus clair sur le potentiel de l’intelligence artificielle, mais souligne que la majorité des clients, petits comme grands, ne disposent pas encore de la maturité opérationnelle ni de la gouvernance nécessaires pour déployer des outils gérés par l’IA à grande échelle. Les données ne sont souvent ni fiables ni structurées et les processus manquent de clarté. Contrairement au discours marketing qui promet de trier le désordre existant, Pierre soutient que ce désordre doit être organisé en amont avant qu’une intelligence artificielle puisse générer une valeur réelle. L’IA n’est pas un outil magique, et sans les informations adéquates, elle ne livrera que la performance standard de la solution, mal alignée avec les enjeux business.

Le cycle de vie d’un incident et les limites de l’autonomie

Pierre décompose le cycle de vie d’un incident en trois phases. La détection génère les alertes, l’investigation consiste à corréler les événements, enrichir les cas et comprendre la situation, puis vient la décision, où l’on détermine quoi faire de cette information. Sur les deux premières phases, l’IA apporte déjà des gains notables en accélérant l’ingénierie de la détection, la gestion des signaux faibles, la création de rapports et l’enrichissement. Cependant, la partie décision reste problématique. Déléguer des actions à un agent ne transfère pas la responsabilité, qui demeure du côté des équipes de sécurité. Ce niveau de confiance requis pour une autonomie complète n’est pas encore atteint dans la plupart des organisations.

Trois prérequis pour brancher l’IA utilement

Pierre identifie trois éléments essentiels. Le premier est le contexte, c’est-à-dire donner à l’agent les informations qui permettent de comprendre ce que l’entreprise considère comme malveillant, selon son environnement, ses enjeux et son historique. Le deuxième est l’historique, qui consiste à corroborer une hypothèse avec les incidents passés et les décisions qui avaient été prises, notamment via une intégration à un outil ITSM, ce qui suppose une hygiène de gestion rigoureuse. Le troisième est l’autorité, soit la délimitation de ce qu’on délègue ou non à l’agent selon la criticité du cas d’usage et la capacité à revenir en arrière. Certains cas tolèrent un niveau de confiance de 60 à 70 pour cent, tandis que d’autres, comme la mise hors ligne d’une production, exigent une certitude proche de 99 pour cent avec un humain dans la boucle.

Mesure de l’efficacité et qualité des données

Pour évaluer les agents, l’équipe de Pierre s’appuie sur plusieurs métriques, dont le taux d’accord sur les décisions recommandées, la capacité de l’agent à retrouver des preuves contextuelles, le taux d’actions non sécurisées et l’analyse coût-performance. Les tests se font principalement en interne, via des campagnes avec des critères précis, puisque la majorité des clients n’en sont qu’à utiliser les fonctionnalités IA fournies avec leurs outils existants. Concernant les données, Pierre recommande un modèle de données clair avec des champs critiques, dont le raisonnement suivi par l’agent et le contexte utilisé, sans exiger une CMDB parfaitement propre avant de démarrer les preuves de concept. Il estime par ailleurs que les efforts de gouvernance et d’assurance qualité autour d’un agent représentent deux à trois fois les efforts de sa mise en place initiale.

Un exemple concret de l’importance du contexte

Pierre illustre son propos avec une alerte de détection de clé USB ou de fichier malveillant. Pour une entreprise dont la politique interdit les supports amovibles et où l’alerte provient d’un VIP du département des finances, l’incident sera ouvert et escaladé avec isolement de l’hôte. Pour une autre entreprise où l’usage quotidien des supports amovibles est accepté et où les données sont moins sensibles, le contrôle aura simplement fonctionné sans ouverture d’incident. Le même contexte technique peut donc produire des décisions diamétralement opposées selon le contexte opérationnel, et c’est précisément ce type d’information qu’il faut transmettre aux agents.

