PolySécure Podcast

Parce que… c'est l'épisode 0x31F! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Alexandre Fournier Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x31E! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell MCP Rethinking MCP Security: A Large-Scale Study of Runtime MCP Servers and Security Scanner Reliability State of MCP Security 2026 Someone Is Scanning for Your MCP Servers and AI Assistant Credentials Auto pentest Rethinking Penetration Testing for AI-Enabled Systems: From Resource Compromise to Behavioral Objective Violation Hugging Face Confirms AI-Driven Breach: Attackers used Autonomous Agents, defenders countered with AI Vibe for the fail Setup Complete, Now You Are Compromised: Weaponizing Setup Instructions Against AI Coding Agents AI-generated code has made security debt a governance problem Injection pour le bien et le mal 1M+ Emails Use Hidden Text to Dupe AI Security Filters How I tricked Claude into leaking your deepest, darkest secrets Prompt Injection Attacks Are Thwarting AI Hacking Agents Recherche A Fraud-Detection-Inspired Framework for LLM Agents Security xAI can't deny Grok makes CSAM anymore. So it's suing users. Agentic AI: Taming the Unpredictable You Cannot Defend What You Cannot Inspect Microsoft Patches a Record 570 Security Flaws Google fixing Android lock screen bug that lets Gemini send SMS without a PIN La guerre, la guerre, c'est pas une raison pour se faire mal! Adam Shostack :donor: :rebelverified:: “If we bomb Iranian water facil…” - Infosec Exchange Souveraineté ou vive le numérique libre! How Microsoft's ‘Little Workaround' Created a Major Threat to America's Defense Department South Korea making its own security-centric AI model Privacy ou cachez ces informations que je ne saurais voir A Video Screen That Is Also a Camera I am the law Blocage for the fail Contourner un géoblocage via VPN n'a rien d'illégal, dit la CJUE La Belgique bloque wawacity.pizza, mais les pirates se sont déjà mis au poker France Doubles Down On Restricting Access To Polymarket Le blocage DNS casse tout sauf le piratage (dixit Google) Media pas si social Why the Government's Plan for a Social Media Ban in Bill C-34 Is Unconstitutional The infinite scroll may become endangered if controversial Calif. law Social media limits are coming for teens across Europe Senator calls on Rubio, Blanche to push back against Canadian surveillance legislation It's official: EU will force Google to share search data and open up AI on Android San Francisco orders Apple, Google to remove nudify apps from app stores FAA lets Boeing issue 737 Max, 787 airworthiness certificates again Germany set to restrict its Freedom of Information Act UK's Burnham drops digital ID scheme to prioritise cost of living, say allies Red ou tout ce qui est brisé Microsoft's Secure Boot has been broken for a decade and no one noticed until now Cursor 0day: When Full Disclosure Becomes the Only Protection Left Weak Security Continues to Fuel Russian Cyberattacks 6 GHz Wi-Fi Flaws Could Disrupt Critical Systems Are There Cybersecurity Risks in Over-the-Air Tech Used in Autos? Windows 10 refuses to die, and the security bill is coming due LG monitors silently install software through Windows Update without user consent Blue ou tout ce qui améliore notre posture Qubes OS Security in the Public Record Microsoft Entra ID gets passkeys default authentication starting September Kevin Beaumont: “Remarkable transparency from C…” - Cyberplace Divers ou parce que j'ai aucune idée où les placer Trump Media to sell fast feed of ‘market-moving' posts to Wall Street Microsoft Restores Player's Hacked 25-Year-Old Account With Son's Baby Photos Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x31D! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description De Nessus à Tenable : les débuts d'une légende Dans cet épisode spécial de Polysécure, l'animateur reçoit Renaud Deraison, créateur de Nessus, le scanner de vulnérabilités développé il y a près de 30 ans, et cofondateur de Tenable où il a occupé le poste de CTO jusqu'à son départ il y a environ cinq ans. Deraison raconte la genèse de Nessus : à 16 ans, passionné par le réseau internet naissant, il découvre l'univers de la sécurité informatique à une époque où les failles étaient publiées sur la mailing list Bugtraq, suivie par une communauté restreinte d'environ 20 000 abonnés. Insatisfait des outils existants comme Satan, jugés trop complexes et peu accessibles, il développe Nessus en 1998 avec une cinquantaine de tests de sécurité au départ. Le succès est immédiat et inattendu, poussant Deraison à poursuivre le projet, d'abord en open source, puis en produit commercial via Tenable, qui étendra la portée de l'outil de la simple DMZ à l'ensemble de l'infrastructure numérique des entreprises. Le retour à la technique et la leçon de l'éloignement du clavier Un thème central de la discussion est l'importance de rester connecté à la pratique technique concrète. Deraison explique qu'en grandissant chez Tenable, il a dû délaisser le code pour devenir « plus stratégique », perdant ainsi une compréhension viscérale de la technologie au profit d'une compréhension purement intellectuelle. Il souligne l'écart immense, en cybersécurité, entre comprendre un concept en théorie et l'expérimenter réellement : c'est en manipulant les outils qu'on découvre les vrais problèmes de sécurité et les idées de produits pertinentes. Cette réflexion mène à une critique plus large de l'industrie de la cybersécurité, jugée parfois arrogante et déconnectée du vécu des utilisateurs, prompte à distribuer des leçons sans empathie pour les contraintes opérationnelles réelles (comme l'impossibilité de patcher immédiatement une machine critique sans interrompre un service). Bromure : le navigateur jetable réinventé Après son départ de Tenable, Deraison reprend goût au code, épaulé par les assistants IA, en commençant par ChatGPT puis Claude. L'élément déclencheur d'un nouveau projet est presque anecdotique : recevant de nombreux SMS frauduleux (offres de crédit douteuses, généré désormais dans un français impeccable et localisé grâce à l'IA), il souhaite savoir qui se cache derrière ces arnaques sans s'exposer lui-même. Il se remémore alors Bromium, une entreprise des années 2010 qui isolait Internet Explorer dans un hyperviseur, avec l'idée qu'il était inutile de patcher puisqu'il suffisait de fermer et rouvrir un environnement neuf en cas de compromission. Inspiré par ce concept, Deraison développe Bromur (bromur.io), un navigateur jetable pour Mac fonctionnant sous Linux dans une VM, avec une expérience utilisateur quasi native : glisser-déposer de fichiers entre le Mac et la VM, support webcam, contrôle fin des téléchargements et téléversements. Une version serveur permet aussi de faire travailler des contractants externes dans un environnement streamé et surveillé, où impression, captures d'écran et téléchargements peuvent être bloqués. Le projet intègre également un module (désactivé par défaut) utilisant un LLM pour analyser les pages visitées et détecter le phishing, en repérant par exemple des incohérences entre le contenu affiché et l'URL réelle, ou des tromperies visuelles comme l'usage de caractères d'un autre alphabet imitant des lettres latines. Deraison estime que le phishing reste un vaste chantier négligé par l'industrie, qui se contente trop souvent de solutions de formation jugées insuffisantes face à des attaques de plus en plus sophistiquées, y compris par deepfake vidéo. Bromure Agentic : sécuriser les développeurs sans les freiner Le second volet du projet, Bromure Agentic, s'attaque aux attaques de la chaîne d'approvisionnement logicielle (supply chain attacks), un risque majeur lorsqu'un package npm ou Python compromis vole les clés SSH, tokens d'authentification et autres identifiants sensibles présents sur la machine d'un développeur. Plutôt que d'imposer des restrictions punitives comme le font certaines sandboxes existantes, Bromure propose une VM Linux complète où l'utilisateur dispose de faux tokens et fausses clés SSH. Un mécanisme de type « man in the middle » observe le trafic sortant et substitue à la volée les vrais identifiants aux faux, uniquement au moment nécessaire. Ainsi, même en cas de compromission, aucun secret n'est réellement exposé sur la machine. L'outil ajoute aussi des alertes en cas de mauvaise configuration et permet désormais de restreindre les droits (par exemple en lecture seule) sur les accès Kubernetes ou Git, sans exiger du développeur qu'il devienne expert en administration système. Repenser des dogmes établis La conversation aborde aussi la remise en question de certains dogmes de sécurité, comme le caractère « intouchable » du trafic SSL, que Deraison juge paradoxal : on surveille tout le comportement d'une machine, sauf le trafic chiffré sortant. L'inspection de ce trafic ouvre selon lui de nouvelles possibilités, comme bloquer les téléchargements de packages npm en version « latest », souvent les plus vulnérables au piratage. Les deux interlocuteurs concluent sur une analogie automobile : de même que les usagers n'ont pas à comprendre le fonctionnement d'un moteur pour conduire, les utilisateurs et développeurs ne devraient pas avoir à devenir des experts en sécurité pour travailler efficacement. La responsabilité doit se déplacer vers des outils qui protègent sans punir, permettant à chacun de rester concentré sur son métier. Notes Bromure Collaborateurs Nicolas-Loïc Fortin Renaud Deraison Crédits Montage par Intrasecure inc Locaux réels par SSTIC

Parce que… c'est l'épisode 0x31C! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Une conversation sur une terrasse, un sujet qui mijotait depuis longtemps L'épisode s'ouvre de façon informelle, en terrasse, un lundi ensoleillé. L'animateur et Martin Dubé annoncent qu'ils allaient enfin aborder un sujet qu'ils repoussaient depuis longtemps : un mandat de test d'intrusion que Martin avait réalisé sur un réseau LTE (4G) privé, à une époque où il n'avait qu'une connaissance limitée de cette technologie. Le fil conducteur de la discussion est la curiosité comme moteur de croissance professionnelle en cybersécurité, illustré par ce mandat devenu un succès marquant dans sa carrière. Se lancer dans l'inconnu : du pentest classique au LTE Martin explique que son parcours en test d'intrusion a toujours été motivé par la curiosité plutôt que par une expertise préalable. Il rappelle ses débuts chez Gocker, où une jeune équipe sans expérience formelle a appris « sur le tas ». Cette philosophie l'a suivi tout au long de sa carrière : il se dit attiré par les mandats qui le poussent hors de sa zone de confort. Le LTE constitue un univers à part, très différent du monde informatique traditionnel (Windows, Linux) : des protocoles propriétaires, complexes, empilés au fil des générations (3G, 4G, 5G) par l'organisme 3GPP, chaque itération apportant son lot de nouveaux acronymes déconnectés des précédents. Le mandat portait spécifiquement sur un réseau LTE privé, avec ses propres mécanismes de contrôle d'accès (notamment le verrouillage IMEI, qui lie une carte SIM à un appareil précis), absents des réseaux cellulaires publics. Une préparation intensive Pour se qualifier, Martin s'est procuré une carte Blade RF, a étudié le fonctionnement du matériel, préparé des payloads jusque dans sa chambre d'hôtel et dans l'avion, et a visionné une quinzaine de présentations DEF CON sur les attaques LTE. Il en retient que malgré la complexité apparente, les mêmes patterns d'attaque reviennent constamment : injections, services exposés, adresses IP mal protégées. Il livre un message clé aux auditeurs : ne pas laisser le syndrome de l'imposteur freiner les décisions. Selon lui, un « expert » est simplement quelqu'un qui a travaillé fort et qui continue d'apprendre ; s'accrocher au statut d'expert peut au contraire limiter la capacité à sortir de sa zone de confort. Martin insiste sur l'accumulation d'expérience comme capital réutilisable : après une quinzaine d'années en test offensif, il reconnaît que les fondamentaux (penser comme un attaquant) restent transférables d'une technologie à l'autre, seuls les acronymes changent. Il souligne aussi que l'accès à l'information (recherche en ligne, outils d'IA comme Copilot) a rendu l'apprentissage de nouveaux domaines beaucoup plus rapide qu'auparavant. Concrètement, pour écrire ses payloads en C, il a utilisé le framework open source srsRAN, qui permet de simuler un réseau LTE complet, et s'est appuyé sur Copilot pour comprendre le code et cibler les modifications nécessaires. Une soirée d'hôtel a suffi pour obtenir un premier résultat fonctionnel. Le pouvoir du threat modeling La deuxième moitié de l'échange se concentre sur la méthodologie du mandat. Le client, relativement mature, exigeait un atelier de modélisation des menaces (threat modeling) avant même la rédaction du plan de test, lequel devait ensuite être approuvé par les parties prenantes. L'équipe a suivi une approche inspirée de l'OWASP, réunissant plusieurs intervenants pour déterminer ce qu'il fallait sécuriser en priorité. Le sujet retenu a été le provisionnement des cartes SIM, élément central de l'accès au réseau LTE (les clés de chiffrement intégrées aux cartes, non extractibles, et leur copie détenue par le fournisseur). Cet atelier d'une semaine a permis de faire émerger, avant même les tests techniques, plusieurs hypothèses de vulnérabilités fondées sur les risques réels plutôt que sur un périmètre imposé arbitrairement. Martin partage un exemple marquant : lors des discussions, un accès jugé initialement comme « lecture seule » sur un système de surveillance des cartes SIM s'est révélé être un accès administrateur complet, supposément atténué par des règles de pare-feu… qui, après vérification, n'avaient en réalité jamais été mises en place. Ce test, qui n'a demandé que cinq minutes, a révélé un manque de communication majeur entre les équipes du client et son fournisseur. Les deux interlocuteurs comparent cette dynamique aux défaillances observées dans les grandes organisations complexes, où plusieurs fournisseurs interviennent sans coordination claire. L'animateur cite en parallèle l'incident de la porte de l'avion Boeing, causé par une rupture de communication entre le fournisseur et le fabricant plutôt que par une seule erreur isolée — illustrant que les systèmes complexes multiplient les angles morts. Les résultats techniques du mandat Une fois le plan de test bâti sur les risques identifiés, Martin a pu tester des contrôles précis : usurpation d'IMEI, mouvements latéraux via des réseaux industriels mal segmentés (FTP non sécurisés, plusieurs sauts de jump host), et surtout des attaques par déni de service. Il détaille l'attaque par injection sur la « tracking area update » : contrairement au Wi-Fi, où l'appareil mesure lui-même la force du signal, un appareil LTE fait confiance à la force annoncée par l'antenne, ce qui permet à un attaquant de se faire passer pour une tour plus puissante sans nécessiter une grande puissance d'émission. Cette faille est reconnue comme un compromis de conception du 3GPP entre sécurité et fiabilité du roaming. Dans le cas testé, la vulnérabilité existait bel et bien, mais un mécanisme de type « watchdog » redémarrait automatiquement les appareils affectés, limitant l'impact réel grâce à un contrôle compensatoire. Conclusion L'épisode se termine sur une note d'enthousiasme partagé : les deux interlocuteurs concluent que la curiosité, la volonté d'expérimenter dans l'inconnu et la capacité à capitaliser sur une expérience accumulée sont les véritables leviers de progression en cybersécurité, bien plus que la spécialisation figée dans un domaine unique. Collaborateurs Nicolas-Loïc Fortin Martin Dubé Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x31B! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un an de progrès vertigineux Dans cet épisode spécial de Polysécure, l'animateur reçoit Mickael Nadeau pour discuter de l'évolution de l'intelligence artificielle entre deux éditions du concours NorthSec (NSec). Le point de départ est frappant : il y a environ un an et demi, lors de l'avant-dernier NorthSec, les participants commençaient tout juste à expérimenter l'IA en mode « full force », mais les capacités restaient limitées à un simple chatbot capable, au mieux, de générer un script rapide pour automatiser une tâche SSH. Aujourd'hui, le paysage est méconnaissable : les agents autonomes, les architectures de type RAG et les compétences (« skills ») spécialisées ont complètement transformé la façon dont les équipes offensives opèrent. Le point de vue privilégié d'une entreprise défensive Mickael explique que son entreprise, active en cyberdéfense, occupe une position d'observation unique. Grâce à un « mode surveillance » qui laisse les systèmes clients actifs sans bloquer les attaques (plutôt que de les stopper), l'équipe peut observer en temps réel les nouveaux outils et méthodologies utilisés par les équipes de pentest lors de leurs tests d'intrusion. Cette visibilité lui permet presque de dresser un classement informel des équipes selon leur niveau, un peu à la manière d'un « wall of shame » inspiré de DEF CON : certaines équipes s'appuient sur leur réputation sans se renouveler, utilisant des outils et méthodologies dépassés, tandis que d'autres repoussent les limites grâce à une utilisation avancée de l'IA. Du couteau suisse au tireur d'élite spécialisé Un des axes centraux de la discussion porte sur le passage d'agents génériques (le « couteau suisse ») à des sous-agents hautement spécialisés. Mickael illustre ce changement avec l'exemple des injections SQL : au lieu d'utiliser un outil bruyant comme SQLMap qui teste systématiquement toutes les possibilités, on peut désormais entraîner un agent dédié, nourri de toute la documentation existante sur les failles SQL connues, capable de reconnaître un scénario familier et d'aller directement à la solution avec un minimum de requêtes. Le résultat est un attaquant beaucoup plus silencieux, difficile à repérer avec les mécanismes de détection traditionnels basés sur le volume de bruit réseau. Ce changement de paradigme complique considérablement le travail défensif. Les équipes de sécurité, historiquement habituées à trier les faux positifs et à repérer les comportements bruyants et erratiques, doivent maintenant chasser des signaux beaucoup plus subtils, dans une fenêtre de temps réduite à quelques secondes plutôt qu'à plusieurs jours. L'apprentissage machine au service de la défense Contrairement à l'approche probabiliste des grands modèles de langage utilisés côté offensif, l'entreprise de Mickael s'appuie depuis longtemps sur l'apprentissage machine plus déterministe pour détecter les menaces. Ce socle a permis d'atteindre un certain niveau de précision, mais un nouveau défi émerge : la gestion des modèles frontières et des agents eux-mêmes. Beaucoup de clients sont, selon ses mots, « hystériques » face à cette nouvelle réalité, car la majorité des solutions du marché n'ont pas encore intégré une stratégie pour encadrer les agents IA, que ce soit du côté de leurs propres outils ou de ceux fournis par des tiers (pare-feu, plateformes de sécurité, etc.). Des gains opérationnels concrets Au-delà de la détection, les agents transforment aussi les tâches opérationnelles quotidiennes : renouvellement de certificats, requêtes de cache, diagnostics de configuration client complexes — autant d'opérations qui pouvaient auparavant nécessiter plusieurs appels et une expertise pointue peuvent maintenant être gérées via une simple conversation avec un agent, même depuis un téléphone. Mickael raconte un cas concret où un agent a diagnostiqué un problème de pare-feu propre à un client en quelques requêtes, un problème qu'il n'aurait pas su résoudre lui-même immédiatement malgré sa connaissance approfondie du produit. L'avenir des services MDR et la montée des benchmarks La conversation aborde également l'impact sur le marché des services MDR (Managed Detection and Response). Selon Mickael, l'automatisation permise par les agents va permettre à ces équipes de gérer un nombre de clients beaucoup plus important avec les mêmes ressources humaines, tout en relevant le niveau minimal de qualité du secteur. Il prédit également l'émergence de benchmarks formels pour évaluer non seulement les modèles d'IA, mais aussi les fournisseurs de services de sécurité eux-mêmes — un peu comme les leaderboards actuels qui comparent les performances des différents modèles de langage face à des scénarios d'attaque réels. Ces chiffres deviendront un argument de vente central, remplaçant progressivement les discours marketing par des données concrètes et vérifiables. Vers l'automatisation de la conformité Enfin, les deux interlocuteurs discutent du potentiel des agents pour transformer les processus de conformité (comme PCI-DSS), aujourd'hui perçus comme une lourde corvée administrative. Mickael envisage un futur où des « skills » standardisés permettront d'appliquer automatiquement les bonnes pratiques de conformité, réduisant la tentation de sauter des étapes. Il conclut en mentionnant qu'il prépare une présentation avec démonstration en direct pour partager plus en détail cette évolution avec la communauté, dans le but de sensibiliser les organisations à moderniser leur posture défensive à l'ère des agents IA. Collaborateurs Nicolas-Loïc Fortin Mickael Nadeau Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x31A! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Secret Claude tracker shocks users after Anthropic's anti-surveillance stance Automatic Association of Cloud Security Controls and Quantifiable Metrics for Certification This work is partially supported Beyond the Syntax: Do Security Experts Trust LLMs for NIDS Rule Engineering? From Beats to Breaches: How Offensive AI Infers Sensitive User Information from Playlists “God has helped us, and so will AI”: How the Terrorist Group Boko Haram Uses Frontier AI What the New AI Executive Order Means for GovTech Hidden Web Prompts Trick AI Agents Into Sending Money Build your own vulnerability harness T3MP3ST Security Framework With 35 Tools, Turns AI Coding Agents Into 0-Day Bug Hunters US Cyber Agency Is Using Anthropic's Mythos To Audit Government Code Microsoft warns customers AI will mean busier Patch Tuesdays AI meets Cryptography 1: What AI Found in Cloudflare's CIRCL - ZK/SEC Quarterly La guerre, la guerre, c'est pas une raison pour se faire mal! Rien Souveraineté ou vive le numérique libre! Why Being Locked Out of Frontier AI is The Sovereignty Threat Canada Missed Facing US export controls, China's DeepSeek plans to make its own chips Privacy ou cachez ces informations que je ne saurais voir Footage Shows Cop Stalking Woman He Met on a TV Set After Surveilling Her With a License Plate Reader All Cars Sold in the EU Now Require a Camera Aimed at Your Face. It's Still Not Clear Where That Data Goes The Masks We (Think We) Wear: Privacy Threats of Browser-Extension Wallets in the Web3 Ecosystem Microsoft to enable Windows settings backup by default for orgs Facial Recognition in UK Shops Will Soon Instantly Alert Police About Offenders I am the law Control ton chat EU now one step away from reviving private message scanning rules Chat Control 1.0 vs 2.0 - Fight Chat Control Chat control 1.0 has renewed till 2028 Showdown in Strasbourg: The unexpected return of Chat Control 1.0 GitHub - SmtimesIWndr/gdid-reversal · GitHub Blocked Twice: How Bill C-34's Kids' Social Media Ban Would Compound the Online News Act's Harm to Young Canadians' News Access Supreme Court Allows Texas To Require Age Verification For Mobile Apps Red ou tout ce qui est brisé Google pays $250K for Linux vulnerability allowing guest VM escapes Bug in top AI coding agents shows that Unix-era security headaches never really die Software Is Now Written at the Speed of Thought. Security Isn't. Finding vulnerabilities was never the hard part Blue ou tout ce qui améliore notre posture The Cathedral and the Bazaar of Software Vulnerabilities: From the NVD to the CNAs Microsoft closes book on Nightmare Eclipse's RoguePlanet zero-day Divers ou parce que j'ai aucune idée où les placer The growing list of European organisations that ban personal messaging apps at work Vos vieux disques Mac chiffrés ont une date de péremption Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x319! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte de la recherche Dans cet épisode de Polysécure, l'animateur reçoit Gaëtan Ferry, chercheur en sécurité chez GitGuardian, pour discuter d'une recherche originale sur la génération de mots de passe par les grands modèles de langage (LLM). Le point de départ est un article publié début 2026 par Irregular, une entreprise israélienne, qui avait démontré que les mots de passe générés par les LLM présentaient des biais statistiques importants, variables selon les modèles. Cette découverte a poussé l'équipe de GitGuardian à se demander si ces mots de passe biaisés se retrouvaient réellement « dans la nature », c'est-à-dire utilisés par de vraies personnes sur de vrais systèmes. GitGuardian dispose d'un avantage unique pour répondre à cette question : son activité principale consiste à détecter des secrets (mots de passe, clés API, etc.) exposés publiquement, notamment sur GitHub. L'entreprise possède donc une base de données massive de secrets, dont une catégorie dite « générique » — des chaînes de caractères qui ressemblent à des mots de passe mais ne suivent aucun format standardisé identifiable. Méthodologie : les chaînes de Markov Pour détecter automatiquement si un mot de passe avait été généré par un LLM, l'équipe a eu l'idée de reconstruire une structure statistique classique : les chaînes de Markov, l'ancêtre technique des LLM, utilisées par exemple dans la prédiction de texte sur les claviers de téléphone. Ces chaînes excellent à capturer des biais statistiques dans une séquence de caractères. La méthode a consisté à interroger 40 modèles de LLM différents, en leur demandant de générer des centaines de mots de passe chacun. À partir de ces échantillons, plusieurs types de chaînes de Markov ont été construits, prenant en compte (ou non) la position des caractères dans le mot de passe. Ces structures permettent ensuite, face à un mot de passe arbitraire, d'estimer la probabilité qu'il ait été généré par un LLM, un peu comme une mesure d'entropie relative à une base de référence précalculée. Des biais spectaculaires Les résultats ont confirmé, voire amplifié, les observations d'Irregular. L'exemple le plus frappant concerne un modèle (Opus, à l'époque de l'étude) qui ne générait des mots de passe uniques que dans 35 % des cas — autrement dit, il répétait le même mot de passe dans 65 % des requêtes. Un modèle de Mistral faisait encore pire : il ne générait qu'un seul et unique mot de passe, toujours identique, laissant penser qu'il se contentait de restituer une valeur mémorisée durant son entraînement plutôt que d'en générer une nouvelle. Gaëtan Ferry explique ce phénomène par la tokenisation : certains modèles (comme GPT, étudié par Irregular) découpent le mot de passe en plusieurs tokens indépendants, ce qui introduit une certaine variabilité, alors que d'autres semblent traiter le mot de passe comme un token unique, menant à une quasi-absence de diversité. Un biais récurrent, observé sur presque tous les modèles, est l'alternance rigide entre catégories de caractères (minuscule, majuscule, chiffre, symbole) selon un schéma répétitif — un pattern idéal à capturer dans une chaîne de Markov. Sur un modèle donné, par exemple, un symbole « # » est suivi d'un « 8 » dans 90 % des cas. Ce comportement s'explique par la nature même des LLM : entraînés à reproduire des régularités linguistiques, ils sont fondamentalement conçus pour être prévisibles — l'exact opposé de ce qu'exige une bonne génération de mot de passe, qui requiert une forte entropie. Résultats sur les données réelles En appliquant cette classification à un échantillon d'environ 3 millions de secrets génériques collectés entre janvier et mars 2026, l'équipe a identifié environ 28 000 mots de passe présentant une très forte probabilité d'avoir été générés par un LLM, avec un seuil de confiance élevé. Bien que ce nombre représente une fraction modeste de l'échantillon total, la tendance est constante : environ 1 500 à 2 500 nouveaux mots de passe générés par LLM apparaissent chaque semaine sur GitHub, un rythme jugé préoccupant compte tenu qu'il ne s'agit que du sous-ensemble visible publiquement — la réalité en environnements privés étant probablement plus large encore. L'analyse du contexte d'apparition de ces mots de passe révèle deux scénarios typiques : soit un humain a manifestement demandé au LLM de générer un mot de passe pour l'insérer dans un fichier de configuration (par exemple une base de données), soit — plus troublant — un agent de développement autonome a lui-même pris la décision de générer et d'intégrer le mot de passe dans du code, comme dans un fichier de configuration Terraform observé par l'équipe, le tout dans un commit signé par l'agent d'IA lui-même, sans intervention humaine apparente. Une anecdote marquante Lors d'une présentation de ces résultats en conférence, Gaëtan Ferry a vu une personne quitter précipitamment la salle en voyant une diapositive listant des exemples de mots de passe faibles générés par un LLM. Cette même personne est revenue lui expliquer qu'elle avait justement demandé, ce matin-là, à un LLM de générer un mot de passe pour un service en ligne — et qu'elle venait de réaliser qu'il s'agissait exactement du même mot de passe affiché à l'écran. Un exemple frappant, selon lui, du fait que même des publics avertis en sécurité adoptent ce genre de pratique risquée. Conclusion Gaëtan Ferry conclut que le problème dépasse la simple question de la qualité du mot de passe généré : demander à un LLM hébergé chez un tiers de générer un secret expose potentiellement ce secret avant même qu'il n'apparaisse à l'écran de l'utilisateur, via les journaux et infrastructures du fournisseur. Il y voit une incompréhension plus profonde de la nature du LLM et des bonnes pratiques de gestion des secrets, et espère que ce partage contribuera à faire évoluer les pratiques des développeurs. Collaborateurs Nicolas-Loïc Fortin Gaetan Ferry Crédits Montage par Intrasecure inc Locaux réels par SSTIC

