Retour

Explorez tous les épisodes du podcast PolySécure Podcast

Plongez dans la liste complète des épisodes de PolySécure Podcast. Chaque épisode est catalogué accompagné de descriptions détaillées, ce qui facilite la recherche et l'exploration de sujets spécifiques. Suivez tous les épisodes de votre podcast préféré et ne manquez aucun contenu pertinent.

Rows per page:

1–50 of 769

TitreDateDurée
Actu - 31 mai 2026 - Parce que... c'est l'épisode 0x302!01 juin 202600:46:44
Parce que… c’est l’épisode 0x302! Préambule

Finalement, ce n’est pas tant concluant la nouvelle façon d’enregistrer. J’aurai d’autres tests à faire si je désire continuer avec cet équipement.

Shameless plug Notes Collaborateurs Crédits
Teknik - Sécurité des sous-stations électriques - Parce que... c'est l'épisode 0x301!28 mai 202600:52:12
Parce que… c’est l’épisode 0x301! Shameless plug Description Collaborateurs Crédits
Teknik - Private Key Leaks in the Wild - Insights from Certificate Transparency (nsec) - Parce que... c'est l'épisode 0x300!27 mai 202600:33:15
Parce que… c’est l’épisode 0x300! Shameless plug Description

Dans cet épisode du podcast Polysécure enregistré au NorthSec, Gaëtan Ferry et Guillaume Valadon, tous deux cyber security researchers chez GitGuardian depuis deux ans, présentent une recherche consacrée aux fuites de clés privées cryptographiques. Guillaume est par ailleurs mainteneur du logiciel Scapy et rédacteur en chef du magazine MISC.

Le problème de l’attribution

Contrairement à des secrets classiques comme les clés AWS, dont on peut retrouver le propriétaire en interrogeant les services associés, une clé privée cryptographique (RSA par exemple) ne se rattache à aucune identité. C’est un simple objet mathématique aux propriétés cryptographiques, utilisable pour de multiples usages : connexion SSH, protection d’un site web en TLS, etc. En regardant la clé seule, impossible de savoir à quoi elle sert ou à qui elle appartient. Quelques indices existent parfois — le nom de fichier (norssec.io.key) — mais souvent on tombe sur des private.key inexploitables. L’enjeu de la recherche était donc de trouver une technique générique de catégorisation.

La méthode : Certificate Transparency

La solution repose sur les Certificate Transparency logs, un mécanisme de l’infrastructure X.509 datant de 2015. Chaque fois qu’une autorité de certification émet un certificat, elle doit le journaliser dans ces registres publics, souvent opérés par d’autres autorités. Ces journaux contiennent donc l’historique de tous les certificats émis.

Le principe du matching est le suivant : une clé privée contient des informations sur sa partie publique (le module, dans le cas de RSA). On extrait cette partie publique, on calcule une empreinte SHA-256, et on fait de même pour les certificats. Comme un certificat TLS associe une clé publique à une identité (généralement le nom du site protégé), une simple jointure entre les deux bases d’empreintes permet de relier une clé privée à un site et à son propriétaire.

La recherche s’est accélérée lors de la conférence Pass the SALT à Lille, où des contacts chez Google les ont alertés : les anciens logs de Certificate Transparency, coûteux à opérer, allaient être mis hors ligne. Or c’était précisément la dimension historique du dataset qui les intéressait. Un partenariat s’est noué : GitGuardian a fourni une liste d’empreintes, et Google a effectué la correspondance dans sa base propriétaire, renvoyant les certificats associés.

Les chiffres

Le dataset de fin 2025 comptait un million de clés privées distinctes, collectées via l’activité historique de GitGuardian — le public monitoring qui scanne GitHub, Docker Hub et d’autres sources à la recherche de secrets codés en dur, puis avertit les victimes en mode « bon samaritain ».

Sur ce million, 42 000 clés correspondaient à des certificats émis par des autorités. Le chiffre peut sembler modeste, mais la majorité des clés ne servent jamais au TLS (projets personnels, SSH, autorités privées d’entreprise absentes des logs publics). Ces 42 000 clés étaient liées à plus de 140 000 certificats, signe que certaines avaient servi à émettre plusieurs certificats successifs, prolongeant d’autant la durée d’exposition. Après vérification, 2 600 clés restaient associées à un certificat valide en septembre 2025. Grâce à des techniques d’OSINT, 1 300 certificats ont pu être rattachés à environ 600 entités.

La divulgation responsable, un parcours décevant

L’équipe a entrepris un responsible disclosure en envoyant environ 4 300 emails à ces 600 entreprises. Résultat : seulement 54 réponses, soit environ 9 %. Même en se limitant aux adresses certaines à près de 100 %, le taux ne dépassait pas 36 %. Pour gérer un envoi aussi massif sans être bloqués comme spam, ils ont dû collaborer avec leurs collègues du marketing, rompus aux techniques de délivrabilité.

Plus frappant que le silence : l’incompréhension des répondants. Beaucoup confondaient clé privée et certificat. Certains ont répondu avoir « changé le certificat », croyant le problème réglé. Une équipe de réponse à incident d’une grande entreprise a même produit une analyse détaillée pour conclure que l’endpoint utilisait désormais un autre certificat, refusant toute révocation — alors qu’un attaquant peut toujours mener une attaque man-in-the-middle avec l’ancien certificat non révoqué. Le certificat a fini par expirer un mois plus tard. Fait notable, 19 entités gouvernementales étaient concernées, et aucune n’a répondu.

Comprendre TLS

Le malentendu de fond tient au fonctionnement de TLS. On génère sa clé privée chez soi, puis on signe une demande de certificat (CSR) envoyée à l’autorité avec la clé publique. L’autorité vérifie les informations, journalise dans CT et renvoie le certificat. Le certificat n’est qu’une partie publique : il associe une clé publique à une identité, sans contenir le secret. Changer de certificat sans changer de clé n’invalide donc rien : l’ancien certificat reste exploitable pour usurper le service tant qu’il n’est pas révoqué.

Forcer la révocation et la vraie solution

Face au silence, l’équipe a contacté directement les autorités de certification pour demander la révocation, en fournissant les preuves de possession. Cette voie autoritative s’est révélée plus efficace, mais a généré des réactions parfois hostiles — dont un individu insultant expliquant que sa clé était « volontairement publique » pour permettre l’interception (cas d’usage type Burp), sans que le site l’indique clairement.

Les chercheurs avouent un moment de doute, au point de vérifier auprès d’anciens collègues de l’ANSSI : le problème est bien systémique. La solution qu’ils privilégient n’est pas seulement l’éducation, mais l’automatisation. La réduction drastique de la durée de vie des certificats (vers 47 jours) imposera des outils comme Certbot, qui renouvelle déjà la clé privée en même temps que le certificat. Or 20 % des clés trouvées avaient fui plus de deux ans avant l’expiration du certificat le plus récent : des clés compromises réutilisées sur de nouveaux certificats pendant des années. Renouveler systématiquement la clé aurait éliminé ce cinquième des compromissions.

Notes Collaborateurs Crédits
Teknik - Stratégie de sécurité applicative adaptée à l'IA (Cybereco) - Parce que... c'est l'épisode 0x2FF!26 mai 202600:33:13
Parce que… c’est l’épisode 0x2FF! Shameless plug Description Le défi fondamental : le volume dépasse les humains

Jonathan Marcil part d’un constat simple mais vertigineux : l’IA génère du code à une vitesse que les équipes de sécurité ne peuvent plus suivre humainement. Le volume de code produit est tel qu’il devient impossible de tout réviser avec rigueur sans y perdre sa santé mentale. Cette réalité impose une réponse stratégique, et c’est précisément l’objet de sa présentation à Cybereco : proposer des stratégies qui utilisent l’IA pour répondre aux problèmes que l’IA elle-même crée.

L’humain reste une variable limitante

Même si l’IA ne connaît pas de fatigue propre, les humains qui travaillent avec elle, eux, s’épuisent. Jonathan illustre ce point avec l’exemple du programme de bug bounty de cURL, qui a dû être fermé parce que les participants utilisaient l’IA pour générer des rapports de bogues en masse. Le résultat : une surcharge humaine impossible à gérer, même pour des experts qui connaissent le système depuis des dizaines d’années. L’IA peut amplifier le bruit autant que le signal.

Le prompting : une compétence éphémère

Un thème central de la discussion est la nature instable de la compétence en prompt engineering. Chaque nouveau modèle frontier réagit différemment, ce qui rend les techniques de prompting acquises partiellement obsolètes à chaque mise à jour majeure. Jonathan voit néanmoins une vertu dans cette diversité des modèles : elle empêche une standardisation totale et maintient une forme de compétition saine entre les fournisseurs. Cela dit, il met en garde contre la tentation de consacrer trop d’énergie à suivre chaque lancement au détriment des compétences fondamentales en sécurité.

Le vibe coding et la perte de compétences

L’un des points les plus préoccupants soulevés par Jonathan est le risque de dépendance cognitive. Le « vibe coding » — cette pratique de générer du code sans vraiment le comprendre — crée une illusion de productivité. Tant que tout fonctionne, personne ne pose de questions. Mais le jour où un bug survient ou qu’une faille est découverte, si les développeurs n’ont plus les compétences fondamentales pour diagnostiquer le problème, ils se retrouvent à demander à l’IA de corriger ce qu’elle a elle-même mal produit. Jonathan cite un exemple personnel : il a demandé à un modèle de réviser ses diapositives, et le modèle a omis un élément important — sans le signaler spontanément. L’autocritique reste un angle mort des LLM.

Les stratégies proposées

La réponse de Jonathan à ces défis repose sur plusieurs axes concrets :

1. Diversifier les modèles. Utiliser plusieurs IA en parallèle — demander à l’un de valider ce que l’autre a produit — est une pratique simple mais efficace pour introduire un regard critique dans le processus. Il suggère aussi de soumettre d’anciens travaux aux nouvelles versions des modèles, qui peuvent en faire de meilleures révisions.

2. Charger les bonnes pratiques de l’entreprise dans le LLM. Plutôt que d’utiliser un modèle générique, Jonathan propose d’alimenter le LLM avec la gouvernance, les politiques et les standards de sécurité propres à l’organisation. Les résultats, selon son expérience avec une formation Cybereco l’année précédente, peuvent être spectaculaires : des équipes ont corrigé des vulnérabilités réelles en moins de 15 minutes après avoir simplement fourni au modèle les bonnes pratiques contextuelles.

3. Combiner petits et grands modèles. Pour gérer les coûts et la vitesse, il propose d’utiliser des modèles légers (souvent locaux) pour les tâches d’exploration — par exemple, repérer les zones d’authentification dans une base de code — puis de faire traiter les résultats par un modèle plus puissant. Cette architecture en pipeline est à la fois économique et efficace.

4. Explorer les modèles open weight. Les modèles à poids ouverts, notamment ceux optimisés par des contributeurs chinois pour tourner sur du matériel modeste, offrent une flexibilité précieuse. Ils permettent de ne pas être entièrement dépendant des fournisseurs cloud et d’adapter l’usage à la tolérance au risque propre à chaque organisation.

Le problème systémique : insécure par défaut

La conversation se clôt sur une observation structurelle importante : les infrastructures cloud sont historiquement configurées pour maximiser l’adoption, c’est-à-dire ouvertes par défaut. Jonathan constate que les LLM ont reproduit ce même réflexe — livrer vite, livrer simple, quitte à négliger la sécurité. La sécurité applicative, qui arrive toujours en fin de processus, paie le prix de cette course à l’adoption. Il plaide pour inverser cette logique : partir d’une posture fermée et sécurisée par défaut, puis ouvrir ce qui est nécessaire, plutôt que l’inverse.

Collaborateurs Crédits
Actu - 24 mai 2026 - Parce que... c'est l'épisode 0x2FE!25 mai 202600:51:46
Parce que… c’est l’épisode 0x2FE! Préambule

Moins bonne qualité sonore parce que je n’ai pas mon équipement standard.

Shameless plug Notes Collaborateurs Crédits
Spécial - Retour sur Google Next 2026 - Parce que... c'est l'épisode 0x2FD!21 mai 202600:25:12
Parce que… c’est l’épisode 0x2FD! Shameless plug Description

Dans cet épisode spécial, Nicolas Bédard revient sur sa participation à Google Next 2026, son quatrième événement du genre, mais le premier qu’il vivait en tant qu’employé de Palo Alto plutôt que de Google. Il y présente les quatre intégrations majeures que Palo Alto a lancées en partenariat avec Google, dans un contexte où l’intelligence artificielle agentielle se déploie à grande vitesse — souvent sans encadrement de sécurité adéquat.

Le contexte : la plateforme Gemini Enterprise se réorganise

Avant d’aborder les intégrations, Nicolas explique les changements de nomenclature chez Google. Gemini Enterprise est désormais divisé en deux volets :

  • Gemini Enterprise Apps : l’interface utilisateur permettant d’accéder aux agents, aux connecteurs de données (SharePoint, Outlook, etc.) et aux outils IA.
  • Gemini Enterprise AI Platform : la couche cloud sous-jacente, qui remplace l’ancienne plateforme Vertex AI.

Cette restructuration simplifie la compréhension de l’écosystème : tout ce qui touche à l’IA en entreprise chez Google s’appelle désormais Gemini Enterprise.

Intégration 1 — Prisma AIRS dans l’Agent Gateway

La première et probablement la plus stratégique des intégrations concerne Agent Gateway, une nouvelle fonction au cœur d’Agent Cloud, la plateforme Google pour exécuter des agents IA. Agent Gateway agit comme un point d’insertion au sein des load balancers internes : il permet d’injecter des fonctions de sécurité ou d’autres capacités dans les flux de communication entre agents, entre un agent et un serveur MCP, ou entre un utilisateur et son agent.

Palo Alto a annoncé l’intégration de son AI Runtime de Prisma AIRS directement dans ce gateway. L’idée est de centraliser la sécurité plutôt que de la déléguer à chaque développeur. Concrètement, cela signifie que les garde-fous — validation des comportements, prévention des fuites de données, protection contre les abus — s’appliquent automatiquement à tous les agents, sans que les équipes de développement aient besoin d’expertise en cybersécurité. Agent Gateway s’articule autour de trois piliers : l’identité, le runtime (pare-feu IA) et l’observabilité. Pour l’instant, seuls les deux premiers sont ouverts aux partenaires tiers comme Palo Alto.

Cette approche répond directement à la préoccupation numéro un des équipes de sécurité en entreprise : le Shadow AI, soit l’utilisation non contrôlée d’outils IA par des employés ou des développeurs, qui expose l’organisation à des risques importants.

Intégration 2 — Le scan de modèles open source via Gemini Enterprise Apps

La deuxième intégration adresse un risque souvent sous-estimé : l’utilisation de modèles IA provenant de plateformes communautaires comme Hugging Face. Si les grands modèles commerciaux (Google, Anthropic, OpenAI, Mistral) offrent des garanties relatives à leur provenance, les modèles open source sont publiés par n’importe qui, sans vérification systématique. Ils peuvent contenir des vulnérabilités cachées, des kill switches, du code malveillant dissimulé dans l’enveloppe du fichier (notamment via des fichiers pickle), ou avoir été entraînés sur des données douteuses.

Palo Alto a lancé un agent de scan de modèles directement accessible depuis Gemini Enterprise Apps. Intégré au cycle de développement logiciel (SDLC), cet agent permet à un développeur de soumettre un modèle hébergé sur Hugging Face ou dans un registre interne pour vérification avant déploiement — sans avoir à sortir de son environnement de travail habituel. Nicolas précise que cet agent fonctionne dans le tenant du client, ce qui garantit que les données restent dans l’infrastructure de l’entreprise.

Intégration 3 — Wildfire et l’analyse de malwares dans les flux IA

La troisième intégration s’inscrit dans une approche plus classique, mais essentielle : la détection de malwares dans les fichiers transitant par des agents IA. Google utilisait déjà la technologie de pare-feu de Palo Alto pour son Cloud NGFW. Ce qui est nouveau à Google Next, c’est l’ajout de Wildfire, le moteur de sandboxing de Palo Alto, sous la forme d’un service géré appelé Advance Malware Sandboxing.

Concrètement : lorsqu’un utilisateur envoie un fichier via un agent Gemini Enterprise — vers un dépôt documentaire, par exemple — ce fichier est intercepté, analysé dans un environnement isolé, puis validé avant d’être stocké. Cela protège les autres utilisateurs ou agents qui pourraient accéder à ce fichier ultérieurement. L’enjeu est d’autant plus grand que les malwares générés par IA sont désormais créés on the fly, spécifiquement pour une cible, ce qui rend les approches basées sur des signatures connues insuffisantes.

Intégration 4 — Le pare-feu dans l’Application Design Center

La quatrième intégration touche à l’expérience des développeurs. Google a ouvert son Application Design Center (ADC) aux partenaires tiers. L’ADC est un outil visuel dans la console cloud qui permet d’assembler des services Google (Cloud Run, Pub/Sub, BigQuery, etc.) pour créer des applications.

Palo Alto a travaillé avec Google pour permettre l’insertion native d’un pare-feu dans ces assemblages. Un développeur qui crée une architecture dans l’ADC peut maintenant ajouter un gabarit Palo Alto d’un clic. Une fois la configuration validée, l’outil génère automatiquement le code Terraform correspondant, incluant les load balancers et le pare-feu. L’objectif est de démocratiser la sécurité réseau en la rendant accessible à des développeurs qui ne maîtrisent pas nécessairement les subtilités des pare-feux d’infrastructure.

Collaborateurs Crédits
Teknik - État de la menace en 2026 (Cybereco) - Parce que... c'est l'épisode 0x2FC!20 mai 202600:47:25
Parce que… c’est l’épisode 0x2FC! Shameless plug Description

Dans cet épisode spécial de Polysécure consacré à Cybereco, Charles F. Hamilton présente son analyse annuelle de l’état de la menace cyber en 2026. Comme chaque année, il s’efforce de distinguer le discours marketing des vendeurs de la réalité observée sur le terrain, fort de son expérience quotidienne en tests d’intrusion offensifs.

Azure et Entra ID : des failles par défaut

Une large partie de la discussion porte sur l’environnement Microsoft Azure et Entra ID (anciennement Azure Active Directory). Charles souligne un problème fondamental : beaucoup d’entreprises partent du principe que « si c’est Microsoft, c’est sécurisé », ce qui crée une forme de déresponsabilisation dangereuse. En réalité, la configuration par défaut d’Azure offre très peu de visibilité — les logs et informations de sécurité essentiels sont verrouillés derrière un paywall, rendant la validation quasi impossible sans un intervenant offensif.

