Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
Parce que… c’est l’épisode 0x344!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- 25 et 26 février 2027 - Québec, Canada - SéQCure 2027
- 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Présentation de l’invité
Cet épisode spécial de Polysécure accueille Émilio Gonzalez, professionnel en cybersécurité au sein d’une grande entreprise canadienne et figure engagée de la communauté. Il est co-organisateur de Montréac, un atelier mensuel de résolution de challenges CTF, et VP CTF de NorthSec, la compétition en personne qui se tient chaque mai à Montréal avec plus de 600 participants. La conversation porte sur l’arrivée massive de l’intelligence artificielle générative dans l’édition 2026 du CTF.
Une préparation sous le signe de l’anticipation
Émilio retrace l’évolution du paysage depuis l’apparition de ChatGPT fin 2022, lorsque les modèles écrivaient correctement mais résolvaient mal les problèmes. L’édition 2025 avait été remportée par une équipe n’ayant recouru aux agents de conversation que pour quelques challenges. La seconde moitié de 2025 a tout changé avec la sortie de nouveaux modèles et l’essor du tooling d’agents, créant une véritable tempête parfaite des capacités de raisonnement. Un article relatant l’usage de Cursor et du serveur MCP de IDA pour résoudre un challenge de reverse engineering aux finales du Defcon CTF avait impressionné Émilio sans le convaincre de leur généralité. Début 2026, un concepteur a souligné que les CTF vivent une crise face à des outils capables d’auto-résoudre de nombreux challenges. Ne pouvant transformer l’événement en profondeur à quelques mois de sa tenue, l’équipe a fait de cette année une campagne de collecte de données.
Auto-déclaration des flags et portrait des données
Les participants étaient invités à auto-déclarer les flags obtenus grâce à l’IA, avec un outillage permettant la détection automatique de certaines soumissions. La démarche demeurait facultative et sans conséquence. La majorité des participants ont fait l’effort de bien flagger leurs points, mais les équipes du haut du classement ont moins déclaré, par paresse, par ignorance du speech d’ouverture ou par honte. Des équipes vétérans craignaient le jugement si elles avouaient leur usage de l’IA. Les données sous-estiment donc la réalité, surtout chez les meilleures équipes. La comparaison avec l’année précédente révèle néanmoins une explosion de la vitesse de soumission des flags, l’écart étant encore plus prononcé pour le dix pour cent supérieur.
Compétition, apprentissage et expérience des participants
NorthSec doit concilier des objectifs divergents, car environ un participant sur quatre se dit compétitif alors que la majorité vient pour apprendre. Les agents excellent dans les tâches bien définies, exactement le format d’un challenge de CTF, d’où une véritable crise d’identité. Le sondage révèle que 75 pour cent des répondants visent l’acquisition de connaissances approfondies plutôt que l’apprentissage des outils d’IA, contre 12 pour cent pour l’inverse. Sur l’expérience vécue, 52,4 pour cent affirment que les agents autonomes ont dégradé leur expérience cette année, contre 17,2 pour cent qui la jugent améliorée. Les insatisfaits expliquent avoir renoncé à l’IA et chuté au classement, ou avoir constaté moins de collaboration, leurs collègues étant absorbés par la gestion simultanée de plusieurs agents. Les satisfaits saluent l’IA comme professeur pour se débloquer, découvrir de nouveaux concepts et progresser plus loin. Émilio note une forte polarisation, une même expérience menant à des conclusions opposées selon les convictions de chacun.
Le classement et la réputation de la marque
La réputation du scoreboard de NorthSec préoccupe Émilio, car y figurer traduit un niveau de compétences reconnu dans l’industrie. Les personnes au sommet cette année demeurent d’excellents pirates, mais la part des points attribuée à la qualité d’utilisation de l’IA a énormément augmenté. La question centrale devient celle de la signification à donner au classement, soit mesurer l’habileté en piratage ou la maîtrise de l’IA, une réponse bien plus difficile à trancher qu’il n’y paraît.
La pérennité du CTF et le moral des concepteurs
La crainte majeure d’Émilio touche la pérennité de l’événement. Plusieurs concepteurs de challenges, bénévoles investissant des dizaines d’heures, ont vu leurs créations résolues par des essaims d’agents sans qu’aucun humain n’ouvre même la page du challenge, la soumission du flag étant parfois automatisée. Une forte démotivation s’est installée, particulièrement le vendredi soir lors des premières résolutions. Les échanges humains entre concepteurs et participants, source d’énergie essentielle, ont disparu dans ces cas, avant de reprendre le samedi et le dimanche grâce aux équipes jouant le jeu de façon traditionnelle. Le sondage des concepteurs révèle environ dix pour cent trouvant l’expérience un peu améliorée, la moitié sans changement notable, notamment grâce aux tracks physiques insolvables par les agents, et environ quarante pour cent pour qui elle a nui. Tous s’entendent sur la nécessité de changer quelque chose, sans consensus sur la manière.
Pistes de solutions pour l’avenir
Des débats et un vote avec les concepteurs sont prévus d’ici la fin de l’été. Émilio juge irréaliste d’interdire totalement l’IA générative, trop intégrée aux outils quotidiens et précieuse comme professeur pour apprendre. Il considère l’auto-résolution par agents incompatible avec le CTF traditionnel. Une piste majeure consisterait à séparer les classements, l’un autorisant toutes les utilisations d’IA, l’autre les restreignant. Le caractère en personne de l’événement et son fort sentiment de communauté laissent croire que des règles claires seraient respectées sans surveillance coercitive, à l’inverse de compétitions imposant l’enregistrement de l’écran. Une restriction jugée élégante permettrait tout usage de l’IA sauf le partage du contexte d’un challenge, préservant le rôle de professeur tout en éliminant l’auto-solve. Pour le classement IA, des idées incluent un score diminuant avec le temps, un endpoint d’inférence limité en tokens, ou des challenges conçus pour des machines. Les pièges à IA restent problématiques, puisqu’ils dégradent l’expérience humaine et que les deux publics butent sur des obstacles différents.
Un défi personnel et collectif
Émilio confie la difficulté de son rôle, tiraillé entre la livraison de l’événement et l’empathie due aux concepteurs bouleversés par le Slopocalypse. La communauté convient de la nécessité de changements sans s’entendre sur le chemin, et l’équipe cherche à minimiser le nombre de déçus tout en veillant à ce qu’il ne rétrécisse pas. Un article de blog annoncera les décisions retenues au début de l’automne.
Notes
- À venir
Contributeurs
|
|
Nicolas-Loïc Fortin
|
Émilio Gonzalez
|
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: ctf, northsec
