MtoM Mag - Le journal de l'MtoM.

Cette nouvelle offre permet de tester rapidement les surfaces d’attaque et de centraliser les résultats au sein de la plateforme de sécurité offensive de YesWeHack.

YesWeHack, la plateforme de sécurité offensive et de gestion de l’exposition, vient aujourd’hui d’annoncer le lancement de son Pentest Agentique, une capacité qui permet de mobiliser des agents IA autonomes à la demande pour tester les actifs des organisations et livrer des résultats le jour même.

S’appuyant sur la vaste expérience de YesWeHack en matière de sécurité offensive, l’offre de Pentest Agentique aide les organisations à identifier les vulnérabilités, à tester leur exploitabilité en conditions réelles et à détecter les chemins d’attaque sur l’ensemble des actifs concernés.

La solution prend en charge les tests en boîte noire, en boîte grise ainsi qu’en boîte blanche des applications web, des applications mobiles, des API et d’autres actifs exposés sur Internet.

YesWeHack, leader du marché de la sécurité offensive en Europe et dans la région Asie-Pacifique, exploite les modèles les plus avancés disponibles pour les tests offensifs, y compris les modèles à poids ouverts (open-weight). Cette approche flexible permet également aux organisations d’utiliser des modèles développés et/ou hébergés partout dans le monde, par exemple dans l’Union européenne ou dans la région Asie-Pacifique.

Les agents opèrent dans le cadre de règles définies par YesWeHack afin de protéger la confidentialité, l’intégrité et la disponibilité des systèmes de ses clients tout au long des tests.

Gestion unifiée des vulnérabilités

Le Pentest Agentique est intégré à la plateforme YesWeHack, qui propose une large gamme de solutions de sécurité offensive et de gestion de l’exposition.

Les clients peuvent ainsi gérer les résultats du Pentest Agentique parallèlement aux vulnérabilités identifiées via d’autres solutions YesWeHack : les programmes de Bug Bounty, les Pentests Continus (qui permettent de détecter des vulnérabilités complexes échappant aux approches entièrement automatisées), les Politiques de Divulgation des Vulnérabilités et les Points de Contrôle de Sécurité (qui identifient les CVE activement exploitées).

Afin d’optimiser encore davantage la remédiation, les équipes de sécurité ont la possibilité de faire appel à l’équipe de triage de YesWeHack pour valider, reproduire et enrichir les rapports, garantissant ainsi l’absence totale de faux positifs.

Guillaume Vassault-Houlière, PDG et cofondateur de YesWeHack, commente : « Le Pentest Agentique est plus rapide et plus simple à mettre en place et à exécuter que les pentests traditionnels menés par des humains, tout en offrant une couverture plus large, la capacité de passer à l’échelle et des coûts réduits. Cela permet aux équipes SecOps d’identifier et de corriger les vulnérabilités plus rapidement ; une nécessité absolue alors que les attaquants sont de plus en plus aidés par l’IA et que les fenêtres d’exploitation ne cessent de se réduire.

« Une stratégie de sécurité offensive doit être diversifiée pour favoriser l’efficacité opérationnelle. Dans ce cadre, les programmes de Bug Bounty et l’expertise de la communauté restent des piliers essentiels de toute approche proactive, comme ils l’ont constamment prouvé dans la pratique. »

Principales fonctionnalités

 Tests à la demande avec des résultats accessibles sur la plateforme au fur et à mesure de l’avancement des tests

 Tests en boîte noire, boîte grise et boîte blanche des applications web, des applications mobiles, des API et d’autres actifs exposés sur Internet

 Couverture des types de vulnérabilités à fort impact, notamment le Top 10 de l’OWASP, ainsi que des vecteurs d’attaque complets

 En option : triage par les experts YesWeHack, disponibles 24h/24, 7j/7, pour valider, reproduire et enrichir les rapports de vulnérabilités

 Processus de remédiation centralisés, analyses et rapports exportables pour une vue unifiée des risques cyber et une conformité simplifiée

Disponibilité et feuille de route

Le Pentest Agentique est dans un premier temps disponible pour tester les actifs sur la surface d’attaque externe. Les développements futurs incluent la prise en charge des périmètres de test internes. La solution a déjà été déployée chez les multinationales françaises Dassault Systèmes et Sanofi, ainsi que dans plusieurs autres entreprises du CAC 40.

Ces fonctionnalités seront bientôt mises à la disposition des clients de Sekost, la société d’audit en cybersécurité rachetée par YesWeHack en 2025.

Les données générées par les programmes de Bug Bounty de YesWeHack ne seront pas utilisées pour entraîner les modèles d’IA utilisés par le Pentest Agentique.