Parce que… c'est l'épisode 0x318! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte Dans cet épisode spécial, l'animateur reçoit François Labrèche, scientifique de données, pour discuter de la façon dont son entreprise traite l'immense volume de signaux de sécurité générés par son SOC à grande échelle (managed XDR). Contrairement à un SOC traditionnel, François travaille en back-end et a accès aux données de tous les clients, ce qui lui permet de construire des modèles et des filtres globaux applicables à l'ensemble des alertes. L'objectif de l'épisode est double : expliquer le pipeline de filtrage des données, puis illustrer son fonctionnement à l'aide d'un cas réel. Le pipeline de filtrage Étape 1 — Les détecteurs Le point de départ, ce sont des billions d'événements bruts. La première étape repose sur des règles de détection simples et peu coûteuses en calcul : correspondances avec des IOC (indicateurs de compromission), domaines ou IP malveillants, ainsi que des règles de corrélation basiques détectant des anomalies (par exemple, un utilisateur qui se connecte pour la première fois à une machine de développement). Ces règles ne prouvent rien de malveillant en soi, mais elles servent à isoler tout ce qui sort de l'ordinaire pour l'envoyer plus loin dans le pipeline. Après cette étape, il ne reste que 0,03 % des données initiales — un filtre énorme, mais qui représente encore 2,6 milliards d'événements sur deux semaines, un volume toujours impossible à traiter manuellement. Étape 2 — Déduplication et corrélation La deuxième étape combine deux mécanismes. La déduplication regroupe les alertes générées en grand nombre par une même attaque (comme un déni de service ou un scan) visant la même cible, réduisant ainsi des dizaines de milliers d'alertes en une seule. La corrélation, elle, relie des alertes distinctes provenant de détecteurs différents mais concernant la même activité (par exemple, plusieurs signaux liés à un même utilisateur et une même machine). Pour rendre ce travail possible, une équipe dédiée normalise en amont tous les signaux — qu'ils proviennent des senseurs propriétaires ou de fournisseurs tiers — dans un format standardisé, en capturant les éléments clés (nom de l'alerte, entités impliquées, IP, nom d'hôte, etc.). La corrélation s'appuie sur une fenêtre d'analyse fixe (environ un mois) et sur des bases de données de comptage historique, sans recours au machine learning à ce stade. Étape 3 — La suppression Cette étape cible des cas précis, propres à un client ou une situation donnée. Certaines alertes sont bénignes uniquement dans un contexte particulier : par exemple, un client qui effectue des scans de vulnérabilité hebdomadaires de façon planifiée, ou du trafic DNS provenant de Cloudflare, connu comme légitime. Ces règles de suppression sont paramétrées en collaboration avec le client ou l'ingénieur qui le supporte, et nécessitent une connaissance fine de son environnement. Des règles similaires sont aussi créées lorsque les équipes de recherche de menaces identifient des indicateurs malveillants publiés par erreur, afin de bloquer ces faux indicateurs pour l'ensemble des clients. Étape 4 — La priorisation C'est ici qu'intervient le machine learning. Les alertes sont divisées en deux groupes selon leur sévérité : haute et moyenne/basse. Un modèle supervisé, entraîné chaque semaine sur des données historiques (les décisions passées des analystes), est appliqué aux alertes de sévérité élevée pour prédire une probabilité de menace réelle. Ce modèle sert à deux fins : fermer automatiquement les alertes jugées très peu probables (réduisant le bruit pour les analystes), ou ajuster la sévérité des alertes jugées menaçantes. Les alertes de sévérité plus basse ne sont pas ignorées : elles sont réutilisées pour enrichir le contexte autour d'une menace identifiée par le modèle, en allant chercher toutes les alertes liées au même utilisateur et à la même machine durant la même période. Un point important soulevé dans la discussion concerne la dégradation des modèles : si un modèle supervisé était réentraîné sur ses propres prédictions (sans validation humaine), il se dégraderait progressivement, un peu comme les modèles de langage qui s'effondrent lorsqu'ils apprennent sur leurs propres données. Pour éviter ce piège, l'équipe conserve un échantillon de 5 à 10 % des données sur lequel le modèle n'agit jamais automatiquement — ces alertes sont envoyées aux analystes pour un triage normal, ce qui permet de mesurer en continu la performance réelle du modèle (faux négatifs, dérive) et de générer des données d'entraînement non biaisées pour les futurs modèles. Étude de cas : détection d'un info stealer Pour illustrer concrètement le pipeline, François présente un cas réel portant sur deux semaines de données : à partir de 9,7 billions d'événements, le filtrage complet aboutit à seulement 81 000 alertes, soit environ 50 par client. Pour le client étudié, seulement sept alertes émergent — deux de haute sévérité liées à un vol de mot de passe, et cinq autres jugées bénignes (vol d'identifiants légitime confirmé par le client). Grâce au modèle de priorisation, les deux alertes à forte probabilité de menace sont sélectionnées, puis l'analyste ramène toutes les alertes liées au même utilisateur et à la même machine, incluant trois alertes de sévérité plus basse. L'ensemble reconstitue une chronologie claire : un exécutable déguisé en éditeur PDF s'exécute, établit une connexion réseau anormale vers un serveur de commande, puis déclenche des détections successives de vol de mots de passe et de données de navigateur — signature typique d'un info stealer. Isolément, chaque alerte de type « info stealer » génère énormément de faux positifs ; c'est la combinaison de plusieurs signaux corrélés dans le temps, pour la même entité, qui permet à l'analyste de conclure avec confiance à une véritable compromission et de recommander la réimagerie de la machine du client. L'épisode se conclut sur l'idée que ce type de pipeline permet non seulement de filtrer efficacement le bruit à très grande échelle, mais aussi de reconstruire, a posteriori, une histoire cohérente de l'attaque à partir des données brutes. Notes A Needle in a Haystack - Identifying an Infostealer Attack Through Trillions of Events in a Large-scale Modern SOC Collaborateurs Nicolas-Loïc Fortin François Labrèche Crédits Montage par Intrasecure inc Locaux réels par nsec

Parce que… c'est l'épisode 0x317! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial de Polysécure, deux invités partagent leur expérience du programme Force, une formation destinée aux personnes provenant de domaines hors cybersécurité mais souhaitant développer des compétences dans ce champ, particulièrement dans le contexte des PME. Alain Dubois, administrateur système chez Métalus (une usine de transformation de métal) depuis deux ans, et Keven Landry, analyste fonctionnel chez UV Assurance depuis environ six mois, racontent chacun leur parcours et ce que le programme leur a apporté, tant sur le plan professionnel que personnel. Deux parcours, une même formation Keven a découvert le programme grâce à un collègue, Dominique Villeneuve, qui donnait un cours à l'UQTR et qui avait remarqué sa curiosité pour la cybersécurité. Bien qu'il ait déjà touché à plusieurs aspects techniques par le passé (développement, gestion d'infrastructure), il n'avait jamais approfondi ces connaissances de façon structurée. Le programme Force lui a permis d'acquérir une façon de penser applicable autant au travail qu'au quotidien, notamment pour reconnaître des situations à risque qui semblent anodines en apparence. Alain, de son côté, possédait déjà une base en administration système et en cybersécurité. Également mis en contact avec la formation par Dominique, un ancien patron, il est arrivé chez Métalus dans une entreprise dont le réseau avait environ 25 à 30 ans d'existence, hérité d'une mentalité informatique dépassée. Le programme Force lui a permis d'identifier des lacunes importantes dans l'infrastructure de son employeur. En pratiquant des tests d'intrusion (pentests) sur son propre réseau, il a découvert des failles majeures qui l'ont mené à reconfigurer entièrement les routeurs et pare-feu, ainsi qu'à resegmenter les réseaux virtuels (VLAN). Il raconte même avoir démontré à son patron qu'il pouvait intercepter des conversations téléphoniques sur le réseau de l'entreprise, preuve concrète que la sécurité en place était insuffisante. Le top 3 des apprentissages marquants Interrogés sur les éléments qui les ont le plus marqués, les deux invités convergent sur plusieurs points. Le crochetage de serrures (lock picking) a impressionné les deux participants, qui ont réalisé à quel point il est facile de contourner certaines sécurités physiques d'un bâtiment avec un simple jeu de crochets. Cet aspect leur a rappelé que la cybersécurité ne se limite pas au monde numérique : la sécurité physique des lieux est tout aussi cruciale. Alain souligne également la découverte de logiciels de sécurité accessibles financièrement pour les PME, souvent gratuits et développés par des communautés, mais tout aussi performants que des solutions payantes coûteuses. Il mentionne aussi la qualité générale du programme et des tests pratiques réalisés en conditions réelles simulées. Keven, pour sa part, insiste sur son expérience avec Kali Linux, une distribution qu'il a installée sur son propre ordinateur portable pour scanner son réseau Wi-Fi et tester la robustesse de ses mots de passe, allant jusqu'à réussir à craquer son propre mot de passe Windows. Il évoque également les tests liés aux objets connectés (IoT), ayant notamment scanné le réseau domestique de son père pour découvrir un nombre surprenant de caméras vulnérables accessibles publiquement. Il mentionne aussi l'utilisation du Flipper Zero, un petit appareil permettant de réaliser des attaques de type “homme du milieu” (man-in-the-middle), ainsi que des exercices avec l'équipe de cybersécurité pour mettre en place des attaques Evil Twin. Les deux insistent sur l'importance d'utiliser ces outils de façon responsable et éthique, et non pour s'en prendre au réseau du voisin. Une communauté qui perdure Même après la fin officielle du programme, les liens tissés durant la formation continuent de vivre. Alain mentionne un groupe Discord actif regroupant anciens et nouveaux apprenants, où l'entraide se poursuit : un participant y a notamment obtenu de l'aide après avoir été victime d'un rançongiciel, et Alain lui-même y a sollicité des conseils pour choisir un logiciel de surveillance réseau. Keven, quant à lui, décrit un rôle plus communautaire au sein même de son entreprise, où il agit désormais comme une sorte de porte-parole pour l'équipe de cybersécurité. Alors qu'auparavant la cybersécurité était perçue par certains collègues comme une contrainte imposée sans explication, il est maintenant en mesure d'expliquer le pourquoi des décisions et des orientations prises, un rôle reconnu et apprécié dans son milieu de travail. Une formation axée sur la pratique En conclusion, les deux invités reviennent sur ce qui distingue, selon eux, le programme Force d'autres formations plus théoriques ou superficielles en cybersécurité. Keven raconte l'exemple d'un stagiaire suivant une autre formation en cybersécurité qui ne connaissait pas des concepts de base comme l'OSINT ou les attaques par pass-the-hash, illustrant selon lui les limites de certains cursus trop généraux. Le programme Force, à l'inverse, offre un contenu détaillé, constamment mis à jour, sans nécessiter des années d'études. Alain, qui donne lui-même des formations en cybersécurité à ses employés, explique que le programme lui a permis de saisir la différence fondamentale entre sensibiliser les gens à faire attention et former de véritables protecteurs de systèmes. Il affirme avoir modifié sa façon de former ses employés depuis, en insistant davantage sur la réalité concrète des menaces (rançongiciels, acteurs malveillants) pour les rendre plus vigilants. Keven ajoute que la pédagogie du programme, alternant théorie et exercices pratiques concrets lors de séances synchrones aux trois semaines avec Dominique, lui a permis d'apprendre beaucoup plus efficacement que les approches purement théoriques auxquelles il avait été confronté par le passé, notamment durant son parcours scolaire. L'animateur conclut l'épisode en saluant la passion manifeste des deux invités et l'importance de voir des personnes issues de domaines connexes rayonner la cybersécurité autour d'elles, contribuant ainsi à améliorer la posture de sécurité des PME québécoises, un secteur souvent moins bien outillé que les grandes entreprises face aux cybermenaces. Collaborateurs Nicolas-Loïc Fortin Alain Dubois Keven Landry Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x316! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell À la frontière de l'impossible Fable 5 Update: Still Willing To Cybercrime After spooking Trump into safety testing, Anthropic AI models get global release OpenAI Released GPT-5.6 Sol With Limited Access and Strong Cyberattack Protections Disclosed CVEs: 3.5× Spike After Claude Mythos China's AI Matches Anthropic in Cybersecurity, Causing Worry Over US Restrictions We have Mythos at Home: GLM 5.2 beats Claude in our Cyber Benchmarks Anthropic Details Claude Fable 5 Cybersecurity Safeguards and Jailbreak Framework À la frontière de l'amertume AI may be good at finding security vulnerabilities, but it can't beat human stupidity Infosec professionals sour on automated pentesting tools Godot says bye bye AI, bans vibe-coded contributions Are Frontier LLMs Ready for Cybersecurity? Evidence for Vertical Foundation Models from Dual-Mode Vulnerability Benchmarks New attack provides one more reason why AI browsers are a bad idea Seven Security Challenges in Cross-domain Multi-agent LLM Systems Cybersecurity is the True Frontier for Generative AI Success or Failure EnclaveX: End-to-End Confidential AI with CPU/GPU TEEs AI-Infra-Guard Technical Report Generative AI and Federated Learning for Intrusion Detection Systems: A Survey Agentic AI Has an Identity Problem and Attackers Know It AI-Generated Workflows Are a Silent Security Disaster An AI just carried out a cyber attack without any human oversight for the first time Un dépôt GitHub trop propre suffit à pirater Claude Code - Korben La guerre, la guerre, c'est pas une raison pour se faire mal! Are Wars Blurring Lines Between Corporate and National Security? Four years into Ukraine invasion, Russia turns influence-ops back to US and Europe Arrest of Iranian Hacker Spotlights Iran's Movement into Economic Espionage and IP Theft Souveraineté ou vive le numérique libre! European digital ID wallets are a gift to Google and Apple Digital Sovereignty as a Quality Attribute for Software Architectures Espionage Against the European Parliament: Member of Committee Investigating Spyware Hacked with Pegasus Privacy ou cachez ces informations que je ne saurais voir Vérifier ou pas Age verification is just a precursor to attribution of speech The Data on Australia's Social Media Ban: The Better the Privacy Protection, The Less Effective the Ban What's wrong with EU age verification? Now open source: our Zero-Knowledge Proof (ZKP) libraries for age assurance Où es-tu? US supreme court rules geofence warrants require constitutional privacy protections US Agency Cancels Contract For Warrantless Tracking of Mobile Devices Shaky Ground Gets Shakier: What the U.S. Supreme Court's Location Data Decision Means for Bill C-22 Apple ‘Hide My Email' Vulnerability Reveals Peoples' Real Email Addresses Musk's X poses “serious risk to Americans' privacy,” advocates warn FTC Google veut scanner votre main pour prouver que vous êtes humain https://mysysinfo.com I am the law Control ton chat Chat Control 1.0: EU Council forces messenger scans via fast-track “Double Threat” to Private Communications: Undemocratic Chat Control Backroom Deals and Imminent Concessions Spark Relaunch of fightchatcontrol.eu Google loses fight over record $4.7 billion EU antitrust fine Red ou tout ce qui est brisé Are Checks Sent Through the Mail Vulnerable to Theft? Blue ou tout ce qui améliore notre posture Your iphone Will Alert You in Real Time if You Are Falling Victim to a Scam How to scale your patches without scaling your team (the patch wave) Divers ou parce que j'ai aucune idée où les placer What Is a Quantum Computer Good For? Absolutely Nothing - Yet Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x315! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un rendez-vous annuel sur la sécurité de la chaîne d'approvisionnement logicielle Ce podcast fait le point sur la présentation de François Proulx à NorthSec, où il aborde depuis quatre ans la sécurité de la chaîne d'approvisionnement logicielle (supply chain security). Chaque année a marqué une étape : la première présentait une vue d'ensemble du problème; la deuxième introduisait Poutine, un outil d'analyse statique open source destiné aux équipes défensives pour détecter les vulnérabilités dans les pipelines CI/CD; la troisième présentait les règles internes développées par son employeur, Boost Security, pour réduire les faux positifs de Poutine à grande échelle. La découverte troublante : les attaquants ont pris de l'avance Le tournant de cette année vient d'un constat inquiétant. Fin 2024, François a découvert sur Breach Forums (un forum cybercriminel aujourd'hui disparu ou renommé) des mentions du mot « Poutine » associées au nom de son employeur. Un utilisateur anonyme, visiblement non anglophone, discutait ouvertement de l'exploitation de pipelines de build et partageait des vulnérabilités zero-day encore non exploitées au moment de la publication. Quelques heures plus tard, le projet Python très populaire Ultralytics (des millions de téléchargements hebdomadaires) était compromis. Le même compte est revenu peu après pour se plaindre du faible gain obtenu (quelques bitcoins via un mineur rapidement neutralisé), puis n'a plus jamais été réutilisé. Cet épisode a révélé que certains attaquants surveillaient activement les publications de l'équipe et exploitaient les vulnérabilités presque en temps réel — un comportement inhabituel, car les attaquants sont généralement en retard sur les chercheurs. L'entreprise de François a elle-même été victime d'une attaque similaire (un employé compromis), ce qui a servi de signal d'alarme interne, même si l'incident a été contenu sans dommage. Pourquoi la chaîne logicielle est si vulnérable François explique que l'effet multiplicateur des dépendances transitives (parfois des milliers, même pour une application simple utilisant React et quelques librairies npm) crée une surface d'attaque énorme. Beaucoup de ces micro-projets sont maintenus par des développeurs isolés, parfois inactifs, épuisés, ou disparus, ce qui laisse des vulnérabilités non corrigées, parfois même non divulguées publiquement. GitHub Actions, utilisé par environ 90 % des projets open source sur GitHub, est identifié comme un vecteur clé. Bien que sa conception initiale limitait l'impact d'un code malveillant exécuté via une pull request (aucun accès aux secrets de publication), l'ajout progressif de fonctionnalités plus puissantes a ouvert la porte à des scénarios où des tiers non-mainteneurs peuvent déclencher l'accès à des secrets sensibles. De Poutine à Smoke Meat : automatiser l'exploitation Face à ce constat, François a pris la décision — difficile pour lui, davantage orienté « blue team » — de créer un outil offensif : Smoke Meat. Il le compare à Metasploit, créé par HD Moore au début des années 2000, qui a démocratisé l'exploitation de vulnérabilités classiques. Smoke Meat vise à faire de même pour les vulnérabilités des pipelines CI/CD : rendre leur exploitation accessible à tous, pas seulement aux experts, afin de forcer une prise de conscience collective. L'outil combine l'analyse statique de Poutine avec un moteur qui filtre les vulnérabilités les plus fiables et à fort impact (« blast radius »), génère automatiquement les payloads d'attaque, puis permet une exploitation réelle et un pivot latéral — comme un « meterpreter » adapté au contexte CI/CD. La terminologie choisie file la métaphore du barbecue : le « counter » (interface de l'opérateur), le « kitchen »/C2 (serveur de commande), et le « brisket » (l'implant qui s'exécute chez la victime, le « smoker »). Une fois actif, le brisket collecte rapidement (en une fraction de seconde) les secrets disponibles en mémoire, les trie selon leur potentiel de pivot, puis peut soit se retirer immédiatement, soit maintenir un tunnel pour une exploration plus poussée. Des zero-days accessibles à grande échelle Contrairement à Metasploit qui exploite généralement des vulnérabilités connues, Smoke Meat cible des zero-days présents dans une infrastructure publique que n'importe qui peut découvrir en scannant des dépôts GitHub. François souligne que les dépôts privés, souvent perçus comme moins exposés que les dépôts publics (vitrines soignées des entreprises), contiennent en réalité davantage de négligences : clés temporaires oubliées, projets expérimentaux mal sécurisés, etc. L'exemple concret : Team PCP et Trivy L'attaque du groupe Team PCP, discutée dans de précédents épisodes du podcast, illustre parfaitement ce mécanisme. Le groupe a exploité une vulnérabilité connue depuis longtemps dans l'outil populaire Trivy (développé par Aqua), infectant les utilisateurs consommant automatiquement les dernières versions. Le malware exfiltrait ensuite les secrets des nouveaux environnements infectés, permettant de répéter l'opération ailleurs — une propagation quasi-autonome, proche d'un ver informatique, bien que semi-manuelle. Un appel à l'action pour les défenseurs François conclut sur un ton presque désabusé : après quatre ans à répéter le même message, seuls les attaquants semblent l'avoir vraiment entendu. Il insiste sur le caractère déterministe de Smoke Meat — aucun recours à des modèles de langage, uniquement des payloads fiables et reproductibles — et sur la simplicité des correctifs, souvent limités à quelques lignes dans un fichier YAML plutôt qu'à des refontes architecturales majeures. L'objectif de l'outil est de rendre le danger tangible et immédiat pour les équipes qui, autrement, resteraient indifférentes, en reproduisant l'esprit des débuts du hacking où la démonstration technique primait sur le simple discours théorique. Notes Living Off The Pipeline - Defensive Research, Weaponized Collaborateurs Nicolas-Loïc Fortin François Proulx Crédits Montage par Intrasecure inc Locaux réels par nsec

