Intruder met ses agents IA à l’épreuve des pentesters humains

Intruder compare ses agents de pentest IA aux testeurs humains dans un article publié le 15 octobre 2026. Daniel Thatcher, ingénieur de recherche en sécurité chez Intruder, décrit une expérience menée après douze ans de pratique du pentest. L’analyse porte sur la méthodologie, l’accès au code source, la régularité des résultats et la remédiation. Intruder affirme avoir testé plusieurs organisations d’agents. Les rôles trop spécialisés faisaient manquer des vulnérabilités hors périmètre. Les agents sans structure géraient mal les applications importantes. L’entreprise a donc retenu des rôles larges, une liberté d’exploration et des garde-fous destinés à limiter les dommages. Cette approche ne reproduit pas une méthodologie humaine standardisée.

La méthode varie selon le niveau de liberté laissé aux agents. Intruder indique qu’un système imposant une catégorie par vulnérabilité pouvait mal classer certaines découvertes. Un système totalement libre pouvait aussi ignorer des parties d’une application. L’entreprise a recherché un équilibre entre exploration et contrôle. Cette décision remet en question l’idée d’un pentest parfaitement reproductible grâce à une liste de vérifications. Daniel Thatcher rappelle que les découvertes importantes proviennent souvent d’un comportement inhabituel suivi par un testeur expérimenté. Intruder cite un contournement complexe de l’authentification découvert après cinq années de pentests humains. Selon l’entreprise, cette faille aurait été difficile à transformer en procédure stricte.

Les agents lisent le code source

L’approche blanche donne aux agents accès au code source de l’application. Ils parcourent le code et construisent une représentation des pages, des fonctions attendues et des requêtes possibles. Intruder estime qu’un testeur humain ne peut pas atteindre ce niveau de détail durant le délai habituel d’un pentest. Les agents peuvent aussi repérer des règles d’accès implicites. Ils comprennent notamment qu’un utilisateur peu privilégié ne devrait pas atteindre une fonction d’administration. Les équipes peuvent fournir des indications supplémentaires. Intruder cite le cas de clients préoccupés par l’accès croisé aux données. Les agents ont alors concentré leurs recherches sur ces problèmes et en ont identifié plusieurs.

Le dialogue manque toutefois aux agents lorsqu’une information n’a pas été fournie. Un testeur humain peut interroger son interlocuteur sur le fonctionnement d’une partie de l’application. Il peut aussi clarifier le périmètre ou demander une autorisation avant une vérification potentiellement perturbatrice. Intruder indique avoir rendu ses agents prudents pour éviter les actions hors périmètre. Cette prudence limite certaines initiatives, tandis que la liberté d’exploration rend les résultats moins prévisibles. Daniel Thatcher souligne également que les pentests humains varient selon l’expérience, les spécialités et les connaissances de chaque intervenant. Les rapports humains comportent déjà une réserve sur l’exhaustivité des vérifications, car certaines vérifications peuvent être manquées.

Les corrections gagnent en précision

Les rapports progressent aussi sur la synthèse et la remédiation. Intruder affirme que ses agents produisent désormais des résumés exécutifs jugés utiles par Daniel Thatcher. L’entreprise reconnaît cependant une tendance à surévaluer certains risques. Les agents ne peuvent pas échanger avec le client pour réduire une note lorsque des éléments de contexte le justifieraient. Intruder attribue également cette prudence aux modèles de langage appliqués à la cybersécurité. La remédiation constitue, selon l’entreprise, un avantage plus net. Les agents disposent du code source et peuvent indiquer la ligne à modifier ainsi que la modification proposée. Ils ajoutent parfois des contrôles compensatoires ou une correction temporaire.

Un client a corrigé 78 problèmes en quelques jours après avoir reçu ces recommandations. Daniel Thatcher affirme n’avoir jamais vu une correction aussi rapide lors d’un pentest humain. Intruder relie cette rapidité au niveau de détail fourni pour chaque problème. L’entreprise présente aussi un modèle de fréquence différent. Selon son article, un pentest IA peut être exécuté à la demande, tandis qu’un engagement humain intervient moins souvent. Intruder affirme qu’un budget équivalent à un engagement humain permettrait d’exécuter quatre pentests IA. Cette comparaison soutient des contrôles plus réguliers après les changements applicatifs. Les détails de l’offre sont présentés sur la plateforme de pentest IA d’Intruder.

La comparaison reste donc centrée sur des usages différents plutôt que sur un classement unique. Intruder rapporte que ses agents ont trouvé des problèmes sérieux dans des applications déjà examinées par des testeurs humains. Ils peuvent parcourir un code complet, examiner plusieurs chemins et associer chaque problème à une correction détaillée. Leur fonctionnement dépend toutefois des informations transmises, du périmètre défini et de leurs choix d’exploration. Les testeurs humains conservent la capacité de poser des questions, d’interpréter des échanges et de demander des permissions. Intruder présente son approche comme un complément opérationnel, notamment pour multiplier les contrôles. L’entreprise détaille ses services sur son site officiel.