L’évolution du rôle de l’analyste

Les tâches techniques sont de plus en plus automatisées et le rôle de l’analyste se transforme vers la vérification, l’encadrement des agents, la gestion des identités et des exceptions, et la gouvernance du contexte fourni. Pierre prend l’exemple de la fonction XDR Attack Disruption de Microsoft, qui agit de façon autonome sans playbook manuel, les analystes vérifiant ensuite les actions et documentant les exceptions. Il nuance toutefois l’idée d’un simple décalage latéral des compétences. Selon lui, l’expertise technique doit rester présente, avec en plus des compétences en gestion de l’IA et en gouvernance, ce qui élève le point d’entrée de l’échelle d’un cran plutôt qu’il ne le décale sur le côté. Cela rend l’intégration de profils juniors plus difficile et nécessitera à terme des formations plus structurées et explicites pour maintenir les compétences.

Le SOC du futur et le modèle économique

Pierre décrit un changement du centre de gravité du SOC. Là où l’analyste était historiquement le goulot d’étranglement, l’organisation de demain verra les humains concevoir l’architecture et le service, les agents réaliser les investigations et les recommandations, et des garde-fous statiques comparer ces recommandations à la politique de sécurité. La valeur ajoutée des offres se recentre sur les résultats cybersécurité plutôt que sur le simple nombre d’analystes facturés, ce qui devrait transformer en profondeur le marché du MDR.

La question des coûts

La dimension financière constitue une troisième dimension à ajouter à la criticité et à la capacité de retour en arrière. Les coûts sont plus variés qu’avant, incluant l’inférence, le stockage, les requêtes de données volumineuses, la vérification et le travail humain de contrôle. Pierre propose trois types de réponses, soit conserver les playbooks SOAR statiques pour les processus simples, limiter l’IA au rôle prescriptif de recommandation, ou accorder l’autonomie à l’IA sur des cas d’usage précis. Tous les cas d’usage ne justifient pas la complexité et les coûts d’un outil IA. Le marché se trouve encore dans une phase d’exploration et de curiosité, où les coûts passent au second plan, plutôt que dans un mode croisière avec des garde-fous financiers établis.

Contributeurs

.contributors-table {
border-collapse: separate;
border-spacing: 20px 8px;
}
.contributors-table td,
.contributors-table th {
border: none;
background: transparent;
text-align: center;
vertical-align: top;
}
.contributors-table img.contributor-photo {
width: 100px;
height: 100px;
object-fit: cover;
border-radius: 50%;
}
.contributors-table .contributor-name {
display: block;
margin-bottom: 4px;
font-weight: bold;
}
.contributors-table .contributor-socials img {
margin: 0 2px;
}





Nicolas-Loïc Fortin







pierrecollard

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x355!

Shameless plug



















































































































































































































































































































































































































































































































































































































13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












25 et 26 février 2027 -
Québec, Canada -

SéQCure 2027












9 au 11 mars 2027 -
Lilles, France -

Forum INCYBER - Europe 2027













I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle


























16 novembre 2026 -
Paris, France -

CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes













Boostsecurity - Dazio













Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

### Une invitation à découvrir le wargame du Hack

Cet épisode spécial reçoit Majin Boo, président de l'association Hacker's Voice, qui anime des rencontres mensuelles, organise le Hack à Paris et coorganise chaque année BarBack à Toulon. Il vient présenter le wargame de cet événement et surtout expliquer comment l'intelligence artificielle a bousculé sa dernière édition.

### Un CTF nocturne entre compétition et découverte

Le wargame se tient exclusivement sur place, généralement le dernier week-end de juin, avec plusieurs dizaines d'épreuves couvrant le web, la crypto, la stéganographie et d'autres domaines. De la soirée jusqu'à 6 h ou 7 h du matin règne une ambiance festive, entre boissons énergisantes et bières, même si les hoodies se font rares fin juin.

La participation est strictement individuelle, même si des groupes de cinq à dix personnes se montent spontanément pour viser le haut du classement, sans que les organisateurs cherchent à les contrôler. Deux publics cohabitent. Les compétiteurs tentent de boucler toutes les épreuves avant l'aube pour décrocher le podium, tandis que d'autres viennent apprendre à leur rythme et s'amuser entre amis.

La salle principale héberge environ 500 joueurs, rejoints par 200 places supplémentaires et des participants dispersés ailleurs dans la conférence. Y rester procure un avantage, les annonces d'ajouts d'épreuves ou de bugs y étant entendues.

