PolySécure Podcast

Parce que… c’est l’épisode 0x324!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Notes

N8ive by design - one leaked key, three attack chains

Collaborateurs

Nicolas-Loïc Fortin

Guillaume Valadon

Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x323!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Collaborateurs

Nicolas-Loïc Fortin

Catherine Dupont-Gagnon

Samuel Harper

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x322!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Notes

IA ou Ghost in the shell

Rogue ou pas rogue, là est la question

OpenAI says its AI agent broke out of testing sandbox to hack Hugging Face

OpenAI says its AI models hacked Hugging Face during testing

OpenAI’s accidental cyberattack against Hugging Face is science fiction that happened

OpenAI Hacks Hugging Face, What Happened, Alignment and Paper Clips

Frontier LLMs couldn’t help Hugging Face fight off evil agents

OpenAI scored an own goal with Hugging Face attack, showing how open Chinese models are winning

OpenAI-Hugging Face attack doesn’t mean agents are evil – unless you tell them to be

The OpenAI Models That Hacked Hugging Face Were ‘Active on the Internet’ for Days

AI arms race in line for a reckoning after OpenAI hacking incident

OpenAI says its AI went rogue and launched ‘unprecedented’ cyber-attack

An OpenAI model left notes about how to evade containment; we need more details

OpenAI’s Rogue Agent Went Unnoticed For a Week

Be skeptical of OpenAI’s rogue hacker agent story

The first known runaway AI agent - or a very bad marketing stunt?

Digital Intelligence: Why Humanity Created What It Does Not Understand




Petit rogue

Claude Cowork Flaw Could Let AI Agent Escape Its VM and Access Mac Files




Recherche

The Language of Security: How Prompt Syntax Shapes Secure Code Generation in Open LLMs

Understanding How University Guidelines Address Privacy and Security Issues of Generative AI in Academic Settings

LLM Unlearning for Cyber Defense: A Survey on Methods, Challenges, and Emerging Threats

Adaptive Incident Prioritization for Security Operations at Scale




AI Kill Switch Act would let Trump admin order shutdown of rogue AI systems

Hermes AI agent used to automate attack on Thai Finance Ministry

Why blocking AI models won’t stop the cyber threats they create

Linux Patches 400+ Kernel Vulnerabilities in 24 Hours With AI-Powered Detection

UK AISI / CAISI Preliminary Assessment of Kimi K3’s Cyber Capabilities

Seeing AI Agents Is Not Enough. Security Teams Must Enforce What They Can Do

Connecting AI agents to outside services explodes the risk radius




La guerre, la guerre, c’est pas une raison pour se faire mal!

Apps targeted at US troops contain Chinese and Russian code




Souveraineté ou vive le numérique libre!

Rien




Privacy ou cachez ces informations que je ne saurais voir

What the Flock

The creepiest ‘sales demo’ of all time

A 77-year-old Republican man is staging a solo protest against St. Pete’s Flock cameras

Inside the growing vigilante movement to knock out Flock surveillance cameras

Flock Safety kills acoustic system designed to detect ‘human distress’




Graphene

GrapheneOS protections against data extraction from locked devices

US Accuses American of Allegedly Wiping His Phone Using a ‘Duress’ Password During Border Search




Tile’s Security Is So Bad It’s a Feature for Stalkers « Adafruit Industries – Makers, hackers, artists, designers and engineers!

The EU is about to sell our most sensitive data to the US for visa-free travel - European Digital Rights (EDRi)

Pluralistic: California’s privacy obstacle course (23 Jul 2026)

Encryption and Globalization 15 Years Later: End-to-End Encryption and the Third Round of the “Going Dark” Debate by Peter Swire, Kenesa Ahmad, Michael Specter :: SSRN




I am the law

Canada

Rushing Lawful Access Backfires: Wyden Letter on Bill C-22 Highlights Political, Trade and Business Risks

A Surveillance Treaty in Disguise: The Trouble With Canada’s Quiet Decision to Sign the UN Cybercrime Convention




Bitinde

L’Inde coupe internet, puis exige le retrait du code de bitchat

bitchat · Decentralized mesh messaging (iOS/macOS)




Pif pouf

Google hit with $1 billion in fines as EU braces for Trump battle

Trump threatens new tariffs against EU over Google fine




France Becomes First European Country To Ban Social Media Access For Under-15s

Uncle Sam tells overseas cybercrooks their visas are canceled




Red ou tout ce qui est brisé

Researchers replace downloaded macOS apps with evil twins, Apple shrugs

Malicious cloud customers can bring down the power grid




Blue ou tout ce qui améliore notre posture

Cool head

npm’s release cooldown is security theater

A quote from Seth Larson




Apple Fixes Hide My Email Vulnerability After 404 Media Coverage

Threat-INFORM to Optimize Security Operations

OVH reveals semi-secret plan to fix critical Januscape hypervisor bug with mass reboots – and an Australian crash-test dummy




Divers ou parce que j’ai aucune idée où les placer

CISOs vs. Boards: Myth or Misunderstanding?

Microsoft Responds to LG Monitors Installing McAfee Ads On Windows




Collaborateurs

Nicolas-Loïc Fortin

Crédits

Montage par Intrasecure inc

Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x321!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Dans cet épisode spécial enregistré à Montpellier, Nicolas reçoit Xavier Facélina, entrepreneur en cybersécurité depuis près de 30 ans, fondateur de la société CLAB (créée en 2011, vendue il y a deux ans et demi) et sur le point de lancer une nouvelle entreprise au Québec. La discussion reprend le fil d’une conférence que Xavier a donnée à Nordic sur la place de la science-fiction dans la façon dont l’avenir se construit réellement, et sur les liens étroits entre cet imaginaire et sa propre carrière en cybersécurité.

La red team du ministère des armées : quand la science-fiction éclaire la stratégie

Xavier explique une initiative française singulière : la red team du ministère des armées, animée pendant plusieurs années par son ami Nicolas Mainvie. Contrairement à une red team de pentesting, cette équipe rassemble des militaires de carrière, des diplomates et des auteurs de science-fiction (scénaristes, romanciers) pour réfléchir collectivement aux futurs possibles de la conflictualité — sociale, écologique, militaire. Les récits produits, en partie publics, visent à anticiper des scénarios plausibles pour préparer la France à défendre ses valeurs démocratiques. Xavier souligne que si d’autres pays comme les États-Unis mènent des exercices de prospective similaires, ils le font surtout via des analyses techniques plutôt que par le récit romancé, alors que l’être humain reste fondamentalement un animal d’histoires.

Les auteurs de science-fiction, spécialistes de l’avenir

Un des points centraux de l’échange est l’idée que les autrices et auteurs de science-fiction sont, par leur pratique quotidienne, particulièrement entraînés à imaginer des futurs plausibles. Nicolas et Xavier remontent aux mythes grecs, à Jules Verne (dont les récits de voyage vers la Lune ont inspiré des générations), et même à Tintin, dont les fusées annoncent étonnamment bien les technologies actuelles — démontrant une forme de « contamination » des idées entre œuvres, y compris celles qui ne se revendiquent pas explicitement de la science-fiction.

L’imaginaire d’enfance comme moteur de carrière

Xavier raconte comment son ami Nicolas Mainvie lui a fait remarquer que ses deux passions apparemment séparées — la science-fiction et la cybersécurité — sont en réalité intimement liées : ses produits et entreprises répondent souvent, sans qu’il en ait eu pleinement conscience, à des questions posées par des œuvres de son enfance comme Wargames, Ghost in the Shell ou Star Trek. Il insiste sur l’importance de continuer à nourrir son imaginaire d’adulte, au risque sinon de se laisser gagner par des représentations plus sombres ou dépressives de l’avenir. Il cite Ghost in the Shell (2006, saison Standalone Complex) comme un exemple d’œuvre à la fois futuriste et étonnamment optimiste sur la continuité des dynamiques sociales humaines malgré la présence de cyborgs et d’IA.

De l’imaginaire à l’innovation concrète

La conversation explore ensuite comment la science-fiction fonctionne comme un espace de liberté permettant d’explorer l’humain sans les contraintes du réel, un peu comme les nombres imaginaires en mathématiques permettent de résoudre des équations autrement impossibles. Xavier établit un parallèle frappant entre le téléphone Motorola StarTAC (1996) et le communicateur à charnière de Star Trek (1966) : bien que l’ingénieur en lui trouve ce choix de design peu pratique, cette influence culturelle a poussé à des innovations techniques réelles (nappes flexibles), dont on retrouve l’héritage dans les écrans pliables actuels. Il évoque aussi l’iPad et la visioconférence, anticipés dès la première saison de Star Trek en 1966, une œuvre qu’il recommande vivement pour sa modernité sociale et politique surprenante pour l’époque.

Les deux interlocuteurs formulent une « règle des 30 ans » : il faudrait environ trois décennies entre l’apparition d’un concept en science-fiction et sa réalisation technique ou scientifique. Ils appliquent cette règle à la téléportation (Star Trek, années 60) et à l’interface neuronale de Matrix (1999), suggérant qu’on pourrait voir des avancées significatives d’ici 2029-2036. Xavier insiste également sur le rôle de la science-fiction comme outil de vulgarisation : les entrepreneurs qui peuvent ancrer leur pitch dans une référence culturelle connue (Matrice, Star Wars) captent l’attention bien plus vite que ceux qui présentent une idée totalement inédite.

L’intelligence artificielle : de la dystopie à la bienveillance

La dernière partie de l’échange porte sur l’évolution des représentations de l’IA à travers la trilogie Tron (Tron, Tron Legacy, Tron Ares). Xavier observe un glissement progressif : dans le premier film, l’IA a une volonté propre hostile ; dans le second, sa dangerosité vient d’un ordre humain mal formulé (« créer un monde parfait ») plutôt que d’une malveillance intrinsèque ; dans le troisième, une IA militarisée choisit finalement la bienveillance et l’empathie comme moteur, plutôt que la vengeance ou la puissance — un cas rare au cinéma. Nicolas fait le lien avec l’approche d’Anthropic, qui privilégie une philosophie d’entraînement fondée sur des principes plutôt que des règles rigides, rappelant les trois lois de la robotique d’Isaac Asimov, elles-mêmes une invention littéraire devenue référence scientifique et philosophique incontournable.

L’épisode se conclut sur l’idée que ces récits, bien qu’imaginaires, façonnent concrètement notre manière de penser, d’innover et d’aborder des sujets aussi sérieux que l’intelligence artificielle — et les deux animateurs promettent de poursuivre cette conversation lors d’une prochaine rencontre au Québec.

Notes

Le futur s’invente avant-hier

Collaborateurs

Nicolas-Loïc Fortin

Xavier Facélina

Crédits

Montage par Intrasecure inc

Locaux réels par Repère secret de Xavier

Parce que… c’est l’épisode 0x31F!

Shameless plug

19 septembre 2026 - Bsides Montréal

20 au 26 septembre 2026 - BruCON

13 novembre 2026 - DEATHCon

16 au 19 novembre - European Cyber Week

1 au 3 décembre 2026 - Forum INCYBER - Canada 2026

24 et 25 février 2027 - SéQCure 2027

Description

Contexte de l’épisode

Ce premier épisode d’une série en trois volets consacrée à la gestion de crise réunit Alexandre Fournier, invité spécial, aux côtés de Cyndie Feltz, Nicholas Milot et Dominique Derrier. L’objectif de cette discussion est de poser les bases : qu’est-ce qu’une crise pour une PME, et comment s’y préparer concrètement, sachant que ces organisations sont souvent les moins bien outillées pour y faire face et l’apprennent généralement trop tard.

Une réalité différente des grandes entreprises

Alexandre ouvre la discussion en soulignant que la gestion de crise en PME n’a rien à voir avec celle des grandes organisations : ni les mêmes moyens, ni les mêmes priorités, ni les mêmes obligations réglementaires. Les PME consacrent naturellement leurs ressources au quotidien plutôt qu’à la préparation aux crises, ce qui les rend particulièrement vulnérables. Les cadres normatifs classiques (type ISO), pensés pour de grandes structures, sont jugés largement inadaptés à la réalité opérationnelle des petites organisations. Alexandre affirme même trouver plus stimulant de travailler avec des PME, où les gains d’efficacité sont plus tangibles lorsqu’elles s’engagent réellement dans la démarche.

La méthode de « l’eau bouillante »

Le cœur de l’échange porte sur une approche pragmatique : plutôt que de multiplier les analyses théoriques, Alexandre propose de plonger directement les dirigeants (le PDG et son bras droit) dans une simulation de crise concrète — un exercice de type « table top » réalisable en une heure. Ce choc initial révèle immédiatement les failles de préparation de l’organisation. Une fois la surprise passée, l’équipe peut construire un plan de gestion de crise réellement adapté — trois pages suffisent généralement pour une PME, loin des documents de trente pages inutilisables au quotidien.

Définir ce qu’est réellement une crise

Une partie importante de la discussion porte sur la définition même du mot « crise », devenu un terme galvaudé dans les PME où le moindre incident mineur peut être qualifié ainsi. Le groupe s’accorde sur un critère simple : une crise se reconnaît à l’arrêt de la productivité, du chiffre d’affaires ou de la capacité à rendre le service ou la mission de l’organisation. Cyndie souligne la difficulté fréquente à identifier où se situe réellement la valeur critique de l’entreprise, un exercice que seule une mise en situation concrète permet de clarifier efficacement — bien plus qu’une analyse d’impact d’affaires classique, jugée coûteuse en temps et souvent déconnectée de la réalité. Selon Alexandre, parler d’argent rend les gens lucides très rapidement : dès qu’une simulation touche au chiffre d’affaires, chaque service identifie naturellement ses priorités essentielles.

Obligations légales et préparation

La discussion aborde ensuite les obligations réglementaires variables selon les secteurs (alimentaire, pharmaceutique, industriel, etc.), la loi 25 étant citée en exemple. Ces obligations émergent naturellement lors des exercices de simulation, ce qui permet d’identifier les contacts et procédures nécessaires en amont plutôt que dans l’urgence.

L’importance critique de l’annuaire de contacts

Un point très concret est développé : la difficulté de retrouver rapidement les numéros de téléphone des parties prenantes (assureurs, fournisseurs, autorités) en cas de crise, alors que cette information est habituellement dispersée dans différents systèmes et contrats. Si cette recherche peut déjà prendre plusieurs heures en temps normal, elle devient quasi impossible si les systèmes informatiques sont hors service. La solution proposée : constituer des « cartes réflexes », des documents physiques (format une à deux pages) rassemblant l’essentiel pour gérer les deux premières heures d’une crise, en s’inspirant du principe de sauvegarde 3-2-1 appliqué aux copies numériques. Une copie externalisée, chiffrée ou sur clé USB, ainsi qu’une version papier, sont recommandées. Le groupe évoque en riant que certains ont déjà appliqué ce principe avec leur gestionnaire de mots de passe, imprimé et plastifié. La discussion souligne aussi la vulnérabilité totale de l’électronique en cas d’événements extrêmes (blackout, impulsion électromagnétique), où seul le papier resterait exploitable.

Maintenir la préparation dans le temps

La dernière partie aborde la fréquence de mise à jour de ces outils. Si une révision annuelle constitue un minimum, Alexandre recommande plutôt deux exercices complets par an, complétés par de courts exercices mensuels de quinze minutes portant sur un scénario spécifique choisi librement (attaque informatique, grève, etc.). Cette pratique régulière, bien plus légère qu’un exercice de trois heures perçu comme une perte de temps par des dirigeants déjà accaparés par leur quotidien, permet de maintenir un momentum et de développer une forme de réflexe mental face aux imprévus. Selon Alexandre, cette répétition crée des connexions cognitives qui accélèrent considérablement la capacité à réagir efficacement le moment venu — un gain de temps crucial, car une PME peut être longue à construire mais très rapide à perdre.

Conclusion

L’épisode se termine sur une transition vers la communication de crise, brièvement évoquée comme un enjeu tout aussi déterminant : bien décider ne suffit pas, encore faut-il savoir communiquer dès les premières heures pour occuper le terrain, faute de quoi d’autres acteurs risquent de définir le narratif à la place de l’organisation. Ce sujet sera approfondi dans le deuxième épisode de la série, consacré à la gestion en plein cœur de la crise.

Collaborateurs

Nicolas-Loïc Fortin

Dominique Derrier

Cyndie Feltz

Alexandre Fournier

Nicholas Milot

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm