Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Parce que… c’est l’épisode 0x33E!
Préambule
Il y a un son sur l’enregistrement de Pierre que je suis incapable de retirer sans réduire considérablement l’intelligibilité.
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- 25 et 26 février 2027 - Québec, Canada - SéQCure 2027
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Un invité au parcours ancré dans le STIC
Pierre Bienaimé, ingénieur en cybersécurité spécialisé en reverse engineering et passionné de CTF, rejoint l’émission en tant que membre du comité d’organisation de la conférence STIC. Il raconte son histoire d’amour avec le challenge qui accompagne cette conférence française, une rencontre qui remonte à 2011 et qui a littéralement orienté sa carrière professionnelle.
Un format de challenge unique
Le challenge STIC se distingue des CTF classiques par son format individuel et sa durée étendue. Lancé fin mars ou début avril, il laisse environ deux mois aux participants avant la conférence de juin. Impossible de savoir sur quoi on va tomber. Les thématiques récurrentes incluent le reverse, la crypto et l’exploitation, mais chaque édition réserve des surprises déstabilisantes, comme un challenge demandant de comprendre le schéma d’un FPGA. Pierre insiste sur le fait que personne ne peut être spécialiste de tout et que c’est justement cette difficulté assumée qui fait la valeur pédagogique du format.
Une révélation de carrière
En 2011, Pierre était stagiaire chez EADS, dans une équipe de chercheurs réputés qui l’ont encouragé à participer au challenge. Placé dans un contexte particulier, un genre de garage parisien sans Internet, isolé et disposant d’un temps libre infini, il s’est lancé à corps perdu. Au départ, il ne connaissait ni l’assembleur ni les registres comme EAX. Un mois plus tard, il construisait des ROP chains. Ce bond d’apprentissage fulgurant l’a convaincu d’abandonner l’idée de devenir développeur pour se consacrer à la cybersécurité. Depuis, il s’est imposé de participer chaque année, terminant quasiment toutes les éditions.
L’apprentissage par le problème plutôt que par la théorie
Pierre explique pourquoi ce format lui convient si bien. Il a toujours eu du mal avec l’enseignement traditionnel qui présente la théorie avant les exercices. Avec un CTF, l’ordre est inversé. Le problème arrive en premier, sans indication de méthode, et la motivation de le résoudre pousse à aller chercher soi-même les connaissances manquantes. Cette pioche active de la théorie, guidée par un objectif concret, fixe durablement les apprentissages, contrairement à un manuel lu sans contexte réel.
Les write-ups, une mine d’or collective
Autre singularité du STIC, chaque finisher doit produire un write-up détaillé. Le challenge ressemble à cinq ou six étapes d’un CTF classique reliées par une histoire, ce qui exige une vraie polyvalence. Une dizaine de personnes terminent chaque année. Lire ensuite comment les autres ont raisonné, découvert des raccourcis ou trouvé des astuces géniales constitue un apprentissage immense, surtout quand on a soi-même passé des heures sur ces problèmes. Pierre compare avec les write-ups de CTF courts qu’il a lus sans avoir tenté les épreuves et dont il a tout oublié deux jours plus tard.
Une organisation tournante et communautaire
Le challenge existe depuis 2009 et repose sur un petit noyau de passionnés. Traditionnellement, le gagnant d’une édition est invité à organiser la suivante, souvent accompagné de ses collègues. En 2025, la DGA a remporté le classement qualité, récompensant les meilleures solutions, et a conçu l’édition 2026. Pierre, désormais au comité d’organisation, encadre le règlement et veille à l’esprit du challenge plutôt qu’à sa conception, préférant être du côté des résolveurs.
L’IA, l’éléphant dans la pièce de l’édition 2026
Les progrès fulgurants des LLM ont posé une vraie question aux organisateurs. En 2025, les IA échouaient encore sur le challenge. Pour 2026, l’équipe a hésité entre interdiction et laisser-faire. Le compromis retenu s’inspire de la règle de l’appel à un ami déjà présente dans le règlement. Demander de l’aide à une IA est autorisé, mais l’usage purement agentique, où une machine résout le challenge sans que l’humain comprenne ce qui se passe, place le participant hors concours. Les organisateurs veulent savoir ce que l’IA peut faire de manière autonome, sans pour autant la mélanger au classement humain.
Ce que l’observation a révélé
Les résultats ont été fascinants. Un agent autonome a dominé les premiers niveaux, identifiable dans les logs par des requêtes curl massives et désordonnées, avant de caler sur les épreuves finales et de se faire doubler par des humains. Son auteur développe des agents spécialisés en CTF. Le premier finisher, un ancien habitué du challenge, a utilisé l’IA de manière assistée. Elle lui a fait gagner du temps en résumant des publications académiques indigestes en crypto, mais l’a souvent égaré en exploitation, le forçant à la remettre sur la bonne voie. Conclusion des organisateurs, l’IA reste un outil qui accélère un expert sans encore résoudre le challenge seule.
Contrôle impossible ou code d’honneur
Pierre se méfie des contrôles antidopage, faciles à contourner pour un participant prudent travaillant hors ligne. Il préfère miser sur la bonne foi d’une communauté de niche motivée par le jeu et l’apprentissage plutôt que par la gloire. Plusieurs participants se sont d’ailleurs déclarés spontanément hors concours après avoir beaucoup usé de l’IA. Il espère aussi que le write-up, même rédigé par une IA, resterait peu convaincant aux yeux d’un novice incapable de valider son contenu.
Un avenir incertain mais pas condamné
L’ambiance est morose chez certains créateurs de CTF, découragés de concevoir des épreuves résolues en deux clics sans compréhension de leur beauté. Pierre nuance avec l’analogie des échecs, où l’ordinateur domine depuis longtemps sans tuer les compétitions humaines. Les joueurs s’entraînent avec les machines et la beauté du jeu survit. Le questionnement reste entier, de même que l’inquiétude d’un relâchement général de l’effort intellectuel, évoquée par l’animateur à travers l’image de WALL-E.
Ressources pour apprendre
Tous les write-ups depuis 2009 sont disponibles publiquement sur le site de la conférence. Si les parties en ligne des anciens challenges sont éteintes, les fichiers de départ et parfois le code d’infrastructure restent accessibles. Pierre avoue consulter régulièrement ces solutions, les siennes comme celles de monstres sacrés tels que Robert Xiao, ce Canadien capable de reconstituer la timeline de sa réflexion heure par heure, pour résoudre des problèmes rencontrés dans sa vie professionnelle.
Notes
Contributeurs
|
|
Nicolas-Loïc Fortin
| Pierre Bienaimé |
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: ctf, ia, sstic