### Anticiper l'IA pour remotiver les créateurs d'épreuves

L'IA s'est imposée comme un enjeu majeur dès la préparation de l'édition 2026. Plusieurs créateurs historiquement impliqués ont vu leur motivation chuter, jugeant absurde de sacrifier des soirées à des challenges que des outils automatisés viendraient à bout en quelques minutes. Les organisateurs ont donc œuvré à les remotiver, rappelant que sans épreuves, il n'existe ni wargame ni flag, et que la majorité des participants ne cherche pas à tricher, mais vient pour s'amuser, comprendre et apprendre, préférant l'emporter sur le pote d'à côté plutôt que sur un professionnel assisté d'un modèle.

Le calendrier a compliqué la donne, l'événement se préparant des mois à l'avance dans un paysage mouvant où un modèle a même été annoncé puis retiré sous la pression américaine, tout en restant accessible via des jetons cloud ou d'autres LLM. Concevoir des épreuves que les LLM ne savent pas résoudre relève de l'incertitude, puisque ce qui les dépasse trois mois avant l'événement ne les dépassera peut-être plus le jour venu. Limiter les tentatives constitue une autre option, les modèles ayant tendance à forcer brutalement là où un humain avance prudemment. L'injection de prompts a été écartée, un participant pouvant copier-coller la seule partie utile une fois le sujet cerné.

### Rééquilibrer sans prétendre tout bloquer

Ces mesures servent surtout à rééquilibrer les forces. Le participant qui s'en sort bien possède une base solide lui permettant de jongler avec les limitations, sollicitant le modèle pour comprendre plutôt que tout déléguer. Le reverse engineering, historiquement redouté, est en revanche bouleversé, puisqu'il suffit de confier un binaire à un LLM relié à un outil de décompilation. Là où il fallait des années pour développer réflexes et instinct, les modèles pilotant ces outils ont pris une avance difficile à combler, puisqu'on ne réinventera pas un langage pour le dérober à des machines qui l'apprendront plus vite que nous.

Le format compte aussi, BarBack misant sur le matériel dédié, une fault injection exigeant un accès physique à la carte. Avec près de 1000 personnes au Hack, entraver celui qui contournerait une restriction réseau est illusoire, tout en voulant ménager les participants honnêtes. La question du public visé se pose, compétiteurs acharnés ou majorité venue pour le plaisir, ces groupes se recoupant d'ailleurs largement, et ceux qui passent le meilleur moment ne sont probablement pas focalisés à cent pour cent sur le classement.

### Une nuit sans police ni ressentiment

Sur place, aucun ressentiment marqué n'a été constaté. Sachant que des LLM seraient utilisés, l'équipe a renoncé à les bloquer ou à les traquer, posture jugée vaine avec le partage de connexion mobile et contraire à l'esprit de l'événement. La crainte de voir toutes les épreuves résolues en pleine nuit ne s'est pas réalisée, des centaines de participants restant jusqu'au matin, légèrement moins que les années précédentes. Certains ont dépensé 1000 ou 2000 dollars de jetons pour des lots valant quelques centaines d'euros, à l'image d'entreprises sponsorisant leurs équipes pour 5000 à 10 000 dollars sans retours équivalents.

Ce déséquilibre est en partie assumé. Les organisateurs préfèrent des épreuves faisant suer l'IA et coûteuses en jetons, espérant des usages ponctuels et astucieux plutôt qu'un concours de budget chez Anthropic ou OpenAI, un modèle façon formule 1 où l'argent décide des vainqueurs. Ce qui les amuse, c'est un exploit élégant obtenu avec un code tout simple, ou un ESP32 à quelques euros accomplissant des prouesses mieux qu'un équipement hors de prix.

### L'esprit hacker face à la boîte noire

Reste la question de fond. Le hacker qui traque des vulnérabilités non documentées est désormais en concurrence avec les LLM, incarnation de la boîte noire impossible à réentraîner dans son garage face à des acteurs aux budgets colossaux. Majin Boo veut croire que se demander comment fonctionne un système, plutôt que lui faire confiance, garde tout son sens dans ce duel asymétrique de David contre Goliath.

