CREST distingue dix entreprises pour leurs pentests IA

CREST accrédite dix entreprises. L’organisation professionnelle de la cybersécurité a accordé sa nouvelle accréditation à 10 entreprises. Cette distinction reconnaît un usage responsable de l’IA dans les services de tests d’intrusion. Les prestataires concernés couvrent l’Europe, l’Inde et les États-Unis. La première cohorte comprend Closed Door Security Ltd, ImmuniWeb, JUMPSEC Ltd, Packetlabs, Pentesys, REDSECLABS Private Ltd, Risk Associates, SECNORA OÜ, Solusec Ltd et Thoropass Inc. CREST a intégré ce module facultatif à son référentiel existant d’accréditation des tests d’intrusion en juillet 2026. L’annonce intervient le 4 septembre 2026, alors que les fournisseurs structurent leurs pratiques autour de l’IA.

Le module reste facultatif. La nouvelle accréditation s’adresse aux prestataires qui intègrent activement l’IA dans leurs opérations quotidiennes. Elle leur permet de passer une évaluation indépendante et de démontrer formellement une gouvernance responsable et sécurisée de l’IA auprès de leurs clients et des autorités de régulation. Le module ne modifie pas les adhésions standard de CREST. Il ajoute toutefois un niveau d’assurance vérifiable pour les entreprises qui utilisent ces technologies. CREST présente donc cette démarche comme un moyen de transformer des engagements volontaires en pratiques évaluables. L’annonce de CREST détaille la composition de cette première cohorte et le fonctionnement général de l’accréditation.

CREST encadre l’usage quotidien

Les fournisseurs accélèrent leur adoption. Le rapport de CREST sur l’IA dans les tests d’intrusion, publié en mars 2026, indique que 76 % des fournisseurs de cybersécurité ont augmenté leur utilisation de l’IA sur un an. Le même rapport indique que 69 % l’intègrent déjà à la prestation quotidienne de leurs services. Ces chiffres ont précédé la publication des principes de CREST en mars, puis de sa charte en juin. Plus de 100 organisations de cybersécurité ont signé publiquement cette charte. Le nouveau module d’accréditation s’inscrit ainsi dans une séquence comprenant un rapport, des principes, une charte et une évaluation indépendante.

Les dirigeants défendent l’évaluation. William Wright, directeur général de Closed Door Security, affirme que l’IA aide les équipes de sécurité à travailler plus efficacement à grande échelle et à repérer plus rapidement les vulnérabilités. Il souligne également la nécessité d’une gouvernance appropriée. Denis Kucinic, vice-président des opérations de Packetlabs, estime que l’IA sera révolutionnaire pour les prestataires de sécurité comme Packetlabs. Il insiste sur l’importance d’assurer les clients et le secteur quant à un déploiement responsable. Selon lui, des standards indépendants et évaluables permettent d’appuyer les promesses volontaires sur une assurance concrète.

Une assurance indépendante pour les clients

CREST formalise une adoption responsable. Nick Benson, directeur général de CREST, estime que les ajouts consacrés à l’IA doivent aider la cybersécurité à passer des discussions et des principes à une adoption responsable bénéficiant d’une assurance indépendante. Le dispositif repose sur une évaluation des pratiques des fournisseurs qui utilisent l’IA dans leurs opérations quotidiennes. La distinction vise donc la gouvernance et la sécurité de cet usage, plutôt qu’une modification de l’accréditation standard. Les 10 premières entreprises accréditées donnent à ce cadre une première application concrète. CREST avait auparavant publié ses principes pour les activités intégrant l’IA.