Méthodologie d'un pentest IA en 8 étapes
En bref
Un pentest IA suit les mêmes étapes qu'un test d'intrusion classique (cadrage, reconnaissance, analyse, exploitation, rapport, restitution), mais les phases d'énumération, d'analyse et de rédaction sont accélérées par des agents IA. Les phases de décision (cadrage, exploitation sensible, validation, restitution) restent humaines. La méthodologie de HackHeart s'appuie sur l'OWASP WSTG, le PTES et la matrice MITRE ATT&CK.
Les 8 étapes d'un pentest IA chez HackHeart
- Cadrage et autorisation. Définition des cibles, des fenêtres de test, des comptes fournis et des interdits. Signature d'une autorisation écrite. Le périmètre est ensuite inscrit dans la configuration technique des agents, qui ne peuvent pas en sortir.
- Préparation. Création des comptes de test par rôle, choix de la boîte (noire, grise, blanche), configuration de la pseudonymisation des données client.
- Reconnaissance assistée. Les agents cartographient sous-domaines, services exposés, endpoints, paramètres et technologies. Le pentesteur valide la cartographie et priorise.
- Analyse automatisée. Des agents spécialisés testent les familles de vulnérabilités de l'OWASP Top 10 et de l'OWASP API Security Top 10 : contrôle d'accès, injections, authentification, gestion de session, exposition de données, mauvaise configuration.
- Exploitation contrôlée. Les chaînes d'attaque sont construites et exploitées par le pentesteur, avec l'aide des agents, sans action destructive. Sur un périmètre interne, la même logique s'applique à Active Directory (Kerberoasting, délégations, ACL, ADCS).
- Qualification. Un agent adversarial cherche à invalider chaque constat, puis le pentesteur reproduit manuellement ceux qui restent. Chaque vulnérabilité reçoit un score CVSS et une criticité contextualisée.
- Rapport. Une synthèse pour la direction, un détail technique par vulnérabilité (preuves, étapes de reproduction, impact, remédiation priorisée) et un plan d'action.
- Restitution et contre-test. Présentation orale des résultats, puis vérification des correctifs après remédiation.
Qui fait quoi : IA ou humain ?
| Étape | Rôle des agents IA | Rôle du pentesteur |
|---|---|---|
| Cadrage | Aucun | Total |
| Reconnaissance | Majoritaire | Validation, priorisation |
| Analyse | Majoritaire | Orientation, logique métier |
| Exploitation | Assistance | Décision et exécution |
| Qualification | Premier filtre adversarial | Reproduction et validation finale |
| Rapport | Premier jet | Relecture, contexte, signature |
| Restitution | Aucun | Total |
Référentiels utilisés
- OWASP Web Security Testing Guide (WSTG) pour les applications web.
- OWASP API Security Top 10 pour les API REST et GraphQL.
- PTES (Penetration Testing Execution Standard) pour la structure de mission.
- MITRE ATT&CK pour décrire les techniques employées sur les périmètres internes.
- CVSS pour noter la sévérité, complété par une criticité adaptée au contexte du client.
Types de périmètres couverts
Application web
Sites, extranets, portails clients, applications SaaS, boîte grise avec comptes par rôle.
API
REST et GraphQL, avec un focus sur les contrôles d'accès objet par objet.
Infrastructure externe
Tout ce qu'un attaquant voit depuis Internet : services, VPN, messagerie, DNS.
Interne et Active Directory
Simulation d'un poste compromis et recherche des chemins vers les comptes à privilèges.