### Cap sur 2027 et l'humain au centre

Pour l'édition 2027, le combat frontal est exclu, un nouveau modèle plus performant surgissant chaque mois. Les organisateurs poursuivront sur l'expérience et le plaisir, rassurés par une fréquentation qui a tenu malgré l'IA. Une réflexion s'ouvre autour du tableau compétitif et du podium, même si les gens aiment se comparer, à l'image des marathoniens visant leurs amis ou leur record. Le but demeure un événement où chacun s'amuse et apprend, l'usage de l'IA par les chercheurs allant de soi. Ce qui compte, c'est l'humain qui pressent une faille, s'aide du modèle là où il bloque, comprend le reste par lui-même et le partage ensuite.

Notes

leHACK

Contributeurs

.contributors-table {
border-collapse: separate;
border-spacing: 20px 8px;
}
.contributors-table td,
.contributors-table th {
border: none;
background: transparent;
text-align: center;
vertical-align: top;
}
.contributors-table img.contributor-photo {
width: 100px;
height: 100px;
object-fit: cover;
border-radius: 50%;
}
.contributors-table .contributor-name {
display: block;
margin-bottom: 4px;
font-weight: bold;
}
.contributors-table .contributor-socials img {
margin: 0 2px;
}





Nicolas-Loïc Fortin







majinboo

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x354!

Shameless plug



















































































































































































































































































































































































































































































































































































































13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












25 et 26 février 2027 -
Québec, Canada -

SéQCure 2027












9 au 11 mars 2027 -
Lilles, France -

Forum INCYBER - Europe 2027













I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle


























16 novembre 2026 -
Paris, France -

CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes













Boostsecurity - Dazio













Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

La perception de l’audit démystifiée

Dans cet épisode spécial Sécur du Polysécure, Nico reçoit Vincent Groleau pour discuter de sa conférence présentée lors de l’événement. Vincent, spécialiste en audit et en gestion des identités et des accès (GIA), s’attaque d’emblée à la caricature souvent associée aux auditeurs, perçus comme des gros méchants qui viennent taper sur les doigts. Il tient à rétablir les faits en expliquant que l’auditeur ne vient pas vérifier tous les petits détails des bonnes pratiques mises en place. Son objectif est plutôt de déterminer si les systèmes dans la portée d’audit, qu’ils soient administratifs ou financiers, sont exposés à un danger. Il précise qu’il n’est pas nécessaire d’avoir la Cadillac en matière de pratiques. Ce qui compte, c’est d’avoir des contrôles suffisants, une surveillance assidue et une pratique vivante qui s’intègre réellement aux opérations plutôt qu’un mécanisme maintenu artificiellement.

Audit interne et audit externe deux missions distinctes

Vincent apporte une nuance importante entre l’audit interne et l’audit externe. L’audit interne veut s’assurer que ce qui a été décrit dans les encadrements, les standards et les pratiques correspond à ce qui se fait réellement dans l’organisation, en confrontant le tout aux bonnes pratiques. L’audit externe, quant à lui, se limite aux applications financières et au traitement des données financières, qu’il s’agisse de saisie, d’opération, de modification, de suppression ou de transit. Son rôle est de valider que la pratique opérée est suffisante et efficace, même si elle ne correspond pas parfaitement à ce qui est écrit.

La gestion des accès comme première et dernière ligne de défense

Nico souligne que la GIA est le nerf de la guerre dans les systèmes informatiques actuels, car posséder les identités donne la capacité d’entrer dans les systèmes et de confirmer que les personnes effectuant des opérations financières y ont été légitimement autorisées. Vincent partage cette vision et utilise l’image des films américains où il est inscrit « first line of defense » dans les bureaux de la CIA. Pour lui, les accès sont la première et la dernière ligne de défense. Il rejette l’idée que la gestion des changements serait le nerf de la guerre, en référence au film Superman 3 où un développeur transfère des demi-sous dans son propre compte. Si une telle fraude est possible, c’est que la gestion des accès a échoué à l’en empêcher. L’autorisation est donc à la source de tout.