Parce que… c'est l'épisode 0x314! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode de Polysécure, l'animateur reçoit Andréanne Bergeron et Olivier Bilodeau, chercheurs chez Flare, pour discuter d'une recherche sur le profilage des victimes de kleptogiciels (infostealers). L'objectif de cette recherche n'était pas de blâmer les individus, mais bien d'identifier de grandes tendances comportementales afin de bâtir des campagnes de sensibilisation mieux ciblées, plutôt que des messages génériques auxquels personne ne s'identifie. Méthodologie L'équipe s'est appuyée sur un échantillon représentatif tiré d'une année complète de compromissions (2025), afin d'éviter tout biais lié à des campagnes ponctuelles. Les données proviennent de tout ce qu'un kleptogiciel peut dérober : cookies de session, mots de passe, identifiants, liste des logiciels installés, documents personnels et historique de navigation. À partir de ces informations, les chercheuses ont codifié une série de variables binaires (présence ou absence d'un élément donné : outils techniques, jeux, sites à risque, indices démographiques comme la localisation ou l'âge probable) pour ensuite dégager des profils types par recoupement statistique. Le travail s'est fait en va-et-vient : Olivier explorait manuellement les journaux pour repérer des motifs intéressants, qu'Andréanne validait ensuite statistiquement. Les grands profils de victimes Plusieurs profils récurrents ont émergé de l'analyse : Les utilisateurs de divertissement : joueurs qui téléchargent des jeux piratés, des mods ou des « cheats » (l'exemple de Roblox est cité), ainsi que les consommateurs de contenu pornographique, une catégorie quasi systématiquement présente dans ce type d'échantillon. Les ordinateurs partagés en famille : des cas où plusieurs identifiants portant le même nom de famille apparaissent dans un même journal, suggérant qu'un parent prête son ordinateur de travail à ses enfants pour jouer. Les profils techniques : de façon contre-intuitive, 82 % de l'échantillon présente des compétences techniques (présence d'IDE comme VS Code, historique GitHub/GitLab, etc.), après élimination des faux positifs comme les runtimes C++ préinstallés. Les chercheuses insistent sur la distinction entre « technique » et « conscient des enjeux de cybersécurité » : de nombreuses personnes maîtrisent l'informatique sans connaître l'écosystème des logiciels malveillants qui les cible spécifiquement. Un exemple concret est donné : un développeur de Flare a failli installer une fausse version de Slack trouvée via une publicité Google malveillante, ne s'en rendant compte qu'après avoir reçu un avertissement de signature invalide. Le risque de chaîne d'approvisionnement (supply chain) : certaines victimes ont accès, via leur poste, à de multiples systèmes cloud de tiers (l'exemple donné est un consultant en marketing numérique avec accès à plusieurs comptes cloud de clients). Les chercheurs évoquent la brèche historique de Target, qui aurait pu être causée par un incident de type infostealer chez un fournisseur de climatisation. Les acteurs de la menace eux-mêmes : certains cybercriminels se font voler leurs propres outils en utilisant des « crypters » gratuits piégés (backdoorés), exposant du même coup leur infrastructure (comptes Cloudflare, hébergement à l'épreuve des balles, etc.). Le « Capitaine Get Things Done » : profil moins technique cherchant désespérément à résoudre un problème ponctuel (ex. : réinitialiser une imprimante Epson) et téléchargeant un utilitaire douteux trouvé en ligne, parfois repérable via l'historique de traductions Google Translate. L'« Unlocky Executive » : cadre ayant accès à des systèmes RH ou comptables, généralement infecté via une version piratée de logiciels bureautiques comme PowerPoint. Interprétation criminologique Andréanne, dont la formation est en criminologie, explique la surreprésentation des profils techniques par la combinaison de deux mécanismes classiques en victimologie : se trouver dans un environnement à risque (fréquenter des sites de jeux, télécharger des bibliothèques de code, etc.) et adopter un comportement à risque (cliquer, télécharger, faire confiance à des sources non vérifiées). Les deux facteurs doivent être réunis pour qu'il y ait victimisation — un joueur de cartouches Genesis hors ligne ne court aucun risque, contrairement à quelqu'un qui télécharge régulièrement des modules Python ou des jeux piratés. Vers une sensibilisation adaptée Plutôt que de produire une campagne complète, l'équipe a créé des affiches-exemples destinées à inspirer les organisations à concevoir leurs propres campagnes, fondées sur des statistiques réelles issues de la recherche plutôt que sur du marketing générique. Parmi les exemples cités : 26 % des victimes de kleptogiciels ont accès à de l'infrastructure d'entreprise, illustrant qu'un usage personnel d'un ordinateur professionnel peut faire basculer toute une organisation. Le principe clé avancé est qu'être exposé à un patron de fraude constitue la meilleure protection contre celui-ci — d'où l'importance de raconter des anecdotes concrètes et « relatables » (par exemple, un cas vécu par un collègue) plutôt que des modules de formation génériques et vite oubliés, comme les anciens modules chez Bell surnommés « le petit chevalier ». Prochaines étapes Andréanne travaille désormais avec sa collègue Estelle Ruellan à essayer de prédire l'apparition de nouvelles campagnes de kleptogiciels afin d'alerter les gens en amont. Olivier, de son côté, développe un outil de réponse aux incidents assisté par IA qui analyse les journaux de vol de données pour identifier le vecteur d'infection probable et évaluer le « rayon d'explosion » (blast radius) d'une compromission, tout en gardant un analyste humain aux commandes. Vu la sensibilité de l'outil, son accès sera limité aux praticiens vérifiés de la communauté Discord éducative Flare Academy, avant une mise en ligne publique prévue dans les prochaines semaines. Notes What Infostealer Victims Have In Common: 2 Behavioral Patterns That Should Reshape Cybersecurity Training Collaborateurs Nicolas-Loïc Fortin Andréanne Bergeron Olivier Bilodeau Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x313! Shameless plug 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Cet épisode spécial de Polysécure réunit un panel international : Geneviève Lajeunesse (spécialiste en cybersécurité, actuellement en gouvernance à Radio-Canada, à titre personnel), Fanny Tan (journaliste tech et chercheuse à l'Observatoire des conflits multidimensionnels de la Chaire Raoul-Dandurand), Christophe Darlhac (consultant en sécurité, ex-secteur aérospatial et défense) et William Sampietro (RSSI dans le cloud privé, avec un long passé en sécurité opérationnelle nationale et en normalisation). L'animateur ouvre le débat en notant qu'un acteur majeur a, depuis un an et demi, remis la géopolitique au cœur de la cybersécurité : on ne parle plus seulement de menaces venues de l'étranger, mais aussi de tensions internes qui ont des répercussions cyber. Le cyber comme levier de puissance Les intervenants s'accordent : le cyber n'est plus un simple enjeu technique mais un véritable levier de puissance pour les États, les entreprises privées et les groupes criminels. On est passé d'attaques isolées à une confrontation continue et souvent invisible. Les groupes d'attaquants sont aujourd'hui catégorisés (APT, groupes sponsorisés par des États), et le phishing, loin d'être artisanal, mène régulièrement à des acteurs identifiables poursuivant des objectifs géopolitiques précis. Un phénomène frappant est évoqué : la Birmanie et le Cambodge, où des dizaines de milliers de jeunes gens se voient confisquer leur passeport pour être forcés de mener des cyberattaques — une réalité suffisamment préoccupante pour que la Chine elle-même exerce une pression sur le Cambodge à ce sujet. Dépendance matérielle et logicielle Un thème central est la dépendance de l'Occident envers du matériel et des logiciels étrangers. La flambée du prix de la RAM, détournée vers des acheteurs privés ayant précommandé, illustre la fragilité des chaînes d'approvisionnement. Le matériel chinois (Huawei, par exemple) est souvent moins cher et parfois plus transparent que son équivalent américain, mais son adoption soulève des questions de confiance à long terme — un composant piégé peut rester dormant pendant des années avant d'être activé. La Chine a par ailleurs habilement orienté les normes techniques (comme le standard 5G) pour imposer ses propres équipements, une stratégie qualifiée de « soft power » plus subtile que les attaques directes russes. Doctrines nationales différenciées Les panélistes soulignent une différence de doctrine notable : les États-Unis assument une capacité de riposte cyber offensive inscrite dans leur politique nationale, alors qu'en Europe (à l'exception partielle de la France) cette capacité reste cantonnée au domaine militaire et n'est pas assumée publiquement. Cela crée une asymétrie dans la réponse aux attaques étatiques. Portraits par pays La Russie est associée à des campagnes de déstabilisation et de désinformation, rappelant des précédents comme Cambridge Analytica. La Chine privilégie le renseignement économique et l'espionnage industriel plutôt que la destruction — l'exemple d'une antenne suspecte de 15 mètres installée près d'un site sensible à Toulouse est mentionné. Les États-Unis, quant à eux, ne sont plus perçus comme des alliés inconditionnels : le rachat de VMware par Broadcom, ou l'utilisation du droit américain (via Microsoft) dans l'affaire Alstom-Pierucci, illustrent des formes de pression économique et juridique qui affectent directement les entreprises européennes. Le paradoxe de la souveraineté numérique Une large partie de la discussion porte sur la souveraineté numérique, jugée abondamment discutée mais peu mise en pratique, autant en France qu'au Québec. L'exemple de WhatsApp, massivement utilisé par des Européens pourtant critiques envers les États-Unis, illustre cette contradiction, malgré l'existence d'alternatives comme Signal ou Olvid. Les intervenants pointent l'absence de définition claire de la souveraineté numérique, notamment au Québec où le concept vient d'entrer dans la loi sans balises précises. Ils proposent de la penser par couches : souveraineté de l'individu (sur ses données), de l'entreprise, de l'État, puis de blocs régionaux (Europe, Amérique, Asie). Aucune souveraineté à 100 % n'est jugée réaliste ; il s'agit plutôt d'une question de priorisation selon la criticité des usages. Deux leviers concrets sont proposés pour sortir de l'inaction : la décision politique (imposer des fournisseurs nationaux ou alliés dans la commande publique) et le financement structurel des acteurs souverains, afin qu'ils puissent rivaliser avec les géants américains. Le retard technologique européen, estimé à environ 40 ans depuis l'essor de Windows, est jugé quasiment impossible à rattraper sans rupture volontaire — la Russie et la Chine, elles, ont innové par nécessité en étant coupées de l'accès à certaines technologies occidentales. La fuite des talents vers les géants américains, qui offrent des salaires nettement supérieurs à ceux du secteur public, est également citée comme un frein majeur à l'autonomie technologique. Reconfiguration des alliances En conclusion, le panel aborde la refonte des alliances internationales (Five Eyes, Union européenne, rapprochement Canada-Europe), accélérée par le désengagement relatif des États-Unis sous l'administration Trump. Les intervenants insistent : une alliance solide repose sur des valeurs communes et la confiance plutôt que sur des structures figées, et les alliances évoluent comme des relations humaines, avec des hauts et des bas. La frontière n'est plus seulement physique mais cyber, une dimension qui touche désormais la souveraineté, les infrastructures, la politique et la défense. La question de l'intégration formelle du Canada à l'Europe est jugée secondaire face à la volonté réelle de coopérer. L'épisode se termine sur la promesse d'un prochain volet, faute de temps pour aborder d'autres sujets comme l'informatique quantique. Collaborateurs Nicolas-Loïc Fortin Christophe D'ARLHAC Geneviève Lajeunesse Fanny Tan William Sampietro Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x312! Préambule Test d'enregistrement en mouvement, mais dans un environnement plus contrôlé que l'épisode d'actualité précédent. Shameless plug 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos… Anthropic's Mythos AI Model Reportedly Breached NSA Classified Systems in Hours How Anthropic may have talked itself into an AI export ban Anthropic Confirms Claude Mythos 5 Redeployment for US Critical Infrastructure Organizations Mythos discovers ‘Squidbleed,' a memory leak that's gone undetected since Clinton era Chinese cybersecurity company claims it's built a better-than-Mythos bug finder Asian AI startups launch Mythos-like models as Anthropic's export ban drags on Surviving the Mythos Era: Richard Bejtlich on the Case for NDR Cybersecurity in the post-mythos era: Keep calm and carry on! Plus ça change Intel agencies: Frontier AI models will reshape cybersecurity faster than expected OpenAI Releases GPT‑5.5‑Cyber With Full Automation for Vulnerability Detection and Patching It's looking like a hot, messy summer for security teams as AI finds countless previously hidden vulns Vulnerability Reports Are Not Special Anymore How Your Credentials Are Leaked by LLM Agent Skills: An Empirical Study Defense Effectiveness Across Architectural Layers: A Mechanistic Evaluation of Persistent Memory Attacks on Stateful LLM Agents Amplify, Don't Create: Temporal Accumulation for Slow-Burn Prompt Injection Think Twice Before You Act: Protecting LLM Agents Against Tool Description Poisoning via Isolated Planning Honeyquest for LLMs: Rethinking Cyber Deception for AI Attackers Microsoft uses AI to link two malware operations in racketeering suit More Malicious OpenClaw Skills Threaten AI Supply Chain Fake AI Agent Skill Passed Security Scans and Reportedly Reached 26,000 Agents FALCON: Transforming Cyber Threat Intelligence into Deployable IDS Rules with Self-Reflection Open-source security is posing challenges governments can't easily solve What happened after 2,000 people tried to hack my AI assistant La guerre, la guerre, c'est pas une raison pour se faire mal! Ukraine Says Russian Intelligence Used Fake Support Texts to Steal Messaging Credentials Souveraineté ou vive le numérique libre! US Bill Would Mandate AI Chip Location Tracking to Thwart China and Other Adversaries Privacy ou cachez ces informations que je ne saurais voir Flock-Powered Police Chiefs Stalking Women Shows Why Warrants Are Needed (Public Report) The ‘papers, please' era of the internet will decimate your privacy White House drastically shortens deadline for dropping quantum-vulnerable crypto New Rights, New Powers, Long Delays: Bill C-36's Seven-Step Process for Privacy Reform to Take Effect I am the law Chasser les enfants UK Official Promises Statements ‘Around VPNs' and Further Teen Restrictions on Chatbots and Social Media Won't Somebody Please Think Of Banning The British Children! Pluralistic: Spying on kids to save kids from spying is very, very stupid (23 Jun 2026) The KIDS Act Would Require Age Checks To Get Online Canada's Spy Agency Used First-of-Its-Kind Warrant to Clean Botnet-Infected Devices BrianKrebs: “WaPo reports the Justice Depar…” - Infosec Exchange DNS4EU refuse de bloquer les sites pirates de la BREIN Red ou tout ce qui est brisé Brazil begins investigating emergency alert system breach FortiBleed: 86,644 Fortinet Firewalls Compromised AWS Warns Outbound Traffic Blind Spots Can Enable Cloud Data Exfiltration Dialog Claims It Was Hacked. A Misconfigured Website Left Its Members Exposed The Pentagon Is Looking Into the Dialog Data Exposure for Unmasking National Security Officials Blue ou tout ce qui améliore notre posture The Rust Ecosystem Gets an AI Security Engineer in Residence Microsoft Adds Another Year To Windows 10 Extended Update Program New Initiative Secures End-of-Life Open Source Software Divers ou parce que j'ai aucune idée où les placer Raphael Robert: “The Mullvad founder gave milli…” - Mastodon Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par CitizenM CDG

Parce que… c'est l'épisode 0x311! Shameless plug 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Cet épisode spécial, enregistré à Montréal lors de la conférence NorthSec, réunit Coline Chavane et Maxime Arquillière, venus de France présenter leur recherche sur l'ADINT (advertisement-based intelligence). Leur équipe CTI, spécialisée dans le suivi des fournisseurs privés de logiciels espions (spyware) et membre de l'initiative Pall contre les abus de ces technologies, a identifié cette tendance émergente en cherchant à documenter les nouveaux vecteurs d'intrusion utilisés par ces entreprises, au-delà des exploits « zero-click » déjà connus (comme ceux exposés par Citizen Lab ou Amnesty International sur WhatsApp). Comment fonctionne la publicité en ligne Coline explique le mécanisme du real-time bidding : en moins de 100 millisecondes, chaque fois qu'un espace publicitaire s'affiche dans une application, un système d'enchères se déclenche. Les données de l'utilisateur (type d'appareil, identifiant publicitaire mobile, centres d'intérêt) sont transmises à de multiples annonceurs qui enchérissent pour diffuser leur publicité. Fait crucial : même les annonceurs qui perdent l'enchère reçoivent ces données, sans qu'aucun contrôle ne soit possible sur leur usage ultérieur. Cet identifiant publicitaire mobile (MAID), censé être pseudo-anonymisé, permet en réalité un suivi cross-plateforme très précis, exploitable à grande échelle pour désanonymiser les individus. Maxime souligne que ce système est mondialement fragmenté par des cadres légaux disparates (RGPD en Europe basé sur l'opt-in, régimes opt-out ailleurs), créant des zones grises que certaines entreprises exploitent. Les trois catégories d'ADINT Les intervenants ont catégorisé les usages détournés de ces données en trois types : ADINT passif : collecte massive de données publicitaires (directement ou via des data brokers) pour établir des profils. Exemple donné : identifier les employés d'un site sensible (agence de renseignement, site de défense) en observant les téléphones qui s'y rendent quotidiennement, puis recouper avec leur domicile et leurs fréquentations pour du profilage. ADINT actif : au lieu d'observer passivement, l'acteur configure une alerte déclenchée dès qu'un identifiant mobile spécifique participe à une enchère publicitaire dans un périmètre donné, permettant un suivi quasi temps réel d'une cible précise. Ces données sont ensuite revendues à des gouvernements, forces de police ou entreprises privées. ADINT offensif : le plus préoccupant, il utilise le processus d'enchère lui-même comme vecteur d'intrusion, en délivrant une publicité vérolée à une cible spécifique pour compromettre son appareil. Documenté notamment par Amnesty International dans les dossiers Intellexa, ce vecteur « stratégique » complète les vecteurs « tactiques » nécessitant une proximité physique. Un écosystème sophistiqué et concentré Maxime explique que cette diversification des vecteurs d'intrusion est stratégiquement vitale pour les fournisseurs de spyware, surtout après la condamnation de NSO Group aux États-Unis lui interdisant de cibler WhatsApp — une décision qui menace la viabilité économique d'entreprises dépendantes d'un vecteur unique. Fait notable révélé par Recorded Future : au sein du consortium lié à Intellexa figure une entreprise publicitaire propriétaire d'un SSP (plateforme utilisée par les éditeurs d'applications), directement intégrée au processus d'enchères. Cela confirme que l'ADINT offensif reste réservé à des acteurs sophistiqués et bien financés, souvent israéliens ou américains, employant d'anciens membres de services de renseignement en cyberintrusion. Ces sociétés se déploient notamment en Asie, marché en expansion, comme l'ont découvert Coline et Maxime via des brochures commerciales trouvées en source ouverte — notamment celles de la société « Patterns », qui vante la désanonymisation à partir d'un simple numéro de téléphone. Usages à grande échelle et actualité Interrogés sur des attaques plus larges que le ciblage individuel, les invités distinguent l'ADINT du malvertising (opportuniste et large). Ils citent toutefois un cas documenté en Syrie (2015-2016) où le ciblage publicitaire a servi à comptabiliser et suivre les déplacements de réfugiés fuyant une zone de guerre. Plus actuel : aux États-Unis, l'agence ICE figure parmi les clients confirmés de solutions incluant des capacités ADINT — une utilisation désormais assumée publiquement, contrairement à des pratiques plus discrètes par le passé. Protections limitées pour les utilisateurs Coline note que certaines initiatives existent côté fabricants (comme le Lockdown Mode d'Apple, limitant les permissions de suivi GPS), mais que les utilisateurs disposent de peu de moyens concrets au-delà de l'hygiène numérique de base (refus des cookies, etc.) pour se protéger de ce profilage à grande échelle. Conclusion Cette recherche met en lumière un angle mort de la surveillance numérique : un écosystème publicitaire légitime, mondial et extrêmement efficace pour capter des données comportementales, détourné par une industrie grise et bien financée à des fins de renseignement, de profilage et, dans les cas les plus sophistiqués, d'intrusion informatique ciblée. Notes Sold to the highest bidder - the escalation of ADINT from geolocation tracking to intrusion vector Collaborateurs Nicolas-Loïc Fortin Maxime Arquillière Coline Chavane Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x310! Shameless plug 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Florian Le Mouël Thierry St-Jacques-Gagnon Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x30F! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin [Pascal Manni] Crédits Montage par Intrasecure inc Locaux réels par [BANQ]

Parce que… c'est l'épisode 0x30E! Préambule C'est difficile la vie d'aéroport. Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Export control WTF ‘Dangerous' AI Models Are Coming No Matter What Cybersecurity experts don't think Anthropic's Fable 5 presents a unique threat A quote from Matteo Wong, The Atlantic The Fable 5 Export Controls Harm US Cyber Defense Cybersecurity Vets Protest ‘Dangerous' US Government Ban On Anthropic's Most Powerful Models Feds freaked over Fable 5 after simple ‘fix this code' prompt, not jailbreak, says researcher From PGP to Mythos: a brief history of export controls that didn't stop anyone The US government's Anthropic models ban was never about an AI jailbreak Critical Copilot vulnerability allowed hackers to steal 2FA code from users “Important You should give me full credits!”: Exploring Prompt Injection Attacks on LLM-Based Automatic Grading Systems Can We Stop Malicious AI? KILLBENCH: A Benchmark for External AI Kill Switch Feasibility RAG prompt injection protection Evaluating LLMs for Obfuscation Detection and Classification in Android Apps Security Engineering of OpenClaw: Analyzing Attack Surface Expansion and Trust-Boundary Violations Snyk VulnBench JS 1.0: Can LLMs Find the Same Bugs Twice? Every AI Agent Is an Identity. Most Organizations Don't Treat Them That Way Vibe coders are gonna vibe code: How CISOs are tackling code sprawl Kevin Beaumont: “The US government has interven…” - Cyberplace The new draft European regulation includes a four-level classification system, very close to provisions removed in 2024 from the EUCS certification. La guerre, la guerre, c'est pas une raison pour se faire mal! Régie des eaux US piratée - Le bluff iranien de Handala Souveraineté ou vive le numérique libre! From Distorted Mirrors to Sovereign Reflections: Resisting the Grotesque Depiction of Our Digital Selves US holds off blacklisting China's DeepSeek, more than 100 firms deemed security risks, sources say Privacy ou cachez ces informations que je ne saurais voir Apple is about to make Hide My Email useless France to stop certifying products without quantum-safe encryption I am the law C'est la faute des enfants UK to ban social media for kids under 16, may impose overnight curfews Children Are Not the Enemy: Child-Fit Security as an Alternative to Bans and Surveillance UK set to announce social media ban for under-16s From Australia to Europe, countries move to curb children's social media access Norway imposes near ban on AI in elementary school The UK's Teen Social Media Ban Is Political Theater, Not Child Safety Policy Ô Canada Canada's Digital Super-Regulator: Bill C-36 Pushes Out the Privacy Commissioner and Hands Private Sector Privacy to an Overloaded Commission Midnight Madness: The Government Rushes Lawful Access Bill Through the House Without Debate or a Recorded Vote The Commission: How Bill C-34 Creates an Internet Super-Regulator That Will Touch the Lives of Millions of Canadians Red ou tout ce qui est brisé Massive breach spills credentials for thousands of sensitive networks FortiBleed — 75k Fortinet firewalls have admin passwords cracked The Internet Runs on Names India temporarily blocks Telegram over medical exam cheating fears Telegram admits it couldn't police exam-leak channels, India tells court 27-Year-Old OpenBSD Vulnerability Allows Attackers to Bypass PAP Authentication Entirely Microsoft Confirms Defender RoguePlanet 0-Day Exploit and Working to Release Patch New iPhone BootROM Vulnerability Exposes Apple SoCs to Full Chain-of-Trust Compromise When Does a Threat Intelligence IOC Expire? Most CISOs Report Pressure to Bury Bad Security News Stressors, AI Forcing Changes to Cybersecurity Teams I discovered a large-scale malware distribution on GitHub Microsoft Discovers Cryptocurrency Stealer That Spreads Through USB Drives and Uses Tor Crooks found a new way to collaborate using Teams – by hiding command-and-control traffic Cyber offenses now account for around a third of all crime across Asia and South Pacific Microsoft site throwing warnings after someone forgot to renew cert Blue ou tout ce qui améliore notre posture [curl summer of bliss daniel.haxx.se](https://daniel.haxx.se/blog/2026/06/15/curl-summer-of-bliss/) Divers ou parce que j'ai aucune idée où les placer AMD FTW Users cry foul after AMD stripped memory crypto from its consumer CPUs AMD will reinstate memory encryption on Ryzen 9000 CPUs through a BIOS update in July — TSME is coming back after ‘valuable community feedback' Cabal How the Peter Thiel-Linked Dialog Club Secretly Ranks Its Members Leak Exposes Members of Peter Thiel's Secretive ‘Dialog' Society Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par YUL

Parce que… c'est l'épisode 0x30D! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin François Labrèche François Proulx Charles F. Hamilton Christian Paquin Philippe Pépos Petitclerc Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x30C! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, je reçois Samuel Bonneau, venu présenter Cybereco la transformation profonde que son entreprise — une société de développement logiciel établie depuis quinze ans, qui intègre l'intelligence artificielle depuis huit ans — a opérée au cours de la dernière année. Contrairement à plusieurs entreprises qui se contentent d'un discours marketing autour de l'IA, l'organisation a réellement transformé ses façons de faire en profondeur. D'un objectif de 50 % à un changement de mentalité radical L'histoire débute par un objectif ambitieux fixé aux employés : devenir 50 % plus performants grâce à l'IA, sur une période d'un an. Plusieurs équipes ont dépassé largement cette cible en cours de route, ce qui a mené l'entreprise à revoir entièrement son approche. Samuel illustre ce changement par une analogie automobile : viser 50 % plus de vitesse revient à accélérer davantage avec le même véhicule, alors que viser une multiplication par dix ou vingt force à repenser entièrement le moyen de transport. C'est ce changement de paradigme — un mindset de croissance exponentielle plutôt qu'incrémentale — que l'entreprise a adopté, en parallèle de l'arrivée de modèles et d'outils de codage de plus en plus performants, dont Claude Code, qui a rapidement surpassé les outils utilisés jusque-là. Cette transformation ne s'est pas limitée aux équipes techniques : les ressources humaines, la finance et le reste du back-office ont aussi été intégrés, développant leurs propres flux de travail avec des agents, des compétences (skills) partagées entre équipes, et même de nouveaux outils et plateformes internes. Samuel souligne que la petite taille de l'équipe administrative et une culture d'innovation déjà bien ancrée ont facilité cette adoption, réalisée sur une période de trois à six mois pour la cinquantaine de personnes moins familières avec ces outils. Une urgence stratégique et des risques émergents Samuel explique que ce virage n'était pas optionnel : dans un domaine où l'IA évolue très rapidement, ne pas adopter ces outils aurait signifié perdre en pertinence face à des concurrents capables de développer plus vite et à moindre coût. Ce sentiment d'urgence (« do or die ») a guidé les décisions de l'entreprise. Or, cette accélération massive amène son lot de défis en cybersécurité. Les employés développant leurs propres agents et automatisations utilisent souvent leurs propres identifiants, ce qui peut devenir dangereux si ces agents ne sont pas correctement encadrés. Samuel cite l'exemple de la sandboxing des agents codeurs, un besoin pour lequel peu de solutions matures existaient sur le marché — l'outil le plus prometteur, Nvidia Open Shell, étant encore en préalpha, ce qui illustre bien le décalage entre la rapidité de l'innovation en IA et la maturité des outils de protection. Une plateforme cybersécurité développée à l'interne Face à ce constat, l'équipe a bâti sa propre plateforme de cybersécurité, intégrée à un robot Slack déjà utilisé pour les demandes liées à la sécurité. Cette plateforme analyse automatiquement les demandes d'utilisation d'outils ou de compétences (skills) externes, attribue des scores de risque et permet d'approuver ou de rejeter les requêtes. Plutôt que de gérer cela à travers du code traditionnel, l'équipe travaille désormais par spécifications : il suffit de modifier les spécifications fonctionnelles pour que le système se régénère avec les nouvelles règles, par exemple en ajoutant un critère lié à la localisation des données. L'élément le plus distinctif de cette plateforme est sa capacité à puiser dans toute la documentation interne d'un projet client — transcriptions de réunions, documents de conception, échanges — afin de déterminer automatiquement le niveau de criticité, les enjeux de disponibilité et les risques associés à un système avant même son développement. Cette information alimente ensuite la génération de spécifications de sécurité sur mesure, adaptées au contexte d'affaires réel du client plutôt qu'à des standards génériques. Encadrer les agents : god rails et supervision Une partie importante de l'entretien porte sur la façon de limiter les comportements destructeurs que pourraient avoir des agents autonomes. Samuel explique que chaque agent développé par l'entreprise comporte une douzaine de composantes, dont des mécanismes de garde-fous (« god rails ») qui valident que son comportement reste dans les limites prévues. Il illustre cela avec l'exemple d'un agent d'intégration des nouveaux employés (onboarding), qui ne doit jamais pouvoir exécuter des actions de désactivation de comptes (offboarding), même s'il possède techniquement les droits nécessaires pour créer des comptes. Un agent superviseur additionnel surveille les actions des agents opérationnels pour détecter et bloquer tout comportement anormal. Cette approche de décomposition en agents très spécialisés, plutôt qu'en un seul agent polyvalent, réduit non seulement les risques d'erreurs ou d'hallucinations liées à une fenêtre de contexte trop chargée, mais permet aussi de réduire les coûts en tokens en choisissant des modèles adaptés à la complexité réelle de chaque tâche. Choix des modèles et expertise interne L'entreprise s'appuie sur une équipe d'une quarantaine de spécialistes en IA, plusieurs détenant un doctorat, qui combinent rigueur scientifique et application concrète (programmation, entraînement et ajustement de modèles). Leur rôle a évolué : alors qu'ils entraînaient autrefois des modèles sur des infrastructures dédiées, ils se concentrent aujourd'hui davantage sur le choix du modèle optimal selon le contexte, qu'il soit local ou hébergé via une API externe, agissant essentiellement comme un routeur intelligent entre différents modèles de langage. Vers la commercialisation et les prochains défis Développée depuis janvier, la plateforme interne sert déjà à la fois à protéger l'entreprise et à soutenir des contrats clients de longue durée. Samuel évoque un potentiel de commercialisation, possiblement sous forme de produit en mode SaaS, déjà testé auprès de grands clients déployant des systèmes agentiques complexes. En clôture, Samuel partage sa vision des prochains défis : l'arrivée de robots humanoïdes en milieu industriel, déjà amorcée chez certains clients, qui posera de nouveaux enjeux de sécurité et de sûreté (safety) lorsque ces robots, connectés à des systèmes intelligents, devront être encadrés pour éviter des actions dangereuses. L'entreprise prévoit relancer une division spécialisée pour anticiper cette vague, prévue dans un horizon de deux à cinq ans. Collaborateurs Nicolas-Loïc Fortin Samuel Bonneau Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x30B! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cette 17e collaboration entre les balados Cyber Citoyen et Polysécure, Catherine anime la discussion avec Sam et Nicolas autour de quatre grands thèmes : la surveillance étatique en Russie, les abus du système de surveillance routière Flock, une étude sur les noms de domaine malveillants et le couplage de cette tendance avec le phishing, et enfin une anecdote sur les véhicules de livraison Amazon. Le système Sorm en Russie Sam ouvre l'épisode en présentant le Sorm, un système russe de surveillance des communications téléphoniques et internet datant de 1995. Conçu au départ pour donner au FSB un accès direct aux infrastructures téléphoniques, il a été étendu en 1998 aux fournisseurs d'accès internet, puis intensifié autour des Jeux olympiques de Sochi sous prétexte sécuritaire. Les fournisseurs doivent installer cet équipement à leurs propres frais, ce qui pousse les petits opérateurs à résister, sous peine d'amendes ou de retrait de licence pendant dix ans. Le système permet désormais des recherches par mots-clés et centralise des données extrêmement sensibles : adresses, passeports, coordonnées bancaires, géolocalisation, adresses IP et courriels. Les intervenants soulignent le parallèle avec les pratiques américaines révélées par Snowden, et notent que cette intensification coïncide avec le mécontentement intérieur lié à la guerre en Ukraine. La discussion s'élargit aux blocages d'internet ailleurs (Iran, listes blanches), à la conférence SplinterNet sur la fragmentation du réseau mondial, puis à des tendances similaires dans les démocraties occidentales (Chat Control en Europe, le projet de loi C-2 au Canada, les lois britanniques), illustrant que l'identification obligatoire (numéros de téléphone, cartes SIM, interdiction des téléphones jetables aux États-Unis) n'est pas l'apanage des régimes autoritaires. Nicolas évoque aussi son expérience personnelle en Corée du Sud, où l'identité est systématiquement liée aux services numériques. Le segment se conclut sur l'inquiétude que cette centralisation des données personnelles russes constitue elle-même une cible de choix pour des puissances rivales, et sur le constat plus large d'une incompréhension généralisée des conséquences à long terme de ces choix technologiques. Les dérives du système Flock Nicolas revient ensuite sur Flock, le système de reconnaissance de plaques d'immatriculation, déjà abordé dans un épisode précédent. Grâce au site DeFlock, des citoyens ont découvert que leur plaque avait été recherchée des centaines de fois sans justification : un cas où un policier avait consulté la plaque d'une victime plus de cent fois, et un chef de police pris à espionner sa propre conjointe. La réponse de l'entreprise Flock, qui se targue de transparence plutôt que de reconnaître le problème, est jugée particulièrement maladroite, surtout après la révélation qu'une quarantaine de nouveaux cas d'abus ont été recensés en un seul mois. Les animateurs saluent le rôle du journalisme d'enquête (notamment celui de 404 Media) dans la mise en lumière de ces dérives, et comparent l'absence de garde-fous chez Flock aux systèmes d'alerte automatique utilisés dans les réseaux hospitaliers ou les agences gouvernementales, où une consultation anormale d'un dossier déclenche immédiatement une enquête. Le débat se conclut sur la question de savoir si cette absence de contrôle relève de l'incompétence ou d'un choix délibéré de ne pas investir dans la prévention des abus. Noms de domaine, phishing et marché de la fraude Sam présente ensuite une étude d'Interisle sur les noms de domaine enregistrés en 2025 : sur 85 millions de domaines créés, 8,5 millions ont fini bloqués pour usage frauduleux, soit un plancher d'environ 10 %, probablement plus proche de 15 à 20 % en réalité. Cinq bureaux d'enregistrement concentrent la moitié des domaines bloqués, l'un d'eux affichant un taux de 88 %, souvent via l'enregistrement automatisé en masse de domaines à très bas coût. Le groupe critique l'approche du rapport, trop centrée sur l'autorégulation du marché, alors qu'aucun mécanisme structurel n'empêche ces registraires de continuer leurs pratiques. L'exemple belge du CCB, qui bloque au niveau national les domaines jugés dangereux, est cité comme une approche plus efficace, comparable à une mesure de santé publique. La conversation aborde aussi la difficulté d'agir à l'échelle internationale, faute de coordination entre les autorités américaines et européennes. En lien avec ce sujet, Sam note une diminution du volume des attaques de phishing de 20 % en 2024 et 2025, non pas parce que la menace recule, mais parce que les attaquants privilégient désormais des campagnes plus sophistiquées et ciblées plutôt que des envois massifs peu rentables, une tendance facilitée par les outils d'intelligence artificielle générative. L'anecdote des camionnettes Amazon et la question de l'authenticité Le dernier sujet porte sur une mise à jour logicielle des camions de livraison Amazon qui coupe la climatisation après seulement trente secondes d'inactivité, exposant les chauffeurs à des chaleurs dangereuses, notamment au Texas. La réponse officielle d'Amazon, qui présente cette mesure comme un gain de confort et d'autonomie de batterie, est tournée en dérision par les animateurs, qui y voient un exemple typique d'absence d'accountability corporative. Cette anecdote sert de tremplin à une réflexion plus large sur le manque d'authenticité des communications d'entreprise contemporaines, illustrée par le retrait du slogan « Don't Be Evil » chez Google, et une brève mention du manifeste controversé du dirigeant de Palantir, sujet que le groupe prévoit de traiter dans un épisode futur dédié. Collaborateurs Nicolas-Loïc Fortin Catherine Dupont-Gagnon Samuel Harper Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x30A! Préambule Expérimentation avec une nouvelle approche d'enregistrer en itinérance. Le son n'est pas idéal, mais pas trop loin de l'objectif. Un nouvel essai aura lieu le 21 juin, où j'améliorerai l'approche pour atteindre une qualité suffisante en limitant la quantité de choses que j'apporte lorsque je suis en voyage. Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Fable ou fiction Claude Fable 5 Doesn't Change the Mythos Security Story Anthropic says these topics are too dangerous to let its Fable 5 model talk about Cybersecurity researchers aren't happy about the guardrails on Anthropic's Fable Il était une fois… l'export control ou la fable de l'accès universel Statement on the US government directive to suspend access to Fable 5 and Mythos 5 Anthropic Anthropic's Claude Fable 5 Alleged Jailbreak to Generate Stack Exploits Anthropic shuts down Fable, Mythos models following Trump admin directive Our response to the US ban on Fable 5 and Mythos 5 How Amazon and the White House ended Anthropic's Fable US ban on Anthropic's Fable 5 and Mythos 5 has ‘Amazon link': Researchers from Amazon used a series of prompts to … Tech Things: There is a massive shadow hanging over this Fable thing Lawsuit: ChatGPT validated suicidal woman's distrust of crisis lines Zcash - Une IA déniche en 24h une faille vieille de 4 ans Extracting Recurring Vulnerabilities from Black-Box LLM-Generated Software Friend or Foe? Language as an ideological switch in open-weight LLMs under Russian disinformation stress AI Code Sandboxes: A Comparative Security Study Part 1 of 2 — Engine-Level Properties (Attack Surface, Leakage, Stackability, CVE History, Patch Cadence, Fuzzing) Sample-Efficient LLM-Based Detection of Malicious Web Server Logs with Forensically Explainable Reasoning SecureClaw: Clawing Back Control of LLM Agents Security Risks of Apple's AI Changing Your Passwords Blame AI: Patch Tuesday Hits Record 206 CVEs Un ver informatique qui raisonne tout seul China-linked operators revive botnet, stir AI datacenter debate Are Frontier LLMs Ready for Cybersecurity? Evidence for Vertical Foundation Models from Dual-Mode Vulnerability Benchmarks Bypassing Prompt Guards in Production with Controlled-Release Prompting Mind your key: An Empirical Study of LLM API Credential Leakage in iOS Apps GenAI Is Both Hunter and Hunted at Pwn2Own Berlin 2026 La guerre, la guerre, c'est pas une raison pour se faire mal! Iran Signed a Ceasefire — Its Hackers Didn't The Strange Defeat of Nuclear Deterrence Souveraineté ou vive le numérique libre! Digital Sovereignty Becomes An Imperative As the US Reads Dutch Emails All the Ways Europe Is Ditching American Technology Euro-Office 1.0 Arrives To Open-Source Infighting: ‘Compatibility Is Not Sovereignty' Infineon to Open German Chip Fab as Part of EU Sovereignty Push AI Sovereignty: A Qualitative Model of Strategic Competition as AI Becomes an Instrument of National Power Canada: Artificial Intelligence as a Pillar of Digital Sovereignty - INCYBER NEWS Kevin Beaumont: “I'm on year 3 of trying to con…” - Cyberplace Germany

Parce que… c'est l'épisode 0x309! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x308! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Notes Doxxing-proof authentic digital media - trust the asset, protect the source Collaborateurs Nicolas-Loïc Fortin Christian Paquin Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c'est l'épisode 0x307! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Mélissa Canseliet Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x306! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos Anthropic invites EU to access Mythos hacking tech Anthropic scales Claude Mythos to critical infrastructure in 15+ countries Anthropic Expands Project Glasswing Claude Mythos Preview to 150 New Organizations Kevin Beaumont: “Mythos is not great btw. Runni…” - Cyberplace Free AI model powers self-spreading worm in enterprise test network Instapassword Hackers Used Meta's AI Support Bot to Seize Instagram Accounts Instagram Meta AI Vulnerability Allegedly Enables Password Reset for Accounts Hackers duped Meta AI support chatbot to steal celebrity Instagram accounts Instagram Fixes Password Reset Flaw That Exposes User Emails and Phone Numbers Hackers Simply Asked Meta AI to Give Them Access to High-Profile Instagram Accounts. It Worked Kevin Beaumont: “How people hacked Meta account…” - Cyberplace Injecte moi ça ChatGPT for Google Sheets Exfiltrates Workbooks New Google Gemini Vulnerability Exploited via Prompt Injections from WhatsApp, Slack, and SMS New ChatGPT Lockdown Mode Limits Tools That Could Enable Data Exfiltration Irresponsable Florida sues OpenAI, Sam Altman after multiple ChatGPT-linked murders School shooting survivor sues AI gun detection firm after system failed to spot weapon AI Agents Get Their Own Directory Built Atop DNS Remove all LLM generated commits before people get hurt by this nonsense. · Issue #934 · RsyncProject/rsync Amazon Shuts Down Internal AI Leaderboard After Employees Cheated Open source project contains hidden instruction for “AI” agents: delete my code DOD wants to integrate cyber in all operations, and integrate security into AI Trump plan to test AI models has a problem—US security teams were gutted by DOGE Kevin Beaumont: “xAI have asked a court to stri…” - Cyberplace Commvault says it's time to rethink resiliency as AI crooks leave victims in a ‘dark, dead' state Attackers Use AI to Automate EDR Evasion Testing Pluralistic: Delusion as a service (04 Jun 2026) – Pluralistic: Daily links from Cory Doctorow These LLMs are the best at resisting Russian propaganda RAG Security and Privacy: Formalizing the Threat Model and Attack Surface From Attack Simulation to SIEM Rule: Deterministic Detection-as-Code Synthesis with Probe-Level Traceability Will the Agent Recuse Itself? Measuring LLM-Agent Compliance with In-Band Access-Deny Signals Critical Hugging Face Transformers Vulnerability Enables Remote Code Execution Attacks La guerre, la guerre, c'est pas une raison pour se faire mal! Iran-Linked Hackers Destroy IT, Backups, and Recovery Systems in Cyberattack targeting Middle East Pentagon raised threat of Israeli spying on U.S. to highest level, sources say Souveraineté ou vive le numérique libre! EU plots long game against US digital supremacy OSI welcomes the European Union's “Tech Sovereignty” package Cable lobby warns of chaos if FCC doesn't relax ban on foreign routers Privacy ou cachez ces informations que je ne saurais voir The Pentagon Finally Admits That Location Data Is a Battlefield Problem Age verification for social media – the beginning of the end for a free internet? Privacy isn't dead: it's just that tech companies have made it inconvenient Amazon-owned Ring should pay Americans for scanning their faces, lawsuit says Elon Musk tries again to escape FTC audits of X data handling I am the law Policy-Compliant Cloud Storage Systems GrapheneOS user reported to authorities for using GrapheneOS Red ou tout ce qui est brisé Cachez ce fiasco que j'ai fait Microsoft's Zero-Day Legal Threats Spark Backlash Microsoft Clarifies It Won't Sue Security Researchers Amid Nightmare-Eclipse Controversy Microsoft reaches for olive branch after public dustup with 0-day researcher Nightmare Eclipse incident shows the researcher-vendor fights may never fully go away Another bug hunter leaks Microsoft exploits in defiance of company's handling of vulnerability disclosures Microsoft MSRC Allegedly Dismissed Dependency Confusion Vulnerability, Claims Researcher Just LOL BIN BAS Kevin Beaumont: “Wake up babe, new lolbins and …” - Cyberplace Microsoft's Coreutils project brings Linux commands to Windows Microsoft Investigates MFA Setup Failure and MySigns-In Portal Outage Dozens of Red Hat packages backdoored through its official NPM channel Inspector general finds NIST mistakes have made vulnerability database ineffective Sur le serveur X.Org, neuf nouvelles failles de sécurité dont huit débusquées par une IA HTTP/2 Bomb : une mini-requête suffit pour faire tomber nginx, Apache ou IIS Blue ou tout ce qui améliore notre posture - An Analysis of GrapheneOS's Server Infrastructure - Android phones will soon be able to detect spoofed calls and impersonation scams - Kernel-Level Ground Truth: Why eBPF is Replacing User-Space Agents for Security Observability - Dashlane explains how attackers managed to download encrypted password vaults - Let's Encrypt Unveils Merkle Tree Certificates to Secure the Web Against Quantum Threats Divers ou parce que j'ai aucune idée où les placer - The Infosec Phrasebook - United Airlines Flight To Spain Pulls U-Turn Over Bluetooth Device Name - Cyber Insurance Rates Are Dropping, but Exclusions Widen - DNS is for people - not for IT infrastructure - The US Military Quietly Turned GPS Into a Global ‘Numbers Station,' Evidence Suggests - I led the 2014 U.S. CDC Ebola response. An action plan is needed now - Teen social media ban risks strengthening Big Tech dominance: Bluesky Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x305! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, l'animateur réunit son trio composé de Cyndie Feltz, Nicholas Milot et Dominique Derrier pour discuter de Mythos, un sujet qui fait beaucoup les manchettes. D'entrée de jeu, l'équipe précise que l'important n'est pas tant Mythos en soi — entouré de beaucoup de bruit et de marketing — que la prise de conscience qu'il provoque : les modèles d'IA, qu'ils soient spectaculaires comme Mythos ou plus sobres comme Opus, marquent un changement de paradigme dans la découverte de vulnérabilités et dans la façon dont les attaquants opèrent. L'enjeu central pour les PME est simple : il deviendra encore plus facile de s'attaquer aux systèmes, alors que c'était déjà facile. Qu'est-ce que Mythos ? Pour ceux qui auraient « vécu sous une roche » ces dernières semaines, l'équipe explique le concept. Nous sommes à l'ère de l'IA et des LLM (large language models), capables de générer des images, de communiquer, de faire du « vibe coding ». Des chercheurs ont eu l'idée d'utiliser ces modèles pour découvrir des vulnérabilités dans les applications. En poussant le modèle, on obtient une puissance démultipliée — quoique coûteuse en tokens — capable d'analyser du code, de tester et de trouver les failles permettant de pénétrer les systèmes. Mythos est un modèle hautement spécialisé qui n'est pas encore réellement accessible au public; seules de grosses organisations et certains gouvernements peuvent y accéder. L'équipe évoque le fait qu'Anthropic l'utiliserait elle-même pour tester de grands projets open source, et mentionne un projet (« Glass Wind » ou similaire) regroupant de gros joueurs comme CrowdStrike, Amazon et Apple, qui utiliseraient Mythos pour sécuriser les systèmes. Un participant souligne avec ironie l'angle marketing : si l'outil était vraiment si dangereux, Anthropic n'en aurait simplement pas parlé et l'aurait gardé à l'interne. Un outil à double tranchant Les intervenants insistent : il s'agit avant tout d'un excellent outil d'analyse de code permettant de corriger des vulnérabilités. C'est précisément le travail quotidien de Nicholas et Cyndie. L'avantage d'une machine, c'est qu'elle ne dort pas la nuit ni les fins de semaine — elle fonctionne 24/7, sans relâche. L'exploit le plus médiatisé a été la découverte de vulnérabilités dans le navigateur Firefox, des failles qu'un humain n'aurait peut-être pas trouvées dans un temps ou avec une logique humaine. Un point technique crucial est soulevé : Mythos n'est pas un outil « point and shoot ». Il ne suffit pas de pointer une URL pour faire pirater une application. Il faut fournir le code source de l'application. C'est une nuance importante, d'autant que bien des organisations — voire des gouvernements — ne savent même pas où se trouve leur propre code source. L'équipe reste honnête : en mai 2026, leur propre métier de recherche de failles repose déjà sur l'IA, tout en conservant un volet manuel. Ils perfectionnent leurs propres outils. Et les acteurs malveillants, moins scrupuleux, font exactement la même chose. C'est là le vrai message : l'IA va faciliter et accélérer les attaques. L'aspect positif demeure : connaître ces vulnérabilités permet de les corriger et de produire du code plus sécuritaire. La fondation Mozilla profite ainsi du travail effectué, et personne ne peut s'opposer à du code plus solide — surtout pour un navigateur, qui constitue notre principale porte d'entrée vers Internet. La limite des humains et des machines Preuve que l'IA ne remplace pas tout : Anthropic a justement lancé un programme de bug bounty cette semaine. À la question « pourquoi ne pas simplement utiliser Mythos? », la réponse est que le modèle n'est pas encore capable de trouver tous les bugs qu'un humain détecterait, et vice versa. L'humain et l'IA ne perçoivent pas le code ni l'application de la même manière. L'impact pour les PME Faut-il paniquer? Non, mais il faut accélérer. Le mantra d'hygiène de base en cybersécurité reste valable, mais doit devenir plus strict. Il faut accélérer les déploiements et l'application des correctifs. D'autres modèles arriveront, possiblement bon marché (un « DeepSeek » de la vulnérabilité), donc la pression de correction touchera toutes les entreprises. Les notions d'inventaire, de mise à jour et d'application des correctifs deviennent incontournables : on ne pourra plus dire « on sait qu'on a des portes ouvertes et on vivra avec ça. » Les intervenants notent toutefois avec lucidité que beaucoup de clients peinaient déjà à maintenir un inventaire à jour et à gérer leur programme de vulnérabilités, avec des outils comme Tenable. S'exciter pour Mythos sans d'abord régler ces bases serait contre-productif. Il faut prendre le dessus sur ses vulnérabilités actuelles et tenir un inventaire d'actifs à jour avant même de songer à utiliser ce type d'outil. Cette hygiène n'est plus optionnelle : sans elle, impossible de sortir la tête de l'eau. Et dès qu'une vulnérabilité reçoit un nom médiatisé — comme Heartbleed ou Dirty COW —, on ne peut plus l'ignorer : sinon, c'est le patron ou les clients qui exigeront une action. L'analogie finale L'animateur propose une analogie : avant, les voleurs d'autos étaient peu nombreux dans un quartier tranquille. Aujourd'hui, votre voiture se trouve dans un quartier chaud où de nombreux voleurs potentiels circulent. Vous n'êtes pas mieux protégé, mais votre risque augmente fortement. La priorité n'est plus de craindre les outils sophistiqués, mais de commencer par verrouiller ses portes. L'équipe conclut que, là où l'on connaissait peut-être un incident par année, on risque désormais un incident par mois sans une hygiène suffisante. Le message final : verrouillez vos portes, car vous n'avez plus le choix. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x304! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Notes A systematic approach to evading antivirus software Collaborateurs Nicolas-Loïc Fortin Philippe Pépos Petitclerc Crédits Montage par Intrasecure inc Locaux réels par NorthSec éléments de cadrage. Premièrement, la modernité : on ne parle plus vraiment d'antivirus mais d'EDR (Endpoint Detection and Response). Selon lui, l'antivirus a été fusionné dans le concept d'EDR, qui correspond à un antivirus auquel s'ajoutent des capacités de télémétrie, de visibilité et de réponse pour les équipes de défense (Blue Team). Deuxièmement, pour rendre la recherche constructive comme première étude dans ce domaine, il a mis de côté les modèles statistiques pour se concentrer d'abord sur les moteurs déterministes, c'est-à-dire ceux dont le résultat est certain (par exemple, chercher un hash précis dans un fichier). Capacités versus signatures Pour généraliser son approche, Philippe travaille avec un « AV générique » plutôt qu'un produit en particulier, l'objectif étant de bâtir un plan d'évasion applicable à n'importe quel antivirus rencontré. Il introduit une distinction centrale : la capacité de détection, qu'il décompose en « une analyse plus une raison ou une façon de regarder ». Il compare cela aux signatures : la signature, c'est ce qu'on cherche (par exemple le hash lui-même), tandis que la capacité, c'est comment et où on le cherche. Hacher un fichier et comparer le résultat constitue une capacité ; le hash recherché est la signature. Construire l'inventaire des capacités Pour cartographier ces capacités, Philippe a combiné deux sources. D'une part, la littérature scientifique sur les techniques de détection, abondante, bien qu'on ignore lesquelles ont réellement été adoptées dans les produits commerciaux (beaucoup relèvent du secret industriel, difficile à citer en recherche académique). D'autre part, l'observation des techniques d'évasion utilisées « in the wild », même non documentées sérieusement, car leur popularité révèle indirectement quelles détections fonctionnent vraiment. Il a ensuite classifié ces capacités selon les mêmes principes que l'analyse de programme classique, produisant une arborescence où chaque technique s'inscrit dans des classes successives, ce qui permet de « couper des branches » pour identifier précisément la méthode en jeu — une démarche qu'il rapproche de la philosophie d'ATT&CK. La cartographie statique et dynamique La cartographie se divise en deux grandes catégories. Les analyses statiques examinent un fichier sur disque sans l'exécuter : hashes, recherche de séquences d'octets (avec ou sans « trous »), reconstruction d'information sémantique comme un graphe de flot de contrôle (CFG), ou simple analyse de chaînes de caractères. Ces analyses « cheap » sont fréquentes mais faciles à évader, car l'apparence d'un fichier se modifie aisément. Les analyses dynamiques se subdivisent entre le virtuel (sandbox, émulation, dans un faux système) et le concret (sur le vrai système). On y trouve le traçage d'appels de fonction, le hooking, et la réapplication de détections statiques à des moments clés — puisque scanner la mémoire est coûteux, l'antivirus utilise des déclencheurs pour choisir quand inspecter. Philippe souligne cet effort d'économie de ressources inhérent à chaque implémentation. La technique du « probing » Une contribution importante est le probing (sondage) : on teste un programme, on le modifie légèrement, puis on le reteste pour comparer les détections. Si le programme part non détecté, il peut rester non détecté ou le devenir. S'il part détecté, trois issues sont possibles : devenir non détecté, rester détecté avec le même identifiant, ou être détecté avec un nouvel identifiant. Comme les antivirus retournent des identifiants distincts plutôt qu'un simple verdict binaire, on extrait davantage d'information. En choisissant intelligemment la transformation, on isole la capacité réelle. Par exemple, ajouter un octet inoffensif casse un hash : si la détection reste identique, elle n'était pas basée sur un hash. Pour le dynamique, utiliser un packer (crypter) qui chiffre le payload et le déchiffre à l'exécution permet de révéler la présence d'une sandbox. Différences entre moteurs et stratégie d'évasion Tous les moteurs testés possèdent une sandbox détectable, mais leur usage varie énormément : certains détectent beaucoup via leur sandbox, d'autres presque rien. Philippe note que la capacité marketing (« on a du behavior, du sandboxing ») peut exister tout en ayant une banque de signatures si mince qu'elle ne se déclenche presque jamais. Les philosophies d'implémentation diffèrent : chaque éditeur capitalise sur sa technologie de prédilection. Sa méthode d'évasion consiste à « blinder » chaque capacité détectée : une fois la présence d'un unpacker ou d'une sandbox identifiée, il associe les techniques d'évasion connues qui neutralisent spécifiquement chacune, construisant un ensemble minimal couvrant toutes les capacités trouvées. L'objectif n'est pas une évasion universelle unique, mais un flowchart indiquant quoi faire et quoi éviter — ajouter du code inutile risquant de se faire repérer. Les résultats détaillés figureront dans sa thèse, le protocole étant maintenant stable et prêt à être lancé à grande échelle. Le volet CTF et l'intelligence artificielle L'équipe montréalaise de Philippe, active depuis une dizaine d'années, monte presque toujours sur le podium au Nordsec et vise une qualification au DEF CON. Leur distinction : une propension à sortir des sentiers battus et à trouver des solutions « weird », parfois des bypass transformant un défi de six heures en trente minutes. Sur l'IA, le Nordsec a levé cette année ses restrictions. L'équipe constate que le harnessing et le prompting ont moins d'impact que de simplement relancer le modèle plusieurs fois : la température et la répétition comptent davantage. Les modèles plus puissants, surchargés d'outils, « se creusent des trous » en polluant leur contexte. L'IA réussit aujourd'hui environ 95 % des défis sauvegardés, ce qui soulève des questions sur le plaisir et l'avenir des CTF — un défi que Philippe fait confiance aux organisateurs du DEF CON pour relever. Notes A systematic approach to evading antivirus software Collaborateurs Nicolas-Loïc Fortin Philippe Pépos Petitclerc Crédits Montage par Intrasecure inc Locaux réels par NorthSec

Parce que… c'est l'épisode 0x303! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial Cybereco, Cédric Thibault partage un retour d'expérience sur le développement d'une plateforme d'automatisation de workflows de cybersécurité utilisant réellement l'IA générative. Sa motivation : il existe beaucoup de discours sur l'IA, mais peu de retours concrets de bâtisseurs qui ont fait des choix, commis des erreurs et obtenu des succès. Le problème : des analystes noyés Le constat de départ est partagé par toutes les entreprises qu'il côtoie. Face à la montée réelle des attaques — ce n'est pas qu'un argument marketing — les moyens humains restent très limités. Paradoxalement, ajouter des outils, même justifié, produit souvent l'effet inverse : cela noie davantage les équipes et réduit la capacité humaine en bout de chaîne. Son objectif est de redonner de la capacité aux clients et de remettre les analystes dans un véritable poste d'analyste. Un analyste devrait faire de l'analyse et exercer son esprit critique, pas exécuter des clics séquencés en suivant un playbook. Beaucoup de processus de sécurité existent d'ailleurs en dehors du SOC. L'exemple récurrent est le triage des courriels signalés comme hameçonnage par les utilisateurs : ces signalements s'accumulent dans une boîte cyber partagée, et les analystes valident les indicateurs, lisent les courriels et jugent leur caractère malicieux. Additionné, cet effort représente des heures, pour une tâche répétitive sans réelle valeur ajoutée — comparable à la roue d'un hamster, puisque le flux de courriels malicieux est infini. L'approche : déterminisme d'abord, IA aux points clés Cédric insiste sur le mot clé du déterminisme. Par nature, un agent IA ne sera jamais pleinement déterministe : on peut maximiser sa fiabilité sans jamais la garantir totalement. Face à la pression marketing qui promet de remplacer des équipes entières par un agent, son retour d'expérience est différent : il faut utiliser l'IA là où elle est réellement utile, et s'appuyer sur des bases solides et déterministes — du procode ou du low-code via des plateformes d'automatisation. Ces plateformes existent depuis des années, et la cybersécurité connaît bien les SOAR, mais ceux-ci sont restés cantonnés à l'univers du SOC. L'avantage de l'IA est qu'en mêlant les deux technologies — automatisation robuste et agents IA très ponctuels à des endroits clés — on obtient une valeur maximale : interaction intelligente avec les utilisateurs d'un côté, garantie que la prise d'action est exécutée par des scripts de l'autre. Bloquer le port 80 doit signifier exactement le port 80, pas une approximation. Cette fiabilité est indispensable, car aucune équipe cyber n'adoptera des processus qui ne sont pas fiables à 100 %. Cédric rappelle un constat partagé deux ou trois ans plus tôt par David Gérard : en cybersécurité, la tolérance à la déviation est nulle, et dès qu'un analyste constatait une hallucination, c'était l'abandon systématique de toute la solution. Ces abandons sont dommageables, car la technologie bien employée apporte beaucoup de valeur. Le mode « yolo » n'est pas recommandé : déployer des workflows IA en production exige une démarche très structurée et beaucoup d'ingénierie, un aspect trop peu évoqué face aux vidéos YouTube spectaculaires. L'ingénierie et l'équipe hybride Un conseil fort : ne jamais confier un projet d'ingénierie IA uniquement à des ingénieurs IA. Il faut des spécialistes de domaine. Pour un workflow anti-hameçonnage dans M365, un spécialiste M365 est nécessaire, car les API ne sont pas si simples. Cédric recommande une équipe hybride en binôme : un ingénieur IA qui maîtrise la plateforme d'automatisation et l'invocation optimale du LLM (tokens, coûts, garde-fous), et un spécialiste de contenu qui choisit le meilleur flow et la bonne façon de travailler avec les outils tiers. Concrètement, dans ce type de workflow, environ 90 % des nodes sont purement déterministes et seulement 10 % relèvent d'agents IA — mais placés au bon endroit, ils servent de « colle » permettant de finaliser le processus de bout en bout. Il déconseille d'utiliser des agents pour prendre des actions en console quand un simple script déterministe fait l'affaire, sans risque ni coût en tokens. Gestion du risque et amélioration continue Le niveau d'acceptation du risque varie selon les clients. Certains gardent un human in the loop — une alerte Teams avec un bouton « approve » ou « reject » avant toute action. D'autres, après une preuve de concept concluante, acceptent une automatisation complète, mais toujours avec des actions déterministes qui réduisent le risque sans le supprimer. Une fois les premiers résultats observés, l'effet est impressionnant : les clients veulent enrichir leurs workflows et améliorer des processus qu'ils n'optimisaient pas faute de temps. L'analyste passe alors en mode amélioration et critique. Mais il faut stabiliser des versions, car l'observabilité et l'évaluation de performance exigent des jeux de tests roulés en permanence pour garantir la stabilité, tout en développant les versions suivantes en parallèle. L'automatisation génère aussi de nombreux KPI, impossibles à obtenir dans des processus manuels, formant une boucle de rétroaction continue. Comme le reporting des plateformes low-code/no-code est souvent pauvre, son équipe exporte les logs des agents vers les SIEM des clients pour créer des tableaux de bord. Ce qu'on ne peut mesurer, on ne peut le faire évoluer. Une évolution nécessaire Cédric reprend une formule tirée d'un papier de la CSA lié à Mythos : ne pas faire évoluer ses processus de cybersécurité aujourd'hui revient à préparer ses équipes au burnout. Il ne s'agit pas que l'IA fasse tout, mais qu'elle améliore des points critiques pour décharger les analystes face à l'alert fatigue déjà bien présente. Les premiers retours clients sont très positifs. Il anticipe une adoption plus large et précise qu'il n'a pas abordé le sujet des agents personnels, un autre enjeu dont on parlera beaucoup en 2026. Collaborateurs Nicolas-Loïc Fortin Cédric Thibault Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x302! Préambule Finalement, ce n'est pas tant concluant la nouvelle façon d'enregistrer. J'aurai d'autres tests à faire si je désire continuer avec cet équipement. Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Retour de l'enfant Mythos Anthropic to release Mythos-class models to the public Anthropic's Restricted Claude Mythos Moves Toward Public Release via Claude Code and Security Mythos Detected 23,000 Vulnerabilities Across 1,000 OSS Projects Anthropic confirms Claude Mythos-class models will roll out to the public Raz le bol AI is becoming increasingly unpopular Fed up with vibe coders, dev sneaks data-nuking prompt injection into their code Menteur menteur LLMs believe false statements even after explicit warnings that they're false AI bots ignore evidence. Can we trust them with science? Kevin Beaumont: “If anybody is wondering how th…” - Cyberplace SecuClaude Anthropic Releases Free Security Plugin for Claude Code Terminal to Detect Vulnerabilities Anthropic Updates Claude Code With Security Plugin and Faster Performance Aider ce qui ne veut pas se faire aider Open-Weight LLM Fine-Tuning Defenses are Susceptible to Simple Attacks Jailbreaking and Mitigation of Vulnerabilities in Large Language Models Provably Secure Agent Guardrail Millions of AI agents imperiled by critical vulnerability in open source package The pressure Agentic AI Isn't Risky; the Way Orgs Deploy It Is Leak@

Parce que… c'est l'épisode 0x301! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, Georges Badro, consultant chez Mandiant à Paris spécialisé dans les infrastructures critiques et les systèmes industriels, explique le fonctionnement et la sécurisation des sous-stations électriques. Architecture du réseau électrique Le réseau électrique se décompose en trois zones : la génération (centrales hydrauliques, nucléaires, thermiques, renouvelables), le transport et la distribution. Le réseau de transmission permet de limiter les pertes d'énergie et surtout d'équilibrer production et consommation afin de maintenir une fréquence stable. Contrairement à un réseau d'eau, un réseau électrique exige un équilibre permanent entre ce qui est produit et ce qui est consommé, sous peine de l'endommager. Les sous-stations sont les nœuds névralgiques de ce réseau de transmission : ces grands parcs clôturés que l'on aperçoit au bord des routes centralisent et redistribuent l'électricité. On y trouve des transformateurs et des disjoncteurs, ces derniers permettant d'ouvrir ou de fermer le courant. Aujourd'hui, ces équipements ne sont plus opérés manuellement mais via du contrôle numérique : interfaces homme-machine (IHM), contrôle à distance, RTU (Remote Terminal Units servant de passerelle vers le centre de contrôle), relais de protection et de contrôle (qui lisent tension, intensité et fréquence pour automatiser des décisions), postes d'ingénierie et équipements réseau. Interconnexion croissante et surface d'attaque Badro insiste sur la disparition de l'« air gap » d'autrefois. Les sous-stations sont désormais interconnectées avec les centres de contrôle, des tiers, des partenaires, parfois directement à internet, voire avec le cloud pour la maintenance prédictive. L'architecture type comprend un réseau IT, une DMZ séparant l'IT des systèmes industriels (OT), un centre de contrôle régional ou national (avec historians, serveurs SCADA, bases de données) relié aux sous-stations via VPN ou MPLS. Chaque sous-station est configurée différemment. Certaines connexions exploitent le Powerline Communication (PLC), qui utilise les câbles électriques existants pour transmettre des paquets TCP/IP. Cette multiplication des accès distants, justifiée par la difficulté d'intervenir physiquement dans des zones rurales, augmente considérablement le risque. Les protocoles courants incluent IEC 104, DNP3 et GOOSE. Scénario d'attaque en Red Team Badro détaille l'approche Red Team de Mandiant, précisant qu'un véritable attaquant ne prendrait pas les mêmes précautions. L'attaque commence généralement par un accès initial à l'IT via phishing ou exploitation de vulnérabilités. Suit une phase de reconnaissance : énumération du domaine, recherche de documentation sur les partages réseau et wikis, fichiers de configuration aux extensions spécifiques, mots de passe en clair (notamment de VPN) et schémas d'architecture. L'accès au réseau OT s'obtient ensuite via un VPN, l'exploitation de flux autorisés au firewall, ou la compromission d'hyperviseurs hébergeant des VM IT et OT. Plutôt qu'un scan NMAP destructeur, l'équipe privilégie une reconnaissance furtive : écoute passive du trafic, analyse des adresses IP et MAC, utilisation de logiciels légitimes d'opérateurs et de scripts spécialisés (Modbus, DNP3). Les vulnérabilités exploitées sont souvent basiques : mots de passe par défaut sur interfaces web, SSH ou Telnet, parfois sur des fonctionnalités cachées utilisées par les fournisseurs et inconnues des équipes. À partir d'une IHM, l'attaquant remonte vers les relais de protection, cibles plus insidieuses permettant des dégâts coûteux. Compromissions réelles Badro compare deux attaques réelles. En Ukraine en 2015, l'attaque a démarré sur l'IT par phishing (malware Black Energy via macro), récupéré des mots de passe VPN, accédé aux IHM, RTU et switchs Moxa, puis ouvert les disjoncteurs et déployé des firmwares corrompus pour empêcher la reprise de contrôle. En Pologne en décembre 2025, l'attaque a ciblé directement l'OT en exploitant une CVE connue mais non corrigée pendant plusieurs semaines sur des firewalls exposés à internet. L'attaquant s'est étendu aux RTU, relais, IHM et convertisseurs série-Ethernet via des comptes par défaut, a lancé des scans locaux, uploadé des firmwares corrompus, supprimé des fichiers système des relais et déployé des wipers sur les IHM. Le constat marquant : malgré dix ans d'écart, les mêmes vulnérabilités basiques persistent. Si l'entrée dans les réseaux IT s'est durcie, le côté OT reste comme l'IT « d'il y a très longtemps » — peu de mots de passe robustes, peu de contrôles — par préjugé d'isolement et par des pratiques de maintenance figées. Attaques avancées et défense Au-delà de la simple ouverture d'un disjoncteur, des attaques plus subtiles ciblent la logique des relais : modifier des valeurs de déclenchement, fausser une LED, ou altérer la fonction de réenclenchement automatique. Ces manipulations restent invisibles jusqu'à une condition rare (un arbre tombant sur une ligne) et sont très difficiles à diagnostiquer sans journalisation. Côté défense, Badro recommande : changer les mots de passe par défaut (et alerter si l'ancien est réutilisé), maintenir à jour les systèmes exposés à internet, restreindre les accès SSH/HTTP à des points spécifiques, contrôler les flux PLC venant des centrales, et surtout établir une visibilité réseau et événementielle à tous les niveaux. La prévisibilité des réseaux OT facilite la définition d'une baseline et la détection d'anomalies. L'approche consiste à décomposer chaque système, comprendre les fonctions et leurs interfaces internes/externes (par exemple le GPS spoofing), puis concevoir protections et détections adaptées — en protégeant avant tout le disjoncteur, élément le plus critique. Collaborateurs Nicolas-Loïc Fortin Georges Badro Crédits Montage par Intrasecure inc Locaux réels par Google Paris

Parce que… c'est l'épisode 0x300! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode du podcast Polysécure enregistré au NorthSec, Gaëtan Ferry et Guillaume Valadon, tous deux cyber security researchers chez GitGuardian depuis deux ans, présentent une recherche consacrée aux fuites de clés privées cryptographiques. Guillaume est par ailleurs mainteneur du logiciel Scapy et rédacteur en chef du magazine MISC. Le problème de l'attribution Contrairement à des secrets classiques comme les clés AWS, dont on peut retrouver le propriétaire en interrogeant les services associés, une clé privée cryptographique (RSA par exemple) ne se rattache à aucune identité. C'est un simple objet mathématique aux propriétés cryptographiques, utilisable pour de multiples usages : connexion SSH, protection d'un site web en TLS, etc. En regardant la clé seule, impossible de savoir à quoi elle sert ou à qui elle appartient. Quelques indices existent parfois — le nom de fichier (norssec.io.key) — mais souvent on tombe sur des private.key inexploitables. L'enjeu de la recherche était donc de trouver une technique générique de catégorisation. La méthode : Certificate Transparency La solution repose sur les Certificate Transparency logs, un mécanisme de l'infrastructure X.509 datant de 2015. Chaque fois qu'une autorité de certification émet un certificat, elle doit le journaliser dans ces registres publics, souvent opérés par d'autres autorités. Ces journaux contiennent donc l'historique de tous les certificats émis. Le principe du matching est le suivant : une clé privée contient des informations sur sa partie publique (le module, dans le cas de RSA). On extrait cette partie publique, on calcule une empreinte SHA-256, et on fait de même pour les certificats. Comme un certificat TLS associe une clé publique à une identité (généralement le nom du site protégé), une simple jointure entre les deux bases d'empreintes permet de relier une clé privée à un site et à son propriétaire. La recherche s'est accélérée lors de la conférence Pass the SALT à Lille, où des contacts chez Google les ont alertés : les anciens logs de Certificate Transparency, coûteux à opérer, allaient être mis hors ligne. Or c'était précisément la dimension historique du dataset qui les intéressait. Un partenariat s'est noué : GitGuardian a fourni une liste d'empreintes, et Google a effectué la correspondance dans sa base propriétaire, renvoyant les certificats associés. Les chiffres Le dataset de fin 2025 comptait un million de clés privées distinctes, collectées via l'activité historique de GitGuardian — le public monitoring qui scanne GitHub, Docker Hub et d'autres sources à la recherche de secrets codés en dur, puis avertit les victimes en mode « bon samaritain ». Sur ce million, 42 000 clés correspondaient à des certificats émis par des autorités. Le chiffre peut sembler modeste, mais la majorité des clés ne servent jamais au TLS (projets personnels, SSH, autorités privées d'entreprise absentes des logs publics). Ces 42 000 clés étaient liées à plus de 140 000 certificats, signe que certaines avaient servi à émettre plusieurs certificats successifs, prolongeant d'autant la durée d'exposition. Après vérification, 2 600 clés restaient associées à un certificat valide en septembre 2025. Grâce à des techniques d'OSINT, 1 300 certificats ont pu être rattachés à environ 600 entités. La divulgation responsable, un parcours décevant L'équipe a entrepris un responsible disclosure en envoyant environ 4 300 emails à ces 600 entreprises. Résultat : seulement 54 réponses, soit environ 9 %. Même en se limitant aux adresses certaines à près de 100 %, le taux ne dépassait pas 36 %. Pour gérer un envoi aussi massif sans être bloqués comme spam, ils ont dû collaborer avec leurs collègues du marketing, rompus aux techniques de délivrabilité. Plus frappant que le silence : l'incompréhension des répondants. Beaucoup confondaient clé privée et certificat. Certains ont répondu avoir « changé le certificat », croyant le problème réglé. Une équipe de réponse à incident d'une grande entreprise a même produit une analyse détaillée pour conclure que l'endpoint utilisait désormais un autre certificat, refusant toute révocation — alors qu'un attaquant peut toujours mener une attaque man-in-the-middle avec l'ancien certificat non révoqué. Le certificat a fini par expirer un mois plus tard. Fait notable, 19 entités gouvernementales étaient concernées, et aucune n'a répondu. Comprendre TLS Le malentendu de fond tient au fonctionnement de TLS. On génère sa clé privée chez soi, puis on signe une demande de certificat (CSR) envoyée à l'autorité avec la clé publique. L'autorité vérifie les informations, journalise dans CT et renvoie le certificat. Le certificat n'est qu'une partie publique : il associe une clé publique à une identité, sans contenir le secret. Changer de certificat sans changer de clé n'invalide donc rien : l'ancien certificat reste exploitable pour usurper le service tant qu'il n'est pas révoqué. Forcer la révocation et la vraie solution Face au silence, l'équipe a contacté directement les autorités de certification pour demander la révocation, en fournissant les preuves de possession. Cette voie autoritative s'est révélée plus efficace, mais a généré des réactions parfois hostiles — dont un individu insultant expliquant que sa clé était « volontairement publique » pour permettre l'interception (cas d'usage type Burp), sans que le site l'indique clairement. Les chercheurs avouent un moment de doute, au point de vérifier auprès d'anciens collègues de l'ANSSI : le problème est bien systémique. La solution qu'ils privilégient n'est pas seulement l'éducation, mais l'automatisation. La réduction drastique de la durée de vie des certificats (vers 47 jours) imposera des outils comme Certbot, qui renouvelle déjà la clé privée en même temps que le certificat. Or 20 % des clés trouvées avaient fui plus de deux ans avant l'expiration du certificat le plus récent : des clés compromises réutilisées sur de nouveaux certificats pendant des années. Renouveler systématiquement la clé aurait éliminé ce cinquième des compromissions. Notes Private Key Leaks in the Wild: Insights from Certificate Transparency Collaborateurs Nicolas-Loïc Fortin Guillaume Valadon Gaetan Ferry Crédits Montage par Intrasecure inc Locaux réels par NorthSec

Parce que… c'est l'épisode 0x2FF! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le défi fondamental : le volume dépasse les humains Jonathan Marcil part d'un constat simple mais vertigineux : l'IA génère du code à une vitesse que les équipes de sécurité ne peuvent plus suivre humainement. Le volume de code produit est tel qu'il devient impossible de tout réviser avec rigueur sans y perdre sa santé mentale. Cette réalité impose une réponse stratégique, et c'est précisément l'objet de sa présentation à Cybereco : proposer des stratégies qui utilisent l'IA pour répondre aux problèmes que l'IA elle-même crée. L'humain reste une variable limitante Même si l'IA ne connaît pas de fatigue propre, les humains qui travaillent avec elle, eux, s'épuisent. Jonathan illustre ce point avec l'exemple du programme de bug bounty de cURL, qui a dû être fermé parce que les participants utilisaient l'IA pour générer des rapports de bogues en masse. Le résultat : une surcharge humaine impossible à gérer, même pour des experts qui connaissent le système depuis des dizaines d'années. L'IA peut amplifier le bruit autant que le signal. Le prompting : une compétence éphémère Un thème central de la discussion est la nature instable de la compétence en prompt engineering. Chaque nouveau modèle frontier réagit différemment, ce qui rend les techniques de prompting acquises partiellement obsolètes à chaque mise à jour majeure. Jonathan voit néanmoins une vertu dans cette diversité des modèles : elle empêche une standardisation totale et maintient une forme de compétition saine entre les fournisseurs. Cela dit, il met en garde contre la tentation de consacrer trop d'énergie à suivre chaque lancement au détriment des compétences fondamentales en sécurité. Le vibe coding et la perte de compétences L'un des points les plus préoccupants soulevés par Jonathan est le risque de dépendance cognitive. Le « vibe coding » — cette pratique de générer du code sans vraiment le comprendre — crée une illusion de productivité. Tant que tout fonctionne, personne ne pose de questions. Mais le jour où un bug survient ou qu'une faille est découverte, si les développeurs n'ont plus les compétences fondamentales pour diagnostiquer le problème, ils se retrouvent à demander à l'IA de corriger ce qu'elle a elle-même mal produit. Jonathan cite un exemple personnel : il a demandé à un modèle de réviser ses diapositives, et le modèle a omis un élément important — sans le signaler spontanément. L'autocritique reste un angle mort des LLM. Les stratégies proposées La réponse de Jonathan à ces défis repose sur plusieurs axes concrets : 1. Diversifier les modèles. Utiliser plusieurs IA en parallèle — demander à l'un de valider ce que l'autre a produit — est une pratique simple mais efficace pour introduire un regard critique dans le processus. Il suggère aussi de soumettre d'anciens travaux aux nouvelles versions des modèles, qui peuvent en faire de meilleures révisions. 2. Charger les bonnes pratiques de l'entreprise dans le LLM. Plutôt que d'utiliser un modèle générique, Jonathan propose d'alimenter le LLM avec la gouvernance, les politiques et les standards de sécurité propres à l'organisation. Les résultats, selon son expérience avec une formation Cybereco l'année précédente, peuvent être spectaculaires : des équipes ont corrigé des vulnérabilités réelles en moins de 15 minutes après avoir simplement fourni au modèle les bonnes pratiques contextuelles. 3. Combiner petits et grands modèles. Pour gérer les coûts et la vitesse, il propose d'utiliser des modèles légers (souvent locaux) pour les tâches d'exploration — par exemple, repérer les zones d'authentification dans une base de code — puis de faire traiter les résultats par un modèle plus puissant. Cette architecture en pipeline est à la fois économique et efficace. 4. Explorer les modèles open weight. Les modèles à poids ouverts, notamment ceux optimisés par des contributeurs chinois pour tourner sur du matériel modeste, offrent une flexibilité précieuse. Ils permettent de ne pas être entièrement dépendant des fournisseurs cloud et d'adapter l'usage à la tolérance au risque propre à chaque organisation. Le problème systémique : insécure par défaut La conversation se clôt sur une observation structurelle importante : les infrastructures cloud sont historiquement configurées pour maximiser l'adoption, c'est-à-dire ouvertes par défaut. Jonathan constate que les LLM ont reproduit ce même réflexe — livrer vite, livrer simple, quitte à négliger la sécurité. La sécurité applicative, qui arrive toujours en fin de processus, paie le prix de cette course à l'adoption. Il plaide pour inverser cette logique : partir d'une posture fermée et sécurisée par défaut, puis ouvrir ce qui est nécessaire, plutôt que l'inverse. Collaborateurs Nicolas-Loïc Fortin Jonathan Marcil Crédits Montage par Intrasecure inc Locaux réels par Cybereco

Parce que… c'est l'épisode 0x2FE! Préambule Moins bonne qualité sonore parce que je n'ai pas mon équipement standard. Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Tout est dans le code Linus Torvalds says AI-powered bug hunters have made Linux security mailing list ‘almost entirely unmanageable' Bug bounty businesses bombarded with AI slop AI eyes scanning for bugs create a worrisome Linux security trend Linux kernel flaw opens root-only files to unprivileged users BrianKrebs: “If AI is truly making it easie…” - Infosec Exchange score by collisions, patch by panic Boum ou BOM What Will Make AI BOMs Real? Operationalising Artificial Intelligence Bills of Materials (AIBOMs) for Verifiable AI Provenance and Lifecycle Assurance How to Make AI BOMs Usable in a Modern Security Program CtF Autonomous LLM Agents & CTFs: A Second Look Retour sur nsec 2026: le pouls de la communauté sur l'agentic CTF Where OpenClaw Security Is Heading Hidden Signals Can Hijack AI Voice Systems When Skills Don't Help: A Negative Result on Procedural Knowledge for Tool-Grounded Agents in Offensive Cybersecurity Gemini 3.5 deleted 28,745 lines, broke production for 33 minutes, and wrote itself a fake post-mortem claiming credit for the fix : r/Bard Even Claude agrees: hole in its sandbox was real and dangerous Agent Security is a Systems Problem Jailbroken Gemini helped Russian-speaking fraudster target MAGA crypto users Anthropic's Claude Mythos Preview Uncovers 10,000+ 0-Days in Project Glasswing Trump abruptly cancels EO signing event after top AI firm CEOs declined to go La guerre, la guerre, c'est pas une raison pour se faire mal! Cable dans l'eau chaude Iran eyes a new source of power deep beneath the Strait of Hormuz Iran Now Threatens Fees for Subsea Internet Cables in the Strait of Hormuz Fuel Tank Breaches Expand Scope of Iran's Cyber Offensive Souveraineté ou vive le numérique libre! Poland builds its own Signal amid security concerns The EU Is Going Through a Trump-Fueled Breakup With Big Tech Sovereign cloud: Thales and Google create a S3NS clone in Germany Privacy ou cachez ces informations que je ne saurais voir BrianKrebs: “The Trump Mobile grift keeps g…” - Infosec Exchange Discord adds end-to-end encryption to voice and video calls by default A Bipartisan Amendment Would End Police License Plate Tracking Nationwide Why the Supreme Court's Chatrie case could change the meaning of privacy in America Texas AG sues Meta over claims that WhatsApp doesn't provide end-to-end encryption I am the law Pluralistic: There's no such thing as “age verification” You Can Get Some of Your Nudes Removed From the Internet Under a New Law Red ou tout ce qui est brisé Mother of all leak CISA Admin Leaked AWS GovCloud Keys on Github Senator presses CISA for answers about alleged GitHub repository leak Lawmakers Demand Answers as CISA Tries to Contain Data Leak Bitwhat? Get your passwords out of BitWarden while you still can The Quiet Renovation at Bitwarden Microsoft Releases Mitigation for Windows BitLocker Security Bypass 0-Day Vulnerability GitHub confirms being hacked by TeamPCP, says customer data unaffected Google Publishes Exploit Code Threatening Millions of Chromium User Les clés API Google encore en vie même après leur suppression A hacker group is poisoning open source code at an unprecedented scale Scammers Are Abusing an Internal Microsoft Account to Send Spam Links Blue ou tout ce qui améliore notre posture Microsoft disrupts alleged malware-signing operation used by ransomware gangs Europe dismantles VPN service used by cybercriminals to hide ransomware attacks Divers ou parce que j'ai aucune idée où les placer NTSB Wants PDF Removed After It Exposed Final Cockpit Audio From UPS Crash Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Courtyard by Marriott Montreal Midtown

Parce que… c'est l'épisode 0x2FD! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial, Nicolas Bédard revient sur sa participation à Google Next 2026, son quatrième événement du genre, mais le premier qu'il vivait en tant qu'employé de Palo Alto plutôt que de Google. Il y présente les quatre intégrations majeures que Palo Alto a lancées en partenariat avec Google, dans un contexte où l'intelligence artificielle agentielle se déploie à grande vitesse — souvent sans encadrement de sécurité adéquat. Le contexte : la plateforme Gemini Enterprise se réorganise Avant d'aborder les intégrations, Nicolas explique les changements de nomenclature chez Google. Gemini Enterprise est désormais divisé en deux volets : Gemini Enterprise Apps : l'interface utilisateur permettant d'accéder aux agents, aux connecteurs de données (SharePoint, Outlook, etc.) et aux outils IA. Gemini Enterprise AI Platform : la couche cloud sous-jacente, qui remplace l'ancienne plateforme Vertex AI. Cette restructuration simplifie la compréhension de l'écosystème : tout ce qui touche à l'IA en entreprise chez Google s'appelle désormais Gemini Enterprise. Intégration 1 — Prisma AIRS dans l'Agent Gateway La première et probablement la plus stratégique des intégrations concerne Agent Gateway, une nouvelle fonction au cœur d'Agent Cloud, la plateforme Google pour exécuter des agents IA. Agent Gateway agit comme un point d'insertion au sein des load balancers internes : il permet d'injecter des fonctions de sécurité ou d'autres capacités dans les flux de communication entre agents, entre un agent et un serveur MCP, ou entre un utilisateur et son agent. Palo Alto a annoncé l'intégration de son AI Runtime de Prisma AIRS directement dans ce gateway. L'idée est de centraliser la sécurité plutôt que de la déléguer à chaque développeur. Concrètement, cela signifie que les garde-fous — validation des comportements, prévention des fuites de données, protection contre les abus — s'appliquent automatiquement à tous les agents, sans que les équipes de développement aient besoin d'expertise en cybersécurité. Agent Gateway s'articule autour de trois piliers : l'identité, le runtime (pare-feu IA) et l'observabilité. Pour l'instant, seuls les deux premiers sont ouverts aux partenaires tiers comme Palo Alto. Cette approche répond directement à la préoccupation numéro un des équipes de sécurité en entreprise : le Shadow AI, soit l'utilisation non contrôlée d'outils IA par des employés ou des développeurs, qui expose l'organisation à des risques importants. Intégration 2 — Le scan de modèles open source via Gemini Enterprise Apps La deuxième intégration adresse un risque souvent sous-estimé : l'utilisation de modèles IA provenant de plateformes communautaires comme Hugging Face. Si les grands modèles commerciaux (Google, Anthropic, OpenAI, Mistral) offrent des garanties relatives à leur provenance, les modèles open source sont publiés par n'importe qui, sans vérification systématique. Ils peuvent contenir des vulnérabilités cachées, des kill switches, du code malveillant dissimulé dans l'enveloppe du fichier (notamment via des fichiers pickle), ou avoir été entraînés sur des données douteuses. Palo Alto a lancé un agent de scan de modèles directement accessible depuis Gemini Enterprise Apps. Intégré au cycle de développement logiciel (SDLC), cet agent permet à un développeur de soumettre un modèle hébergé sur Hugging Face ou dans un registre interne pour vérification avant déploiement — sans avoir à sortir de son environnement de travail habituel. Nicolas précise que cet agent fonctionne dans le tenant du client, ce qui garantit que les données restent dans l'infrastructure de l'entreprise. Intégration 3 — Wildfire et l'analyse de malwares dans les flux IA La troisième intégration s'inscrit dans une approche plus classique, mais essentielle : la détection de malwares dans les fichiers transitant par des agents IA. Google utilisait déjà la technologie de pare-feu de Palo Alto pour son Cloud NGFW. Ce qui est nouveau à Google Next, c'est l'ajout de Wildfire, le moteur de sandboxing de Palo Alto, sous la forme d'un service géré appelé Advance Malware Sandboxing. Concrètement : lorsqu'un utilisateur envoie un fichier via un agent Gemini Enterprise — vers un dépôt documentaire, par exemple — ce fichier est intercepté, analysé dans un environnement isolé, puis validé avant d'être stocké. Cela protège les autres utilisateurs ou agents qui pourraient accéder à ce fichier ultérieurement. L'enjeu est d'autant plus grand que les malwares générés par IA sont désormais créés on the fly, spécifiquement pour une cible, ce qui rend les approches basées sur des signatures connues insuffisantes. Intégration 4 — Le pare-feu dans l'Application Design Center La quatrième intégration touche à l'expérience des développeurs. Google a ouvert son Application Design Center (ADC) aux partenaires tiers. L'ADC est un outil visuel dans la console cloud qui permet d'assembler des services Google (Cloud Run, Pub/Sub, BigQuery, etc.) pour créer des applications. Palo Alto a travaillé avec Google pour permettre l'insertion native d'un pare-feu dans ces assemblages. Un développeur qui crée une architecture dans l'ADC peut maintenant ajouter un gabarit Palo Alto d'un clic. Une fois la configuration validée, l'outil génère automatiquement le code Terraform correspondant, incluant les load balancers et le pare-feu. L'objectif est de démocratiser la sécurité réseau en la rendant accessible à des développeurs qui ne maîtrisent pas nécessairement les subtilités des pare-feux d'infrastructure. Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Nicolas Bédard

Parce que… c'est l'épisode 0x2FC! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial de Polysécure consacré à Cybereco, Charles F. Hamilton présente son analyse annuelle de l'état de la menace cyber en 2026. Comme chaque année, il s'efforce de distinguer le discours marketing des vendeurs de la réalité observée sur le terrain, fort de son expérience quotidienne en tests d'intrusion offensifs. Azure et Entra ID : des failles par défaut Une large partie de la discussion porte sur l'environnement Microsoft Azure et Entra ID (anciennement Azure Active Directory). Charles souligne un problème fondamental : beaucoup d'entreprises partent du principe que « si c'est Microsoft, c'est sécurisé », ce qui crée une forme de déresponsabilisation dangereuse. En réalité, la configuration par défaut d'Azure offre très peu de visibilité — les logs et informations de sécurité essentiels sont verrouillés derrière un paywall, rendant la validation quasi impossible sans un intervenant offensif. Un exemple frappant illustre ce problème : lorsqu'une entreprise configure une politique d'accès conditionnel imposant le MFA pour toutes les applications mais ajoute une seule exception (par exemple pour un compte d'automatisation), Microsoft ajoutait silencieusement Microsoft Graph et Azure Active Directory dans les exceptions. Or, Microsoft Graph est le point d'entrée vers pratiquement tous les services cloud. Un attaquant disposant d'un identifiant et mot de passe pouvait donc s'authentifier via Microsoft Graph sans aucun MFA. Bien que Microsoft ait corrigé ce comportement récemment, toute exception créée avant le correctif reste active. Charles en découvre encore quotidiennement, ce qui pose un problème majeur — notamment pour les assureurs, dont les questionnaires de conformité ne détectent pas ces failles. Le décalage entre sécurité offensive et défensive Charles défend l'idée que la sécurité offensive a une longueur d'avance considérable sur la défensive. Les produits de sécurité défensive bloquent souvent des menaces qui datent de plusieurs années, pas celles d'aujourd'hui. Il prend l'exemple du device code phishing, une technique qu'il utilise depuis une dizaine d'années et que les attaquants malveillants commencent seulement à découvrir en 2026. Les entreprises qui ont investi dans des tests offensifs il y a cinq ou six ans sont déjà protégées ; les autres paniquent aujourd'hui. Il insiste sur la valeur du Red Team : contrairement à un scan automatisé qui produit des milliers de vulnérabilités toutes marquées « critiques », un Red Team raconte une histoire — il identifie le chemin qu'un attaquant emprunterait pour atteindre ce qui a réellement de la valeur pour l'entreprise. Charles mentionne également le score EPSS (Exploit Prediction Scoring System), encore trop méconnu, qui permet de prioriser les vulnérabilités en fonction de leur probabilité réelle d'exploitation plutôt que de leur sévérité théorique. Infostealers et ClickFix : les menaces du quotidien La conversation aborde ensuite les infostealers, des logiciels malveillants qui récupèrent les mots de passe stockés dans les navigateurs. Leur efficacité tient à leur discrétion : ils ne touchent pas aux processus surveillés par les EDR/XDR et sont donc très peu détectés. Pire, ils se propagent souvent via des installeurs gratuits pour des jeux populaires comme Roblox ou Minecraft, ciblant les enfants. Quand un parent prête son ordinateur professionnel à son enfant, les identifiants corporatifs se retrouvent compromis. Charles rapporte des chiffres vertigineux : un de ses contacts dans le domaine possède des logs provenant de 600 millions de postes uniques infectés par des infostealers. Quant aux attaques ClickFix, Charles se dit fasciné qu'elles fonctionnent, car elles demandent à l'utilisateur d'exécuter une série d'étapes complexes — copier du PowerShell dans une invite de commande, par exemple. Mais l'utilisateur moyen ne comprend tout simplement pas ce qu'il fait : les extensions de fichiers, les commandes, tout cela n'a aucun sens pour lui. Le succès du phishing repose uniquement sur l'expérience utilisateur : plus c'est simple, plus ça marche. Supply chain et cas extrêmes Charles partage des histoires marquantes de sa carrière. Il a testé la sécurité d'avions dont les interfaces pilotes tournaient sous Flash et Windows embarqué. Bien que l'avion soit physiquement déconnecté d'internet, le laptop de mise à jour, lui, y passait — ouvrant la porte à des attaques de supply chain. Il raconte aussi le cas de guichets ATM dont le système de gestion acceptait des mises à jour non signées, permettant l'injection de code malveillant. Plus récemment, il a travaillé sur des cas d'infiltration d'employés nord-coréens se faisant passer pour des développeurs. Fait surprenant : ces individus étaient de bons ingénieurs et se faisaient toujours démasquer par des anomalies humaines (incohérences de localisation), jamais par leur code. IA, vibe coding et secrets exposés L'essor du vibe coding assisté par IA aggrave un problème existant : des développeurs qui ne comprennent pas ce qu'ils produisent. Charles a trouvé plus de 124 000 résultats sur GitHub pour « remove client secret » — des commits où des développeurs retirent des secrets Azure (tenant ID, application ID, client secret) sans jamais les révoquer. Beaucoup de ces commits portent les traces caractéristiques de code généré par IA, avec des emojis dans les commentaires. Le paradoxe de l'industrie cyber En conclusion, Charles soulève un paradoxe central : on n'a jamais eu autant de produits de sécurité, de solutions et de technologies pour prévenir les brèches, et pourtant on n'a jamais eu autant de brèches. Les entreprises s'étouffent sous les abonnements coûteux et les promesses marketing, mais négligent l'hygiène de base — segmentation réseau, gestion des correctifs, inventaire des systèmes. L'industrie souffre aussi d'un manque de conséquences réelles pour les entreprises négligentes, ce qui pousse beaucoup d'entre elles à faire le strict minimum. Le vrai travail reste à faire, et il commence par les fondamentaux. Collaborateurs Nicolas-Loïc Fortin Charles F. Hamilton Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x2FB! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le Honduras Gate : ingérence américaine et israélienne en Amérique latine Sam Harper ouvre l'épisode avec le Honduras Gate, une série de fuites de conversations Telegram et téléphoniques publiées par un collectif anonyme de journalistes honduriens. Ces révélations exposent un plan visant à remettre au pouvoir l'ancien président Juan Orlando Hernández, condamné à des décennies de prison pour trafic de drogue sous l'administration Biden, puis gracié par Donald Trump. La campagne de lobbying derrière ce pardon implique Roger Stone, vétéran des coups bas politiques américains depuis l'ère Nixon, ainsi que Benjamin Netanyahu, qui aurait contribué au financement logistique. Les fuites révèlent également des négociations pour le retour au pays d'Hernández et l'installation, en échange, d'une base militaire américaine au Honduras, la création de zones économiques spéciales — sortes de « charter cities » libertariennes où les lois nationales ne s'appliqueraient pas — et des conditions favorables aux investissements technologiques, notamment en intelligence artificielle. Plus troublant encore, les documents montrent qu'environ 350 000 dollars auraient été versés par le président argentin Javier Milei pour constituer une équipe médiatique financée en partie par des fonds publics, destinée à mener des campagnes de désinformation contre les gouvernements de gauche en Colombie et au Mexique. Sam souligne que les journalistes à l'origine des publications ont signalé des attaques informatiques massives contre leur site, avec des requêtes provenant principalement des États-Unis et de Tel-Aviv. Ce qui rend ce dossier particulièrement intéressant, note-t-il, c'est qu'on y voit les États-Unis directement impliqués dans des opérations d'influence, un renversement de la dynamique habituelle où l'on pointe du doigt la Russie, la Chine ou l'Iran. Flock : la surveillance municipale hors de contrôle Catherine enchaîne avec un sujet qui lui tient particulièrement à cœur : les caméras de surveillance Flock. Ce système, capable de se connecter à pratiquement n'importe quelle caméra reliée à internet et doté d'outils d'intelligence artificielle, est utilisé par de nombreuses municipalités, principalement aux États-Unis. Les scandales s'accumulent autour de cette technologie. Des policiers s'en sont servis pour traquer des ex-conjointes via les plaques d'immatriculation. L'organisme ICE l'a utilisé pour des contrôles d'immigration ciblés. Plus inquiétant encore, un vice-président de Flock a été identifié en train d'accéder aux caméras d'un gymnase d'école secondaire, officiellement dans le cadre d'une démonstration de vente, ce que les trois animateurs trouvent profondément troublant. Le système souffre d'un manque criant d'imputabilité : personne n'audite réellement qui accède à quoi. Catherine rappelle le fiasco publicitaire de Flock lors du Super Bowl, quand l'entreprise avait annoncé un partenariat avec Amazon Ring pour retrouver les chiens perdus grâce à la reconnaissance par IA dans les caméras de sonnettes des quartiers résidentiels. Le tollé public a été tel que le partenariat a été entièrement annulé. Ce rejet populaire est encourageant, selon Catherine, qui insiste sur le pouvoir citoyen au niveau municipal. Elle exhorte les auditeurs à s'impliquer dans les conseils d'arrondissement, à refuser ces technologies de surveillance et à interpeller leurs élus locaux, car c'est à cette échelle que ces décisions se prennent souvent, devant une poignée de citoyens seulement. Le séparatisme albertain : quand Russes, Américains et Hollandais se donnent la main Sam présente ensuite un rapport de DisinfoWatch sur les campagnes de désinformation ciblant le mouvement séparatiste albertain. Le phénomène réunit des acteurs improbables. D'abord, une entité liée à l'ancien Institut d'étude de l'internet de Prigogine, qui opérait un site web et des comptes sur les réseaux sociaux promouvant la séparation de l'Alberta. Ensuite, le réseau médiatique russe autour de Pravda, qui publiait des articles gonflant la popularité du mouvement. Puis des influenceurs MAGA comme Tucker Carlson, Tim Pool et Benny Johnson — ces deux derniers ayant d'ailleurs été impliqués dans le scandale Tenet Media, un conduit pour de l'argent russe vers des influenceurs américains. Enfin, des individus aux Pays-Bas qui produisaient du contenu sensationnaliste sur le séparatisme albertain uniquement pour générer des revenus publicitaires, selon le même modèle que les « fake news » macédoniennes. Un fil conducteur : manipulation, radicalisation et économie de l'attention Tout au long de l'épisode, les trois animateurs tissent des liens entre ces sujets. Catherine introduit le concept de la fenêtre d'Overton pour expliquer comment des discours autrefois inacceptables se normalisent progressivement, et celui de la longue traîne, emprunté au marketing, pour décrire les mécanismes de radicalisation algorithmique : on commence par un intérêt anodin et, d'incrémentation en incrémentation, les algorithmes nous poussent vers des contenus de plus en plus extrêmes parce que les niches sont rentables. Nicolas-Loïc fait le parallèle avec l'intelligence artificielle, qui tend au contraire à ramener les utilisateurs vers un « centre » défini par les données d'entraînement, tout en étant vulnérable à la manipulation — Sam cite d'ailleurs une étude montrant que les points de discussion pro-russes sur la guerre en Ukraine ont doublé dans les réponses de certains modèles d'IA. L'épisode se conclut sur un appel à l'action citoyenne. Catherine rappelle que le pouvoir d'influence ne s'exerce pas uniquement lors des élections fédérales ou provinciales : les décisions municipales, souvent prises devant des salles quasi vides, ont un impact direct sur la vie privée et la surveillance au quotidien. Comme le résume Nicolas-Loïc, les citoyens disposent encore d'un pouvoir considérable pour façonner la société dans laquelle ils veulent vivre — à condition de l'exercer. Collaborateurs Nicolas-Loïc Fortin Catherine Dupont-Gagnon Samuel Harper Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x2FA! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos ou le mythe qui ne veut pas mourrir Rival Research — Mythos ‘Discovered' a CVE Already in Its Training Data - and That's Still Worrying Anthropic's bug-hunting Mythos was greatest marketing stunt ever, says cURL creator Japan's PM orders cybersecurity review to defend against Anthropic Mythos “Too Dangerous to Release” — Or Just Too Expensive? The Real Reason Anthropic Is Hiding Its Most Powerful AI - Kingy AI Mythos, l'IA d'Anthropic, aide à percer le kernel d'un Mac M5 en cinq jours Is there a doctor in this AI plane Your doctor's AI notetaker may be making things up, Ontario audit finds “Will I be OK?” Teen died after ChatGPT pushed deadly mix of drugs, lawsuit says Viber for style Security Incentivization: An Empirical Study of how Micropayments Impact Code Security The Boring Stuff is Dangerous Now Reading code instead of writing code: The underestimated senior discipline Linux Kernel Adds Documentation For What Qualifies As A Security Bug, Responsible AI Use Hallucination pour les nuls Fake OpenAI Privacy Filter Repo Hits #1 on Hugging Face, Draws 244K Downloads How AI Hallucinations Are Creating Real Security Risks Microsoft Research Shows AI Can Generate Realistic Command Lines and Process Telemetry Massive blackhole AI-powered hacking has exploded into industrial-scale threat, Google says Google neutralise la première cyber-attaque massive générée par une IA Hackers Use AI for Exploit Development, Attack Automation Why Agentic AI Is Security's Next Blind Spot Hugging Face Packages Weaponized With a Single File Tweak Can LLM Agents Simulate Dynamic Networks? A Case Study on Email Networks with Phishing Synthesis AI models are getting better at replacing cybersecurity pros on certain tasks Claude Opus 4.7 and Threat Modeling La guerre, la guerre, c'est pas une raison pour se faire mal! Iran Is Using Tiny ‘Mosquito' Boats to Shut Down the Strait of Hormuz Souveraineté ou vive le numérique libre! FCC pushes ban on security updates for foreign-made routers, drones to 2029 [EU Cloud Comparison European Cloud Feature Matrix](https://eualternative.eu/eu-cloud-comparison/) Privacy ou cachez ces informations que je ne saurais voir C-22 Canada's Bill C-22 Is a Repackaged Version of Last Year's Surveillance Nightmare Canada Says Critics Don't Understand Its Surveillance Bill Google account registration now requires sending an SMS via phone instead of receiving an SMS myAudi permettaient de localiser un véhicule à partir de son code VIN Texas sues Netflix over alleged data practices that create ‘surveillance machinery' without user consent I am the law Sony's failed war against Internet piracy may doom other copyright lawsuits EU to crack down on TikTok, Instagram ‘addictive design' hooking kids Red ou tout ce qui est brisé La faille du jour BrianKrebs: “We've come to an icky time in …” - Infosec Exchange Mullvad - Votre clé WireGuard vous trahit malgré le VPN Fragnesia - Une nouvelle faille Linux dans la lignée de Dirty Frag Une faille permet d'ouvrir un disque BitLocker avec quelques fichiers sur une clé USB Une faille présente depuis 18 ans découverte dans nginx, le serveur qui fait tourner un tiers du web After Stumbling From CVE To CVE Will Linux Get A Kill Switch? Old is new again Device Code Phishing is an Evolution in Identity Takeover Microsoft backpedals: Edge to stop loading passwords into memory Usurpatate GitHub commit spoofing - Quand n'importe qui peut être Linus How I Defeat Passkeys Nearly Every Time To gain root access, intruder just had to ask Taiwan's train cyber-trauma reveals a global system that's coming off the tracks Robots chiens Unitree - La backdoor que personne ne corrige Thousands of DICOM servers exposed due to shameful lack of basic security measures Vos câbles fibre optique peuvent servir à vous espionner, et ça marche très bien Hacking Hard Drive Firmware Experts Confirm the Fast16 Malware Was Sabotaging Nuclear Weapons Tests, Likely in Iran Blue ou tout ce qui améliore notre posture Signal: “To help protect Signal users f…” - Mastodon Complexity Creates Risk: Why Simpler Infrastructure Is Safer Infrastructure · FS HOT Secure Messaging Apps have already solved Encryption. The Rest is the Problem. Divers ou parce que j'ai aucune idée où les placer Adam Shostack :donor: :rebelverified:: ““Best practice” is just how co…” - Infosec Exchange Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c'est l'épisode 0x2F9! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le contexte : un signal d'alarme venu de Google Next Nicolas Bédard, professionnel en cybersécurité chez Palo Alto Networks, revient de Google Next où il a tenu 16 rencontres clients. Un constat frappant : la quasi-totalité de ces clients avaient Mythos en tête de liste de leurs préoccupations. Ce modèle d'intelligence artificielle d'Anthropic, encore en phase de prévisualisation, a déclenché une vague d'inquiétude dans l'industrie. Nicolas admet lui-même qu'il avait sous-estimé l'ampleur du phénomène avant de constater, face à face, l'anxiété généralisée de ses interlocuteurs. Qu'est-ce que Mythos et pourquoi ça change la donne ? Mythos est un modèle d'IA de nouvelle génération, considérablement plus performant que les modèles précédents (comme Opus 4.7 de Claude) pour une tâche précise : trouver des vulnérabilités dans du code logiciel. Sa force ne réside pas uniquement dans sa capacité à détecter des failles individuelles, mais surtout dans son aptitude à établir des liens entre plusieurs vulnérabilités mineures. Là où deux ou trois failles de niveau faible ou moyen seraient jugées sans conséquence prises isolément, Mythos est capable de les relier pour révéler une vulnérabilité critique. C'est un changement de paradigme majeur. Le programme d'accès anticipé d'Anthropic Palo Alto Networks fait partie du programme « Class Wing » d'Anthropic, aux côtés d'autres grands acteurs du cloud et de la cybersécurité. Ces partenaires ont reçu un accès privilégié à Mythos avant son lancement public, leur permettant de scanner leur propre code à la recherche de failles inconnues. Selon Nicolas, cette démarche relève d'un geste de responsabilité corporative : Anthropic a anticipé les risques liés à la puissance de son modèle et a donné une longueur d'avance aux joueurs majeurs pour se préparer. Palo Alto a d'ailleurs lancé, en collaboration avec son équipe Unit 42, une offre d'accompagnement pour aider les clients à réaliser des analyses similaires avec des modèles déjà accessibles publiquement. La menace pour les systèmes anciens et le code ouvert L'un des aspects les plus préoccupants concerne les systèmes hérités. Historiquement, un vieux programme en COBOL sur AS/400 ou un mainframe oublié bénéficiait d'une forme de sécurité par l'obscurité : personne ne s'intéressait à y chercher des failles parce que c'était trop coûteux et peu rentable. Seuls les acteurs étatiques avaient les moyens de développer des exploits sophistiqués. Avec Mythos et ses futurs équivalents, cette barrière financière disparaît. N'importe qui pourra potentiellement analyser du code ancien et y trouver des failles exploitables. Le risque s'étend aussi à la chaîne d'approvisionnement logicielle. Le code ouvert, massivement réutilisé par l'industrie, devient un vecteur d'attaque amplifié. Un acteur malveillant pourrait scanner des bibliothèques populaires, y découvrir des vulnérabilités non divulguées, et les exploiter à grande échelle — ou pire, contribuer du code malicieux que des milliers de développeurs téléchargeraient en toute confiance. Le déluge de correctifs qui s'annonce Les premières conséquences sont déjà visibles : Microsoft et d'autres grandes entreprises ayant accès à Mythos publient des volumes de correctifs bien supérieurs à la normale. Nicolas anticipe que la situation va s'intensifier considérablement dans les mois à venir, particulièrement autour de la sortie publique du modèle, estimée vers juin ou juillet. Le modèle traditionnel du « Patch Tuesday » — ce cycle mensuel prévisible d'application de correctifs — risque de voler en éclats, car certaines failles seront trop critiques pour attendre le prochain cycle. Pour les entreprises qui peinent déjà à appliquer 10 à 12 correctifs mensuels sur des systèmes comme SAP, l'idée d'en gérer 200 ou 500 est vertigineuse. Les arrêts de production, les tests de régression, la coordination avec les équipes d'affaires : tout cela se complexifie de manière exponentielle. Et les pratiques modernes de développement (microservices, SRE, CI/CD) qui pourraient absorber ce choc ne sont maîtrisées que par une poignée de grandes entreprises technologiques. Les recommandations concrètes Face à ce tsunami, Nicolas et son interlocuteur reviennent aux fondamentaux avec trois axes prioritaires. Premièrement, scanner son propre code dès maintenant avec les modèles disponibles, sans attendre Mythos. Des chercheurs ont publié des méthodes de prompting permettant de simuler les capacités de Mythos avec Opus 4.7. Deuxièmement, assurer une couverture à 100 % des contrôles de sécurité existants. Chaque exception, chaque angle mort, chaque compte de service mal configuré devient une porte d'entrée potentielle. L'analogie de l'eau est parlante : comme l'eau qui s'infiltre par la moindre fissure, ces modèles d'IA trouveront inlassablement le moindre trou dans les configurations. Troisièmement, réduire l'exposition externe au maximum et développer une capacité de réaction en temps réel. Le passage de « plusieurs jours » à « quelques minutes » pour répondre aux menaces impose une transformation profonde des centres d'opérations de sécurité. Les approches traditionnelles de réponse aux incidents, avec leurs processus de révision humaine, ne suffiront plus. Un appel à l'action pour les dirigeants Nicolas conclut avec un message direct : chaque responsable de la sécurité (CISO) devrait engager dès maintenant une conversation transparente avec son conseil d'administration sur les implications de Mythos. Il s'agit d'aller chercher les budgets et les ressources nécessaires avant la crise, plutôt qu'après une attaque. L'industrie s'apprête à vivre un moment pivot où l'on passera d'une logique de liste noire à une logique de liste blanche, où seul ce qui est explicitement autorisé sera permis. Les paradigmes vont changer, et ceux qui ne s'y préparent pas risquent d'en subir les conséquences de plein fouet. Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Nicolas Bédard

Parce que… c'est l'épisode 0x2F8! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Présentation de l'invité et de Seven Islands Nicolas Duguay est le président fondateur de Seven Islands Defense and Intel, une jeune firme spécialisée dans le conseil stratégique en cybersécurité, cyberdéfense et renseignement. Avant de lancer cette entreprise, il a occupé le poste de directeur général d'InCyber (anciennement In.Sec.M), le cluster canadien de la cybersécurité. Son parcours est atypique : il a d'abord été journaliste à Radio-Canada pendant une dizaine d'années, puis a évolué dans le secteur du renseignement privé, avant de bifurquer progressivement vers la cybersécurité. C'est cette trajectoire diversifiée qui lui a permis de développer une compréhension fine des écosystèmes internationaux et des dynamiques de marché. La mission de Seven Islands Seven Islands est née d'un constat simple : l'écosystème canadien de la cybersécurité est principalement composé de PME ambitieuses mais disposant de peu de moyens, qui passent souvent sous le radar des grands donneurs d'ordre. Fort de son expérience chez In.Sec.M, où il a mené des travaux de prospection et de cartographie d'écosystèmes à l'international en collaboration avec Affaires mondiales Canada, Nicolas a accumulé une connaissance approfondie des distinctions entre les marchés et des facteurs qui font qu'une entreprise réussit ou échoue à l'étranger. Seven Islands met cette expertise au service d'organisations qui souhaitent pénétrer de nouveaux marchés, non seulement en cybersécurité, mais aussi dans les secteurs de la défense et des outils de renseignement. Des marchés en pleine transformation L'Ukraine constitue un exemple frappant de marché en rupture de paradigme. La pression à ses frontières a engendré une explosion de la demande et le développement d'un écosystème local très innovant. Les pays limitrophes de l'espace russe — pays baltes, Europe centrale et de l'Est — connaissent une dynamique similaire. Or, plusieurs entreprises canadiennes arrivent dans ces marchés avec des produits pensés selon une logique traditionnelle de défense, sans tenir compte de la réalité du terrain : il faut des solutions abordables, accessibles, produites rapidement et utilisables sans formation poussée. C'est pratiquement l'inverse de la tradition habituelle en matière de produits de défense. Le rôle concret de Seven Islands auprès de ses clients La clientèle type de Seven Islands se compose de startups et de scaleups ayant atteint un niveau de maturité technologique suffisant pour aborder les marchés internationaux. La firme intervient pour raccourcir le temps d'acquisition de marché, c'est-à-dire pour permettre à ces entreprises de comprendre rapidement les particularités du procurement local, d'identifier les bons partenaires ou acheteurs, d'éviter les pièges propres à chaque marché et de structurer leur montage financier. Nicolas estime pouvoir réduire de moitié, voire du tiers, le temps et les coûts habituellement nécessaires à une pénétration de marché, qui se chiffrent normalement en centaines de milliers de dollars sur six mois à un an. Le Canada, un marché en silos Une partie importante de la conversation porte sur les particularités du marché canadien, souvent mal compris par les entreprises étrangères. L'erreur la plus répandue est de considérer le Canada comme un marché américain en plus petit ou, pour les Français, de voir le Québec comme une extension naturelle de la France. La réalité est tout autre : le Canada est un ensemble de silos distincts, chacun avec sa culture, ses réseaux et ses dynamiques propres. Toronto représente le pôle principal pour la cybersécurité privée, porté par le secteur bancaire et sa position de deuxième ou troisième place financière nord-américaine. La compétition y est féroce. Vancouver constitue le deuxième pôle en importance, avec un écosystème vibrant tourné vers la côte ouest américaine, la Silicon Valley et le marché Asie-Pacifique — une porte d'entrée stratégique souvent sous-estimée. Montréal est un marché significatif mais très insulaire, fortement centré sur lui-même et sur le Québec, avec des réseaux établis difficiles à pénétrer. Ottawa est le cœur du marché gouvernemental et devrait devenir l'un des pôles les plus intéressants du pays grâce aux récents investissements en défense. Calgary se distingue pour tout ce qui touche à la sécurité des systèmes énergétiques, tandis que des villes atlantiques comme Halifax et Fredericton investissent beaucoup d'efforts dans le développement de leur écosystème. Nicolas souligne que les entreprises étrangères qui échouent au Canada reviennent chez elles avec une image déformée du marché : elles racontent leur échec sans en analyser les causes profondes, alimentant ainsi des perceptions erronées chez d'autres entreprises qui pourraient autrement y trouver leur place. De nouvelles alliances géopolitiques et commerciales La conversation s'ouvre ensuite sur les marchés émergents les plus prometteurs. Nicolas observe un recadrage géopolitique important qui redéfinit les alliances commerciales du Canada. Le marché scandinave, longtemps ignoré, suscite aujourd'hui un intérêt considérable : la Suède notamment exprime un véritable appétit pour des échanges avec le Canada dans une dynamique nordique partagée. Les pays baltes — Estonie, Lettonie, Lituanie — ainsi que la Pologne offrent également des occasions majeures, avec moins de protectionnisme que les grands marchés traditionnels comme l'Allemagne, la France ou le Royaume-Uni. Nicolas constate que les entreprises canadiennes, habituées à la proximité confortable du marché américain, ont développé une certaine paresse stratégique. Elles commencent à peine à regarder au-delà de l'Amérique du Nord, et la courbe d'apprentissage risque d'être exigeante pour celles qui ne se sont pas outillées pour comprendre ces nouveaux marchés. C'est précisément là que Seven Islands entend jouer son rôle d'accompagnement. Notes 7 Islands Defense & Intel Collaborateurs Nicolas-Loïc Fortin Nicolas Duguay Crédits Montage par Intrasecure inc Locaux réels par Cyberconférence 2026

Parce que… c'est l'épisode 0x2F7! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le déclencheur : une attaque publique au WordCamp US En septembre 2024, Matt Mullenweg, fondateur de WordPress et dirigeant d'Automattic, profite de sa présentation de clôture au WordCamp US pour s'en prendre violemment à WP Engine, un hébergeur spécialisé WordPress. Il les qualifie de « cancer pour l'écosystème ». Le ton est d'autant plus choquant que les WordCamp sont des événements communautaires accessibles et abordables, portés par l'esprit de l'open source — le WordCamp Montréal, par exemple, ne coûtait que 50 dollars pour un weekend complet. WP Engine est un acteur majeur qui a bâti tout son modèle d'affaires autour de WordPress, offrant de l'hébergement dédié et ayant acquis plusieurs produits populaires, dont Advanced Custom Fields (ACF), un plugin utilisé par des millions de sites. Mullenweg reproche à WP Engine de générer d'importants revenus grâce à WordPress sans contribuer suffisamment au projet. Il avait d'ailleurs lancé l'initiative « Five for the Future », invitant les entreprises bénéficiant de l'écosystème à y consacrer 5 % de leurs ressources. Or, aucune obligation légale ne contraint quiconque à contribuer, et Mullenweg lui-même tire profit de l'écosystème via Automattic et WordPress.com. L'escalade : actions légales et blocages Trois jours après l'attaque publique, WP Engine réplique par une mise en demeure pour diffamation et extorsion. Le 25 septembre, Mullenweg bloque l'accès des serveurs de WP Engine au dépôt officiel de plugins et thèmes WordPress, empêchant des centaines de milliers de sites clients de recevoir leurs mises à jour, y compris les correctifs de sécurité. WP Engine doit alors développer en urgence des solutions de contournement. Le 30 septembre, la communauté découvre que WordPress.org — la plateforme qui héberge tout l'écosystème open source — appartient personnellement à Matt Mullenweg et non à la fondation WordPress, créée pourtant pour assurer transparence et gouvernance indépendante. Cette révélation amplifie l'inquiétude : une seule personne contrôle l'infrastructure sur laquelle repose près de 40 à 50 % des CMS du web, alors que le deuxième concurrent plafonne sous les 5 %. Le 2 octobre, WP Engine dépose une plainte officielle pour pratiques anticoncurrentielles et abus de pouvoir, rendant publics des échanges compromettants entre Mullenweg et la direction de WP Engine. Le chaos interne et la prise de contrôle d'ACF En parallèle, les employés d'Automattic s'interrogent sur les agissements de leur patron, qui communique de façon impulsive sur les réseaux sociaux et son blogue. Mullenweg pose un ultimatum à ses employés : être avec lui ou partir, avec un délai de 24 à 48 heures. Environ 159 personnes, soit près de 10 % de l'effectif, choisissent de quitter l'entreprise. Mullenweg reprend ensuite le contrôle du plugin ACF au nom de la sécurité de l'écosystème, s'appuyant sur la licence GPL qui régit les extensions déposées sur le dépôt WordPress. Il crée un clone baptisé SCF (Secure Custom Fields) et redirige silencieusement les mises à jour d'ACF vers SCF, de sorte que la plupart des utilisateurs changent de plugin sans même s'en rendre compte. Cette manœuvre soulève de sérieuses questions sur la pérennité de SCF, un produit gratuit sans modèle économique ni équipe dédiée à long terme. Pour les agences comme celle de Maxime, la situation est un casse-tête : faut-il informer les clients, revenir à ACF, attendre ? L'équipe de Maxime décide de redéployer ACF sur les sites concernés, estimant que les clients sont pris en otage dans ce conflit. Les conséquences sur l'écosystème Mullenweg réduit drastiquement les contributions d'Automattic au projet open source, passant de 4 000 heures par semaine à environ 45, provoquant une stagnation du développement. La version 6.8 de WordPress accumule les retards. BlackRock, investisseur dans Automattic, dévalue ses parts. Des développeurs commencent à remettre en question la pertinence de publier sur le dépôt WordPress. Face à cette centralisation problématique, des initiatives émergent pour décentraliser la distribution des extensions. WP Engine rachète WP Packagist et Roots lance WP Packages, offrant des alternatives au dépôt officiel. L'adoption reste cependant un défi majeur pour les utilisateurs non techniques. L'arrivée de EmDash par Cloudflare Le 1er avril 2025, Cloudflare lance EmDash, une solution de gestion de contenu basée sur le framework Astro. Son approche distingue le contenu statique du contenu dynamique grâce au concept d'« îles », offrant de meilleures performances. EmDash isole également les plugins dans des sandbox pour renforcer la sécurité, contrairement à WordPress où un plugin défaillant peut compromettre tout le site. Maxime reconnaît l'intérêt technique de cette solution, mais tempère l'enthousiasme : aucun écosystème de plugins, aucune communauté établie, aucun expert disponible. Cloudflare a les moyens financiers de soutenir le projet, mais il est trop tôt pour y migrer des projets clients. WordPress n'est ni mort ni véritablement menacé à court terme. Perspectives La bataille juridique entre Automattic et WP Engine devrait connaître des avancées en juin 2025. Maxime anticipe une tentative de règlement hors cour de la part de Mullenweg, face à un WP Engine soutenu par un fonds d'investissement de plusieurs milliards déterminé à aller jusqu'au bout. Plus le conflit dure, plus il nuit à l'ensemble de l'écosystème. L'espoir reste qu'un retour à la maturité permette à chacun de poursuivre son activité dans un marché suffisamment vaste pour tous. Collaborateurs Nicolas-Loïc Fortin Maxime Jobin Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x2F6! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos ou le grand réveil Mozilla says AI helped squash 423 Firefox security bugs Opinion: Actually, Mythos is the best cybersecurity news we've ever had Spooked by Mythos, Trump suddenly realized AI safety testing might be good AI-BOMs replace SBOMs as way to track AI agents and bots AI didn't delete your database, you did Chrome installe en douce un modèle IA de 4 Go sur votre disque sans rien demander Malicious OpenClaw DeepSeek Skill Exploits Agentic AI Workflows to Deliver RAT and Stealer Hackers Hate AI Slop Even More Than You Do Thousands of Vibe-Coded Apps Expose Corporate and Personal Data on the Open Web Kevin Beaumont: “got owned by teenagers copying and pasting commands from PDFs written in 2019 by Jurass1cKn0b316” - Cyberplace La guerre, la guerre, c'est pas une raison pour se faire mal! Inside Israel's AI targeting system: How data from a phone become a death sentence Polish intelligence warns hackers attacked water treatment control systems Souveraineté ou vive le numérique libre! DHS Demanded Google Surrender Data on Canadian's Activity, Location Over Anti-ICE Posts Privacy ou cachez ces informations que je ne saurais voir Apple Security Updates: What They Mean for Mac and iPhone Privacy (1) Alberta voter list leak is a potential public safety disaster: Enforcement experts Canadian election databases use “canary traps”—and they work A college student is suing a dating app that allegedly used her TikTok videos to target men in her dormitory PSA: Instagram Encrypted Messaging Ends on Friday, May 8 I am the law Protégeons nos enfants 16% of Parents Help Their Children Bypass Online Age Checks, Study Finds. One 15-Year-Old Just Uses a Fake Moustache Some children are drawing on fake moustaches to bypass online age checks, report finds Meta, Zuckerberg Sued Over Alleged Copyright Infringement by Book Publishers and Scott Turow One House Democrat is pressing Commerce on the government's spyware use Elon Musk faces criminal probe in France after ignoring summons in X case France Moves to Break Encrypted Messaging Red ou tout ce qui est brisé Copy for the fail CISA says ‘Copy Fail' flaw now exploited to root Linux systems ‘Copy Fail' is a real Linux security crisis wrapped in AI slop Ransomware is getting uglier as cybercriminals fake leaks and skip encryption entirely Microsoft Edge Stores Passwords in Process Memory, Posing Risk VoidStealer Malware Darts Past Google Chrome's Encryption Azure AD Conditional Access Bypassed Through Phantom Device Registration and PRT Abuse White House App Is a Terrifying Security Mess Guessable admin password exposes sloppy network security 60% of MD5 password hashes are crackable in under an hour Blue ou tout ce qui améliore notre posture Security Through Obscurity Is NOT Bad Achieving CVE Remediation in an Era of Escalating Vulnerabilities Divers ou parce que j'ai aucune idée où les placer 1 in 8 workers say selling company logins is justifiable Kevin Beaumont: “Always good when your EDR provider gets hit by a ransomware group.” - Cyberplace Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Moxy Montreal Downtown

Parce que… c'est l'épisode 0x2F5! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte et premières impressions Dans cet épisode spécial du podcast Polysécure, Nicolas Bédard reçoit son collègue de Palo Alto Networks pour un retour d'expérience sur la conférence S3NS, qui s'est tenue à Paris à la mi-février 2026. S3NS est le cloud souverain français, une offre construite sur la technologie de Google Cloud et certifiée par l'ANSSI (l'agence nationale française de cybersécurité) en décembre 2025 — soit à peine trois mois avant la conférence. L'invité y était envoyé en tant que représentant de Palo Alto Networks, pour présenter comment une entreprise américaine peut s'inscrire dans un écosystème de cloud souverain. Il avoue y être arrivé avec de sérieuses appréhensions : en tant que Nord-Américain travaillant pour une grande compagnie américaine, il craignait un accueil hostile, voire franchement anti-américain. La réalité qu'il a vécue a complètement renversé ses attentes. Une affluence surprenante, un discours inattendu Premier constat : l'ampleur de l'événement. Plus de 2 000 personnes étaient inscrites au sommet S3NS, un chiffre qui a surpris l'invité. La conférence était animée et les kiosques, dont celui de Palo Alto qui figurait parmi les plus grands, ont attiré une foule nombreuse et curieuse. Deuxième constat, et sans doute le plus marquant : le discours sur la souveraineté numérique entendu dans les keynotes était diamétralement opposé à ce qu'on entend habituellement au Québec ou en Amérique du Nord. Contrairement à ce que l'invité anticipait, il n'y avait aucune hostilité envers les entreprises américaines. Le message central de la conférence reposait sur deux piliers : la confiance d'abord, le contrôle ensuite. L'idée n'était pas de rejeter les technologies étrangères, mais de s'assurer qu'elles priorisent les intérêts des utilisateurs européens et qu'elles respectent leurs contraintes légales et opérationnelles. Cette nuance est fondamentale : mettre la souveraineté et l'innovation en opposition serait contre-productif. Les cyberattaquants, eux, utilisent les outils les plus avancés sans se soucier de leur origine. Une organisation qui sacrifierait l'innovation au nom de la souveraineté se retrouverait donc dans une position défavorable face aux menaces. Une maturité acquise avec le temps Nicolas Bédard apporte ici un éclairage précieux : il suit l'évolution du discours européen sur la souveraineté numérique depuis 2021-2022. À cette époque, le ton était beaucoup plus fermé, plus protectionniste, voire souverainiste au sens étroit du terme. En 2026, la pensée européenne a évolué vers une approche beaucoup plus pragmatique et collaborative, reconnaissant que la souveraineté ne signifie pas l'isolement, mais la maîtrise. Cette maturité, les Français l'ont acquise après des années de débat public sur le sujet. En comparaison, le Québec en est encore à une phase plus émotionnelle, réactive au contexte géopolitique récent. Les animateurs du podcast expriment le souhait que le débat local gagne lui aussi en nuance et en profondeur dans les années à venir. Palo Alto dans un cloud souverain : comment ça fonctionne ? La question naturelle se pose : comment une entreprise américaine comme Palo Alto Networks peut-elle opérer dans un environnement souverain, sachant que la certification SecNumCloud impose que l'opérateur soit une entité française ? La réponse est technique et pragmatique. Palo Alto ne peut pas être directement certifié SecNumCloud — et ne cherche pas à l'être. En revanche, ses produits peuvent tourner à l'intérieur d'une infrastructure souveraine certifiée. La stratégie retenue dans un premier temps consiste à déployer des solutions sous forme de machines virtuelles (VM) : pare-feu virtuels, console de gestion Panorama en VM, ou encore AI Runtime Security pour protéger les inférences localement. Le client télécharge et opère ces outils lui-même, dans son infrastructure souveraine, sans dépendre d'un service SaaS américain. Cette approche rappelle les déploiements dans les infrastructures critiques hors ligne — comme les sous-stations électriques — où l'on déploie des pare-feu entièrement autonomes, sans connexion à des services cloud externes. Le cloud souverain suit la même logique : le contenant est souverain, et le client garde le plein contrôle sur ce qui tourne à l'intérieur. Un use case qui dépasse les frontières françaises Un autre constat inattendu : la conférence S3NS attirait non seulement des organisations françaises, mais aussi des entreprises d'autres pays de l'Union européenne — Suisse, Italie, Allemagne, entre autres. Ces organisations voient dans S3NS une solution idéale pour la reprise après sinistre (DR) ou pour certaines charges de travail sensibles, en dehors même de toute obligation légale française. S3NS représente la certification cloud souveraine la plus exigeante disponible en Europe, ce qui en fait une option attractive pour quiconque cherche à minimiser son exposition aux juridictions extra-européennes. La souveraineté comme un oignon L'image la plus éclairante de la conférence est celle de l'oignon : la souveraineté se décline en couches. Certaines données et certains workloads nécessitent une infrastructure pleinement certifiée SecNumCloud — avec le surcoût que cela implique, inévitable pour tout cloud souverain qui ne bénéficie pas des économies d'échelle mondiales des grands hyperscalers. D'autres données, moins sensibles ou non soumises à des obligations légales, peuvent reposer sur des infrastructures alternatives offrant des garanties partielles de souveraineté — comme les offres équivalentes chez Microsoft ou AWS — à moindre coût. Ce n'est pas tout ou rien. C'est une stratégie graduée, adaptée à la nature de chaque donnée et à chaque contexte réglementaire. Ce qui s'en vient En conclusion, les deux animateurs notent que l'écosystème des clouds souverains est en pleine expansion : Bleu (basé sur Azure) est en cours de certification en France, un équivalent est annoncé en Allemagne, et d'autres suivront. La décentralisation vers de plus petits clouds régionaux s'amorce, portée en partie par le contexte géopolitique actuel. Un sujet à suivre de près — et assurément matière à un prochain épisode. Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Nicolas Bédard

Parce que… c'est l'épisode 0x2F4! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Présentation de l'invité et de la plateforme Dans cet épisode spécial enregistré dans le cadre de la cohorte Propolys, Nicolas reçoit Elnathan Tiokou, fondateur et CEO de Vraust.ai (vraust.ai). Cette startup québécoise se spécialise dans la prévention des arnaques (scams) en temps réel, ciblant principalement les citoyens canadiens les plus vulnérables. Elnathan présente sa plateforme comme un outil capable d'évaluer en quelques secondes si un site web, un courriel ou une conversation téléphonique présente des signes de fraude, en retournant un score de risque accompagné de recommandations concrètes. Comment fonctionne la fraude aujourd'hui Elnathan rappelle que la grande majorité des fraudes modernes repose sur le social engineering, c'est-à-dire la manipulation psychologique des victimes. Il illustre le propos avec un exemple parlant : un parent âgé qui tombe sur une fausse plateforme d'investissement et qui, faute de pouvoir rejoindre un proche plus averti, n'a aucun moyen de vérifier la légitimité du site. L'intelligence artificielle a considérablement amplifié la menace. Les fraudeurs peuvent désormais cibler des dizaines de milliers de personnes simultanément, avec des messages rédigés dans un français impeccable, rendant la détection humaine de plus en plus difficile. Même des professionnels en cybersécurité peuvent se faire piéger, comme Nicolas l'admet lui-même au fil de l'échange. Les axes d'analyse de Vraust.ai La plateforme s'appuie sur trois grandes familles d'analyse : L'analyse textuelle : courriels, sites web, messages de romance scam sur les réseaux sociaux. La plateforme effectue une analyse sémantique et sentimentale du contenu pour détecter les tentatives de manipulation. L'analyse vocale : les arnaques par appel téléphonique ou en vidéoconférence (Zoom, Teams) sont également couvertes. L'outil repère des signaux comme l'urgence dans le ton, les silences inhabituels ou les incohérences dans le discours. L'analyse technique : vérification de l'adresse IP, localisation du domaine, et autres indicateurs classiques en cybersécurité qui permettent de tracer l'origine d'une tentative de fraude. Ces trois couches alimentent un score de risque global, accompagné d'une catégorisation du type d'arnaque détecté (job scam, romance scam, fraude bancaire, etc.) et d'un lien vers des ressources gouvernementales présentant des situations similaires déjà documentées. La cible : les personnes vulnérables, pas les convaincus Elnathan soulève une statistique frappante : 78 % des adultes canadiens se disent confiants dans leur capacité à détecter une fraude, alors que 23 % d'entre eux continuent pourtant d'en être victimes. Cette fausse assurance crée un angle mort dangereux : plus on se croit invulnérable, plus on baisse sa garde. Plutôt que de dépenser énergie et capital à convaincre cette majorité confiante, Vraust.ai concentre ses efforts sur les segments les plus exposés : les personnes âgées, d'une part, et les jeunes de 13 à 18 ans, d'autre part — ces derniers représentant 25 à 27 % des victimes de fraude, un chiffre souvent méconnu. La stratégie commerciale repose sur un forfait familial : un adulte inscrit peut y intégrer ses parents et ses enfants, ces derniers ne pouvant rejoindre la plateforme qu'avec autorisation parentale. Une intégration pensée pour réduire la friction Actuellement, la plateforme fonctionne comme une interface conversationnelle en ligne — l'utilisateur y colle un texte suspect et reçoit une analyse instantanée. La prochaine étape, en cours de développement, est une application en arrière-plan (overlay) installée sur téléphone ou ordinateur. Celle-ci restera invisible dans l'usage quotidien et n'alertera l'utilisateur que lorsqu'une situation suspecte est détectée : un appel entrant frauduleux, un site web malveillant, etc. L'utilisateur garde le contrôle : il choisit quelles applications faire surveiller. La vie privée est au cœur de la conception — les données des utilisateurs ne sont pas stockées par défaut, et le modèle tourne en grande partie localement sur l'appareil. Simplifier le signalement aux autorités L'un des problèmes majeurs soulevés dans l'épisode est la barrière au signalement. Selon Elnathan, les 643 millions de dollars de pertes liées à la fraude rapportés l'an dernier au Canada ne représentent que 5 à 10 % des fraudes réelles — le reste n'étant jamais déclaré, souvent par honte, par découragement ou par manque de temps. Vraust.ai cherche à réduire ce processus à un seul clic : la plateforme structure automatiquement l'information (numéro du fraudeur, type d'arnaque, localisation potentielle) et la transmet aux autorités compétentes — en commençant par le Québec. Des échanges sont déjà en cours avec les autorités locales pour bâtir ce pipeline de signalement. Une fonction de rapport vocal est également prévue, permettant à une victime de simplement raconter son histoire à voix haute pour que la plateforme l'analyse et la transmette. En conclusion : la fraude se combat en communauté Elnathan conclut l'épisode par un appel au partage et à la déstigmatisation. Se faire arnaquer n'est ni une honte ni un signe d'ignorance — tout le monde peut en être victime. Il encourage chacun à reporter ses expériences, car chaque signalement alimente le modèle et protège les prochaines victimes potentielles. Nicolas renchérit : même les professionnels de la cybersécurité se font piéger, et 2026 s'annonce comme une année charnière dans la lutte contre la fraude numérique au Canada. Notes Vraust.ai Propolys Collaborateurs Nicolas-Loïc Fortin Elnathan Tiokou Crédits Montage par Intrasecure inc Locaux réels par Cyberconférence 2026

Parce que… c'est l'épisode 0x2F3! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Présentation des invités Dans cet épisode technique de Polysécure, l'animateur reçoit deux analystes de l'équipe TDR (Threat Detection and Research) de Sekoya. Charles Meslay se spécialise en reverse engineering et en analyse de malware, tandis que Félix Aimé se concentre sur l'étude de campagnes liées à des États — cyberespionnage, sabotage — et joue un rôle central dans le développement d'outils internes pour mener les investigations. L'épisode prend appui sur un billet de blog récemment publié par l'équipe portant sur une campagne d'APT28, groupe étatique lié à la Russie, pour élargir la discussion à l'ensemble du tooling utilisé en CTI. Du reverse engineering manuel à l'automatisation Le point de départ concret est l'analyse d'un malware écrit en .NET, attribué à APT28 et découvert début 2025. Initialement, le travail reposait sur des outils classiques comme dnSpy : une interface graphique permettant de décompiler le code, de renommer les fonctions et de comprendre progressivement leur logique. Ce processus, bien que relativement accessible, est extrêmement chronophage — de une à trois semaines par binaire et par analyste. Avec l'émergence des LLM, Charles a d'abord commencé à copier-coller manuellement des portions de code dans ChatGPT pour accélérer l'analyse. Cette pratique l'a conduit à une idée d'automatisation : la création d'un serveur MCP (Model Context Protocol), un protocole permettant à un LLM d'interagir avec des outils externes via une interface de type API. Ce serveur, mis en open source, est en réalité une brique d'un outil plus large développé en interne : Sara. sarA : un orchestrateur d'analyse automatisée Sara est présentée comme le cœur de l'écosystème d'analyse de Sekoya. Son fonctionnement est le suivant : on lui soumet un fichier, le LLM identifie le type de fichier et sélectionne les outils adaptés — qu'il s'agisse de Ghidra, d'IDA Pro ou d'outils maison en ligne de commande — pour procéder à l'analyse. À l'issue du processus, Sara génère un rapport structuré comprenant la description du comportement du binaire, les différentes couches d'obfuscation détectées, des scripts de désobfuscation si nécessaire, et une liste explicite des angles morts de l'analyse, notamment en cas de limitations liées aux tokens ou au nombre de passes effectuées. Le gain est spectaculaire : le temps d'analyse est passé de plusieurs semaines à quelques minutes. Au-delà du gain de vitesse, Sara a également élargi le cercle des analystes capables de contribuer au reverse engineering, y compris ceux qui n'avaient pas de formation approfondie dans ce domaine. Les analystes spécialisés, comme Charles, continuent quant à eux à intervenir sur les cas complexes que l'outil ne résout pas seul. Un écosystème d'outils progressivement construit Félix retrace l'histoire du tooling interne, développé de façon itérative au fil des années. Au départ, l'équipe disposait d'un simple serveur de cache connecté à des API tierces comme VirusTotal, permettant de limiter la consommation de quotas. Ce serveur a ensuite été refondu pour gérer de manière transparente les clés d'API, simplifiant ainsi la vie des développeurs internes. L'équipe a ensuite créé un ensemble d'API maison pour automatiser des tâches courantes : requêtes DNS, récupération de plages d'IP sur des AS, etc. Ces briques ont permis de construire 150 transformes pour Maltego, un logiciel d'analyse permettant d'appliquer des micro-opérations sur des entités (adresses IP, noms de domaine, etc.) afin d'enrichir les investigations. Aujourd'hui, l'équipe envisage de migrer vers Flosint, une solution open source française au fonctionnement similaire. Pour le suivi dans le temps des infrastructures malveillantes, deux outils ont été développés. Tracker interroge des services comme Shodan, Censys ou VirusTotal avec des règles précises pour surveiller en quasi-temps réel des infrastructures ou des malwares. Irma, plus orientée vers le hunting, permet d'initier des investigations à partir d'heuristiques poussées — par exemple, détecter un nom de domaine enregistré chez un registraire douteux qui résout vers un routeur potentiellement compromis en France. L'ergonomie au cœur du développement Un principe philosophique fort ressort de l'échange : l'ergonomie prime sur la complexité technique. Félix insiste sur le fait que les outils en ligne de commande, aussi puissants soient-ils, finissent par être abandonnés si leur utilisation requiert de consulter le manuel à chaque fois. L'objectif est que l'intégralité des outils soit accessible depuis un navigateur web, via des sous-domaines dédiés, avec une interface de recherche permettant de trouver un outil par mot-clé (par exemple, taper « LLM » pour lister tous les outils liés à l'intelligence artificielle). Cette centralisation présente plusieurs avantages : harmonisation des dépendances, déploiement automatisé via des pipelines CI/CD, et adoption effective par l'ensemble de l'équipe. Comme le résument les deux invités, un outil que personne n'utilise ne vaut rien — peu importe ses capacités techniques. L'IA comme accélérateur transversal L'arrivée des LLM a transformé deux autres facettes du travail. D'abord, le prototypage : là où il fallait parfois des semaines pour valider une preuve de concept, quelques heures suffisent aujourd'hui pour déterminer si une idée mérite d'être poursuivie ou abandonnée. Ensuite, la capitalisation du renseignement. L'équipe ingère des rapports publics d'éditeurs tiers, les modélise au format STIX — un standard structuré d'objets liés (campagnes, groupes d'attaquants, indicateurs de compromission) — et enrichit sa base de connaissance. Ce travail, autrefois fastidieux et manuel, est aujourd'hui en grande partie automatisé grâce aux LLM, avec une revue humaine finale. L'analyste se retrouve alors libéré des tâches répétitives pour se concentrer sur ce qui reste hors de portée de l'IA : la création de règles YARA, le développement de trackers d'infrastructure, et l'identification de détails techniques fins qui nécessitent encore un vrai jus de cerveau. Conclusion Cet épisode offre un regard rare et concret sur le quotidien d'une équipe CTI de pointe. Entre automatisation intelligente, philosophie d'ergonomie et intégration progressive de l'IA, Charles et Félix décrivent un métier en pleine mutation — où l'analyste humain reste indispensable, mais se concentre désormais sur ce qu'il fait le mieux. Notes APT28, sarA Is watching you! Collaborateurs Nicolas-Loïc Fortin Charles Meslay Félix Aimé Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x2F2! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos ou Baba Yaga Mythos Changed the Math on Vulnerability Discovery. Most Teams Aren't Ready for the Remediation Side AI digs up decades of code debt. Patch up. AI Finds 38 Security Flaws in OpenEMR What Anthropic's Mythos Means for the Future of Cybersecurity Anthropic's Mythos Has Landed: Here's What Comes Next for Cyber OpenAI locks GPT-5.5-Cyber behind velvet rope Amid Mythos' hyped cybersecurity prowess, researchers find GPT-5.5 is just as good Pentagon keeps Anthropic barred despite Mythos interest Pentagon reaches agreements with top AI companies, but not Anthropic Vibe to oblivion Claude-powered AI coding agent deletes entire company database in 9 seconds — backups zapped, after Cursor tool powered by Anthropic's Claude goes rogue Vibe Coding Will Break Your Company AI threats in the wild: The current state of prompt injections on the web Anthropic's definition of safety is too narrow Multiple OpenClaw Vulnerabilities Enables Policy Bypass and Host Override Who Owns the Code Claude Wrote? School-shooting lawsuits accuse OpenAI of hiding violent ChatGPT users Fooling large language models just keeps getting simpler Everyone's building AI agents. Almost nobody's ready for what they do to identity. Govern your bots carefully or chaos could ensue I can never talk to an AI anonymously again Anthropic Launches Claude Security in Public Beta for Enterprise Customers La guerre, la guerre, c'est pas une raison pour se faire mal! Chinese spy group caught lurking in Poland, Asia networks Cyber spies target Russian aviation firms to steal satellite and GPS data Souveraineté ou vive le numérique libre! Digital Sovereignty: Wire to Replace Signal as Standard in the Bundestag Privacy ou cachez ces informations que je ne saurais voir US tech embraces Sam Altman's World iris-scan ID banned in places - Rest of World I am the law Age verification bazaar Meta found in breach of EU law for failing to keep children off platforms EU waves through age-check app to keep kids safe online Glenn Meder (@GlennMeder): “

Parce que… c'est l'épisode 0x2F1! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un programme de cybersécurité taillé pour les PME québécoises Dans cet épisode du balado Polysécure, l'animateur Nicolas reçoit Gino Plourde et Dominic Villeneuve pour faire le bilan de la première cohorte du programme Quatre Force, une formation en cybersécurité conçue spécifiquement pour les techniciens et administrateurs des petites et moyennes entreprises (PME). Les résultats sont au-delà des attentes, et l'enthousiasme des deux créateurs est palpable tout au long de la conversation. Une première cohorte prometteuse La première cohorte s'est terminée le 27 février avec 11 participants provenant de six régions administratives différentes du Québec. La diversité des apprenants a été l'une des grandes surprises : on y retrouvait des gens issus de PME manufacturières, de firmes comptables et juridiques, de ministères gouvernementaux, ainsi que des propriétaires de petites entreprises en technologies de l'information. La cohorte s'est conclue par un rassemblement en présentiel où les attestations ont été remises dans une ambiance conviviale. La deuxième cohorte a démarré le 9 mars avec 10 participants, cette fois répartis dans encore plus de régions, incluant la Montérégie, la Vallée-de-l'Outaouais et même la Côte-Nord. Ce dernier participant, géographiquement isolé, a particulièrement apprécié le format asynchrone à distance, qui répond directement aux contraintes des régions éloignées. Fort de ce succès, Gino a ouvert les inscriptions pour une troisième cohorte dès le 13 mars, prévue pour le 14 septembre. Un contenu ancré dans la réalité des entreprises Le programme est structuré en six modules (du module 0 au module 5) sur une durée de 14 semaines, à raison d'environ 10 heures par semaine. Dominic souligne que dès le module zéro — le module de base théorique —, les participants réalisent à quel point leur entreprise est exposée. On y aborde la mentalité des pirates, la doctrine de guerre appliquée à la cybersécurité (notamment l'approche de Sun Tzu), ainsi qu'une introduction au cadre CVSS. Un exercice simple, comme demander un certificat SSL, suffit à illustrer concrètement comment des informations supposément privées deviennent publiquement accessibles. À partir du module 1, les apprenants passent à la pratique avec des laboratoires concrets. Un exemple marquant : les participants apprennent à exploiter la vulnérabilité Print Nightmare dans un environnement contrôlé. Ainsi, lorsqu'ils doivent convaincre leur direction de mettre à jour ou de retirer des serveurs obsolètes, ils peuvent démontrer en temps réel les risques encourus — un argument bien plus percutant qu'un rapport théorique. Le contenu a été délibérément épuré de tout ce qui n'est pas utile aux PME. Chaque heure de formation doit apporter une valeur directe à l'entreprise et à la personne. Les créateurs insistent : ce n'est pas un cours dilué ou facile à survoler comme on en trouve sur des plateformes généralistes. C'est exigeant, mais cette intensité est au service de l'intégration réelle des connaissances. Une formation qui évolue grâce aux retours des apprenants L'équipe a apporté plusieurs ajustements entre la première et la deuxième cohorte, tous basés sur les commentaires des participants. Une semaine supplémentaire a été accordée au module zéro, jugé trop dense à l'origine. Une semaine de relâche a également été introduite à mi-parcours, permettant aux apprenants légèrement en retard de se rattraper, et aux autres de laisser décanter la matière. Quelques laboratoires particulièrement ardus ont aussi été révisés pour mieux correspondre à des défis réalistes, sans sacrifier la rigueur du contenu. Dominic souligne avec humour qu'un laboratoire qu'il complétait lui-même en une heure pouvait prendre jusqu'à huit heures à un apprenant moins expérimenté — un signal clair qu'un ajustement s'imposait. Une communauté de pratique en pleine croissance Au-delà de la formation elle-même, Gino et Dominic ont mis sur pied un groupe privé sur Discord regroupant tous les diplômés des cohortes. Cet espace d'échange permet aux participants de partager des informations sur des attaques récentes, des patterns menaçants ou des solutions concrètes — sans honte ni jugement. Deux semaines après la fin de la première cohorte, un participant a signalé au groupe avoir été victime d'un cryptovirus, détaillant le vecteur d'attaque pour que tout le monde puisse s'en prémunir. Nicolas soulève un point important : cette communauté joue un rôle crucial parce qu'elle est accessible à des gens qui ne se sentent pas encore légitimes pour intégrer les grandes communautés de cybersécurité existantes. Les experts chevronnés peuvent être intimidants pour ceux qui commencent. Ce groupe offre un espace de progression à rythme raisonnable, avec des pairs au niveau comparable. Les échanges y sont aussi agnostiques par rapport aux fournisseurs, ce qui permet des discussions honnêtes sur les produits et solutions disponibles sur le marché. Une vision d'avenir pour le Québec et au-delà En conclusion, Gino et Dominic réaffirment leur ambition : voir ce programme contribuer concrètement à rendre les PME québécoises — et peut-être internationales — plus résilientes face aux cybermenaces. Les inscriptions pour la cohorte d'automne sont ouvertes, des subventions sont disponibles pour les PME et OBNL, et tout professionnel en TI qui souhaite approfondir ses compétences en cybersécurité sans nécessairement être un spécialiste de haut niveau est le bienvenu. La formation est conçue pour les jacks of all trades du numérique — y compris, soulignent-ils avec fierté, les femmes, encore trop peu représentées dans le domaine. Collaborateurs Nicolas-Loïc Fortin Dominic Villeneuve Gino Plourde Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x2F0! Préambule Je suis dans une alcôve dans une chambre d'hôtel, d'où l'écho inhabituel… et première diffusion live sur Twitch. Shameless plug 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Les vérifications d'identité : une fausse sécurité ? L'épisode s'ouvre sur un phénomène observé sur Tinder : certains profils contiennent une dernière photo manifestement absurde — un visage humain grossièrement intégré dans une image aléatoire (statue, panneau publicitaire). La théorie qui circule est que ces photos serviraient à contourner le système de vérification d'identité de la plateforme. Les fraudeurs utiliseraient cette image pour obtenir le badge « vérifié », puis la laisseraient en dernière position en espérant que les utilisateurs, éblouis par les premières photos générées par IA, n'y prêtent pas attention. Ce constat amène une réflexion plus large sur la valeur réelle des systèmes de vérification en ligne. Les coanimateurs rappellent l'époque du « vrai » crochet bleu sur Twitter, qui exigeait pièces d'identité et articles pour valider l'authenticité d'un compte. Depuis le rachat par Elon Musk et la transformation en X, n'importe qui peut acheter cette certification, vidant le système de son sens. L'épisode fait le parallèle avec Meta, qui facture également l'authentification. Résultat : les fraudeurs ont simplement appris à acheter la confiance plutôt qu'à la mériter, et les utilisateurs, rassurés par un badge, perdent leur réflexe naturel de vigilance. Un exemple hilarant illustre bien le chaos engendré : un compte parodique nommé « Eli Lilly » avait annoncé que l'insuline devenait gratuite, forçant la vraie entreprise pharmaceutique à démentir publiquement. Le vibe coding : l'illusion de créer sans comprendre Le second sujet porte sur Bolt.new (appelé « vapor » dans l'épisode), une application qui promet à n'importe qui de créer son propre site web ou application sans connaissances en programmation, grâce à l'IA. Le problème est apparu au grand jour quand des bases de données d'utilisateurs se sont retrouvées entièrement exposées au public. La plateforme a d'abord tenté de rejeter la faute sur ses utilisateurs en affirmant que la notion de « public » dans sa documentation était mal comprise — une formulation que les animateurs attribuent elle-même à une rédaction par IA tant le ton est caractéristique. Cette controverse illustre un problème de fond : coder est un métier qui intègre des principes de sécurité appris au fil des années. Le « vibe coding » reproduit les erreurs des quarante dernières années de développement logiciel, où tout est ouvert par défaut et où la sécurité n'est jamais pensée dès la conception (security by design). L'IA génère du code sans jamais demander « as-tu pensé à la sécurité de tes utilisateurs ? ». Le danger est double : non seulement les applications ainsi créées sont vulnérables, mais les utilisateurs qui s'y connectent ne peuvent pas savoir si elles l'ont été. La discussion s'élargit à la dévalorisation progressive des métiers créatifs et techniques — photographes, graphistes, développeurs — dont le travail devient invisible aux yeux de décideurs incapables de distinguer un résultat généré automatiquement d'un travail véritablement expert. Les animateurs anticipent toutefois un retour de balancier : les entreprises qui misent tout sur l'IA finiront par réaliser que la valeur humaine est ce qui les différencie réellement sur le marché. Modèles d'IA et cybersécurité : la guerre asymétrique Un troisième bloc aborde la sortie de modèles d'IA présentés comme potentiellement « dangereux » pour la cybersécurité. Les animateurs analysent ces annonces avec scepticisme, y voyant surtout des coups marketing habiles. Ils notent que les vulnérabilités mises en avant ont pu être reproduites avec des modèles publics existants, ce qui relativise le danger présenté. L'enjeu réel, selon eux, n'est pas tant la puissance brute des modèles que la façon dont ils sont utilisés. Des modèles plus petits, qui hallucinent davantage, peuvent en réalité trouver des vulnérabilités inédites précisément parce qu'ils explorent des zones imprévisibles — une forme de créativité non intentionnelle. L'approche par agents autonomes décentralisés, inspirée du fonctionnement du cerveau ou même des tentacules d'une pieuvre (chaque tentacule dispose d'une capacité décisionnelle propre), est présentée comme bien plus prometteuse que la course aux modèles toujours plus grands. Le réseau 764 : grooming, extorsion et idéologies radicales Le sujet le plus lourd de l'épisode est abordé par Catherine, qui le prépare depuis plusieurs semaines. À l'occasion de l'arrestation d'un homme de 26 ans à Québec, accusé d'avoir contacté des mineurs de 12-13 ans, elle explique l'écosystème criminel connu sous le nom de The Com — un réseau informel structuré autour du cybercrime, de la sextorsion et de la violence hors ligne. Le groupe 764 est une branche de cet écosystème. Né d'une idéologie néonazie, il s'est rapidement transformé en réseau de grooming systématique ciblant des adolescents vulnérables sur des plateformes comme Roblox, Minecraft et Discord. Les abuseurs repèrent des jeunes exprimant des difficultés (santé mentale, identité, isolement), pratiquent le love bombing pour devenir leur unique point d'ancrage affectif, puis exercent du chantage à partir de photos compromettantes, allant jusqu'à demander des automutilations filmées. Les animateurs insistent sur l'importance de parler ouvertement avec les enfants, sans jugement, et de connaître les signaux d'alerte : blessures inexpliquées, cadeaux inattendus, comportements dissimulateurs en ligne. Des ressources comme le site du gouvernement néo-zélandais (Netsafe) sont recommandées pour accompagner ces conversations. En guise de conclusion : l'humour comme résistance L'épisode se termine sur une réflexion collective sur la déshumanisation numérique, la dissociation permanente que génère l'habitude de tout filmer, et le sentiment d'un futur bouché chez les jeunes générations — autant de facteurs qui alimentent ces dérives. Mais plutôt que le désespoir, les animateurs choisissent l'humour comme mécanisme d'adaptation et comme forme d'espoir : rire ensemble, c'est aussi reconnaître une communauté de valeurs et continuer à croire qu'un autre monde est possible. Collaborateurs Nicolas-Loïc Fortin Catherine Dupont-Gagnon Samuel Harper Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x2EF! Shameless plug 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Notes IA ou Ghost in the shell Mythos NSA Reportedly Using Anthropic's Mythos Despite Pentagon Blacklist US security agency is using Anthropic's Mythos despite blacklist, Axios reports Unauthorized Group Gains Access to Anthropic's Exclusive Cyber Tool Mythos Anthropic Mythos shaping up as nothingburger The Boy That Cried Mythos: Verification is Collapsing Trust in Anthropic The Guardian view on Anthropic's Claude Mythos: when AI finds every flaw, who controls the internet? Mozilla: Anthropic's Mythos found 271 security vulnerabilities in Firefox 150 The AI era demands a different kind of CISO Paradigme AI-Powered Exploitation May Collapse the Patch Window for Defenders AI Model Claude Opus turns bugs into exploits for just $2,283 Why the Axios attack proves AI is mandatory for supply chain security Un agent IA chinois a trouvé près de 1 000 failles inédites, dont certaines dans Microsoft Office MCP MCP Servers Are the New APIs — And We're Making the Same Security Mistakes How Anthropic's Model Context Protocol Allows For Easy Remote Execution Prove You Are a Robot: CAPTCHAs for Agents Anthropic secretly installs spyware when you install Claude Desktop AI Agents Think. They Just Don't Know They're Being Watched. Vuln in Google's Antigravity AI agent manager could escape sandbox, give attackers remote code execution Lovable denies data leak, cites ‘intentional behavior' Kernel code removals driven by LLM-created security reports Introducing OpenAI Privacy Filter La guerre, la guerre, c'est pas une raison pour se faire mal! Iran claims US used backdoors in networking equipment Souveraineté ou vive le numérique libre! [Matrix in Europe Digital sovereignty](https://element.io/en/matrix-in-europe) FCC adds mobile hotspots to router ban Privacy ou cachez ces informations que je ne saurais voir Une faille IndexedDB permettait de relier toutes vos identités Tor Nullroom - Un chat P2P qui s'efface en 15 minutes Proton CEO: Age checks turn internet into ID checkpoint Apple stops weirdly storing data that let cops spy on Signal chats Why you should refuse to let your doctor record you Privacy Advocate Accuses US Government of Investing in AI-Powered Mass Surveillance I am the law Elon Musk fails to appear for questioning by French police over sexualized AI images on X Loi séparatisme - Le blocage sans juge gagne du terrain Most Australian teens admit the social media ban isn't working as they try to sidestep age verification blocks with face masks and their parents' IDs Colorado Adds Open-Source Exemption to Age-Attestation Bill Red ou tout ce qui est brisé You Don't Need to Hack the System. You Just Need to Make People Think You Did. Apple Knows. Visa Knows. Nobody Has Fixed It. Here's Why. Cyberattack at French identity document agency may have exposed personal data France's ‘Secure' ID agency probes claimed 19M record breach Another npm supply chain worm hits dev environments Bitwarden CLI Compromised in Ongoing Checkmarx Supply Chain … Why Phishing Still Works (Even If You Know About It) Blue ou tout ce qui améliore notre posture DDoS Kevin Beaumont: “If anybody is wondering, masto…” - Cyberplace DDoS wave continues as Mastodon hit after Bluesky incident Network ‘background noise' may predict the next big edge-device vulnerability NCSC: Passkeys now good enough to be the default standard Kevin Beaumont: “I just want to give the analysts at Dragos credit here for how they framed this - it's really responsible.” - Cyberplace You don't want long-lived keys Divers ou parce que j'ai aucune idée où les placer Quadratic Contrary to popular superstition, AES 128 is just fine in a post-quantum world In a first, a ransomware family is confirmed to be quantum-safe Original GrapheneOS responses to WIRED fact checker Palantir Employees Are Starting to Wonder if They're the Bad Guys Les cartes bancaires biométriques sont-elles une vraie avancée ou du bullshit marketing ? Histoire Un malware qui pourrait être la toute première cyberarme de l'histoire Discret 11, the French TV encryption of the 80's Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Moxy Montreal Downtown

Parce que… c'est l'épisode 0x2EE! Shameless plug 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un historique souvent oublié David Bizeul rappelle d'emblée que l'intelligence artificielle en cybersécurité n'est pas un phénomène récent. Ses racines remontent aux années 1950 avec les travaux d'Alan Turing, mais c'est surtout à partir des années 1990 que le machine learning commence à s'intégrer concrètement dans les produits de sécurité. Les systèmes experts et les algorithmes de classification — supervisés ou non supervisés — permettent alors de traiter de grands volumes de données : filtres bayésiens pour les e-mails, détection d'anomalies réseau via les outils NDR, etc. Cette évolution se fait progressivement et sans grand bruit jusqu'en 2023, où l'architecture Transformer de Google — à l'origine de ChatGPT et d'OpenAI — change radicalement la donne. Les LLM (grands modèles de langage) ouvrent de nouvelles possibilités dès lors qu'on leur fournit un corpus textuel structuré. Les produits de sécurité intègrent d'abord des assistants conversationnels, capables de répondre à des questions sur des groupes d'attaquants ou des menaces connues, en s'appuyant simplement sur ce que le modèle a appris. Vient ensuite le RAG (Retrieval-Augmented Generation), qui permet de combiner la connaissance générale du LLM avec des données internes propres à chaque client : analyses de risques, politiques de sécurité, rapports de tests d'intrusion. Le contexte devient ainsi beaucoup plus pertinent et personnalisé. L'ère agentique : plusieurs agents qui collaborent La véritable rupture arrive avec l'approche agentique, qui s'impose véritablement à partir de fin 2025 et début 2026. Plutôt qu'un modèle unique qui répond à des requêtes, on dispose désormais d'un framework composé de plusieurs agents spécialisés qui travaillent ensemble de façon orchestrée. David illustre cela avec un cas d'usage concret dans un SOC : Un agent d'investigation analyse les alertes en profondeur : il examine les événements associés, identifie les actifs concernés, recoupe les informations pour confirmer si une attaque a réellement progressé ou a été bloquée. Un agent de triage joue le rôle d'orchestrateur : il mobilise l'agent d'investigation sur l'ensemble des alertes en attente, puis produit un verdict ou un score de pertinence pour chacune d'elles. Un agent de contre-mesures prend le relais une fois la situation clarifiée : il propose des actions correctives en tenant compte des outils disponibles (présence ou non d'API, de protocoles MCP) et de leur accessibilité réelle dans l'environnement du client. Chaque agent dispose d'un périmètre d'action délimité, d'une capacité de raisonnement (un LLM interne ou externe) et d'une batterie d'actions possibles. C'est exactement la trajectoire suivie par l'entreprise de David, qui déploie ces modules agentiques cette année. Maîtriser les hallucinations et personnaliser les agents Pour s'assurer qu'un agent reste dans les rails, plusieurs mécanismes sont mis en place. Le premier est le system prompt : une instruction détaillée — parfois l'équivalent de cinq pages — qui définit les objectifs, les étapes à suivre et les comportements à éviter. Les clients peuvent ensuite surcharger ces instructions avec leurs propres règles métier. Par exemple, une entreprise qui préfère parler d'un « score de 0 à 100 » plutôt que de « faux positifs » peut reconfigurer l'agent en conséquence. Pour réduire les hallucinations, il est également possible de faire itérer un agent sur plusieurs passes de vérification, voire de solliciter plusieurs LLM différents afin de confronter leurs points de vue. David donne l'exemple d'un agent de renseignement sur les menaces étatiques : interroger successivement un modèle américain, européen et chinois permet de mettre en évidence des biais géographiques, puis de synthétiser une vue équilibrée. Cette approche multi-modèles n'est cependant pas systématiquement recommandée : elle multiplie les coûts et la latence, et n'apporte une valeur réelle que pour des questions à fort enjeu stratégique. Choisir son modèle : externe, interne ou spécialisé Trois grandes options s'offrent aux organisations : L'API externe (OpenAI, Anthropic, etc.) : simple à mettre en œuvre, mais nécessite un encadrement contractuel rigoureux pour la protection des données. Le modèle open source hébergé en interne : instancié sur les propres GPU de l'entreprise, il garantit confidentialité et maîtrise de la latence, au prix d'une infrastructure plus lourde. Le DSLM (Domain-Specific Language Model) : un modèle entraîné spécifiquement pour la cybersécurité, plus léger et plus rapide qu'un LLM généraliste, à l'image de ce qu'avait réalisé Cisco. Cette approche marque en quelque sorte un retour aux origines du machine learning spécialisé, mais enrichi des apports de l'architecture Transformer. Impact sur les équipes : augmentation, pas remplacement L'IA ne remplacera pas les analystes SOC, mais elle transformera profondément leurs rôles. Le triage — tâche répétitive et chronophage — sera bientôt entièrement automatisé. Les analystes seront alors libérés pour se concentrer sur des missions à plus forte valeur ajoutée : detection engineering, gestion de crise, définition des règles d'automatisation. Le paradigme évolue du « human in the loop » — l'humain intégré dans la boucle, qui la ralentit — vers le « human on the loop » : l'humain en posture de pilotage, qui supervise et ajuste sans intervenir à chaque étape. Face à des attaques de plus en plus automatisées et rapides (des outils comme Shannon permettent déjà de séquencer des opérations de pentest de façon autonome), la défense n'a pas d'autre choix que de s'automatiser à son tour. Une question sans réponse : la formation des futurs experts La discussion se conclut sur une interrogation ouverte et préoccupante : si les postes de niveau junior — qui constituaient historiquement le terrain d'apprentissage des futurs seniors — disparaissent au profit de l'automatisation, comment formera-t-on les experts de demain ? Une piste serait d'utiliser l'IA elle-même pour accélérer la montée en compétences via des simulations réalistes. Mais la question reste entière, et David l'admet sans détour : il n'a pas la réponse. Collaborateurs Nicolas-Loïc Fortin David Bizeul Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c'est l'épisode 0x2ED! Préambule Nous avons rencontré un petit défi d'enregistrement vers la 12e minute. Shameless plug 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le contexte : une surcharge informationnelle sans précédent En 2026, nos cerveaux font face à un défi sans précédent : la quantité d'informations importantes à traiter et à retenir n'a jamais été aussi grande. L'essor de l'intelligence artificielle amplifie encore ce phénomène, en générant davantage de contenu tout en réduisant notre capacité à agir sur ce que nous recevons. C'est dans ce contexte que Cédrick Bruyère aborde une question fondamentale pour toute entreprise, tout conférencier ou tout professionnel qui souhaite faire passer un message : comment s'assurer qu'il sera réellement retenu ? L'exemple du courriel en cybersécurité : quand trop d'information tue l'information Pour illustrer son propos de façon concrète, Cédrick présente un cas fictif mais très réaliste : un expert en cybersécurité qui souhaite sensibiliser son équipe aux dangers des clés USB trouvées par terre. Dans sa version initiale, le courriel est un véritable mur de texte technique. Il y est question de vecteurs d'attaque physique, de contournement des mécanismes de sécurité périmétrique, de microcontrôleurs émulant des périphériques HID, d'exfiltration de données, de propagation latérale, de conformité à la loi 25, de politiques GPO, de solutions EDR, et de bacs à sable (sandboxes) pour l'analyse de fichiers suspects. Le résultat ? Un message que même un professionnel du domaine peine à suivre jusqu'au bout. Pour quelqu'un qui n'a pas de formation technique, c'est simplement incompréhensible — et donc inutile. Ce qui se passe dans le cerveau face à trop d'information Cédrick explique le mécanisme neurologique derrière cette défaillance de communication. Lorsqu'une trop grande quantité d'informations arrive simultanément, le cortex préfrontal — la région du cerveau responsable de la prise de décision et de la priorisation — se retrouve en état de saturation cognitive. Il n'est plus capable de distinguer l'essentiel du superflu. Face à cette surcharge, le cerveau abandonne purement et simplement l'idée de retenir quoi que ce soit. Cédrick cite à ce sujet James Carville : « If you say three things, you don't say anything. » Quand on en dit dix, c'est encore pire. Le contre-exemple : aller à l'essentiel Face au courriel initial, Cédrick propose une version épurée qui tient en quelques lignes : une clé USB inconnue peut infecter un ordinateur en quelques secondes et donner accès à toutes les données de l'entreprise. Si vous trouvez une clé par terre, ne la branchez pas dans votre ordinateur, car elle pourrait déclencher une attaque et compromettre toute l'organisation. C'est le même message. Mais cette fois, il ne contient qu'une seule idée centrale, claire et actionnable : ne branchez pas de clé USB inconnue. Tout ce qui était superflu a été retiré. Ce qui reste, c'est exactement ce que l'on veut que les gens retiennent. Cédrick précise que cette démarche de simplification a été au cœur du travail réalisé chez Vigilia lors de la création de leurs formations en cybersécurité. Des capsules qui duraient initialement entre cinq et dix minutes ont été condensées en formats de une minute trente à trois minutes — sans perdre leur efficacité, bien au contraire. Le principe fondamental : un message parfait, c'est un message auquel on ne peut plus rien enlever Issu d'un background en rédaction, Cédrick partage sa règle d'or : un message atteint la perfection non pas quand il n'y a plus rien à ajouter, mais quand il n'y a plus rien à enlever. Quand chaque mot restant est indispensable, le message est à son niveau optimal d'efficacité. Pour y parvenir, la première question à se poser est : qu'est-ce qu'on veut que les gens retiennent ? Une seule réponse, claire et simple, doit guider l'ensemble de la rédaction. L'exemple de la compagnie aérienne : la mission comme boussole Pour illustrer comment une idée centrale peut structurer toute une organisation, Cédrick évoque l'exemple d'une compagnie aérienne à succès — vraisemblablement Southwest Airlines — dont la mission tient en quelques mots : être la ligne aérienne la moins chère. Cette formulation simple permet à des milliers d'employés de prendre des décisions cohérentes au quotidien, sans avoir besoin de consulter une longue liste de directives. Quand le département marketing propose d'améliorer les repas à bord, la question est immédiate : est-ce que ça nous rend moins chers ? Si la réponse est non, la décision est prise. Une mission bien formulée devient ainsi un filtre décisionnel puissant, applicable à tous les niveaux de l'entreprise. Comment développer ce réflexe au quotidien ? Cédrick propose une approche progressive et accessible. Le site web d'une entreprise constitue un excellent terrain d'entraînement : chaque page peut être relue avec un œil critique, chaque message peut être réécrit en se demandant si l'essentiel est vraiment mis de l'avant. Le même exercice s'applique aux courriels, aux présentations clients, aux dépliants de vente. Avec de la pratique, cette question — est-ce qu'il y a vraiment que l'essentiel ici ? — devient un réflexe naturel. Elle finit par s'intégrer dans la façon de composer n'importe quel message. L'intention plutôt que la planification En guise de conclusion, Cédrick glisse une dernière réflexion : il est souvent plus payant de mettre son énergie sur l'intention plutôt que sur la planification. Une planification rigide peut s'effondrer dès le premier imprévu, sans que l'on sache comment se réaligner. Une intention claire, elle, résiste aux aléas : même si le chemin change, on sait toujours où l'on va. En somme, simplifier un message, ce n'est pas l'appauvrir — c'est lui donner toutes ses chances d'être compris, retenu et appliqué. Collaborateurs Nicolas-Loïc Fortin Cédrick Bruyère Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm