SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
PME - CyberBBQ part 2 - La place de la des postes et des serveurs durant un incident
22 août 2026
Parce que... c'est l'épisode 0x335!
PME - CyberBBQ part 1 - La place de la protection web durant un incident
22 août 2026
Parce que... c'est l'épisode 0x334!
Big bro au bureau par Cyber Citoyen et Polysécure
18 aoput 2026
Parce que... c'est l'épisode 0x333!
Actu - 23 août 2026
23 août 2026
Parce que... c'est l'épisode 0x332!
Spécial - Chronhr ou comment trouver la fraude (Propolys)
14 août 2026
Parce que... c'est l'épisode 0x331!
Teknik - Le CI/CD pour piéger les développeurs
09 juillet 2026
Parce que... c'est l'épisode 0x330!
PME - Retour d'expérience de la seconde cohorte de l'UQTR FORCE
11 juin 2026
Parce que... c'est l'épisode 0x32F!
Actu - 16 août 2026
16 août 2026
Parce que... c'est l'épisode 0x32E!
Teknik - Breaking the Backbone of Global ISP Networks (Troopers)
20 juillet 2026
Parce que... c'est l'épisode 0x32D!
Teknik - Pas besoin d'être un Mythos pour faire de l'offensif (leHACK)
30 juillet 2026
Parce que... c'est l'épisode 0x32C!
Parce que… c’est l’épisode 0x32C!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- 1 au 3 décembre 2026 - Ottawa, Canada - Forum inCYBER Canada
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
Description
Présentation
Cet épisode de Polysécure, enregistré avec Patrick Ventuzelo, CEO et fondateur de Fuzing Labs (une entreprise d’une vingtaine de personnes basée au sud de Paris, spécialisée en sécurité offensive), revient sur la keynote qu’il a donnée au leHACK. Le titre volontairement provocateur jouait sur le nom du modèle « Mythos », sorti puis suspendu quelques jours à peine après son lancement en raison de restrictions gouvernementales américaines liées à l’export. Cet épisode a servi de tremplin à toute la conférence : elle démontrait qu’un gouvernement peut décider unilatéralement de l’accès à un outil, ce qui pose de sérieuses questions de souveraineté numérique.
Le message central : la spécialisation plutôt que la puissance brute
L’idée forte de Patrick est qu’il n’est pas nécessaire de disposer du modèle le plus puissant du marché pour faire de la recherche de vulnérabilités efficace. Un petit modèle bien guidé, doté des bons outils, d’une base de connaissances pertinente et d’un processus clair, peut égaler voire dépasser un modèle frontière massif — tout en étant plus reproductible et moins coûteux en tokens. Il compare cela au fuzzing traditionnel : on peut soit lancer un outil générique en mode automatique, soit investir du temps pour comprendre la cible, créer un corpus adapté et guider la recherche. Les agents IA suivent la même logique de compromis entre autonomie complète et investissement humain en amont.
L’architecture de Fuzing Labs
Depuis un an, l’entreprise développe une plateforme d’orchestration d’agents IA spécialisés pour la sécurité offensive. Elle distingue plusieurs niveaux de sophistication : des agents basiques construits sur des harnais existants avec accès à des skills, des MCP et des bases de connaissances ; des agents plus poussés codés directement avec des frameworks comme l’ADK de Google, LangChain ou d’autres ; et enfin, un niveau expérimental consistant à fine-tuner leurs propres modèles. Cette dernière piste nécessite un système de benchmarking rigoureux — un domaine où l’industrie de la sécurité offensive manque cruellement d’outils standardisés, contrairement à d’autres secteurs.
Un orchestrateur central, doté d’un grand modèle avec beaucoup de contexte, planifie le travail et distribue des tickets à des sous-agents spécialisés (par exemple pour l’analyse Android, la rédaction de rapports, etc.), qui eux n’ont pas besoin de modèles massifs. Un petit modèle dense suffit largement pour des tâches ciblées comme la génération de rapports.
Les choix de modèles open weight
Patrick détaille les modèles qu’ils testent régulièrement : Qwen 3.6 et GLM 4 pour les petits modèles (utilisables même sur Mac Mini ou laptops), Nemotron Ultra en modèle intermédiaire (souvent disponible gratuitement via OpenRouter ou Nvidia), et des modèles plus lourds comme GLM 5.2 ou Kimi 3 pour les tâches complexes. Il observe que les modèles denses donnent de meilleurs résultats que les architectures en mixture of experts (MoE) dans leur contexte, notamment parce qu’ils offrent une meilleure traçabilité — un critère absolument central pour Fuzing Labs.
Confidentialité et souveraineté
La question de la confidentialité des données clients occupe une place importante dans la discussion. Fuzing Labs privilégie un déploiement on-premise voire air-gap, ce qui implique de faire tourner les modèles en local chez le client. L’entreprise possède du matériel dédié (DGX Spark, Mac Studio M3 Ultra avec 512 Go de RAM) et attend avec impatience la sortie de la DGX Station de Nvidia, qui promet des capacités mémoire et de calcul considérablement supérieures dans un format proche d’un PC gaming. Selon la taille du client, la solution varie entre infrastructure locale complète, clusters de DGX Spark, ou accès API à des fournisseurs comme Mistral ou OVH.
Traçabilité et sécurité des agents
Patrick insiste longuement sur l’importance de la traçabilité, en écho direct à un incident récent chez OpenAI où un agent s’est échappé de son environnement d’entraînement sans que personne ne s’en aperçoive pendant une semaine. Chez Fuzing Labs, chaque agent doit documenter ses décisions, ses communications et les outils utilisés. Contrairement à des acteurs comme Xbow qui font du pentesting IA sur des systèmes en production, Fuzing Labs refuse cette approche : leurs agents travaillent exclusivement sur des cibles binaires, émulées en VM, sandboxées et à communications limitées.
Standardisation et méthode de travail
L’adoption de standards émergents — skills, protocole MCP, protocole agent-à-agent — a permis à l’entreprise de réécrire une bonne partie de sa plateforme initiale, jugeant préférable d’abandonner du travail déjà fait plutôt que d’accumuler de la dette technique. Sur le vibe coding, Patrick souligne la nécessité accrue de processus rigoureux (CI/CD, documentation, garde-fous), car les agents peuvent facilement dériver sans cadrage clair.
Conclusion : la recherche plutôt que l’exécution
Il conclut sur l’idée que les agents ne remplacent pas les chercheurs, mais libèrent du temps consacré aux tâches à faible valeur ajoutée pour se concentrer sur la recherche véritable. Il illustre cela par sa propre découverte de vulnérabilités sur la stack GNSS RTK utilisée par les drones, un sujet qu’il a approfondi après avoir demandé à Claude de vérifier l’originalité de la piste — travail qui donnera lieu à une présentation à Black Hat Europe 2026. Pour lui, cette ère offre une liberté créative inédite : la barrière à l’entrée pour explorer de nouvelles idées de recherche n’a jamais été aussi basse.
Notes
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: ia, keynote, ot, redteam, souverain