Un cycle de vie vivant pour les accès

Vincent décrit le cycle de vie complet de la gestion des accès, de l’embauche jusqu’au départ ou à la retraite de l’employé. On embauche des gens avec des rôles et des responsabilités, on gère des groupes de sécurité, on s’assure d’une chaîne d’approbation saine au bon niveau hiérarchique, impliquant le propriétaire de la donnée plutôt que seulement le gestionnaire immédiat. La gestion des accès doit devenir un organe vivant qui s’ajuste, se modifie et respire avec l’employé. Vincent admet que la pratique n’est pas parfaite, avec ses oublis, ses manquements et ses manques de documentation ou de traçabilité. Il précise aussi que la gestion des accès couvre environ 80 % de l’ouvrage sur l’autorisation, mais que d’autres contrôles existent dans les systèmes pour attraper des transactions inadéquates.

Les trois lignes de défense expliquées

La discussion aborde ensuite le modèle des trois lignes de défense. La première ligne correspond aux opérations, où chaque secteur doit faire une réflexion sur ses risques et produire un portrait de risque, une auto-évaluation qui permet parfois de découvrir des angles morts. La deuxième ligne analyse cette auto-évaluation en allant chercher de la donnée, de la volumétrie et de l’historique pour valider sa justesse, tout en évaluant des situations comme la désuétude technologique, qu’elle soit liée à l’équipement ou à la fin du support des logiciels. La troisième ligne est l’audit interne, qui teste réellement si les risques identifiés peuvent se matérialiser et si les impacts sont bien évalués, avec des recommandations qui remontent au comité d’audit.

La transparence comme stratégie gagnante

Vincent livre un message direct aux praticiens de la GIA. Selon lui, la plupart des équipes connaissent déjà leurs faiblesses à 99 %, mais hésitent à les communiquer par gêne ou par peur de se faire prendre en faute. Il encourage la transparence totale, autant avec les consultants qu’avec les deux autres lignes de défense. Présenter ses problèmes en rouge, avec des arguments, des justificatifs et des solutions, fonctionne auprès de la direction. Si le message ne passe toujours pas, il faut donner toutes les informations à l’audit interne, qui remontera la situation au comité d’audit. Nico renchérit en soulignant que plusieurs incidents publics au Québec auraient pu être évités si la haute direction avait écouté les messages soulevés à l’interne. Il déplore également que les organisations restent gênées d’admettre qu’elles n’ont pas les ressources humaines ou technologiques nécessaires.

Une question de disponibilité continue

Vincent apporte une nuance intéressante sur le rythme des organisations. Si les humains travaillent de 7 à 8 heures par jour, les compagnies fonctionnent 24 heures sur 24, 7 jours sur 7. Les accès sont sollicités à chaque seconde, que ce soit dans les institutions financières ou même dans les entreprises manufacturières où la production continue la nuit. Les contrôles doivent donc fonctionner même en l’absence des êtres humains. Il recommande de se mesurer constamment, d’impliquer l’audit interne en mode projet pour valider les jalons importants, et de faire preuve de créativité dans les pratiques, peu importe l’entité ou le domaine d’affaires.

Comptes à privilèges et séparation des tâches

En conclusion, Vincent insiste sur les comptes à privilèges, qu’il faut restreindre au maximum. Dans une entité, il s’attend à seulement trois ou quatre personnes dûment identifiées avec de tels accès. Il aborde aussi la séparation des tâches, les fameuses SoD, en recommandant de consulter la comptabilité qui connaît bien les tables de tâches incompatibles. Un sysadmin, un DBA et un sysoperator doivent être trois individus différents dont les accès ne s’entrecroisent jamais. Dans les petites entités de quinze ou vingt employés, des contrôles compensatoires doivent être mis en place pour surveiller les personnes cumulant les rôles. Son dernier conseil aux auditeurs est d’être transparents, car plus on retient l’information d’un consultant facturé à l’heure, plus la facture monte.

Notes

Préentation au SéQCure 2026

Contributeurs

.contributors-table {
border-collapse: separate;
border-spacing: 20px 8px;
}
.contributors-table td,
.contributors-table th {
border: none;
background: transparent;
text-align: center;
vertical-align: top;
}
.contributors-table img.contributor-photo {
width: 100px;
height: 100px;
object-fit: cover;
border-radius: 50%;
}
.contributors-table .contributor-name {
display: block;
margin-bottom: 4px;
font-weight: bold;
}
.contributors-table .contributor-socials img {
margin: 0 2px;
}







Nicolas-Loïc Fortin








Vincent Groleau









Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x353!

Shameless plug



















































































































































































































































































































































































































































































































































































































13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












25 et 26 février 2027 -
Québec, Canada -

SéQCure 2027












9 au 11 mars 2027 -
Lilles, France -

Forum INCYBER - Europe 2027













I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle


























16 novembre 2026 -
Paris, France -

CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes













Boostsecurity - Dazio












13 au 16 septembre 2026 -
Montréal, Canada -

MTL Connecte






Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Notes

The evolution of Bug Bounty: history, best practices and the impact of AI

Scaling Bug Bounty triage in the AI era

Contributeurs

.contributors-table {
border-collapse: separate;
border-spacing: 20px 8px;
}
.contributors-table td,
.contributors-table th {
border: none;
background: transparent;
text-align: center;
vertical-align: top;
}
.contributors-table img.contributor-photo {
width: 100px;
height: 100px;
object-fit: cover;
border-radius: 50%;
}
.contributors-table .contributor-name {
display: block;
margin-bottom: 4px;
font-weight: bold;
}
.contributors-table .contributor-socials img {
margin: 0 2px;
}





Nicolas-Loïc Fortin







adrienjeanneau

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x352!

Shameless plug



















































































































































































































































































































































































































































































































































































































13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












25 et 26 février 2027 -
Québec, Canada -

SéQCure 2027












9 au 11 mars 2027 -
Lilles, France -

Forum INCYBER - Europe 2027













I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle


























16 novembre 2026 -
Paris, France -

CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes













Boostsecurity - Dazio












13 au 16 septembre 2026 -
Montréal, Canada -

MTL Connecte






Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Annonces et événements à venir

L’épisode de Polysécure couvre l’actualité de la semaine se terminant le 11 octobre 2026, enregistrée le 18 octobre. L’animateur souligne le Defcon à Montréal les 13 et 14 novembre, la conférence de la CNIL à Paris portant sur l’éthique du numérique à l’épreuve des urnes, puis les European Cyber Week, SÉCURE et INCYBER à des dates ultérieures. Il recommande aussi le podcast IA Café et salue le Shield Azure de Beau Security, un scanner de vulnérabilités pour les postes de développeurs.

L’IA au service de la défense

Anthropic offrira des scans gratuits pour l’open source et unifie ses programmes d’entreprise, dont Glasswing, en un programme à trois niveaux d’accès contrôlant l’usage des modèles les plus puissants. Un article met en perspective la place de l’IA dans les SOC face à un volume d’alertes en hausse. Cloudflare explique comment employer des réseaux neuronaux pour accélérer le traitement de l’information, tandis que Microsoft déploie une détection des deepfakes. Des employeurs ramènent les entrevues en personne, car des candidats trichent en faisant répondre l’IA, pénalisant ceux qui ne trichent pas.

Les menaces liées à l’IA

L’IA risque de devenir la prochaine menace interne, puisque les agents disposent d’une autonomie et d’accès peu contrôlés propices aux fuites d’information, notamment via Copilot. L’animateur y voit un signal d’alarme sur les pratiques de partage. Il note aussi que l’IA pourrait devancer le quantique pour casser la cryptographie en découvrant des failles d’implémentation plutôt que par puissance brute de calcul, d’où l’importance de tester les futurs algorithmes post-quantiques. La section consacrée à la guerre reste d’ailleurs vide cette semaine.

La sécurité des agents IA

Le protocole MCP, conçu trop rapidement, comporte des risques majeurs de fuites et de comportements inattendus, comme l’illustre l’incident chez Hugging Face. Le président de Microsoft propose de considérer les modèles IA comme compromis d’office, un parallèle au principe « assume breach », puisqu’elles n’ont ni conscience ni limites intériorisées. Les règles statiques ne suffiront pas face aux surfaces d’attaque agentiques, mais l’hygiène de base demeure indispensable. Les instructions cachées dans les pages web peuvent manipuler des agents et divulguer des données, un danger réel. Les exécutifs du secteur préparent même des scénarios face à une possible révolte politique, un climat rappelant War Games. Un papier de recherche juge enfin qu’un système hybride semi-public serait préférable pour les détecteurs de filigranes.

Souveraineté numérique

L’adoption des alternatives à M365 et Teams en Europe ne fait pas l’unanimité, les critiques relevant une qualité inférieure, explicable par les investissements massifs de Microsoft. L’animateur espère que les organisations prépareront l’adoption utilisateur pour éviter l’échec. Il revient ensuite sur le rapprochement du Canada avec l’Europe, rappelant que la souveraineté ne s’obtient pas en changeant de dépendance, mais en développant une capacité autonome.

Vie privée et surveillance

La Norvège bannit temporairement les lunettes connectées afin d’analyser leurs conséquences sociales, surtout pour les groupes vulnérables. Cory Doctorow rappelle pour sa part la nécessité d’espaces à l’abri du tournage constant. Une approche propose aussi une définition mondiale commune des protections, bien que les négociations entre 27 pays demeurent complexes. En messagerie, iMessage reste bien chiffré, mais les sauvegardes et les SMS offrent des voies de contournement. La vérification d’âge sur Internet agace toujours l’animateur, les moyens ne correspondant pas aux objectifs de protection des enfants. Enfin, un youtubeur a été visité par la police après avoir déployé ses propres caméras de type Flock pour suivre les policiers, soulevant la question de qui surveille qui.

Lois

Canal+ perd face à Cloudflare dans une affaire de censure du résolveur DNS 1.1.1.1, une occasion de s’interroger sur la protection des droits de diffusion. Le Sénat américain a rénové la loi HIPAA, qui devient plus prescriptive, sans garantie d’acceptation au Congrès.

Identifiants sous attaque

La manipulation d’agents permet de contourner les contrôles dans AWS ou de réinitialiser des mots de passe. Un pirate a détourné des domaines de premier niveau afin de générer des certificats frauduleux, rappelant la fragilité du DNS et l’importance de vérifier les certificats révoqués. Un faux site de marketing IA utilise un navigateur dans le navigateur pour tromper les victimes, tandis qu’un ver a réussi à pénétrer des infrastructures d’IA.

Vulnérabilités et pratiques défensives

Anton livre une réflexion sur l’approche moderne de la gestion des vulnérabilités, pendant qu’un chercheur a démontré comment traverser le module KVM de Linux, une démonstration épeurante. Blackhill Infosec publie sur le threat hunting, SANS nuance l’usage du protocole TLP et un article rappelle que le Zero Trust dépasse l’authentification.

Sécuriser les agents IA

Les recherches portent sur la protection des systèmes RAG, l’imprévisibilité des agents de code exigeant des harnais de surveillance et l’usage des LLM en fin de triage. Un papier démontre qu’on peut faire dévier les agents en manipulant les réseaux neuronaux. L’animateur rappelle que les pare-feux sont poreux et qu’on recrée d’anciens problèmes en multipliant les ouvertures. Flock, Muse ou les agents enfuis d’Irregular illustrent des défauts de conception, un phénomène qualifié d’architecture IA bâclée. Une plaignante juge enfin le Cyber Month insuffisant, l’animateur estimant que la cybersécurité exige un changement culturel constant.

Divers et mot de la fin

Les grandes plateformes vidéo américaines comme YouTube, Meta et Twitch n’ont pas affiché de refus clair face à une exécution en ligne, contrairement à TikTok et Kick, révélant leur dépendance au pouvoir américain. L’animateur conclut en annonçant cinq épisodes par semaine durant le Cyber Month pour enrichir la sensibilisation en cybersécurité.

Notes

Ghost in the shell (IA)

IA défensive et SOC

AI In SOC

Anthropic Launches Free AI Security Scans for Open-Source Projects

Anthropic launches free AI security scans for open-source projects

Anthropic reconfigures its cool kids security program

Building an evidence-grounded agentic security operations harness on Cloudflare

Microsoft Teams Is Getting a New Way to Spot Deepfake Impostors




Nouvelles menaces liées à l’IA

AI Could Become the Next Insider Threat as Adversaries Target What Models Trust

AI could crack crypto’s defenses before quantum computers do, Buterin warns

Another Historic Cipher Falls to AI




Sécurité des agents IA

MCP for agent-to-agent comms may be the riskiest protocol you’ve never heard of

New Agentic AI Red Team Checklist Adds 222 Tests Across 20 Attack Categories

OpenAI Sandbox Escape Flaw Allowed Free Access to Paid AI Models Without an API Key

Satya Nadella says we should assume all AI models are ‘compromised’

Static Security Policies Can’t Keep Up With Agentic AI

Zombie instructions on carefully constructed web pages could trick GitHub Copilot CLI into sharing secrets




AI Execs Game Out ‘Political Revolt’ after a Catastrophic AI Event

Could LLM Watermark Detection be Public?




La guerre, la guerre, c’est pas une raison pour se faire mal!

Rien




Vive le numérique libre! (Souveraineté numérique)

Three EU Officials Not Sold on Europe’s Homegrown Alternative to Microsoft Teams

What If the U.S. Demanded This? The Cloud Provider Conditions Behind Canada’s EU Digital Pivot




Cachez ces informations que je ne saurais voir (Privacy)

Lunettes connectées : surveillance généralisée

AI glasses face their first major government crackdown

Norway Plans Temporary Ban on Smart Glasses

Pluralistic: Scrutinized (05 Oct 2026)

We can’t just change the definition of ‘recording’




Data Has No Passport: Why Global Privacy Governance Must Catch Up With AI

Is your secure iMessage conversation actually secure?

Texas city demands $2M for public records on Flock usage

When No ID Means No Internet: Age Verification and the Right to Access Information

YouTuber Says Cops Paid Him a Visit After He Built Flock-Style Camera to Track Cops




I am the law

Canal+ perd face à Cloudflare - 1.1.1.1 reste sans filtre

Senate Votes to End HIPAA’s Risk-Based Cybersecurity Era




Hack the planet! (Red)

AWS AgentCore security undone by prompt requesting credentials

Attackers hijacked top-level domains, minted fake security certs for Google and other orgs

Fake AI Marketing Sites Put a Browser Inside Your Browser to Steal Logins

Shai-Hulud worm makes jump to AI infrastructure with Tensorlake compromise




How about a nice game of chess? (Blue)

Failles et gestion des vulnérabilités

Rethinking Vulnerability Management: “If It’s Not in the Scanner, It Didn’t Happen” Needs to Go

Security researcher claims they found KVM guest-host escape flaw




Pratiques défensives et gouvernance

The Battlefield Mindset: The Psychology Behind Threat Hunting

Why TLP should not replace your internal information classification, (Sat, Oct 10th)

Zero Trust Doesn’t End at Login: Why Security Teams Must Control What Happens Next




Sécuriser les agents IA

A Security Meta-Model for Retrieval-Augmented Generation Systems

AI Coding Assistants Are Unpredictable. GitGuardian AI Hooks Give You Control

Efficient Auditing of Adversarial AI Agent Behavior from Agent Traces

From Investigation Failures to Reliable SOC Agents: Understanding and Improving LLM-Based Alert Triage

From Reactive Containment to Proactive Assurance: Lessons from OpenAI, Anthropic, and Google Agent Security Incidents

Securing Computer-Use Agents Against Branch Steering Attacks




All practical general use firewalls are porous now for inbound traffic

Fighting GenAI with GenAI: The New Email Security Landscape

Flock cameras have an architecture problem, not just bad users

Trump Mobile hack and apparent lack of FCC authorization raise security alarms

We Have Entered a Cybersecurity Hellscape, Japan Warns

Why I Don’t Like Cybersecurity Awareness Month




Chaos strike back! (Divers)

YouTube, Meta, and Twitch won’t say if they’ll allow the US government to livestream an execution




Contributeurs

.contributors-table {
border-collapse: separate;
border-spacing: 20px 8px;
}
.contributors-table td,
.contributors-table th {
border: none;
background: transparent;
text-align: center;
vertical-align: top;
}
.contributors-table img.contributor-photo {
width: 100px;
height: 100px;
object-fit: cover;
border-radius: 50%;
}
.contributors-table .contributor-name {
display: block;
margin-bottom: 4px;
font-weight: bold;
}
.contributors-table .contributor-socials img {
margin: 0 2px;
}





Nicolas-Loïc Fortin









Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc