Glossaire du pentest IA
En bref
Les termes du test d'intrusion assisté par IA, définis simplement. Chaque définition possède sa propre ancre : vous pouvez la citer ou la partager directement.
- Pentest (test d'intrusion)
- Évaluation de sécurité autorisée dans laquelle un expert tente de compromettre un système comme le ferait un attaquant, afin d'identifier et de prouver les vulnérabilités exploitables.
- Pentest IA
- Test d'intrusion dans lequel des agents d'intelligence artificielle automatisent la reconnaissance, l'analyse et la rédaction, sous le contrôle d'un pentesteur humain qui valide chaque vulnérabilité.
- Pentest autonome
- Test d'intrusion entièrement piloté par des agents IA qui choisissent eux-mêmes leurs actions. Rapide, mais exposé aux faux positifs et aux actions risquées sans supervision humaine.
- Agent IA
- Programme qui observe un résultat, raisonne avec un modèle de langage, choisit une action (lancer un outil, envoyer une requête), puis recommence en fonction de ce qu'il observe.
- Architecture multi-agents
- Organisation dans laquelle plusieurs agents IA spécialisés (reconnaissance, analyse, vérification, rapport) se répartissent une mission et se transmettent leurs découvertes.
- Qualification adversariale
- Étape où un agent IA tente de réfuter chaque vulnérabilité proposée par les autres agents. Seuls les constats qui résistent sont transmis au pentesteur.
- Faux positif
- Vulnérabilité signalée qui n'existe pas réellement. Les faux positifs font perdre du temps aux équipes et décrédibilisent un rapport.
- Hallucination
- Affirmation produite par un modèle de langage qui semble plausible mais n'est pas fondée sur les faits observés, par exemple une faille déclarée exploitable sans preuve.
- Pseudonymisation
- Remplacement des données identifiantes (adresses IP, URL, noms) par des jetons, comme url1 ou ip1, avant leur traitement par un modèle de langage.
- Boîte noire, grise, blanche
- Niveau d'information fourni au pentesteur : aucun (noire), des comptes utilisateurs (grise), ou le code source et la documentation (blanche).
- Surface d'attaque
- Ensemble des points par lesquels un attaquant peut tenter d'entrer : sites, API, services exposés, accès à distance, comptes utilisateurs.
- Scanner de vulnérabilités
- Outil qui compare un système à une base de failles connues. Utile en continu, il ne détecte ni les failles de logique métier ni les chaînes d'attaque.
- IDOR
- Insecure Direct Object Reference : faille de contrôle d'accès qui permet de consulter ou de modifier les données d'un autre utilisateur en changeant un identifiant dans une requête.
- BOLA
- Broken Object Level Authorization : équivalent de l'IDOR dans les API, classé en tête de l'OWASP API Security Top 10.
- Injection SQL
- Faille qui permet d'insérer des instructions dans une requête de base de données via une entrée utilisateur mal filtrée.
- Prompt injection
- Attaque visant une application qui utilise un modèle de langage : des instructions cachées dans une entrée détournent le comportement du modèle. Première catégorie de l'OWASP Top 10 pour les applications LLM.
- Logique métier
- Règles propres à l'activité du client (validation, remises, droits). Leurs failles échappent aux scanners et demandent une compréhension humaine du contexte.
- CVSS
- Common Vulnerability Scoring System : système de notation de la sévérité d'une vulnérabilité, de 0 à 10. La version 4.0 a été publiée en 2023.
- OWASP Top 10
- Classement de référence des risques de sécurité les plus critiques pour les applications web, publié par la fondation OWASP.
- OWASP WSTG
- Web Security Testing Guide : guide méthodologique de l'OWASP qui détaille comment tester la sécurité d'une application web.
- PTES
- Penetration Testing Execution Standard : cadre qui structure un test d'intrusion en phases, du cadrage au rapport.
- MITRE ATT&CK
- Base de connaissances des tactiques et techniques réellement utilisées par les attaquants, employée pour décrire et comparer les actions d'un test.
- Active Directory
- Annuaire Microsoft qui gère les comptes et les droits d'un réseau d'entreprise. Sa compromission donne souvent le contrôle de tout le système d'information.
- Kerberoasting
- Technique d'attaque Active Directory qui consiste à récupérer des tickets de service Kerberos pour casser hors ligne le mot de passe des comptes de service.
- ADCS
- Active Directory Certificate Services : service de certificats de Microsoft dont les erreurs de configuration permettent souvent une élévation de privilèges.
- Contre-test
- Nouveau test, réalisé après correction, qui vérifie que les vulnérabilités signalées sont bien refermées.
- Red Team
- Simulation d'attaque réaliste et prolongée, qui combine technique, humain et parfois physique, pour tester la capacité de détection et de réaction.
- Purple Team
- Exercice où attaquants (Red) et défenseurs (Blue) travaillent ensemble pour améliorer en direct les règles de détection.
- NIS2
- Directive européenne (UE) 2022/2555 qui étend les obligations de cybersécurité à de nombreuses entités et demande d'évaluer l'efficacité des mesures de sécurité.
- DORA
- Règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis janvier 2025, qui prévoit notamment des tests de résilience.