Cet article a été fourni par CyberNewswire et ne représente pas le contenu éditorial d’eWeek.
Aujourd’hui, CyCognito, une plateforme de gestion de l’exposition de premier plan, a présenté le pentest IA continu. Cette nouvelle fonctionnalité intègre directement à la plateforme un pentest offensif piloté par l’IA, en s’appuyant sur le riche contexte qu’elle conserve déjà pour chaque actif exposé. CyCognito peut ainsi fournir le pentest IA sous forme de service continu, en contournant les contraintes de coût et de couverture qui limitent les solutions comparables à des interventions périodiques et étroitement ciblées.
Avec cette nouvelle solution, CyCognito répond à une évolution majeure de l’écosystème de la sécurité, portée par les dernières avancées de l’IA. Les modèles actuels, et ceux encore plus avancés qui arrivent, ont abaissé la barre pour les attaquants. Une campagne d’attaque qui nécessitait autrefois un groupe d’acteurs malveillants chevronnés peut désormais être menée par une personne peu qualifiée, en une fraction du temps et à un coût relativement faible. Cela marque un bouleversement tectonique qui oblige les défenseurs à adopter la même technologie pour rester à niveau et combler les failles de sécurité de leur propre environnement.
« Le pentest IA est rapidement en train de devenir un outil incontournable de toute équipe de sécurité, et une grande partie est déjà réalisée en interne », a déclaré Rob Gurzeev, CEO et cofondateur de CyCognito. « Mais exécuter un pentest offensif avec l’IA n’est pas le plus difficile. Le défi, c’est l’échelle. Aujourd’hui, le pentest IA se limite généralement aux 1 % d’actifs prioritaires. Pendant ce temps, les 99 % restants sont à l’origine d’une grande partie des attaques, car c’est là que les adversaires trouvent les fruits les plus faciles à cueillir et s’en servent comme point d’appui pour se déplacer latéralement. »
Pour assurer une couverture de pentest IA sur ces 99 % négligés, CyCognito a conçu une architecture distincte centrée sur le Target Graph, un graphe contextuel qui fait le lien entre la solution de pentest IA et les trois modules fondamentaux de CyCognito :
- Exposure Assessment cartographie l’empreinte externe, rattache chaque actif à la partie appropriée de l’organisation et l’enrichit avec le contexte métier et technique.
- Exposure Validation exécute en continu plus de 100 000 tests déterministes, laissant aux pentesters IA le soin de se concentrer sur les tâches nécessitant le plus de discernement.
- Threat Intelligence s’appuie sur l’historique des vulnérabilités existantes et émergentes, ainsi que sur les modes opératoires des attaquants et des modèles statistiques entraînés sur des interventions passées, afin d’anticiper l’activité des attaquants.
Ensemble, ces couches renforcent l’efficacité des agents de pentest, en leur fournissant un contexte riche et des éléments attestant de l’exploitabilité, tout en améliorant considérablement l’efficacité de chaque exécution.
L’architecture est également conçue pour évoluer en permanence de manière autonome. Chaque nouveau scénario de risque découvert par les pentesters IA peut être intégré en dur dans le module Exposure Validation, où il rejoint les tests déterministes déjà exécutés. Les agents IA peuvent ainsi se consacrer aux nouvelles menaces, tandis que les enseignements tirés des tests agentiques sont consolidés d’une manière qui profitera à tous les clients de CyCognito.
Dans l’annonce de cette nouvelle fonctionnalité, l’entreprise a également dévoilé certains des problèmes de sécurité identifiés :
- Accès non authentifié à un CRM de production : un serveur MCP exposé permettait d’effectuer des requêtes en langage naturel et de manière anonyme sur trois millions de lignes de données de comptes, d’opportunités commerciales et de données financières, sans identifiants requis.
- Un index RAG lisible publiquement : une pile d’agents IA n’imposait l’authentification que sur son API, laissant la base de connaissances sous-jacente — qui contenait des données clients, des contrats et des communications internes — ouverte à toute personne sur Internet.
- Les systèmes de contrôle d’accès d’un bâtiment exposés sur Internet : un système qui pilotait les serrures, les lecteurs de cartes et la vidéosurveillance était connecté sans segmentation à l’Internet public, aux côtés des outils documentaires et du chatbot IA de l’organisation, rendant l’accès physique atteignable par un attaquant à distance.
Ces exemples ne représentent qu’une partie des scénarios de risque identifiés dans le cadre des travaux consacrés à cette nouvelle fonctionnalité, désormais déployée avec certains partenaires de conception, notamment de grandes entreprises et des sociétés du Fortune 500. En interne, CyCognito désigne ce projet sous le nom de Project Kineto, en référence au kinétographe, la première caméra cinématographique.
« Ce nom fait écho à notre vision de ce que devrait être le pentest IA », a déclaré Gurzeev. « Les tests de sécurité ont toujours été un instantané. L’IA nous permet de les transformer en mouvement continu : un flux permanent de tests tenant compte des changements, qui s’exécute à la vitesse de la machine sur l’ensemble de votre surface d’attaque, avec le savoir-faire d’un expert chevronné de la sécurité. »
Pour approfondir le sujet du pentest IA continu, consultez l’annonce complète : https://www.cycognito.com/blog/new-continuous-ai-pentesting/
À propos de CyCognito
CyCognito est une plateforme de gestion de l’exposition externe qui réduit les risques en découvrant, testant et hiérarchisant les problèmes de sécurité.
La plateforme analyse des milliards de sites web, d’applications cloud et d’API, et utilise une IA avancée pour identifier les risques les plus critiques et orienter leur correction. Des entreprises émergentes, des agences gouvernementales et des organisations du Fortune 500 s’appuient sur CyCognito pour se prémunir contre les menaces croissantes et en protéger leurs actifs. Pour plus d’informations, rendez-vous sur https://www.cycognito.com.
Contact
VP Marketing
Igal Zeifman
CyCognito