Un exemple frappant illustre ce problème : lorsqu’une entreprise configure une politique d’accès conditionnel imposant le MFA pour toutes les applications mais ajoute une seule exception (par exemple pour un compte d’automatisation), Microsoft ajoutait silencieusement Microsoft Graph et Azure Active Directory dans les exceptions. Or, Microsoft Graph est le point d’entrée vers pratiquement tous les services cloud. Un attaquant disposant d’un identifiant et mot de passe pouvait donc s’authentifier via Microsoft Graph sans aucun MFA. Bien que Microsoft ait corrigé ce comportement récemment, toute exception créée avant le correctif reste active. Charles en découvre encore quotidiennement, ce qui pose un problème majeur — notamment pour les assureurs, dont les questionnaires de conformité ne détectent pas ces failles.

Le décalage entre sécurité offensive et défensive

Charles défend l’idée que la sécurité offensive a une longueur d’avance considérable sur la défensive. Les produits de sécurité défensive bloquent souvent des menaces qui datent de plusieurs années, pas celles d’aujourd’hui. Il prend l’exemple du device code phishing, une technique qu’il utilise depuis une dizaine d’années et que les attaquants malveillants commencent seulement à découvrir en 2026. Les entreprises qui ont investi dans des tests offensifs il y a cinq ou six ans sont déjà protégées ; les autres paniquent aujourd’hui.

Il insiste sur la valeur du Red Team : contrairement à un scan automatisé qui produit des milliers de vulnérabilités toutes marquées « critiques », un Red Team raconte une histoire — il identifie le chemin qu’un attaquant emprunterait pour atteindre ce qui a réellement de la valeur pour l’entreprise. Charles mentionne également le score EPSS (Exploit Prediction Scoring System), encore trop méconnu, qui permet de prioriser les vulnérabilités en fonction de leur probabilité réelle d’exploitation plutôt que de leur sévérité théorique.

Infostealers et ClickFix : les menaces du quotidien

La conversation aborde ensuite les infostealers, des logiciels malveillants qui récupèrent les mots de passe stockés dans les navigateurs. Leur efficacité tient à leur discrétion : ils ne touchent pas aux processus surveillés par les EDR/XDR et sont donc très peu détectés. Pire, ils se propagent souvent via des installeurs gratuits pour des jeux populaires comme Roblox ou Minecraft, ciblant les enfants. Quand un parent prête son ordinateur professionnel à son enfant, les identifiants corporatifs se retrouvent compromis. Charles rapporte des chiffres vertigineux : un de ses contacts dans le domaine possède des logs provenant de 600 millions de postes uniques infectés par des infostealers.

Quant aux attaques ClickFix, Charles se dit fasciné qu’elles fonctionnent, car elles demandent à l’utilisateur d’exécuter une série d’étapes complexes — copier du PowerShell dans une invite de commande, par exemple. Mais l’utilisateur moyen ne comprend tout simplement pas ce qu’il fait : les extensions de fichiers, les commandes, tout cela n’a aucun sens pour lui. Le succès du phishing repose uniquement sur l’expérience utilisateur : plus c’est simple, plus ça marche.

Supply chain et cas extrêmes

Charles partage des histoires marquantes de sa carrière. Il a testé la sécurité d’avions dont les interfaces pilotes tournaient sous Flash et Windows embarqué. Bien que l’avion soit physiquement déconnecté d’internet, le laptop de mise à jour, lui, y passait — ouvrant la porte à des attaques de supply chain. Il raconte aussi le cas de guichets ATM dont le système de gestion acceptait des mises à jour non signées, permettant l’injection de code malveillant.

Plus récemment, il a travaillé sur des cas d’infiltration d’employés nord-coréens se faisant passer pour des développeurs. Fait surprenant : ces individus étaient de bons ingénieurs et se faisaient toujours démasquer par des anomalies humaines (incohérences de localisation), jamais par leur code.

IA, vibe coding et secrets exposés

L’essor du vibe coding assisté par IA aggrave un problème existant : des développeurs qui ne comprennent pas ce qu’ils produisent. Charles a trouvé plus de 124 000 résultats sur GitHub pour « remove client secret » — des commits où des développeurs retirent des secrets Azure (tenant ID, application ID, client secret) sans jamais les révoquer. Beaucoup de ces commits portent les traces caractéristiques de code généré par IA, avec des emojis dans les commentaires.

Le paradoxe de l’industrie cyber

En conclusion, Charles soulève un paradoxe central : on n’a jamais eu autant de produits de sécurité, de solutions et de technologies pour prévenir les brèches, et pourtant on n’a jamais eu autant de brèches. Les entreprises s’étouffent sous les abonnements coûteux et les promesses marketing, mais négligent l’hygiène de base — segmentation réseau, gestion des correctifs, inventaire des systèmes. L’industrie souffre aussi d’un manque de conséquences réelles pour les entreprises négligentes, ce qui pousse beaucoup d’entre elles à faire le strict minimum. Le vrai travail reste à faire, et il commence par les fondamentaux.

Collaborateurs Crédits
Ah ben Flock! Selon Cyber Citoyen et Polysecure. - Parce que... c'est l'épisode 0x2FB!19 mai 202601:20:55
Parce que… c’est l’épisode 0x2FB! Shameless plug Description Le Honduras Gate : ingérence américaine et israélienne en Amérique latine

Sam Harper ouvre l’épisode avec le Honduras Gate, une série de fuites de conversations Telegram et téléphoniques publiées par un collectif anonyme de journalistes honduriens. Ces révélations exposent un plan visant à remettre au pouvoir l’ancien président Juan Orlando Hernández, condamné à des décennies de prison pour trafic de drogue sous l’administration Biden, puis gracié par Donald Trump. La campagne de lobbying derrière ce pardon implique Roger Stone, vétéran des coups bas politiques américains depuis l’ère Nixon, ainsi que Benjamin Netanyahu, qui aurait contribué au financement logistique.

Les fuites révèlent également des négociations pour le retour au pays d’Hernández et l’installation, en échange, d’une base militaire américaine au Honduras, la création de zones économiques spéciales — sortes de « charter cities » libertariennes où les lois nationales ne s’appliqueraient pas — et des conditions favorables aux investissements technologiques, notamment en intelligence artificielle. Plus troublant encore, les documents montrent qu’environ 350 000 dollars auraient été versés par le président argentin Javier Milei pour constituer une équipe médiatique financée en partie par des fonds publics, destinée à mener des campagnes de désinformation contre les gouvernements de gauche en Colombie et au Mexique.

Sam souligne que les journalistes à l’origine des publications ont signalé des attaques informatiques massives contre leur site, avec des requêtes provenant principalement des États-Unis et de Tel-Aviv. Ce qui rend ce dossier particulièrement intéressant, note-t-il, c’est qu’on y voit les États-Unis directement impliqués dans des opérations d’influence, un renversement de la dynamique habituelle où l’on pointe du doigt la Russie, la Chine ou l’Iran.

Flock : la surveillance municipale hors de contrôle

Catherine enchaîne avec un sujet qui lui tient particulièrement à cœur : les caméras de surveillance Flock. Ce système, capable de se connecter à pratiquement n’importe quelle caméra reliée à internet et doté d’outils d’intelligence artificielle, est utilisé par de nombreuses municipalités, principalement aux États-Unis.

Les scandales s’accumulent autour de cette technologie. Des policiers s’en sont servis pour traquer des ex-conjointes via les plaques d’immatriculation. L’organisme ICE l’a utilisé pour des contrôles d’immigration ciblés. Plus inquiétant encore, un vice-président de Flock a été identifié en train d’accéder aux caméras d’un gymnase d’école secondaire, officiellement dans le cadre d’une démonstration de vente, ce que les trois animateurs trouvent profondément troublant. Le système souffre d’un manque criant d’imputabilité : personne n’audite réellement qui accède à quoi.

Catherine rappelle le fiasco publicitaire de Flock lors du Super Bowl, quand l’entreprise avait annoncé un partenariat avec Amazon Ring pour retrouver les chiens perdus grâce à la reconnaissance par IA dans les caméras de sonnettes des quartiers résidentiels. Le tollé public a été tel que le partenariat a été entièrement annulé. Ce rejet populaire est encourageant, selon Catherine, qui insiste sur le pouvoir citoyen au niveau municipal. Elle exhorte les auditeurs à s’impliquer dans les conseils d’arrondissement, à refuser ces technologies de surveillance et à interpeller leurs élus locaux, car c’est à cette échelle que ces décisions se prennent souvent, devant une poignée de citoyens seulement.

Le séparatisme albertain : quand Russes, Américains et Hollandais se donnent la main

Sam présente ensuite un rapport de DisinfoWatch sur les campagnes de désinformation ciblant le mouvement séparatiste albertain. Le phénomène réunit des acteurs improbables. D’abord, une entité liée à l’ancien Institut d’étude de l’internet de Prigogine, qui opérait un site web et des comptes sur les réseaux sociaux promouvant la séparation de l’Alberta. Ensuite, le réseau médiatique russe autour de Pravda, qui publiait des articles gonflant la popularité du mouvement. Puis des influenceurs MAGA comme Tucker Carlson, Tim Pool et Benny Johnson — ces deux derniers ayant d’ailleurs été impliqués dans le scandale Tenet Media, un conduit pour de l’argent russe vers des influenceurs américains. Enfin, des individus aux Pays-Bas qui produisaient du contenu sensationnaliste sur le séparatisme albertain uniquement pour générer des revenus publicitaires, selon le même modèle que les « fake news » macédoniennes.

Un fil conducteur : manipulation, radicalisation et économie de l’attention

Tout au long de l’épisode, les trois animateurs tissent des liens entre ces sujets. Catherine introduit le concept de la fenêtre d’Overton pour expliquer comment des discours autrefois inacceptables se normalisent progressivement, et celui de la longue traîne, emprunté au marketing, pour décrire les mécanismes de radicalisation algorithmique : on commence par un intérêt anodin et, d’incrémentation en incrémentation, les algorithmes nous poussent vers des contenus de plus en plus extrêmes parce que les niches sont rentables.

Nicolas-Loïc fait le parallèle avec l’intelligence artificielle, qui tend au contraire à ramener les utilisateurs vers un « centre » défini par les données d’entraînement, tout en étant vulnérable à la manipulation — Sam cite d’ailleurs une étude montrant que les points de discussion pro-russes sur la guerre en Ukraine ont doublé dans les réponses de certains modèles d’IA.

L’épisode se conclut sur un appel à l’action citoyenne. Catherine rappelle que le pouvoir d’influence ne s’exerce pas uniquement lors des élections fédérales ou provinciales : les décisions municipales, souvent prises devant des salles quasi vides, ont un impact direct sur la vie privée et la surveillance au quotidien. Comme le résume Nicolas-Loïc, les citoyens disposent encore d’un pouvoir considérable pour façonner la société dans laquelle ils veulent vivre — à condition de l’exercer.

Collaborateurs Crédits
Actu - 17 mai 2026 - Parce que... c'est l'épisode 0x2FA!18 mai 202600:50:52
Parce que… c’est l’épisode 0x2FA! Shameless plug Notes Collaborateurs Crédits
Teknik - Mythos no hype - Parce que... c'est l'épisode 0x2F9!14 mai 202600:31:27
Parce que… c’est l’épisode 0x2F9! Shameless plug Description Le contexte : un signal d’alarme venu de Google Next

Nicolas Bédard, professionnel en cybersécurité chez Palo Alto Networks, revient de Google Next où il a tenu 16 rencontres clients. Un constat frappant : la quasi-totalité de ces clients avaient Mythos en tête de liste de leurs préoccupations. Ce modèle d’intelligence artificielle d’Anthropic, encore en phase de prévisualisation, a déclenché une vague d’inquiétude dans l’industrie. Nicolas admet lui-même qu’il avait sous-estimé l’ampleur du phénomène avant de constater, face à face, l’anxiété généralisée de ses interlocuteurs.

Qu’est-ce que Mythos et pourquoi ça change la donne ?

Mythos est un modèle d’IA de nouvelle génération, considérablement plus performant que les modèles précédents (comme Opus 4.7 de Claude) pour une tâche précise : trouver des vulnérabilités dans du code logiciel. Sa force ne réside pas uniquement dans sa capacité à détecter des failles individuelles, mais surtout dans son aptitude à établir des liens entre plusieurs vulnérabilités mineures. Là où deux ou trois failles de niveau faible ou moyen seraient jugées sans conséquence prises isolément, Mythos est capable de les relier pour révéler une vulnérabilité critique. C’est un changement de paradigme majeur.

Le programme d’accès anticipé d’Anthropic

Palo Alto Networks fait partie du programme « Class Wing » d’Anthropic, aux côtés d’autres grands acteurs du cloud et de la cybersécurité. Ces partenaires ont reçu un accès privilégié à Mythos avant son lancement public, leur permettant de scanner leur propre code à la recherche de failles inconnues. Selon Nicolas, cette démarche relève d’un geste de responsabilité corporative : Anthropic a anticipé les risques liés à la puissance de son modèle et a donné une longueur d’avance aux joueurs majeurs pour se préparer. Palo Alto a d’ailleurs lancé, en collaboration avec son équipe Unit 42, une offre d’accompagnement pour aider les clients à réaliser des analyses similaires avec des modèles déjà accessibles publiquement.

La menace pour les systèmes anciens et le code ouvert

L’un des aspects les plus préoccupants concerne les systèmes hérités. Historiquement, un vieux programme en COBOL sur AS/400 ou un mainframe oublié bénéficiait d’une forme de sécurité par l’obscurité : personne ne s’intéressait à y chercher des failles parce que c’était trop coûteux et peu rentable. Seuls les acteurs étatiques avaient les moyens de développer des exploits sophistiqués. Avec Mythos et ses futurs équivalents, cette barrière financière disparaît. N’importe qui pourra potentiellement analyser du code ancien et y trouver des failles exploitables.

Le risque s’étend aussi à la chaîne d’approvisionnement logicielle. Le code ouvert, massivement réutilisé par l’industrie, devient un vecteur d’attaque amplifié. Un acteur malveillant pourrait scanner des bibliothèques populaires, y découvrir des vulnérabilités non divulguées, et les exploiter à grande échelle — ou pire, contribuer du code malicieux que des milliers de développeurs téléchargeraient en toute confiance.

Le déluge de correctifs qui s’annonce

Les premières conséquences sont déjà visibles : Microsoft et d’autres grandes entreprises ayant accès à Mythos publient des volumes de correctifs bien supérieurs à la normale. Nicolas anticipe que la situation va s’intensifier considérablement dans les mois à venir, particulièrement autour de la sortie publique du modèle, estimée vers juin ou juillet. Le modèle traditionnel du « Patch Tuesday » — ce cycle mensuel prévisible d’application de correctifs — risque de voler en éclats, car certaines failles seront trop critiques pour attendre le prochain cycle.

Pour les entreprises qui peinent déjà à appliquer 10 à 12 correctifs mensuels sur des systèmes comme SAP, l’idée d’en gérer 200 ou 500 est vertigineuse. Les arrêts de production, les tests de régression, la coordination avec les équipes d’affaires : tout cela se complexifie de manière exponentielle. Et les pratiques modernes de développement (microservices, SRE, CI/CD) qui pourraient absorber ce choc ne sont maîtrisées que par une poignée de grandes entreprises technologiques.

Les recommandations concrètes

Face à ce tsunami, Nicolas et son interlocuteur reviennent aux fondamentaux avec trois axes prioritaires. Premièrement, scanner son propre code dès maintenant avec les modèles disponibles, sans attendre Mythos. Des chercheurs ont publié des méthodes de prompting permettant de simuler les capacités de Mythos avec Opus 4.7.

Deuxièmement, assurer une couverture à 100 % des contrôles de sécurité existants. Chaque exception, chaque angle mort, chaque compte de service mal configuré devient une porte d’entrée potentielle. L’analogie de l’eau est parlante : comme l’eau qui s’infiltre par la moindre fissure, ces modèles d’IA trouveront inlassablement le moindre trou dans les configurations.

Troisièmement, réduire l’exposition externe au maximum et développer une capacité de réaction en temps réel. Le passage de « plusieurs jours » à « quelques minutes » pour répondre aux menaces impose une transformation profonde des centres d’opérations de sécurité. Les approches traditionnelles de réponse aux incidents, avec leurs processus de révision humaine, ne suffiront plus.

Un appel à l’action pour les dirigeants

Nicolas conclut avec un message direct : chaque responsable de la sécurité (CISO) devrait engager dès maintenant une conversation transparente avec son conseil d’administration sur les implications de Mythos. Il s’agit d’aller chercher les budgets et les ressources nécessaires avant la crise, plutôt qu’après une attaque. L’industrie s’apprête à vivre un moment pivot où l’on passera d’une logique de liste noire à une logique de liste blanche, où seul ce qui est explicitement autorisé sera permis. Les paradigmes vont changer, et ceux qui ne s’y préparent pas risquent d’en subir les conséquences de plein fouet.

Collaborateurs Crédits
Spécial - Naviguer à travers les sept îles (7 islands) - Parce que... c'est l'épisode 0x2F8!13 mai 202600:26:48
Parce que… c’est l’épisode 0x2F8! Shameless plug Description Présentation de l’invité et de Seven Islands

Nicolas Duguay est le président fondateur de Seven Islands Defense and Intel, une jeune firme spécialisée dans le conseil stratégique en cybersécurité, cyberdéfense et renseignement. Avant de lancer cette entreprise, il a occupé le poste de directeur général d’InCyber (anciennement In.Sec.M), le cluster canadien de la cybersécurité. Son parcours est atypique : il a d’abord été journaliste à Radio-Canada pendant une dizaine d’années, puis a évolué dans le secteur du renseignement privé, avant de bifurquer progressivement vers la cybersécurité. C’est cette trajectoire diversifiée qui lui a permis de développer une compréhension fine des écosystèmes internationaux et des dynamiques de marché.

La mission de Seven Islands

Seven Islands est née d’un constat simple : l’écosystème canadien de la cybersécurité est principalement composé de PME ambitieuses mais disposant de peu de moyens, qui passent souvent sous le radar des grands donneurs d’ordre. Fort de son expérience chez In.Sec.M, où il a mené des travaux de prospection et de cartographie d’écosystèmes à l’international en collaboration avec Affaires mondiales Canada, Nicolas a accumulé une connaissance approfondie des distinctions entre les marchés et des facteurs qui font qu’une entreprise réussit ou échoue à l’étranger. Seven Islands met cette expertise au service d’organisations qui souhaitent pénétrer de nouveaux marchés, non seulement en cybersécurité, mais aussi dans les secteurs de la défense et des outils de renseignement.

Des marchés en pleine transformation

L’Ukraine constitue un exemple frappant de marché en rupture de paradigme. La pression à ses frontières a engendré une explosion de la demande et le développement d’un écosystème local très innovant. Les pays limitrophes de l’espace russe — pays baltes, Europe centrale et de l’Est — connaissent une dynamique similaire. Or, plusieurs entreprises canadiennes arrivent dans ces marchés avec des produits pensés selon une logique traditionnelle de défense, sans tenir compte de la réalité du terrain : il faut des solutions abordables, accessibles, produites rapidement et utilisables sans formation poussée. C’est pratiquement l’inverse de la tradition habituelle en matière de produits de défense.

Le rôle concret de Seven Islands auprès de ses clients

La clientèle type de Seven Islands se compose de startups et de scaleups ayant atteint un niveau de maturité technologique suffisant pour aborder les marchés internationaux. La firme intervient pour raccourcir le temps d’acquisition de marché, c’est-à-dire pour permettre à ces entreprises de comprendre rapidement les particularités du procurement local, d’identifier les bons partenaires ou acheteurs, d’éviter les pièges propres à chaque marché et de structurer leur montage financier. Nicolas estime pouvoir réduire de moitié, voire du tiers, le temps et les coûts habituellement nécessaires à une pénétration de marché, qui se chiffrent normalement en centaines de milliers de dollars sur six mois à un an.

Le Canada, un marché en silos

Une partie importante de la conversation porte sur les particularités du marché canadien, souvent mal compris par les entreprises étrangères. L’erreur la plus répandue est de considérer le Canada comme un marché américain en plus petit ou, pour les Français, de voir le Québec comme une extension naturelle de la France. La réalité est tout autre : le Canada est un ensemble de silos distincts, chacun avec sa culture, ses réseaux et ses dynamiques propres.

Toronto représente le pôle principal pour la cybersécurité privée, porté par le secteur bancaire et sa position de deuxième ou troisième place financière nord-américaine. La compétition y est féroce. Vancouver constitue le deuxième pôle en importance, avec un écosystème vibrant tourné vers la côte ouest américaine, la Silicon Valley et le marché Asie-Pacifique — une porte d’entrée stratégique souvent sous-estimée. Montréal est un marché significatif mais très insulaire, fortement centré sur lui-même et sur le Québec, avec des réseaux établis difficiles à pénétrer. Ottawa est le cœur du marché gouvernemental et devrait devenir l’un des pôles les plus intéressants du pays grâce aux récents investissements en défense. Calgary se distingue pour tout ce qui touche à la sécurité des systèmes énergétiques, tandis que des villes atlantiques comme Halifax et Fredericton investissent beaucoup d’efforts dans le développement de leur écosystème.

Nicolas souligne que les entreprises étrangères qui échouent au Canada reviennent chez elles avec une image déformée du marché : elles racontent leur échec sans en analyser les causes profondes, alimentant ainsi des perceptions erronées chez d’autres entreprises qui pourraient autrement y trouver leur place.

De nouvelles alliances géopolitiques et commerciales

La conversation s’ouvre ensuite sur les marchés émergents les plus prometteurs. Nicolas observe un recadrage géopolitique important qui redéfinit les alliances commerciales du Canada. Le marché scandinave, longtemps ignoré, suscite aujourd’hui un intérêt considérable : la Suède notamment exprime un véritable appétit pour des échanges avec le Canada dans une dynamique nordique partagée. Les pays baltes — Estonie, Lettonie, Lituanie — ainsi que la Pologne offrent également des occasions majeures, avec moins de protectionnisme que les grands marchés traditionnels comme l’Allemagne, la France ou le Royaume-Uni.

Nicolas constate que les entreprises canadiennes, habituées à la proximité confortable du marché américain, ont développé une certaine paresse stratégique. Elles commencent à peine à regarder au-delà de l’Amérique du Nord, et la courbe d’apprentissage risque d’être exigeante pour celles qui ne se sont pas outillées pour comprendre ces nouveaux marchés. C’est précisément là que Seven Islands entend jouer son rôle d’accompagnement.

Notes Collaborateurs Crédits
Spécial - Rebondissement dans l'univers WordPress - Parce que... c'est l'épisode 0x2F7!12 mai 202600:58:35
Parce que… c’est l’épisode 0x2F7! Shameless plug Description Le déclencheur : une attaque publique au WordCamp US

En septembre 2024, Matt Mullenweg, fondateur de WordPress et dirigeant d’Automattic, profite de sa présentation de clôture au WordCamp US pour s’en prendre violemment à WP Engine, un hébergeur spécialisé WordPress. Il les qualifie de « cancer pour l’écosystème ». Le ton est d’autant plus choquant que les WordCamp sont des événements communautaires accessibles et abordables, portés par l’esprit de l’open source — le WordCamp Montréal, par exemple, ne coûtait que 50 dollars pour un weekend complet.

WP Engine est un acteur majeur qui a bâti tout son modèle d’affaires autour de WordPress, offrant de l’hébergement dédié et ayant acquis plusieurs produits populaires, dont Advanced Custom Fields (ACF), un plugin utilisé par des millions de sites. Mullenweg reproche à WP Engine de générer d’importants revenus grâce à WordPress sans contribuer suffisamment au projet. Il avait d’ailleurs lancé l’initiative « Five for the Future », invitant les entreprises bénéficiant de l’écosystème à y consacrer 5 % de leurs ressources. Or, aucune obligation légale ne contraint quiconque à contribuer, et Mullenweg lui-même tire profit de l’écosystème via Automattic et WordPress.com.

L’escalade : actions légales et blocages

Trois jours après l’attaque publique, WP Engine réplique par une mise en demeure pour diffamation et extorsion. Le 25 septembre, Mullenweg bloque l’accès des serveurs de WP Engine au dépôt officiel de plugins et thèmes WordPress, empêchant des centaines de milliers de sites clients de recevoir leurs mises à jour, y compris les correctifs de sécurité. WP Engine doit alors développer en urgence des solutions de contournement.

Le 30 septembre, la communauté découvre que WordPress.org — la plateforme qui héberge tout l’écosystème open source — appartient personnellement à Matt Mullenweg et non à la fondation WordPress, créée pourtant pour assurer transparence et gouvernance indépendante. Cette révélation amplifie l’inquiétude : une seule personne contrôle l’infrastructure sur laquelle repose près de 40 à 50 % des CMS du web, alors que le deuxième concurrent plafonne sous les 5 %.

Le 2 octobre, WP Engine dépose une plainte officielle pour pratiques anticoncurrentielles et abus de pouvoir, rendant publics des échanges compromettants entre Mullenweg et la direction de WP Engine.

Le chaos interne et la prise de contrôle d’ACF

En parallèle, les employés d’Automattic s’interrogent sur les agissements de leur patron, qui communique de façon impulsive sur les réseaux sociaux et son blogue. Mullenweg pose un ultimatum à ses employés : être avec lui ou partir, avec un délai de 24 à 48 heures. Environ 159 personnes, soit près de 10 % de l’effectif, choisissent de quitter l’entreprise.

Mullenweg reprend ensuite le contrôle du plugin ACF au nom de la sécurité de l’écosystème, s’appuyant sur la licence GPL qui régit les extensions déposées sur le dépôt WordPress. Il crée un clone baptisé SCF (Secure Custom Fields) et redirige silencieusement les mises à jour d’ACF vers SCF, de sorte que la plupart des utilisateurs changent de plugin sans même s’en rendre compte. Cette manœuvre soulève de sérieuses questions sur la pérennité de SCF, un produit gratuit sans modèle économique ni équipe dédiée à long terme.

Pour les agences comme celle de Maxime, la situation est un casse-tête : faut-il informer les clients, revenir à ACF, attendre ? L’équipe de Maxime décide de redéployer ACF sur les sites concernés, estimant que les clients sont pris en otage dans ce conflit.

Les conséquences sur l’écosystème

Mullenweg réduit drastiquement les contributions d’Automattic au projet open source, passant de 4 000 heures par semaine à environ 45, provoquant une stagnation du développement. La version 6.8 de WordPress accumule les retards. BlackRock, investisseur dans Automattic, dévalue ses parts. Des développeurs commencent à remettre en question la pertinence de publier sur le dépôt WordPress.

Face à cette centralisation problématique, des initiatives émergent pour décentraliser la distribution des extensions. WP Engine rachète WP Packagist et Roots lance WP Packages, offrant des alternatives au dépôt officiel. L’adoption reste cependant un défi majeur pour les utilisateurs non techniques.

L’arrivée de EmDash par Cloudflare

Le 1er avril 2025, Cloudflare lance EmDash, une solution de gestion de contenu basée sur le framework Astro. Son approche distingue le contenu statique du contenu dynamique grâce au concept d’« îles », offrant de meilleures performances. EmDash isole également les plugins dans des sandbox pour renforcer la sécurité, contrairement à WordPress où un plugin défaillant peut compromettre tout le site.

Maxime reconnaît l’intérêt technique de cette solution, mais tempère l’enthousiasme : aucun écosystème de plugins, aucune communauté établie, aucun expert disponible. Cloudflare a les moyens financiers de soutenir le projet, mais il est trop tôt pour y migrer des projets clients. WordPress n’est ni mort ni véritablement menacé à court terme.

Perspectives

La bataille juridique entre Automattic et WP Engine devrait connaître des avancées en juin 2025. Maxime anticipe une tentative de règlement hors cour de la part de Mullenweg, face à un WP Engine soutenu par un fonds d’investissement de plusieurs milliards déterminé à aller jusqu’au bout. Plus le conflit dure, plus il nuit à l’ensemble de l’écosystème. L’espoir reste qu’un retour à la maturité permette à chacun de poursuivre son activité dans un marché suffisamment vaste pour tous.

Collaborateurs Crédits
Actu - 10 mai 2026 - Parce que... c'est l'épisode 0x2F6!11 mai 202600:53:42
Parce que… c’est l’épisode 0x2F6! Shameless plug Notes Collaborateurs Crédits
Spécial - RETEX conférence S3NS 2026 aka part 2 - Parce que... c'est l'épisode 0x2F5!07 mai 202600:23:49
Parce que… c’est l’épisode 0x2F5! Shameless plug Description Contexte et premières impressions

Dans cet épisode spécial du podcast Polysécure, Nicolas Bédard reçoit son collègue de Palo Alto Networks pour un retour d’expérience sur la conférence S3NS, qui s’est tenue à Paris à la mi-février 2026. S3NS est le cloud souverain français, une offre construite sur la technologie de Google Cloud et certifiée par l’ANSSI (l’agence nationale française de cybersécurité) en décembre 2025 — soit à peine trois mois avant la conférence.

L’invité y était envoyé en tant que représentant de Palo Alto Networks, pour présenter comment une entreprise américaine peut s’inscrire dans un écosystème de cloud souverain. Il avoue y être arrivé avec de sérieuses appréhensions : en tant que Nord-Américain travaillant pour une grande compagnie américaine, il craignait un accueil hostile, voire franchement anti-américain. La réalité qu’il a vécue a complètement renversé ses attentes.

Une affluence surprenante, un discours inattendu

Premier constat : l’ampleur de l’événement. Plus de 2 000 personnes étaient inscrites au sommet S3NS, un chiffre qui a surpris l’invité. La conférence était animée et les kiosques, dont celui de Palo Alto qui figurait parmi les plus grands, ont attiré une foule nombreuse et curieuse.

Deuxième constat, et sans doute le plus marquant : le discours sur la souveraineté numérique entendu dans les keynotes était diamétralement opposé à ce qu’on entend habituellement au Québec ou en Amérique du Nord. Contrairement à ce que l’invité anticipait, il n’y avait aucune hostilité envers les entreprises américaines. Le message central de la conférence reposait sur deux piliers : la confiance d’abord, le contrôle ensuite.

L’idée n’était pas de rejeter les technologies étrangères, mais de s’assurer qu’elles priorisent les intérêts des utilisateurs européens et qu’elles respectent leurs contraintes légales et opérationnelles. Cette nuance est fondamentale : mettre la souveraineté et l’innovation en opposition serait contre-productif. Les cyberattaquants, eux, utilisent les outils les plus avancés sans se soucier de leur origine. Une organisation qui sacrifierait l’innovation au nom de la souveraineté se retrouverait donc dans une position défavorable face aux menaces.

Une maturité acquise avec le temps

Nicolas Bédard apporte ici un éclairage précieux : il suit l’évolution du discours européen sur la souveraineté numérique depuis 2021-2022. À cette époque, le ton était beaucoup plus fermé, plus protectionniste, voire souverainiste au sens étroit du terme. En 2026, la pensée européenne a évolué vers une approche beaucoup plus pragmatique et collaborative, reconnaissant que la souveraineté ne signifie pas l’isolement, mais la maîtrise.

Cette maturité, les Français l’ont acquise après des années de débat public sur le sujet. En comparaison, le Québec en est encore à une phase plus émotionnelle, réactive au contexte géopolitique récent. Les animateurs du podcast expriment le souhait que le débat local gagne lui aussi en nuance et en profondeur dans les années à venir.

Palo Alto dans un cloud souverain : comment ça fonctionne ?

La question naturelle se pose : comment une entreprise américaine comme Palo Alto Networks peut-elle opérer dans un environnement souverain, sachant que la certification SecNumCloud impose que l’opérateur soit une entité française ? La réponse est technique et pragmatique.

Palo Alto ne peut pas être directement certifié SecNumCloud — et ne cherche pas à l’être. En revanche, ses produits peuvent tourner à l’intérieur d’une infrastructure souveraine certifiée. La stratégie retenue dans un premier temps consiste à déployer des solutions sous forme de machines virtuelles (VM) : pare-feu virtuels, console de gestion Panorama en VM, ou encore AI Runtime Security pour protéger les inférences localement. Le client télécharge et opère ces outils lui-même, dans son infrastructure souveraine, sans dépendre d’un service SaaS américain.

Cette approche rappelle les déploiements dans les infrastructures critiques hors ligne — comme les sous-stations électriques — où l’on déploie des pare-feu entièrement autonomes, sans connexion à des services cloud externes. Le cloud souverain suit la même logique : le contenant est souverain, et le client garde le plein contrôle sur ce qui tourne à l’intérieur.

Un use case qui dépasse les frontières françaises

Un autre constat inattendu : la conférence S3NS attirait non seulement des organisations françaises, mais aussi des entreprises d’autres pays de l’Union européenne — Suisse, Italie, Allemagne, entre autres. Ces organisations voient dans S3NS une solution idéale pour la reprise après sinistre (DR) ou pour certaines charges de travail sensibles, en dehors même de toute obligation légale française. S3NS représente la certification cloud souveraine la plus exigeante disponible en Europe, ce qui en fait une option attractive pour quiconque cherche à minimiser son exposition aux juridictions extra-européennes.

La souveraineté comme un oignon

L’image la plus éclairante de la conférence est celle de l’oignon : la souveraineté se décline en couches. Certaines données et certains workloads nécessitent une infrastructure pleinement certifiée SecNumCloud — avec le surcoût que cela implique, inévitable pour tout cloud souverain qui ne bénéficie pas des économies d’échelle mondiales des grands hyperscalers. D’autres données, moins sensibles ou non soumises à des obligations légales, peuvent reposer sur des infrastructures alternatives offrant des garanties partielles de souveraineté — comme les offres équivalentes chez Microsoft ou AWS — à moindre coût.

Ce n’est pas tout ou rien. C’est une stratégie graduée, adaptée à la nature de chaque donnée et à chaque contexte réglementaire.

Ce qui s’en vient

En conclusion, les deux animateurs notent que l’écosystème des clouds souverains est en pleine expansion : Bleu (basé sur Azure) est en cours de certification en France, un équivalent est annoncé en Allemagne, et d’autres suivront. La décentralisation vers de plus petits clouds régionaux s’amorce, portée en partie par le contexte géopolitique actuel. Un sujet à suivre de près — et assurément matière à un prochain épisode.

Collaborateurs Crédits
Spécial - Vraust.ai ou comment protéger les personnes vulnérables de la fraude (Propolys) - Parce que... c'est l'épisode 0x2F4!06 mai 202600:31:02
Parce que… c’est l’épisode 0x2F4! Shameless plug Description Présentation de l’invité et de la plateforme

Dans cet épisode spécial enregistré dans le cadre de la cohorte Propolys, Nicolas reçoit Elnathan Tiokou, fondateur et CEO de Vraust.ai (vraust.ai). Cette startup québécoise se spécialise dans la prévention des arnaques (scams) en temps réel, ciblant principalement les citoyens canadiens les plus vulnérables. Elnathan présente sa plateforme comme un outil capable d’évaluer en quelques secondes si un site web, un courriel ou une conversation téléphonique présente des signes de fraude, en retournant un score de risque accompagné de recommandations concrètes.

Comment fonctionne la fraude aujourd’hui

Elnathan rappelle que la grande majorité des fraudes modernes repose sur le social engineering, c’est-à-dire la manipulation psychologique des victimes. Il illustre le propos avec un exemple parlant : un parent âgé qui tombe sur une fausse plateforme d’investissement et qui, faute de pouvoir rejoindre un proche plus averti, n’a aucun moyen de vérifier la légitimité du site.

L’intelligence artificielle a considérablement amplifié la menace. Les fraudeurs peuvent désormais cibler des dizaines de milliers de personnes simultanément, avec des messages rédigés dans un français impeccable, rendant la détection humaine de plus en plus difficile. Même des professionnels en cybersécurité peuvent se faire piéger, comme Nicolas l’admet lui-même au fil de l’échange.

Les axes d’analyse de Vraust.ai

La plateforme s’appuie sur trois grandes familles d’analyse :

  1. L’analyse textuelle : courriels, sites web, messages de romance scam sur les réseaux sociaux. La plateforme effectue une analyse sémantique et sentimentale du contenu pour détecter les tentatives de manipulation.

  2. L’analyse vocale : les arnaques par appel téléphonique ou en vidéoconférence (Zoom, Teams) sont également couvertes. L’outil repère des signaux comme l’urgence dans le ton, les silences inhabituels ou les incohérences dans le discours.

  3. L’analyse technique : vérification de l’adresse IP, localisation du domaine, et autres indicateurs classiques en cybersécurité qui permettent de tracer l’origine d’une tentative de fraude.

Ces trois couches alimentent un score de risque global, accompagné d’une catégorisation du type d’arnaque détecté (job scam, romance scam, fraude bancaire, etc.) et d’un lien vers des ressources gouvernementales présentant des situations similaires déjà documentées.

La cible : les personnes vulnérables, pas les convaincus

Elnathan soulève une statistique frappante : 78 % des adultes canadiens se disent confiants dans leur capacité à détecter une fraude, alors que 23 % d’entre eux continuent pourtant d’en être victimes. Cette fausse assurance crée un angle mort dangereux : plus on se croit invulnérable, plus on baisse sa garde.

Plutôt que de dépenser énergie et capital à convaincre cette majorité confiante, Vraust.ai concentre ses efforts sur les segments les plus exposés : les personnes âgées, d’une part, et les jeunes de 13 à 18 ans, d’autre part — ces derniers représentant 25 à 27 % des victimes de fraude, un chiffre souvent méconnu. La stratégie commerciale repose sur un forfait familial : un adulte inscrit peut y intégrer ses parents et ses enfants, ces derniers ne pouvant rejoindre la plateforme qu’avec autorisation parentale.

Une intégration pensée pour réduire la friction

Actuellement, la plateforme fonctionne comme une interface conversationnelle en ligne — l’utilisateur y colle un texte suspect et reçoit une analyse instantanée. La prochaine étape, en cours de développement, est une application en arrière-plan (overlay) installée sur téléphone ou ordinateur. Celle-ci restera invisible dans l’usage quotidien et n’alertera l’utilisateur que lorsqu’une situation suspecte est détectée : un appel entrant frauduleux, un site web malveillant, etc.

L’utilisateur garde le contrôle : il choisit quelles applications faire surveiller. La vie privée est au cœur de la conception — les données des utilisateurs ne sont pas stockées par défaut, et le modèle tourne en grande partie localement sur l’appareil.

Simplifier le signalement aux autorités

L’un des problèmes majeurs soulevés dans l’épisode est la barrière au signalement. Selon Elnathan, les 643 millions de dollars de pertes liées à la fraude rapportés l’an dernier au Canada ne représentent que 5 à 10 % des fraudes réelles — le reste n’étant jamais déclaré, souvent par honte, par découragement ou par manque de temps.

Vraust.ai cherche à réduire ce processus à un seul clic : la plateforme structure automatiquement l’information (numéro du fraudeur, type d’arnaque, localisation potentielle) et la transmet aux autorités compétentes — en commençant par le Québec. Des échanges sont déjà en cours avec les autorités locales pour bâtir ce pipeline de signalement. Une fonction de rapport vocal est également prévue, permettant à une victime de simplement raconter son histoire à voix haute pour que la plateforme l’analyse et la transmette.

En conclusion : la fraude se combat en communauté

Elnathan conclut l’épisode par un appel au partage et à la déstigmatisation. Se faire arnaquer n’est ni une honte ni un signe d’ignorance — tout le monde peut en être victime. Il encourage chacun à reporter ses expériences, car chaque signalement alimente le modèle et protège les prochaines victimes potentielles. Nicolas renchérit : même les professionnels de la cybersécurité se font piéger, et 2026 s’annonce comme une année charnière dans la lutte contre la fraude numérique au Canada.

Notes Collaborateurs Crédits
Teknik - La place du tooling dans le threat intelligence (CTI) - Parce que... c'est l'épisode 0x2F3!05 mai 202600:34:43
Parce que… c’est l’épisode 0x2F3! Shameless plug Description Présentation des invités

Dans cet épisode technique de Polysécure, l’animateur reçoit deux analystes de l’équipe TDR (Threat Detection and Research) de Sekoya. Charles Meslay se spécialise en reverse engineering et en analyse de malware, tandis que Félix Aimé se concentre sur l’étude de campagnes liées à des États — cyberespionnage, sabotage — et joue un rôle central dans le développement d’outils internes pour mener les investigations. L’épisode prend appui sur un billet de blog récemment publié par l’équipe portant sur une campagne d’APT28, groupe étatique lié à la Russie, pour élargir la discussion à l’ensemble du tooling utilisé en CTI.

Du reverse engineering manuel à l’automatisation

Le point de départ concret est l’analyse d’un malware écrit en .NET, attribué à APT28 et découvert début 2025. Initialement, le travail reposait sur des outils classiques comme dnSpy : une interface graphique permettant de décompiler le code, de renommer les fonctions et de comprendre progressivement leur logique. Ce processus, bien que relativement accessible, est extrêmement chronophage — de une à trois semaines par binaire et par analyste.

Avec l’émergence des LLM, Charles a d’abord commencé à copier-coller manuellement des portions de code dans ChatGPT pour accélérer l’analyse. Cette pratique l’a conduit à une idée d’automatisation : la création d’un serveur MCP (Model Context Protocol), un protocole permettant à un LLM d’interagir avec des outils externes via une interface de type API. Ce serveur, mis en open source, est en réalité une brique d’un outil plus large développé en interne : Sara.

sarA : un orchestrateur d’analyse automatisée

Sara est présentée comme le cœur de l’écosystème d’analyse de Sekoya. Son fonctionnement est le suivant : on lui soumet un fichier, le LLM identifie le type de fichier et sélectionne les outils adaptés — qu’il s’agisse de Ghidra, d’IDA Pro ou d’outils maison en ligne de commande — pour procéder à l’analyse. À l’issue du processus, Sara génère un rapport structuré comprenant la description du comportement du binaire, les différentes couches d’obfuscation détectées, des scripts de désobfuscation si nécessaire, et une liste explicite des angles morts de l’analyse, notamment en cas de limitations liées aux tokens ou au nombre de passes effectuées.

Le gain est spectaculaire : le temps d’analyse est passé de plusieurs semaines à quelques minutes. Au-delà du gain de vitesse, Sara a également élargi le cercle des analystes capables de contribuer au reverse engineering, y compris ceux qui n’avaient pas de formation approfondie dans ce domaine. Les analystes spécialisés, comme Charles, continuent quant à eux à intervenir sur les cas complexes que l’outil ne résout pas seul.

Un écosystème d’outils progressivement construit

Félix retrace l’histoire du tooling interne, développé de façon itérative au fil des années. Au départ, l’équipe disposait d’un simple serveur de cache connecté à des API tierces comme VirusTotal, permettant de limiter la consommation de quotas. Ce serveur a ensuite été refondu pour gérer de manière transparente les clés d’API, simplifiant ainsi la vie des développeurs internes.

L’équipe a ensuite créé un ensemble d’API maison pour automatiser des tâches courantes : requêtes DNS, récupération de plages d’IP sur des AS, etc. Ces briques ont permis de construire 150 transformes pour Maltego, un logiciel d’analyse permettant d’appliquer des micro-opérations sur des entités (adresses IP, noms de domaine, etc.) afin d’enrichir les investigations. Aujourd’hui, l’équipe envisage de migrer vers Flosint, une solution open source française au fonctionnement similaire.

Pour le suivi dans le temps des infrastructures malveillantes, deux outils ont été développés. Tracker interroge des services comme Shodan, Censys ou VirusTotal avec des règles précises pour surveiller en quasi-temps réel des infrastructures ou des malwares. Irma, plus orientée vers le hunting, permet d’initier des investigations à partir d’heuristiques poussées — par exemple, détecter un nom de domaine enregistré chez un registraire douteux qui résout vers un routeur potentiellement compromis en France.

L’ergonomie au cœur du développement

Un principe philosophique fort ressort de l’échange : l’ergonomie prime sur la complexité technique. Félix insiste sur le fait que les outils en ligne de commande, aussi puissants soient-ils, finissent par être abandonnés si leur utilisation requiert de consulter le manuel à chaque fois. L’objectif est que l’intégralité des outils soit accessible depuis un navigateur web, via des sous-domaines dédiés, avec une interface de recherche permettant de trouver un outil par mot-clé (par exemple, taper « LLM » pour lister tous les outils liés à l’intelligence artificielle).

Cette centralisation présente plusieurs avantages : harmonisation des dépendances, déploiement automatisé via des pipelines CI/CD, et adoption effective par l’ensemble de l’équipe. Comme le résument les deux invités, un outil que personne n’utilise ne vaut rien — peu importe ses capacités techniques.

L’IA comme accélérateur transversal

L’arrivée des LLM a transformé deux autres facettes du travail. D’abord, le prototypage : là où il fallait parfois des semaines pour valider une preuve de concept, quelques heures suffisent aujourd’hui pour déterminer si une idée mérite d’être poursuivie ou abandonnée.

Ensuite, la capitalisation du renseignement. L’équipe ingère des rapports publics d’éditeurs tiers, les modélise au format STIX — un standard structuré d’objets liés (campagnes, groupes d’attaquants, indicateurs de compromission) — et enrichit sa base de connaissance. Ce travail, autrefois fastidieux et manuel, est aujourd’hui en grande partie automatisé grâce aux LLM, avec une revue humaine finale. L’analyste se retrouve alors libéré des tâches répétitives pour se concentrer sur ce qui reste hors de portée de l’IA : la création de règles YARA, le développement de trackers d’infrastructure, et l’identification de détails techniques fins qui nécessitent encore un vrai jus de cerveau.

Conclusion

Cet épisode offre un regard rare et concret sur le quotidien d’une équipe CTI de pointe. Entre automatisation intelligente, philosophie d’ergonomie et intégration progressive de l’IA, Charles et Félix décrivent un métier en pleine mutation — où l’analyste humain reste indispensable, mais se concentre désormais sur ce qu’il fait le mieux.

Notes Collaborateurs Crédits
Actu - 3 mai 2026 (edition home sweet home) - Parce que... c'est l'épisode 0x2F2!04 mai 202600:45:20
Parce que… c’est l’épisode 0x2F2! Shameless plug Notes Collaborateurs Crédits
PME - Retour d'expérience sur la première cohorte du programme UQTR FORCE - Parce que... c'est l'épisode 0x2F1!29 avr. 202600:27:26
Parce que… c’est l’épisode 0x2F1! Shameless plug Description Un programme de cybersécurité taillé pour les PME québécoises

Dans cet épisode du balado Polysécure, l’animateur Nicolas reçoit Gino Plourde et Dominic Villeneuve pour faire le bilan de la première cohorte du programme Quatre Force, une formation en cybersécurité conçue spécifiquement pour les techniciens et administrateurs des petites et moyennes entreprises (PME). Les résultats sont au-delà des attentes, et l’enthousiasme des deux créateurs est palpable tout au long de la conversation.

Une première cohorte prometteuse

La première cohorte s’est terminée le 27 février avec 11 participants provenant de six régions administratives différentes du Québec. La diversité des apprenants a été l’une des grandes surprises : on y retrouvait des gens issus de PME manufacturières, de firmes comptables et juridiques, de ministères gouvernementaux, ainsi que des propriétaires de petites entreprises en technologies de l’information. La cohorte s’est conclue par un rassemblement en présentiel où les attestations ont été remises dans une ambiance conviviale.

La deuxième cohorte a démarré le 9 mars avec 10 participants, cette fois répartis dans encore plus de régions, incluant la Montérégie, la Vallée-de-l’Outaouais et même la Côte-Nord. Ce dernier participant, géographiquement isolé, a particulièrement apprécié le format asynchrone à distance, qui répond directement aux contraintes des régions éloignées. Fort de ce succès, Gino a ouvert les inscriptions pour une troisième cohorte dès le 13 mars, prévue pour le 14 septembre.

Un contenu ancré dans la réalité des entreprises

Le programme est structuré en six modules (du module 0 au module 5) sur une durée de 14 semaines, à raison d’environ 10 heures par semaine. Dominic souligne que dès le module zéro — le module de base théorique —, les participants réalisent à quel point leur entreprise est exposée. On y aborde la mentalité des pirates, la doctrine de guerre appliquée à la cybersécurité (notamment l’approche de Sun Tzu), ainsi qu’une introduction au cadre CVSS. Un exercice simple, comme demander un certificat SSL, suffit à illustrer concrètement comment des informations supposément privées deviennent publiquement accessibles.

À partir du module 1, les apprenants passent à la pratique avec des laboratoires concrets. Un exemple marquant : les participants apprennent à exploiter la vulnérabilité Print Nightmare dans un environnement contrôlé. Ainsi, lorsqu’ils doivent convaincre leur direction de mettre à jour ou de retirer des serveurs obsolètes, ils peuvent démontrer en temps réel les risques encourus — un argument bien plus percutant qu’un rapport théorique.

Le contenu a été délibérément épuré de tout ce qui n’est pas utile aux PME. Chaque heure de formation doit apporter une valeur directe à l’entreprise et à la personne. Les créateurs insistent : ce n’est pas un cours dilué ou facile à survoler comme on en trouve sur des plateformes généralistes. C’est exigeant, mais cette intensité est au service de l’intégration réelle des connaissances.

Une formation qui évolue grâce aux retours des apprenants

L’équipe a apporté plusieurs ajustements entre la première et la deuxième cohorte, tous basés sur les commentaires des participants. Une semaine supplémentaire a été accordée au module zéro, jugé trop dense à l’origine. Une semaine de relâche a également été introduite à mi-parcours, permettant aux apprenants légèrement en retard de se rattraper, et aux autres de laisser décanter la matière. Quelques laboratoires particulièrement ardus ont aussi été révisés pour mieux correspondre à des défis réalistes, sans sacrifier la rigueur du contenu.

Dominic souligne avec humour qu’un laboratoire qu’il complétait lui-même en une heure pouvait prendre jusqu’à huit heures à un apprenant moins expérimenté — un signal clair qu’un ajustement s’imposait.

Une communauté de pratique en pleine croissance

Au-delà de la formation elle-même, Gino et Dominic ont mis sur pied un groupe privé sur Discord regroupant tous les diplômés des cohortes. Cet espace d’échange permet aux participants de partager des informations sur des attaques récentes, des patterns menaçants ou des solutions concrètes — sans honte ni jugement. Deux semaines après la fin de la première cohorte, un participant a signalé au groupe avoir été victime d’un cryptovirus, détaillant le vecteur d’attaque pour que tout le monde puisse s’en prémunir.

Nicolas soulève un point important : cette communauté joue un rôle crucial parce qu’elle est accessible à des gens qui ne se sentent pas encore légitimes pour intégrer les grandes communautés de cybersécurité existantes. Les experts chevronnés peuvent être intimidants pour ceux qui commencent. Ce groupe offre un espace de progression à rythme raisonnable, avec des pairs au niveau comparable. Les échanges y sont aussi agnostiques par rapport aux fournisseurs, ce qui permet des discussions honnêtes sur les produits et solutions disponibles sur le marché.

Une vision d’avenir pour le Québec et au-delà

En conclusion, Gino et Dominic réaffirment leur ambition : voir ce programme contribuer concrètement à rendre les PME québécoises — et peut-être internationales — plus résilientes face aux cybermenaces. Les inscriptions pour la cohorte d’automne sont ouvertes, des subventions sont disponibles pour les PME et OBNL, et tout professionnel en TI qui souhaite approfondir ses compétences en cybersécurité sans nécessairement être un spécialiste de haut niveau est le bienvenu. La formation est conçue pour les jacks of all trades du numérique — y compris, soulignent-ils avec fierté, les femmes, encore trop peu représentées dans le domaine.

Collaborateurs Crédits
Le gazon selon Cyber Citoyen et PolySécure - Parce que... c'est l'épisode 0x2F0!28 avr. 202601:17:45
Parce que… c’est l’épisode 0x2F0! Préambule

Je suis dans une alcôve dans une chambre d’hôtel, d’où l’écho inhabituel… et première diffusion live sur Twitch.

Shameless plug Description Les vérifications d’identité : une fausse sécurité ?

L’épisode s’ouvre sur un phénomène observé sur Tinder : certains profils contiennent une dernière photo manifestement absurde — un visage humain grossièrement intégré dans une image aléatoire (statue, panneau publicitaire). La théorie qui circule est que ces photos serviraient à contourner le système de vérification d’identité de la plateforme. Les fraudeurs utiliseraient cette image pour obtenir le badge « vérifié », puis la laisseraient en dernière position en espérant que les utilisateurs, éblouis par les premières photos générées par IA, n’y prêtent pas attention.

Ce constat amène une réflexion plus large sur la valeur réelle des systèmes de vérification en ligne. Les coanimateurs rappellent l’époque du « vrai » crochet bleu sur Twitter, qui exigeait pièces d’identité et articles pour valider l’authenticité d’un compte. Depuis le rachat par Elon Musk et la transformation en X, n’importe qui peut acheter cette certification, vidant le système de son sens. L’épisode fait le parallèle avec Meta, qui facture également l’authentification. Résultat : les fraudeurs ont simplement appris à acheter la confiance plutôt qu’à la mériter, et les utilisateurs, rassurés par un badge, perdent leur réflexe naturel de vigilance. Un exemple hilarant illustre bien le chaos engendré : un compte parodique nommé « Eli Lilly » avait annoncé que l’insuline devenait gratuite, forçant la vraie entreprise pharmaceutique à démentir publiquement.

Le vibe coding : l’illusion de créer sans comprendre

Le second sujet porte sur Bolt.new (appelé « vapor » dans l’épisode), une application qui promet à n’importe qui de créer son propre site web ou application sans connaissances en programmation, grâce à l’IA. Le problème est apparu au grand jour quand des bases de données d’utilisateurs se sont retrouvées entièrement exposées au public. La plateforme a d’abord tenté de rejeter la faute sur ses utilisateurs en affirmant que la notion de « public » dans sa documentation était mal comprise — une formulation que les animateurs attribuent elle-même à une rédaction par IA tant le ton est caractéristique.

Cette controverse illustre un problème de fond : coder est un métier qui intègre des principes de sécurité appris au fil des années. Le « vibe coding » reproduit les erreurs des quarante dernières années de développement logiciel, où tout est ouvert par défaut et où la sécurité n’est jamais pensée dès la conception (security by design). L’IA génère du code sans jamais demander « as-tu pensé à la sécurité de tes utilisateurs ? ». Le danger est double : non seulement les applications ainsi créées sont vulnérables, mais les utilisateurs qui s’y connectent ne peuvent pas savoir si elles l’ont été.

La discussion s’élargit à la dévalorisation progressive des métiers créatifs et techniques — photographes, graphistes, développeurs — dont le travail devient invisible aux yeux de décideurs incapables de distinguer un résultat généré automatiquement d’un travail véritablement expert. Les animateurs anticipent toutefois un retour de balancier : les entreprises qui misent tout sur l’IA finiront par réaliser que la valeur humaine est ce qui les différencie réellement sur le marché.

Modèles d’IA et cybersécurité : la guerre asymétrique

Un troisième bloc aborde la sortie de modèles d’IA présentés comme potentiellement « dangereux » pour la cybersécurité. Les animateurs analysent ces annonces avec scepticisme, y voyant surtout des coups marketing habiles. Ils notent que les vulnérabilités mises en avant ont pu être reproduites avec des modèles publics existants, ce qui relativise le danger présenté.

L’enjeu réel, selon eux, n’est pas tant la puissance brute des modèles que la façon dont ils sont utilisés. Des modèles plus petits, qui hallucinent davantage, peuvent en réalité trouver des vulnérabilités inédites précisément parce qu’ils explorent des zones imprévisibles — une forme de créativité non intentionnelle. L’approche par agents autonomes décentralisés, inspirée du fonctionnement du cerveau ou même des tentacules d’une pieuvre (chaque tentacule dispose d’une capacité décisionnelle propre), est présentée comme bien plus prometteuse que la course aux modèles toujours plus grands.

Le réseau 764 : grooming, extorsion et idéologies radicales

Le sujet le plus lourd de l’épisode est abordé par Catherine, qui le prépare depuis plusieurs semaines. À l’occasion de l’arrestation d’un homme de 26 ans à Québec, accusé d’avoir contacté des mineurs de 12-13 ans, elle explique l’écosystème criminel connu sous le nom de The Com — un réseau informel structuré autour du cybercrime, de la sextorsion et de la violence hors ligne.

Le groupe 764 est une branche de cet écosystème. Né d’une idéologie néonazie, il s’est rapidement transformé en réseau de grooming systématique ciblant des adolescents vulnérables sur des plateformes comme Roblox, Minecraft et Discord. Les abuseurs repèrent des jeunes exprimant des difficultés (santé mentale, identité, isolement), pratiquent le love bombing pour devenir leur unique point d’ancrage affectif, puis exercent du chantage à partir de photos compromettantes, allant jusqu’à demander des automutilations filmées.

Les animateurs insistent sur l’importance de parler ouvertement avec les enfants, sans jugement, et de connaître les signaux d’alerte : blessures inexpliquées, cadeaux inattendus, comportements dissimulateurs en ligne. Des ressources comme le site du gouvernement néo-zélandais (Netsafe) sont recommandées pour accompagner ces conversations.

En guise de conclusion : l’humour comme résistance

L’épisode se termine sur une réflexion collective sur la déshumanisation numérique, la dissociation permanente que génère l’habitude de tout filmer, et le sentiment d’un futur bouché chez les jeunes générations — autant de facteurs qui alimentent ces dérives. Mais plutôt que le désespoir, les animateurs choisissent l’humour comme mécanisme d’adaptation et comme forme d’espoir : rire ensemble, c’est aussi reconnaître une communauté de valeurs et continuer à croire qu’un autre monde est possible.

Collaborateurs Crédits
Actu - 26 avril 2026 - Parce que... c'est l'épisode 0x2EF!27 avr. 202600:47:41
Parce que… c’est l’épisode 0x2EF! Shameless plug Notes Collaborateurs Crédits
Teknik - IA SOC - Parce que... c'est l'épisode 0x2EE!22 avr. 202600:40:40
Parce que… c’est l’épisode 0x2EE! Shameless plug Description Un historique souvent oublié

David Bizeul rappelle d’emblée que l’intelligence artificielle en cybersécurité n’est pas un phénomène récent. Ses racines remontent aux années 1950 avec les travaux d’Alan Turing, mais c’est surtout à partir des années 1990 que le machine learning commence à s’intégrer concrètement dans les produits de sécurité. Les systèmes experts et les algorithmes de classification — supervisés ou non supervisés — permettent alors de traiter de grands volumes de données : filtres bayésiens pour les e-mails, détection d’anomalies réseau via les outils NDR, etc.

Cette évolution se fait progressivement et sans grand bruit jusqu’en 2023, où l’architecture Transformer de Google — à l’origine de ChatGPT et d’OpenAI — change radicalement la donne. Les LLM (grands modèles de langage) ouvrent de nouvelles possibilités dès lors qu’on leur fournit un corpus textuel structuré. Les produits de sécurité intègrent d’abord des assistants conversationnels, capables de répondre à des questions sur des groupes d’attaquants ou des menaces connues, en s’appuyant simplement sur ce que le modèle a appris.

Vient ensuite le RAG (Retrieval-Augmented Generation), qui permet de combiner la connaissance générale du LLM avec des données internes propres à chaque client : analyses de risques, politiques de sécurité, rapports de tests d’intrusion. Le contexte devient ainsi beaucoup plus pertinent et personnalisé.

L’ère agentique : plusieurs agents qui collaborent

La véritable rupture arrive avec l’approche agentique, qui s’impose véritablement à partir de fin 2025 et début 2026. Plutôt qu’un modèle unique qui répond à des requêtes, on dispose désormais d’un framework composé de plusieurs agents spécialisés qui travaillent ensemble de façon orchestrée.

David illustre cela avec un cas d’usage concret dans un SOC :

  • Un agent d’investigation analyse les alertes en profondeur : il examine les événements associés, identifie les actifs concernés, recoupe les informations pour confirmer si une attaque a réellement progressé ou a été bloquée.
  • Un agent de triage joue le rôle d’orchestrateur : il mobilise l’agent d’investigation sur l’ensemble des alertes en attente, puis produit un verdict ou un score de pertinence pour chacune d’elles.
  • Un agent de contre-mesures prend le relais une fois la situation clarifiée : il propose des actions correctives en tenant compte des outils disponibles (présence ou non d’API, de protocoles MCP) et de leur accessibilité réelle dans l’environnement du client.

Chaque agent dispose d’un périmètre d’action délimité, d’une capacité de raisonnement (un LLM interne ou externe) et d’une batterie d’actions possibles. C’est exactement la trajectoire suivie par l’entreprise de David, qui déploie ces modules agentiques cette année.

Maîtriser les hallucinations et personnaliser les agents

Pour s’assurer qu’un agent reste dans les rails, plusieurs mécanismes sont mis en place. Le premier est le system prompt : une instruction détaillée — parfois l’équivalent de cinq pages — qui définit les objectifs, les étapes à suivre et les comportements à éviter. Les clients peuvent ensuite surcharger ces instructions avec leurs propres règles métier. Par exemple, une entreprise qui préfère parler d’un « score de 0 à 100 » plutôt que de « faux positifs » peut reconfigurer l’agent en conséquence.

Pour réduire les hallucinations, il est également possible de faire itérer un agent sur plusieurs passes de vérification, voire de solliciter plusieurs LLM différents afin de confronter leurs points de vue. David donne l’exemple d’un agent de renseignement sur les menaces étatiques : interroger successivement un modèle américain, européen et chinois permet de mettre en évidence des biais géographiques, puis de synthétiser une vue équilibrée. Cette approche multi-modèles n’est cependant pas systématiquement recommandée : elle multiplie les coûts et la latence, et n’apporte une valeur réelle que pour des questions à fort enjeu stratégique.

Choisir son modèle : externe, interne ou spécialisé

Trois grandes options s’offrent aux organisations :

  1. L’API externe (OpenAI, Anthropic, etc.) : simple à mettre en œuvre, mais nécessite un encadrement contractuel rigoureux pour la protection des données.
  2. Le modèle open source hébergé en interne : instancié sur les propres GPU de l’entreprise, il garantit confidentialité et maîtrise de la latence, au prix d’une infrastructure plus lourde.
  3. Le DSLM (Domain-Specific Language Model) : un modèle entraîné spécifiquement pour la cybersécurité, plus léger et plus rapide qu’un LLM généraliste, à l’image de ce qu’avait réalisé Cisco. Cette approche marque en quelque sorte un retour aux origines du machine learning spécialisé, mais enrichi des apports de l’architecture Transformer.
Impact sur les équipes : augmentation, pas remplacement

L’IA ne remplacera pas les analystes SOC, mais elle transformera profondément leurs rôles. Le triage — tâche répétitive et chronophage — sera bientôt entièrement automatisé. Les analystes seront alors libérés pour se concentrer sur des missions à plus forte valeur ajoutée : detection engineering, gestion de crise, définition des règles d’automatisation.

Le paradigme évolue du « human in the loop » — l’humain intégré dans la boucle, qui la ralentit — vers le « human on the loop » : l’humain en posture de pilotage, qui supervise et ajuste sans intervenir à chaque étape. Face à des attaques de plus en plus automatisées et rapides (des outils comme Shannon permettent déjà de séquencer des opérations de pentest de façon autonome), la défense n’a pas d’autre choix que de s’automatiser à son tour.

Une question sans réponse : la formation des futurs experts

La discussion se conclut sur une interrogation ouverte et préoccupante : si les postes de niveau junior — qui constituaient historiquement le terrain d’apprentissage des futurs seniors — disparaissent au profit de l’automatisation, comment formera-t-on les experts de demain ? Une piste serait d’utiliser l’IA elle-même pour accélérer la montée en compétences via des simulations réalistes. Mais la question reste entière, et David l’admet sans détour : il n’a pas la réponse.

Collaborateurs Crédits
PME - Comment simplifier un message complexe pour qu'il soit retenu? - Parce que... c'est l'épisode 0x2ED!21 avr. 202600:15:55
Parce que… c’est l’épisode 0x2ED! Préambule

Nous avons rencontré un petit défi d’enregistrement vers la 12e minute.

Shameless plug Description Le contexte : une surcharge informationnelle sans précédent

En 2026, nos cerveaux font face à un défi sans précédent : la quantité d’informations importantes à traiter et à retenir n’a jamais été aussi grande. L’essor de l’intelligence artificielle amplifie encore ce phénomène, en générant davantage de contenu tout en réduisant notre capacité à agir sur ce que nous recevons. C’est dans ce contexte que Cédrick Bruyère aborde une question fondamentale pour toute entreprise, tout conférencier ou tout professionnel qui souhaite faire passer un message : comment s’assurer qu’il sera réellement retenu ?

L’exemple du courriel en cybersécurité : quand trop d’information tue l’information

Pour illustrer son propos de façon concrète, Cédrick présente un cas fictif mais très réaliste : un expert en cybersécurité qui souhaite sensibiliser son équipe aux dangers des clés USB trouvées par terre. Dans sa version initiale, le courriel est un véritable mur de texte technique. Il y est question de vecteurs d’attaque physique, de contournement des mécanismes de sécurité périmétrique, de microcontrôleurs émulant des périphériques HID, d’exfiltration de données, de propagation latérale, de conformité à la loi 25, de politiques GPO, de solutions EDR, et de bacs à sable (sandboxes) pour l’analyse de fichiers suspects.

Le résultat ? Un message que même un professionnel du domaine peine à suivre jusqu’au bout. Pour quelqu’un qui n’a pas de formation technique, c’est simplement incompréhensible — et donc inutile.

Ce qui se passe dans le cerveau face à trop d’information

Cédrick explique le mécanisme neurologique derrière cette défaillance de communication. Lorsqu’une trop grande quantité d’informations arrive simultanément, le cortex préfrontal — la région du cerveau responsable de la prise de décision et de la priorisation — se retrouve en état de saturation cognitive. Il n’est plus capable de distinguer l’essentiel du superflu. Face à cette surcharge, le cerveau abandonne purement et simplement l’idée de retenir quoi que ce soit.

Cédrick cite à ce sujet James Carville : « If you say three things, you don’t say anything. » Quand on en dit dix, c’est encore pire.

Le contre-exemple : aller à l’essentiel

Face au courriel initial, Cédrick propose une version épurée qui tient en quelques lignes : une clé USB inconnue peut infecter un ordinateur en quelques secondes et donner accès à toutes les données de l’entreprise. Si vous trouvez une clé par terre, ne la branchez pas dans votre ordinateur, car elle pourrait déclencher une attaque et compromettre toute l’organisation.

C’est le même message. Mais cette fois, il ne contient qu’une seule idée centrale, claire et actionnable : ne branchez pas de clé USB inconnue. Tout ce qui était superflu a été retiré. Ce qui reste, c’est exactement ce que l’on veut que les gens retiennent.

Cédrick précise que cette démarche de simplification a été au cœur du travail réalisé chez Vigilia lors de la création de leurs formations en cybersécurité. Des capsules qui duraient initialement entre cinq et dix minutes ont été condensées en formats de une minute trente à trois minutes — sans perdre leur efficacité, bien au contraire.

Le principe fondamental : un message parfait, c’est un message auquel on ne peut plus rien enlever

Issu d’un background en rédaction, Cédrick partage sa règle d’or : un message atteint la perfection non pas quand il n’y a plus rien à ajouter, mais quand il n’y a plus rien à enlever. Quand chaque mot restant est indispensable, le message est à son niveau optimal d’efficacité.

Pour y parvenir, la première question à se poser est : qu’est-ce qu’on veut que les gens retiennent ? Une seule réponse, claire et simple, doit guider l’ensemble de la rédaction.

L’exemple de la compagnie aérienne : la mission comme boussole

Pour illustrer comment une idée centrale peut structurer toute une organisation, Cédrick évoque l’exemple d’une compagnie aérienne à succès — vraisemblablement Southwest Airlines — dont la mission tient en quelques mots : être la ligne aérienne la moins chère. Cette formulation simple permet à des milliers d’employés de prendre des décisions cohérentes au quotidien, sans avoir besoin de consulter une longue liste de directives.

Quand le département marketing propose d’améliorer les repas à bord, la question est immédiate : est-ce que ça nous rend moins chers ? Si la réponse est non, la décision est prise. Une mission bien formulée devient ainsi un filtre décisionnel puissant, applicable à tous les niveaux de l’entreprise.

Comment développer ce réflexe au quotidien ?

Cédrick propose une approche progressive et accessible. Le site web d’une entreprise constitue un excellent terrain d’entraînement : chaque page peut être relue avec un œil critique, chaque message peut être réécrit en se demandant si l’essentiel est vraiment mis de l’avant. Le même exercice s’applique aux courriels, aux présentations clients, aux dépliants de vente.

Avec de la pratique, cette question — est-ce qu’il y a vraiment que l’essentiel ici ? — devient un réflexe naturel. Elle finit par s’intégrer dans la façon de composer n’importe quel message.

L’intention plutôt que la planification

En guise de conclusion, Cédrick glisse une dernière réflexion : il est souvent plus payant de mettre son énergie sur l’intention plutôt que sur la planification. Une planification rigide peut s’effondrer dès le premier imprévu, sans que l’on sache comment se réaligner. Une intention claire, elle, résiste aux aléas : même si le chemin change, on sait toujours où l’on va.

En somme, simplifier un message, ce n’est pas l’appauvrir — c’est lui donner toutes ses chances d’être compris, retenu et appliqué.

Collaborateurs Crédits
Actu - 19 avril 2026 - Parce que... c'est l'épisode 0x2EC!20 avr. 202601:01:34
Parce que… c’est l’épisode 0x2EC! Shameless plug Notes Collaborateurs Crédits
H'umain - Projet accompagné par Propolys - Mindlock - Parce que... c'est l'épisode 0x747!15 avr. 202600:37:45
Parce que… c’est l’épisode 0x747! Shameless plug Description Une experte à la croisée des neurosciences et de la cybersécurité

Dans cet épisode spécial Propolys, l’hôte reçoit Mélissa Canseliet, experte en neurosciences et en cyberpsychologie, qui développe une start-up en cybersécurité appelée Mindlock. Avec un parcours atypique allant de la recherche en neurosciences à Oxford jusqu’à plus de 14 ans dans l’industrie du jeu vidéo — notamment chez Ubisoft, Samsung et Missplay —, Mélissa incarne une vision résolument interdisciplinaire de la sécurité informatique.

Le constat : des formations en cybersécurité inefficaces

La conversation s’ouvre sur un problème que les deux interlocuteurs connaissent très bien : les formations traditionnelles de sensibilisation à la cybersécurité sont, au mieux, inefficaces, et au pire, contre-productives. L’hôte décrit avec humour sa propre expérience de ces interminables présentations PowerPoint que tout le monde s’empresse de traverser le plus vite possible, en répondant aux questions de validation sans vraiment retenir quoi que ce soit. Ce constat, qui dure selon lui depuis plus de vingt ans, illustre un problème structurel : ces formations ne tiennent absolument pas compte de la façon dont le cerveau humain apprend et s’engage.

Mélissa confirme ce diagnostic. Lors de ses nombreux entretiens menés dans le cadre du projet Mindlock, elle a constaté que la cybersécurité est systématiquement perçue par les non-spécialistes comme un domaine austère, peu prioritaire et difficile d’accès. Les formations existantes s’attardent souvent sur l’aspect technique des attaques, mais abordent très peu comment nous, en tant qu’humains, fonctionnons — et surtout, comment nous commettons des erreurs.

Le facteur humain : le grand oublié de la cyberdéfense

L’un des fils conducteurs de l’entretien est la place centrale du facteur humain dans les cyberattaques. En s’appuyant sur des rapports comme celui du Forum économique mondial, Mélissa rappelle que la vaste majorité des cyberattaques sont liées à des erreurs humaines. Pourtant, les défenseurs ont longtemps misé presque exclusivement sur des solutions techniques, laissant de côté les expertises issues des sciences cognitives et de la psychologie.

Les attaquants, eux, ont depuis longtemps compris cette réalité. L’ingénierie sociale — l’art de manipuler les individus plutôt que de pirater des systèmes — repose précisément sur une connaissance fine des mécanismes psychologiques universels : l’urgence, la peur, l’autorité, la confiance. Ces « boutons » émotionnels sont exploités méthodiquement par des cybercriminels qui ne sont pas nécessairement des génies de la technique, mais qui savent, selon la formule savoureuse de Mélissa, « bien se f**re de la gueule du monde ».

Arrogance, humilité et vulnérabilité cyber

Un passage particulièrement marquant de la discussion porte sur le lien entre les traits de personnalité et la vulnérabilité aux attaques. Contrairement à l’idée reçue selon laquelle « seuls les naïfs se font avoir », Mélissa explique que l’arrogance est une vulnérabilité cyber à part entière. Une personne qui se croit à l’abri ne développe pas de vigilance ; elle se laisse porter par sa surconfiance et ne perçoit pas les signaux d’alerte. À l’inverse, une personne plus humble, capable de reconnaître ses limites, sera naturellement plus attentive à une situation inhabituelle — une demande anormalement urgente, par exemple.

Les états émotionnels comme la colère, la peur ou le sentiment d’urgence sont également des portes d’entrée exploitées par les attaquants, comme en témoignent les célèbres fraudes au président. Comprendre ces mécanismes, c’est commencer à s’en protéger.

L’empathie comme bouclier

La notion d’empathie occupe une place importante dans la vision de Mélissa. Souvent perçue comme une faiblesse ou une qualité purement relationnelle, l’empathie est en réalité, dans une perspective neuroscientifique, un outil puissant. L’ingénierie sociale en est d’ailleurs une forme détournée : les cybercriminels font preuve d’une empathie redoutable pour anticiper les réactions de leurs cibles. La réponse consiste donc à développer une empathie envers soi-même — comprendre ses propres réactions, ses biais, ses angles morts — afin de reconquérir un espace de discernement et de choix éclairé dans un environnement numérique de plus en plus fluide et automatisé.

Mindlock : mettre l’expertise du jeu vidéo au service de la sécurité

C’est dans ce contexte que s’inscrit le projet Mindlock, un jeu de sensibilisation à la cybersécurité centré sur le facteur humain. L’idée est d’appliquer au domaine de la sécurité les standards d’expérience utilisateur que Mélissa a développés au fil de sa carrière dans l’industrie du jeu vidéo, notamment dans la phase dite d’onboarding — la première heure de jeu, étudiée à la minute près pour maximiser l’engagement.

Mindlock ambitionne de rompre avec le modèle de la formation unique et générique distribuée une fois par an. Le cerveau ne construit pas de nouvelles habitudes en « one shot » : il lui faut de la récurrence, de la motivation et de la personnalisation. En s’inspirant des mécaniques de jeu et des connaissances issues des neurosciences, Mindlock vise une expérience à la fois intuitive, engageante et adaptée à chaque utilisateur — une expérience qui donne envie de revenir, non par obligation, mais parce qu’elle permet d’apprendre quelque chose sur soi-même.

Un enjeu de société

En toile de fond, la discussion soulève un enjeu beaucoup plus large : dans un monde désormais entièrement numérisé — accéléré par la pandémie de COVID-19 —, la cybersécurité est devenue une question citoyenne. Protéger son organisation, c’est aussi apprendre à se protéger soi et à protéger ses proches. Et face à l’essor de l’intelligence artificielle, le risque n’est pas seulement de se faire pirater, mais d’assister à une atrophie progressive de l’intelligence humaine, faute de l’exercer.

Le cerveau, première cible des pièges du numérique, est aussi, selon Mélissa, la protection la plus sous-exploitée qui soit. C’est ce pari que tente de relever Mindlock.

Notes Collaborateurs Crédits
PME - Vibe coding ou programmation à la bonne franquette - Parce que... c'est l'épisode 0x746!14 avr. 202600:18:21
Parce que… c’est l’épisode 0x746! Shameless plug Description Introduction

Dans cet épisode de PME, l’animateur reçoit Cyndie Feltz, Nicholas Milot et Dominique Derrier pour discuter du vibe coding — une tendance qui consiste à générer du code quasi entièrement à l’aide d’outils d’intelligence artificielle, souvent sans posséder de solides bases en développement. Le ton est décontracté, ponctué d’humour, mais le fond du propos est sérieux : si le vibe coding ouvre des portes fascinantes, il comporte aussi des risques bien réels, particulièrement en matière de sécurité et de maintenabilité.

L’analogie de la maison : séduisant mais fragile

Pour illustrer le concept, Cyndie propose une analogie percutante : imaginez construire une maison en se contentant de décrire vocalement ce qu’on veut — la couleur des murs, l’emplacement des fenêtres — sans aucune connaissance en construction. Le résultat visuel peut être bluffant, mais irait-on habiter cette maison ? Probablement pas, car personne n’a pensé aux normes antisismiques, aux règles du bâtiment, à la plomberie ou à l’électricité.

L’analogie tient parfaitement pour le développement logiciel : une application vibe codée peut avoir l’air fonctionnelle et même impressionnante en surface, tout en étant criblée de failles de sécurité, dépourvue de gestion des erreurs, et incapable de passer en production. Le rendu visuel crée une illusion de compétence qui peut être dangereuse si l’on n’a pas les bases pour évaluer ce qu’on a réellement construit.

Les cas d’usage légitimes

Les participants s’accordent néanmoins à reconnaître la valeur réelle du vibe coding dans certains contextes précis :

  • Les preuves de concept (POC) : pour valider rapidement une idée, démontrer la viabilité d’une fonctionnalité ou présenter un prototype à des parties prenantes, l’outil est fantastique. Il permet d’éviter de gaspiller des cycles de développement coûteux avant même de savoir si l’idée mérite d’être poursuivie.
  • Les outils internes : pour des scripts légers, des automatisations maison ou des utilitaires qui ne seront jamais exposés à des utilisateurs externes, le vibe coding offre une grande souplesse.
  • Les petits sites vitrines : créer une page web simple pour présenter une entreprise est un cas d’usage où les risques restent limités.

Nicholas souligne que le scénario change radicalement si c’est un expert qui utilise le vibe coding pour accélérer son travail plutôt qu’un non-initié qui s’y fie aveuglément. Un développeur expérimenté sait quelles questions poser, quelles contraintes intégrer dans ses prompts, et surtout quand le code généré est insuffisant ou dangereux.

Les risques concrets La sécurité, grande oubliée

Cyndie, qui œuvre dans le domaine de la sécurité, pointe plusieurs vulnérabilités typiques du vibe coding :

  • La gestion des secrets : une personne sans expérience va naturellement coller ses clés API (Stripe, GitHub, OpenAI) directement dans le code, sans comprendre que c’est une pratique catastrophique.
  • Les permissions excessives : si on fournit à l’agent IA un accès complet à une base de données, rien ne l’empêche de générer — et d’exécuter — une commande DROP TABLE. Il faut réfléchir aux moindres privilèges, ce qui requiert une connaissance du domaine.
  • Le contournement des protections : certains LLM, interrogés de la bonne façon, acceptent désormais de fournir des techniques pour bypasser des systèmes de sécurité (comme les EDR), voire d’écrire des preuves de concept malveillantes.
L’incident Amazon

Un exemple concret frappe les esprits : en février 2026, Amazon aurait subi une interruption de service d’environ 13 heures après qu’un employé a utilisé un outil de type Cursor (l’éditeur interne « Kiro ») pour supprimer et recréer des secrets et des connexions, mettant accidentellement AWS hors ligne. En réaction, Amazon a instauré une règle interne obligeant les développeurs juniors et intermédiaires à faire approuver leurs mises en production par un développeur senior — ce qui revient à admettre officiellement que l’expérience humaine reste indispensable.

La dette technique et la maintenabilité

Nicholas insiste sur un autre écueil : le code vibe codé est difficile à maintenir. Sans documentation adéquate, sans architecture réfléchie, le code généré par IA ressemble à du Perl écrit en une ligne — on ne comprend plus ce qu’on a fait quelques semaines plus tard. Plus l’application grossit, plus la gestion du contexte entre les différents agents IA devient complexe, et plus il faut investir dans des fichiers de documentation (Markdown, instructions de projet) pour garder le cap.

Les hallucinations de dépendances

Un autre cas inquiétant est évoqué : un LLM qui invente une dépendance npm inexistante. Des centaines de dépôts GitHub se sont retrouvés à référencer un package qui n’existe pas, parce que l’IA l’avait suggéré avec confiance. Au-delà du dysfonctionnement, le risque de sécurité est évident : si quelqu’un crée un vrai package malveillant portant ce nom, il serait automatiquement adopté par tous ces projets.

Le vibe coding comme exosquelette

La métaphore finale la plus juste est celle de l’exosquelette : le vibe coding décuple les capacités de ceux qui savent déjà marcher, mais ne remplace pas les jambes. L’humain reste central. L’IA accélère, automatise et débloque des possibilités nouvelles — mais elle ne remplace ni le jugement, ni l’expérience, ni la responsabilité.

La course à la vitesse pousse les entreprises à sacrifier la qualité et la sécurité, ce qui mène inévitablement à des échecs retentissants. Le consensus des panélistes : utiliser le vibe coding pour explorer et prototyper, puis confier la production à des processus rigoureux, idéalement guidés par des personnes qui comprennent ce qu’elles construisent.

Collaborateurs Crédits
Actu - 12 avril 2026 - Parce que... c'est l'épisode 0x745!13 avr. 202600:52:36
Parce que… c’est l’épisode 0x745! Préambule

Je suis en déplacement et je n’ai pas tous mes équipements habituels. Je n’ai pas encore trouvé l’équilibre entre la frugalité des choses que je mets dans ma valise et le maintien de la qualité de l’enregistrement.

Shameless plug Notes Collaborateurs Crédits
Spécial - Teaser ITSec - René-Sylvain Bédard - Parce que... c'est l'épisode 0x744!12 avr. 202600:19:11
Parce que… c’est l’épisode 0x744! Shameless plug Description Un événement communautaire au cœur de la cybersécurité québécoise

Dans cet épisode spécial, Nicolas-Loïc Fortin s’entretient avec René-Sylvain Bédard, un acteur bien connu de la communauté cybersécurité au Québec. Au menu : la conférence ITSec, ses origines, sa valeur, son thème de l’année, et les grandes réflexions que René-Sylvain s’apprête à y partager. Une conversation qui déborde rapidement sur des sujets plus larges, de l’intelligence artificielle à la gouvernance des données, en passant par le rôle des gestionnaires face aux défis de la cybersécurité.

ITSec : bien plus qu’une conférence technique

René-Sylvain décrit ITSec avec une affection non dissimulée. Impliqué depuis quatre ans, il qualifie l’événement de « grande messe » où se retrouvent professionnels de la cybersécurité et fournisseurs de services gérés (MSP) dans un esprit authentiquement communautaire. Ce qui le distingue des grands salons commerciaux, c’est précisément ce qu’il n’est pas : un show de vente. Ici, l’objectif est de partager la passion et les connaissances, pas de pousser des produits.

L’ambiance y est conviviale mais résolument technique. La première journée est consacrée à la formation, suivie d’un capture the flag en soirée. Un spectacle humoristique vient ensuite marquer la transition entre les deux jours, permettant de souffler avant de replonger dans le contenu. Ce format — deux jours ni trop longs ni trop courts — contribue à maintenir une énergie positive tout au long de l’événement.

Le parcours gestionnaire : amener le boss dans la salle

L’une des innovations les plus marquantes des dernières années est l’introduction du « parcours gestionnaire », né d’un constat simple : après les présentations, des participants venaient régulièrement dire à René-Sylvain qu’ils auraient voulu que leur supérieur entende ce qui venait d’être dit. De là est née l’idée du Bring Your Own Boss — une invitation directe faite aux professionnels TI d’amener leur dirigeant à la conférence.

Ce parcours, horizontal par nature, s’adresse à des gestionnaires issus de la TI, de la cybersécurité ou du monde MSP. L’objectif est d’assurer une « traduction » entre le langage technique des équipes et la réalité décisionnelle des dirigeants. Une initiative saluée par Nicolas-Loïc, qui souligne à quel point les grands événements comme le RSA contribuent parfois à brouiller les cartes en multipliant les annonces spectaculaires sans réelle valeur opérationnelle pour les praticiens.

Le thème 2025 : l’IA qui protège nos mondes numériques

Cette année, ITSec a choisi de centrer son édition autour de l’intelligence artificielle, non pas sous l’angle de la menace, mais sous celui de la protection. Le thème retenu — L’IA qui protège nos mondes numériques — ouvre une perspective rafraîchissante dans un paysage médiatique souvent dominé par les discours alarmistes. L’IA peut aussi être un bouclier, et ITSec entend démontrer comment.

La conférence d’ouverture sera assurée par Anne-Gwen, dont René-Sylvain anticipe qu’elle va « souffler tout le monde » avec une vision nouvelle du sujet. Par ailleurs, Microsoft animera une formation sur la gouvernance des données comme prérequis à l’adoption de l’IA — un rappel bienvenu que déployer Co-Pilot sans avoir structuré ses données en amont, c’est prendre le problème à l’envers. La formule est connue : garbage in, garbage out.

Gouvernance des données et sécurité : les deux faces d’une même pièce

La discussion s’étend naturellement à la question de la gouvernance dans les environnements Microsoft 365. René-Sylvain illustre l’enjeu avec un exemple parlant : si la sécurité de vos données dans M365 n’est pas bien configurée, votre IA héritera des mêmes lacunes. Un stagiaire pourrait ainsi se retrouver avec accès aux salaires de toute l’organisation — non pas parce que l’IA est mal paramétrée, mais parce que les fondations de sécurité n’ont jamais été posées correctement.

Cette réalité rejoint un problème plus large : la majorité des organisations déploient des outils d’IA générative sans avoir réalisé le travail préparatoire indispensable — nettoyage des données, gestion des accès, étiquetage (tagging). Un travail ingrat, invisible, mais absolument fondamental.

La démocratisation de la cybersécurité pour les gestionnaires

C’est le sujet que René-Sylvain s’apprête à aborder lors de sa présentation au parcours gestionnaire, en s’appuyant sur son livre en cours de publication. Son constat est sans appel : les outils technologiques de cybersécurité sont inutiles pour les dirigeants. Mettre une console Sentinel ou SentinelOne devant un gestionnaire — qu’il soit comptable, vendeur ou administrateur — ne produira aucun effet utile. 94 % d’entre eux, estime-t-il (et Nicolas-Loïc irait même jusqu’à 99 %), n’ont tout simplement pas les clés pour interpréter ce qu’ils voient.

La question qu’il soulève n’est donc pas technique, mais stratégique : quelle est la couche de traduction qui manque pour rendre la cybersécurité digestible à un décideur ? Comment lui donner une visibilité réelle sur ce que ses équipes font, sans le noyer dans des millions de signaux d’alerte qu’il ne peut pas interpréter ? C’est le fil conducteur de sa présentation, et manifestement, un débat qui promet d’être animé.

L’esprit de communauté comme moteur

En conclusion, les deux interlocuteurs s’accordent sur l’essentiel : ce qui nourrit les professionnels de la cybersécurité, c’est le contact avec d’autres expertises, la confrontation bienveillante des points de vue, les échanges informels autour d’un café. ITSec, comme d’autres événements communautaires, remplit ce rôle en sortant les participants de la bulle négative pour les ramener à leur passion première : la technologie. Et si quelques tomates sont jetées en chemin, c’est souvent le signe qu’on a touché quelque chose de vrai.

Notes
  • 20 au 22 avril 2026 - ITSec
    • Code rabais de 15%: Seqcure15
  • [ITSec - RenéSylvain Bédard] (https://it-sec.ca/schedule-speaker/rene-sylvain-bedard/)
Collaborateurs Crédits
Spécial - Teaser ITSec - Frédérik Bernard - Parce que... c'est l'épisode 0x743!11 avr. 202600:34:31
Parce que… c’est l’épisode 0x743! Préambule

L’enregistrement a été effectué à partir d’un lien Internet avec beaucoup de latence. J’ai corrigé du mieux que je peux.

Shameless plug Description Présentation de l’invité et de son entreprise

Frédérik Bernard est président fondateur de Secur01, une entreprise québécoise spécialisée en cybersécurité depuis 12 ans. Dès sa fondation, l’objectif était clair : rendre la cybersécurité accessible aux PME. Si les grandes entreprises bénéficiaient déjà depuis longtemps de services spécialisés dans ce domaine, ce n’est que depuis environ cinq ans que les PME commencent à prendre conscience de l’importance de se protéger. Secure 01 accompagne aujourd’hui plus d’une centaine de clients actifs au Canada, aux États-Unis et en Europe.

La cybersécurité, un domaine de spécialisation à part entière

L’un des fils conducteurs de l’échange est la transformation profonde du secteur des technologies de l’information. Dans les années 2000, « faire du TI » signifiait tout à la fois : réparer des ordinateurs, installer des imprimantes, maintenir des serveurs, développer des sites web. Aujourd’hui, ces disciplines se sont fragmentées, tout comme le multimédia s’est autrefois détaché du reste de l’informatique.

La cybersécurité suit exactement cette trajectoire. Les cadres de contrôle internationaux sont unanimes : les personnes qui gèrent les opérations TI au quotidien ne devraient pas être celles qui supervisent leur propre sécurité. La raison est simple et profondément humaine — on manque d’objectivité lorsqu’on évalue son propre travail. Frédérik Bernard fait le parallèle avec le monde du développement logiciel, où le contrôle qualité est depuis longtemps confié à des équipes distinctes de celles qui produisent le code.

L’analogie médicale qu’il propose est particulièrement parlante : demander à un médecin généraliste d’opérer un cerveau n’a aucun sens, aussi compétent et bien intentionné soit-il. La cybersécurité, c’est la neurochirurgie des systèmes d’information.

L’état du marché : moins d’attaques, mais plus dévastatrices

Les rapports de référence du secteur — CDW, Verizon DBIR et autres — convergent vers un constat préoccupant : si le nombre d’attaques a légèrement diminué ces dernières années, leur portée et leur criticité ont explosé. Les attaquants passent de plus en plus de temps sur les réseaux compromis avant d’être détectés — parfois 20, 30 ou 40 jours —, le temps d’exfiltrer des centaines de gigaoctets de données sensibles.

Ce constat est aggravé par une réalité de terrain que Frédérik Bernard rencontre régulièrement lors de réponses aux incidents : des équipes TI incapables de répondre à des questions élémentaires. À quoi sert tel serveur ? Quelles données y sont hébergées ? Quel est l’inventaire des machines actives sur le réseau ? Ces lacunes ne sont pas le résultat d’une mauvaise volonté, mais d’une surcharge chronique et d’un manque de spécialisation. Les équipes TI sont débordées, en retard de plusieurs semaines sur leurs projets, et la vague numérique post-COVID — télétravail, infonuagique, industrie 4.0 — n’a fait qu’amplifier cette pression.

L’intelligence artificielle : accélérateur, pas substitut

L’essor de l’IA dans le secteur est également abordé. Si les outils dopés à l’IA permettent effectivement de gagner du temps sur des tâches précises — comme l’analyse de journaux d’événements qui passait de 45 minutes à 2 minutes —, ils ne transforment pas pour autant un généraliste en expert de la cybersécurité. Entraîner un modèle à reconnaître des signaux d’alerte pertinents, le connecter à l’ensemble des sources de données d’un environnement, exige un investissement considérable en temps et en expertise. L’IA est un outil d’optimisation, pas une lampe magique.

Les enjeux réglementaires et juridiques, un terrain miné

La cybersécurité ne se joue pas seulement sur le plan technique. Frédérik Bernard soulève un point méconnu mais capital : au Québec, mener une réponse aux incidents — collecter des preuves, établir le récit d’une attaque — constitue légalement une activité d’investigation encadrée par la loi sur la sécurité privée. Seules les agences de sécurité privée disposant d’enquêteurs accrédités sont habilitées à exercer ces activités. De nombreux prestataires TI l’ignorent et s’y aventurent sans le savoir, s’exposant à des risques juridiques sérieux.

Il cite un cas concret : un fournisseur TI ayant effacé toutes les preuves en débranchant physiquement les équipements lors d’une attaque par rançongiciel, puis rédigé un rapport désignant un tiers comme responsable, sans la moindre preuve. Le dossier s’est judiciarisé. Ce type de situation illustre à quel point l’absence de cadre professionnel peut nuire aux clients comme à l’ensemble de l’industrie.

Vers une association professionnelle et un ordre professionnel

C’est précisément pour répondre à ces dérives que l’association ITSec a été relancée avec une ambition politique claire : créer les conditions nécessaires à l’établissement d’un ordre professionnel en TI et en cybersécurité au Québec. L’objectif n’est pas de bureaucratiser le secteur, mais de lui donner les outils pour se défendre collectivement — un code de déontologie, des lignes directrices partagées, une voix crédible auprès des décideurs politiques et des médias.

Le « beau frère » — cette figure du pseudo-expert qui branche une caméra sans fil et se proclame directeur TI — ne disparaîtra que lorsque l’industrie aura la capacité institutionnelle de dire « non » et de faire valoir ce qu’elle représente réellement : le Québec numérique, tenu à bout de bras, en coulisses, par des professionnels dont le travail reste largement invisible.

Frédérik Bernard interviendra à deux reprises lors de la conférence ITSec. Le public est invité à assister à ses présentations pour approfondir ces sujets.

Notes
  • 20 au 22 avril 2026 - ITSec
    • Code rabais de 15%: Seqcure15
  • [ITSec - Frédérik Bernard] (https://it-sec.ca/schedule-speaker/frederik-bernard/)
Collaborateurs Crédits
Teknik - EvilTokens - Parce que... c'est l'épisode 0x742!10 avr. 202600:30:56
Parce que… c’est l’épisode 0x742! Préambule

Ma connexion Internet de l’hôtel où j’étais avait une latence insoutenable. J’ai tenté de retirer le awkward des pauses entre les interactions, mais ce n’est pas parfait.

Shameless plug Description Introduction

Dans cet épisode, l’animateur s’entretient avec Quentin Bourgue, chercheur en cybersécurité, au sujet d’un rapport récemment publié sur EvilTokens, un nouveau kit de phishing as a service (PhaaS) qui marque un tournant significatif dans le paysage des cybermenaces. Le sujet est présenté d’emblée comme particulièrement préoccupant, l’animateur confiant avoir eu « froid dans le dos » à la lecture des conclusions de l’analyse.

Qu’est-ce qu’EvilTokens ?

EvilTokens est un service de phishing découvert début mars 2026 lors d’une veille menée sur un canal Telegram spécialisé dans la fraude et le phishing. L’opérateur a développé un kit clé en main qu’il loue à des affiliés selon un modèle de souscription mensuelle — un modèle dit phishing as a service.

Ce qui distingue immédiatement ce kit de ses concurrents, c’est sa technique d’attaque : le phishing par device code, plutôt que le phishing par adversary-in-the-middle (AiTM) qui prédomine dans la majorité des plateformes PhaaS existantes.

Le phishing par device code : une technique jusque-là réservée aux élites

Le phishing par AiTM consiste à s’intercaler entre la victime et le service d’authentification pour récupérer un cookie de session. Le phishing par device code fonctionne différemment : l’attaquant initie lui-même une demande d’autorisation pour un appareil virtuel — une méthode normalement conçue pour les smart TV ou les objets connectés — puis demande à la victime de compléter cette autorisation. Toutes les étapes s’effectuent sur les domaines légitimes de Microsoft, ce qui rend la détection bien plus difficile.

À l’issue du processus, l’attaquant ne récupère pas un simple cookie de session, mais deux jetons Microsoft :

  • Un access token, valable 60 à 90 minutes, donnant accès à des services comme Outlook, SharePoint, OneDrive, Microsoft Teams ou l’API Microsoft Graph.
  • Un primary refresh token, permettant de maintenir un accès persistant pendant 90 jours.

Avant EvilTokens, cette technique était réservée à des acteurs sophistiqués : groupes étatiques ou cybercriminels avancés. Le fait qu’elle soit désormais packagée dans un service accessible à des attaquants peu qualifiés représente un saut qualitatif majeur dans la menace.

Un modèle économique structuré et professionnel

Le kit est distribué entièrement via Telegram. L’opérateur a mis en place un bot pour automatiser les souscriptions, des canaux pour promouvoir les nouvelles fonctionnalités, et un système de support client. Le paiement s’effectue en cryptomonnaies via un service nommé Payment Now.

La tarification est significativement plus élevée que les offres concurrentes :

  • 1 500 dollars pour accéder au panneau d’administration,
  • 500 dollars par mois pour les pages de phishing opérationnelles,
  • soit 2 000 dollars le premier mois.

Ce prix s’explique par les fonctionnalités avancées de post-compromission, notamment l’automatisation augmentée par l’intelligence artificielle — qui constitue sans doute l’innovation la plus redoutable du kit.

La post-compromission automatisée par l’IA : le vrai saut technologique

Une fois les jetons en main, l’attaquant peut déclencher une phase de reconnaissance automatisée via des requêtes à l’API Microsoft Graph. En quelques clics, il récupère : les emails de la victime, ses contacts, son calendrier, ses dossiers, et même sa position hiérarchique dans l’organisation (manager, subordonnés).

Toutes ces données sont ensuite consolidées sur l’infrastructure d’EvilTokens, puis analysées par deux modèles d’intelligence artificielle via un service nommé Groq (avec un Q, distinct du Grok d’Elon Musk) :

  1. Groq Llama 3.8B analyse les emails par lots de 250 pour identifier les activités financières.
  2. Groq Llama 3.3 70B consolide les analyses, génère un score de fraude potentielle, et rédige automatiquement trois emails de compromission (BEC) prêts à l’envoi, injectés dans des fils de conversation existants pour maximiser leur crédibilité.

Une fonction de traduction via l’API d’OpenAI permet également de traiter les boîtes mail dans d’autres langues que l’anglais.

Ce qui prenait auparavant plusieurs heures, voire plusieurs jours de reconnaissance manuelle se fait désormais en quelques minutes, avec un niveau de contextualisation bien supérieur à ce qu’un attaquant humain pouvait atteindre seul.

Un code probablement généré par IA

L’analyse du code JavaScript d’EvilTokens a conduit Quentin Bourgue à estimer qu’il a été vibe-codé, c’est-à-dire généré en grande partie par un outil d’IA générative. Plusieurs indices le suggèrent : tout le code tient dans un seul fichier, les commentaires sont très soignés et sans fautes, des emojis apparaissent dans le code, et certaines fonctions semblent mortes ou non fonctionnelles — caractéristiques fréquentes des sorties LLM.

Conséquences et mesures de remédiation

EvilTokens préfigure une évolution rapide de l’ensemble de l’écosystème PhaaS. Déjà, des concurrents comme Kratos et Tycoon ont commencé à intégrer le phishing par device code. Il est probable que les fonctionnalités d’automatisation par IA se répandent dans la majorité des plateformes concurrentes dans les mois à venir.

Pour les entreprises, les recommandations sont les suivantes :

  • Bloquer l’autorisation par device code dans les politiques d’accès conditionnel, ou en restreindre l’usage à un sous-ensemble précis d’utilisateurs si des cas métier légitimes l’exigent (salles de réunion connectées, IoT).
  • Sensibiliser les employés à risque — particulièrement ceux liés aux activités financières — à ce type de phishing et aux tentatives de fraude par compromission de messagerie professionnelle (BEC).
Conclusion

EvilTokens représente une convergence inédite entre phishing avancé, automatisation et intelligence artificielle, mise à la portée d’attaquants peu expérimentés. La vitesse et la précision des attaques que ce kit permet rendent la détection et la réponse aux incidents encore plus critiques pour les organisations. Une menace à surveiller de très près.

Notes Collaborateurs Crédits
H'umain - Pourquoi LinkedIn me fait sentir aussi mal? - Parce que... c'est l'épisode 0x741!09 avr. 202600:45:18
Parce que… c’est l’épisode 0x741! Shameless plug Description Un retour inattendu sur une plateforme paradoxale

Cet épisode du podcast Sécure réunit deux anciens connaissances, Gabrielle Thibault-Delorme et son interlocuteur, qui se sont retrouvés par hasard grâce à un article publié sur LinkedIn — ce qui constitue en soi une ironie savoureuse étant donné le sujet de leur conversation. Avant même d’appuyer sur « enregistrer », ils ont jasé pendant plus d’une heure dans un café, rappelant au passage qu’une rencontre dans le vrai monde reste, malgré tout, la forme de connexion la plus naturelle et la plus riche.

LinkedIn : une plateforme de performance déguisée en réseau professionnel

Gabrielle a récemment vécu un changement de carrière majeur : après quinze ans dans les médias, le journalisme et le marketing, elle a choisi de devenir massothérapeute. C’est dans ce contexte de transition professionnelle qu’elle s’est retrouvée aspirée, presque malgré elle, dans le fil d’actualité de LinkedIn. L’expérience a été psychologiquement éprouvante : au moment précis où elle se trouvait dans un « no man’s land » entre deux carrières, elle était bombardée de publications célébrant des promotions, des équipes « en feu » et des lancements de marque triomphants.

Ce contraste a mis en lumière un des malaises fondamentaux de la plateforme. LinkedIn n’est pas un réseau de connexion authentique : c’est un espace de performance de soi. Chaque publication devient une mise en scène, un acte de marketing personnel. Le vocabulaire y est codifié — on est toujours « dynamique », toujours « résilient », toujours en croissance. Même les récits d’échec y sont systématiquement assortis d’un spin positif, d’une leçon tirée, d’un rebond annoncé. L’échec pur et simple, sans morale édifiante, n’a pas sa place. Or, comme le souligne Gabrielle, des fois une mauvaise nouvelle, c’est juste une mauvaise nouvelle — et la forcer dans un cadre de croissance personnelle ne fait qu’amplifier le sentiment d’isolement de ceux qui traversent des moments difficiles.

La fausse positivité et ses effets pervers

La conversation aborde deux phénomènes particulièrement irritants sur LinkedIn : le compliment biaisé et la fausse humilité. Dans les deux cas, il s’agit de formes de communication dissonantes où le message réel est enveloppé dans un vernis de bienveillance qui sonne creux. L’échec n’y sert que de tremplin narratif pour mieux vendre sa réussite. Cette positivité performative, amplifiée depuis l’arrivée de ChatGPT et la multiplication des emojis automatisés, vide progressivement les échanges de leur substance humaine.

Ce contexte est d’autant plus problématique que LinkedIn est souvent consulté à des moments de vulnérabilité — lors d’une recherche d’emploi, d’un burnout, d’une réorientation professionnelle. C’est précisément quand on est le moins bien dans sa peau qu’on se retrouve confronté à un flux ininterrompu de succès affichés. Le poids psychologique de cet écart entre la réalité vécue et l’image projetée par les autres est réel et sous-estimé.

Un réseau qui tient rarement ses promesses

Sur le plan concret, LinkedIn déçoit également. La plateforme promet du réseautage et des opportunités d’emploi, mais les deux interlocuteurs s’accordent à dire que le retour sur investissement est maigre. Les notifications de visites de profil créent une illusion d’attention qui ne se traduit presque jamais en contact réel. Pire encore, savoir que cinquante personnes ont consulté son profil sans laisser de message peut tout aussi bien être vécu comme cinquante rejets silencieux.

Pour trouver du travail, les sites d’emploi traditionnels et le réseau réel restent bien plus efficaces. La bonne vieille lettre de motivation — et un profil Facebook sans photo embarrassante — l’emporte souvent sur un profil LinkedIn soigné. La reconnexion entre Gabrielle et son interlocuteur, facilitée par LinkedIn, est ouvertement décrite comme une heureuse exception, pas comme la norme.

Reddit : l’anonymat comme espace d’humanité

En contraste frappant avec LinkedIn, la discussion se tourne vers Reddit, que Gabrielle fréquente assidûment. Structuré autour de communautés thématiques, basé sur l’écriture et l’anonymat, Reddit offre un espace où les gens parlent de vrais problèmes — maladies, séparations, deuils — sans avoir à les habiller d’un spin positif. L’anonymat, loin d’être un vecteur systématique de toxicité, devient ici un outil de liberté et d’authenticité. Les gens y confient des choses qu’ils ne diraient jamais à visage ouvert, précisément parce qu’ils n’ont pas d’image professionnelle à protéger.

La plateforme n’est pas sans défauts — les chambres d’écho, les communautés toxiques et les mouvements extrémistes y ont aussi trouvé terreau fertile — mais son modèle de modération par communauté et son filtrage par pertinence plutôt que par polémique en font un espace plus propice à la vraie connexion.

Le vrai monde comme horizon

La conclusion naturelle de cet échange revient à ce qui a rendu la conversation elle-même possible et agréable : deux personnes dans un café, avec du non-verbal, de la chaleur humaine, et l’impossibilité d’ouvrir quatre onglets en parallèle. Les réseaux sociaux, dans leur forme actuelle, sont devenus des bazars numériques où tout coexiste pêle-mêle — tribunes, portfolios, confessions, haine, validation — sans jamais vraiment remplir leur promesse originelle de créer du lien.

Ce lien, rappellent-ils tous les deux, se construit encore dans le vrai monde, en se montrant dans son humanité imparfaite, sans masque ni mise en scène.

Notes Collaborateurs Crédits
Spécial - Gestion de crise - Parce que... c'est l'épisode 0x740!08 avr. 202600:33:47
Parce que… c’est l’épisode 0x740! Shameless plug Description Enquête vs gestion de crise : deux mondes opposés

Dans cet épisode, Nicolas reçoit Christophe pour approfondir un sujet évoqué lors d’une conversation précédente sur les enquêtes en cybersécurité : la gestion de crise. Si l’enquête s’inscrit dans un cadre ordonné — parfois judiciaire — où l’on dispose du temps, des outils et de la rigueur nécessaires pour reconstituer les faits, la gestion de crise, elle, est son exact opposé. Écrans qui clignotent, téléphones qui sonnent dans tous les sens, experts épuisés, informations incomplètes et décisions à prendre dans l’urgence : voilà le quotidien du gestionnaire de crise. Christophe résume bien cette dualité en parlant du brouillard de la guerre (fog of war) : on avance dans l’incertitude, on ajuste ses hypothèses au fur et à mesure que la réalité se révèle, sans jamais avoir toutes les cartes en main.

La complexité humaine au cœur de la crise

L’un des points les plus saillants de l’épisode est que la gestion de crise dépasse largement le seul volet technique. Elle constitue avant tout un test de maturité collective, qui mobilise des équipes venues de tous horizons : juridique, communication, ressources humaines, logistique. Or ces acteurs n’ont pas nécessairement de culture cyber, ce qui crée des frictions importantes. Un terme mal compris, une information mal transmise — et c’est déjà plusieurs heures de perdues à des clarifications qui auraient pu être évitées grâce à une sensibilisation préalable.

Christophe souligne également le biais de transmission : dans un contexte de stress intense, un message se dégrade à chaque relais humain. Une information déjà incertaine à la source devient encore moins fiable après plusieurs mains. C’est pourquoi le rôle du gestionnaire de crise est d’agir comme un filtre, en s’assurant que seules les informations vérifiées et pertinentes circulent, tant en interne qu’en externe.

La communication de crise, une discipline à part entière

Les deux interlocuteurs insistent sur le fait que la communication de crise ne s’improvise pas, et ne ressemble en rien à la communication marketing habituelle. Vouloir « lisser » un message ou rassurer trop tôt peut s’avérer catastrophique — notamment face aux réseaux sociaux, qui amplifient immédiatement toute contradiction entre le discours officiel et la réalité sur le terrain.

Pire encore : communiquer prématurément sur les actions de remédiation en cours, c’est potentiellement informer les attaquants — qui peuvent très bien observer les communications publiques — de ce que l’organisation est en train de faire. Dans certains cas, il peut même être stratégique d’orienter délibérément les communications pour leurrer des attaquants encore présents dans le système. Cette dimension tactique de la communication exige des spécialistes formés à la crise, pas de simples communicants.

Le rôle du gestionnaire de crise : chef d’orchestre, pas omniscient

Christophe décrit le gestionnaire de crise comme un chef d’orchestre : il ne joue pas de tous les instruments lui-même, mais il sait qui doit intervenir, à quel moment, et pour combien de temps. Son rôle n’est pas de détenir la vérité, mais de poser les bonnes questions — qu’est-ce qui fonctionne encore ? Que s’est-il passé hier ? Quel est l’état des équipes ? — afin que les experts puissent lever progressivement le brouillard.

Une erreur classique en début de crise est de vouloir annoncer une conclusion trop tôt. Présenter une hypothèse comme une certitude fige la réflexion collective et ralentit la résolution, car il devient très difficile de revenir en arrière sur ce qui est perçu comme une « vérité ». Les premières heures doivent servir à collecter des informations, pas à trancher.

Il faut aussi savoir gérer la hiérarchie : certains managers, habitués à piloter leurs équipes au quotidien, peuvent parasiter la gestion de crise. Le gestionnaire doit parfois avoir le courage de les écarter temporairement pour laisser les experts s’exprimer sans pression.

Préparer la crise avant qu’elle n’arrive

Un autre fil conducteur de l’épisode est l’importance de la préparation en amont. Avoir une cartographie du système d’information à jour, des annuaires de contacts valides, des templates de communication prêts, des prestataires externes identifiés, des salles de crise définies avec des moyens de communication de secours : tout cela peut faire gagner des heures précieuses le jour J. À l’inverse, une documentation obsolète contraint les équipes — internes comme externes — à perdre un temps irrémédiable à reconstituer l’existant, comme on tenterait de soigner un inconnu sans connaître ses antécédents médicaux.

Crise vs urgence : ne pas confondre les deux

Christophe propose une distinction utile entre urgence et crise. L’urgence, c’est une situation difficile mais connue, documentée, pour laquelle on s’est entraîné : on sait quoi faire, il faut juste le faire vite. La crise, en revanche, est par définition imprévisible, non documentée, inédite. L’objectif n’est pas de résoudre la crise d’un coup, mais de la faire redescendre au niveau de l’urgence — un état maîtrisable, moins épuisant pour les équipes.

Conclusion : aller jusqu’au bout du traitement

L’épisode se clôt sur une métaphore médicale : tout comme un patient qui interrompt son traitement trop tôt parce qu’il se sent mieux risque une rechute, une organisation qui déclare la crise terminée avant d’avoir complètement éradiqué la menace s’expose à une reprise. La vigilance doit se maintenir bien après le retour apparent à la normale — et c’est là toute la subtilité d’une bonne gestion de crise.

Collaborateurs Crédits
PME - Shadow IA - Parce que... c'est l'épisode 0x739!07 avr. 202600:18:14
Parce que… c’est l’épisode 0x739! Shameless plug Description Contexte et ton de l’épisode

Cet épisode spécial PME du podcast P-Secure réunit trois invités : Dominique Derrier, Nicolas Milot et Cyndie Fletz. L’ambiance est décontractée, avec quelques taquineries adressées à Dominique, qui avait raté le rendez-vous précédent. L’épisode fait suite à une discussion sur le Shadow IT en général, et se concentre cette fois-ci exclusivement sur le Shadow AI — un sujet qui suscite un intérêt croissant, autant chez les utilisateurs que chez les équipes de sécurité informatique.

D’emblée, les trois participants rappellent qu’ils ne se présentent pas comme des experts absolus : le domaine est si récent et évolue si vite que les opinions exprimées reflètent l’expérience du moment. Ce qui est vrai aujourd’hui pourrait être caduc dans un an.

Qu’est-ce que le Shadow AI ?

Pour rappeler les bases, le Shadow IT désigne l’ensemble des outils et logiciels installés ou utilisés par les employés sans que le département informatique en ait connaissance ou contrôle. Le Shadow AI en est la déclinaison moderne : il s’agit de l’utilisation non encadrée d’outils d’intelligence artificielle — comme ChatGPT, Claude (Anthropic), Microsoft Copilot ou d’autres — dans le cadre professionnel, que ce soit via des abonnements personnels, des accès navigateur ou des outils non approuvés par l’entreprise.

Pourquoi c’est inévitable

L’un des points centraux de la discussion est que le Shadow AI ne peut pas être simplement interdit. Les participants font une analogie parlante : tenter de bloquer l’usage de l’IA dans une entreprise, c’est comme penser qu’un adolescent va vous obéir dès que vous avez le dos tourné. Les employés qui souhaitent utiliser ces outils trouveront toujours un moyen de le faire — via leur téléphone personnel, leur propre abonnement cloud ou leur ordinateur à domicile.

La réalité, c’est que l’IA apporte une réelle valeur ajoutée : productivité accrue, autonomie renforcée, gain de temps sur des tâches répétitives. Nier cela ou l’interdire en bloc, c’est passer à côté d’une opportunité et pousser les employés vers des comportements encore moins contrôlés.

Les risques concrets pour les PME

Si les bénéfices sont réels, les risques le sont tout autant. Les intervenants en dressent une liste :

  • La fuite de données confidentielles : les employés peuvent, parfois involontairement, copier-coller des informations sensibles dans un outil d’IA public. La frontière entre une utilisation prudente et un transfert non voulu d’informations est mince.
  • Les MCP (Model Context Protocol) : ces connecteurs permettent de lier un modèle d’IA à des outils externes. Si leur usage n’est pas encadré, ils représentent une porte d’entrée potentielle pour des logiciels malveillants, même lorsque l’entreprise a approuvé un fournisseur d’IA spécifique.
  • La mauvaise configuration des outils : contrairement à un logiciel d’entreprise classique, beaucoup d’outils d’IA sont accessibles directement via un navigateur, sans passer par le département IT. Le contrôle est donc structurellement plus difficile.
  • Le faux sentiment de toute-puissance : les LLM peuvent donner aux utilisateurs l’impression d’avoir accès à une connaissance infaillible. Or, les modèles hallucinent, se trompent, et peuvent générer des rapports erronés sur lesquels des décisions d’entreprise seront prises. Un exemple évoqué dans l’épisode : une entreprise qui, pendant des mois, a fondé ses décisions sur des rapports générés par une IA sans jamais les vérifier — et qui s’est retrouvée avec des données complètement fausses.
Le rôle de l’équipe IT : des garde-fous, pas des gardiens

Une question intéressante est soulevée : qui est responsable du Shadow AI dans une entreprise ? La réponse est claire : ce ne peut pas être uniquement le département IT. Celui-ci peut mettre en place des garde-fous techniques, mais les décisions stratégiques — quels outils autoriser, dans quel cadre, avec quelles politiques — doivent venir d’un niveau hiérarchique plus élevé, impliquant la direction et les ressources humaines.

L’IT est un exécutant de mesures de sécurité, pas le seul décideur d’une politique d’usage de l’IA.

Recommandations pratiques pour les PME

Les trois invités convergent vers plusieurs recommandations concrètes :

  1. Dialoguez avec vos employés avant d’écrire des politiques. Comprenez pourquoi ils utilisent ou voudraient utiliser l’IA, ce qu’ils espèrent en tirer, et intégrez-les dans la réflexion.

  2. Fournissez les outils vous-mêmes. Comme pour les gestionnaires de mots de passe, si vous souhaitez que les employés utilisent des outils sécurisés, donnez-leur accès à des licences approuvées. Sinon, ils se débrouilleront avec des alternatives gratuites ou personnelles.

  3. Ne montez pas votre propre LLM. Pour une PME, construire son propre modèle de langage local serait extrêmement coûteux et peu pertinent. Mieux vaut s’appuyer sur des fournisseurs existants, en choisissant ceux dont les pratiques éthiques et de sécurité sont les plus solides.

  4. Adaptez la politique au profil de risque. Une entreprise avec des développeurs techniques aura besoin d’une politique plus stricte qu’une PME de services dont les employés n’utilisent que le volet conversationnel de l’IA. Idem pour les secteurs réglementés comme le droit, où l’IA est utile pour la recherche générale mais ne doit jamais recevoir de données personnelles de clients.

  5. Éduquez et sensibilisez. Rappelez aux employés que l’IA n’est pas magique : elle se trompe, elle ne remplace pas l’expertise humaine, et elle doit être supervisée. L’image du stagiaire est utilisée : capable de beaucoup de choses, mais qui a besoin d’être bien briefé, encadré et vérifié.

Conclusion

L’épisode se termine sur un message d’équilibre : ni interdire, ni laisser faire sans garde-fous. L’IA est là, elle est utile, et les employés l’utiliseront de toute façon. Le rôle des entreprises — et notamment des PME — est d’en faire un usage contrôlé, éduqué et raisonné, en transmettant aux employés les bons réflexes pour minimiser les risques. Un peu comme avec des adolescents : on ne peut pas tout contrôler, mais on peut inculquer des comportements responsables.

Collaborateurs Crédits
Actu - 5 avril 2026 - Parce que... c'est l'épisode 0x738!06 avr. 202600:38:44
Parce que… c’est l’épisode 0x738! Shameless plug Notes Collaborateurs Crédits
Teknik - Trivy... part 2 ou comment le supply chain est LE vecteur - Parce que... c'est l'épisode 0x737!04 avr. 202600:42:27
Parce que… c’est l’épisode 0x737! Shameless plug Description Contexte et rappel de l’épisode précédent

Dans cet épisode technique, l’animateur reçoit à nouveau François Proulx pour faire le point sur une cyberattaque majeure dont les développements ont explosé depuis leur dernière conversation. L’épisode précédent portait sur une première attaque contre Trivy, un outil d’analyse de sécurité open source développé par l’entreprise israélienne Aqua Security. Trivy est massivement utilisé par de grandes entreprises pour inventorier les composants open source d’un projet (SBOM) et identifier les vulnérabilités associées (CVE). C’est précisément cette popularité qui en a fait une cible de choix.

La deuxième vague : une réponse aux incidents incomplète

À peine 20 jours après l’attaque initiale de fin février, Trivy a été compromis une seconde fois. La raison : Aqua Security n’avait pas révoqué la totalité des jetons d’accès (tokens) lors de sa réponse aux incidents. L’entreprise a attendu plusieurs jours avant de faire appel à une firme externe (Mend), ce qui lui a valu des critiques. Dans leur communiqué, ils ont admis avoir oublié de révoquer un token — et pas n’importe lequel : il s’agissait d’un token encore plus privilégié que celui utilisé lors de la première attaque, donnant accès à des dépôts privés internes contenant potentiellement de la propriété intellectuelle sensible.

Cette deuxième attaque a été encore plus dévastatrice : non seulement Trivy a été empoisonné à nouveau, mais les GitHub Actions associées — des composants permettant d’intégrer Trivy dans des pipelines CI/CD — ont également été corrompues, y compris les versions antérieures. Ainsi, des organisations qui croyaient utiliser une version sûre et ancienne se sont retrouvées exposées sans le savoir.

Une propagation en cascade

Le vecteur initial était une vulnérabilité dans un workflow GitHub Actions du dépôt de Trivy, simple à exploiter mais peu connue. Les attaquants ont obtenu un token leur permettant de compiler et distribuer une version malveillante de Trivy sur les registres officiels — sans modifier le code source visible, ce qui rendait la détection plus difficile.

Lorsque Trivy s’exécutait dans le pipeline CI/CD d’une entreprise victime, il agissait comme un info stealer : il exfiltrait les secrets et tokens présents dans l’environnement d’exécution. Ces tokens volés ont ensuite servi à compromettre d’autres projets, créant une chaîne de contamination à plusieurs niveaux :

  • Premier ordre : Trivy lui-même, compromis chez Aqua Security.
  • Deuxième ordre : les entreprises utilisant Trivy dans leurs pipelines, dont Checkmarx, un autre outil de sécurité applicative.
  • Troisième ordre : des projets open source très populaires comme LiteLLM, une bibliothèque d’interfaçage avec des API de modèles de langage (LLM), dont le mainteneur semble avoir été compromis directement via son poste de travail.

Environ 72 heures après l’attaque, des entreprises ont commencé à signaler publiquement que leurs tokens avaient été exfiltrés et réutilisés contre elles.

Les attaquants se dévoilent

Durant le week-end du 20 mars, le groupe responsable s’est révélé sur Twitter sous le nom Team PCP, en défaçant des dépôts GitHub pour prouver leurs accès. Ils ont ensuite établi des partenariats avec des groupes spécialisés dans les rançongiciels pour monétiser les accès obtenus — une évolution logique pour des acteurs en possession de téraoctets de secrets volés.

Le FBI a officiellement nommé ce groupe et demandé à toutes les entreprises américaines victimes de déposer plainte. Selon François Proulx, le profil comportemental des attaquants — messages puérils, communication sur Telegram, manière de se vanter publiquement — laisse fortement penser qu’il s’agit d’adolescents, probablement situés hors du territoire américain, ce qui complique les poursuites.

Pour entraver les équipes de réponse aux incidents, les attaquants ont utilisé des centaines de comptes GitHub légitimes achetés sur le marché noir (probablement issus de logs d’info stealers) pour inonder les fils de discussion d’incidents avec des commentaires génériques automatisés, rendant toute coordination difficile.

Le problème structurel des dépendances transitives

François Proulx soulève un enjeu critique lié à l’écosystème npm : la façon dont les contraintes de version sont définies dans les fichiers package.json. Lorsqu’une dépendance est déclarée de manière vague (ex. : axios: ^1.x), une mise à jour de routine peut automatiquement introduire une version compromise sans que le développeur s’en rende compte. La bibliothèque Axios, extrêmement populaire, a notamment été touchée dans cette attaque.

Même avec un fichier de verrouillage (lock file), le risque n’est pas nul : une alerte de hash incohérent pourrait être ignorée ou, pire, conduire un développeur à régénérer le lock file en gelant ainsi la version malveillante.

Ce que les développeurs peuvent faire

François Proulx recommande deux mesures concrètes :

  1. Utiliser des outils de vérification en temps réel qui interceptent les téléchargements de composants npm ou PyPI pour les comparer à des listes de composants malveillants mises à jour plusieurs fois par heure.
  2. Adopter une période de gel (cool-off period) avant d’utiliser une nouvelle version d’une dépendance, afin de laisser à la communauté le temps de détecter d’éventuels problèmes.

Il mentionne également Bagle, leur propre outil open source d’analyse locale, qui permet de détecter des secrets mal stockés sur un poste de travail (variables d’environnement, fichiers temporaires, etc.) sans rien envoyer à l’extérieur.

Conclusion

Au moment de l’enregistrement, le 2 avril, l’attaque était toujours en cours. Une grande partie des victimes ne sait même pas encore qu’elle a été compromise. Les semaines à venir risquent de révéler l’ampleur réelle des dégâts, notamment via les dépendances transitives. Cet épisode illustre à quel point la sécurité de la chaîne d’approvisionnement logicielle reste largement sous-estimée — et que ce réveil collectif, bien que douloureux, était peut-être nécessaire.

Notes Collaborateurs Crédits
Teknik - Survol de S3NS et le cloud souverain - Parce que... c'est l'épisode 0x736!03 avr. 202600:35:52
Parce que… c’est l’épisode 0x736! Préambule

Nous sommes à la Cage durant un match des Canadiens. Le bruit ambiant a fait que nous parlons en “criant”, pour nous entendre. Le lendemain, je n’avais plus de voix.

Shameless plug Description Introduction et mise en contexte

Dans cet épisode spécial, l’animateur reçoit Nicolas Bédard, un expert en infonuagique qui a évolué chez Google avant de rejoindre Palo Alto Networks. Le prétexte de l’épisode est concret : Nicolas s’apprête à se rendre à Paris pour participer à la grande conférence de S3NS, une entreprise issue d’un partenariat franco-américain au cœur de la souveraineté numérique en France. C’est l’occasion idéale pour aborder un sujet devenu incontournable, alors qu’il était encore marginal il y a quelques années seulement.

S3NS : la franchise numérique franco-américaine

Pour expliquer le modèle de S3NS, Nicolas utilise une analogie parlante : celle de la franchise de restauration rapide. Comme un franchisé de McDonald’s ou Tim Hortons qui investit dans son propre établissement tout en appliquant la recette du franchiseur, S3NS est une entreprise majoritairement détenue par le groupe français Thales, qui a obtenu de Google le « livre de recettes » de son infrastructure infonuagique — tant sur le plan matériel (serveurs, stockage, réseau) que logiciel (les services Google Cloud).

S3NS propose deux offres distinctes :

  • Cryptance : une couche de souveraineté appliquée directement sur l’infrastructure de Google Cloud. Les charges de travail (workloads) sont placées dans un dossier (folder) auquel sont attachées des règles de gouvernance strictes — notamment des clés de chiffrement gérées par S3NS — garantissant que les données demeurent sur le territoire français.

  • Prémiance : un niveau supérieur, où Thales et Google ont co-construit des centres de données physiques en France. Ces infrastructures, propriété de S3NS, utilisent l’architecture de Google Cloud mais sont opérées de façon indépendante. Prémiance est certifiée SecNumCloud, la norme française de cybersécurité gérée par l’ANSSI, ce qui constitue une validation rigoureuse issue de plusieurs années d’expérimentation sur le terrain.

La force des règles technologiques

Un point central de la discussion porte sur la nature même des règles technologiques : contrairement aux règles entre humains, qui peuvent être interprétées, négociées ou contournées, les règles appliquées par une machine sont absolues. Nicolas illustre cela avec une anecdote personnelle : lors d’un projet pilote, des parties prenantes avaient exigé l’application de règles strictes, malgré ses mises en garde. En moins de 24 heures, le projet avait été abandonné parce que les participants ne pouvaient tout simplement pas « tolérer » des règles que la machine appliquait sans compromis.

Cette rigidité est précisément ce qui rend la souveraineté numérique crédible. Le chiffrement, par exemple, ne se négocie pas : sans la clé détenue par l’entité française, même un acteur américain ne peut accéder aux données. Les craintes liées au Cloud Act américain, souvent agitées dans le débat public, se heurtent à cette réalité technique implacable.

Le rôle de Palo Alto Networks

Palo Alto Networks s’intègre dans cet écosystème parce que les clients qui migrent vers un cloud souverain s’attendent à retrouver les outils de sécurité qu’ils utilisaient dans leurs environnements traditionnels. Quatre produits de Palo Alto sont particulièrement concernés, tous basés sur des machines virtuelles (VM-based) :

  1. Les pare-feu de nouvelle génération (Next-Gen Firewalls)
  2. Prisma AIRS, le pare-feu dopé à l’IA pour contrer les injections de prompts et les fuites de données
  3. Panorama, la console centralisée de gestion des pare-feu
  4. XSIAM, la plateforme d’orchestration pour la réponse aux incidents

Ces produits, parce qu’ils s’exécutent sur des machines virtuelles plutôt que sous forme de SaaS hébergé chez Palo Alto, peuvent être déployés aussi bien sur Cryptance que sur Prémiance, en conformité avec SecNumCloud.

La vraie valeur du nuage et la modernisation des applications

Nicolas insiste sur une vision souvent oubliée : le nuage, c’est avant tout du logiciel. Sa valeur réelle réside dans l’élasticité, la dématérialisation, les microservices et les conteneurs — pas dans la simple virtualisation de serveurs existants. Beaucoup d’entreprises ont mal abordé leur passage au nuage en y transférant des systèmes vieillissants sans les moderniser, ce qui les rend aujourd’hui incompatibles avec les exigences de la souveraineté numérique, qui impose une partition claire des services à l’échelle nationale.

Rouler une application moderne — découpée en microservices indépendants, stateless, élastiques — sur un cloud souverain, c’est là que réside la vraie promesse de la prochaine génération d’infrastructures souveraines.

Le retard canadien et les leçons européennes

La France a commencé à réfléchir à la souveraineté numérique dès 2017 environ. Elle a construit ses normes, les a testées, les a fait évoluer. Le Canada, lui, s’est réveillé bien plus tard, emporté qu’il était par la « locomotive » américaine. Aujourd’hui, il n’existe pas d’équivalent canadien à SecNumCloud, et la maturité réglementaire nécessaire pour encadrer une véritable infrastructure souveraine est encore à construire.

Les deux interlocuteurs s’entendent pour dire que le Canada devrait s’inspirer davantage de ce qui se fait en Europe — en France, en Allemagne, à travers des initiatives comme celle de la ville de Munich — plutôt que de se limiter à répéter le mot « souveraineté » sans se donner les outils concrets pour la réaliser. Cela implique une réarchitecture profonde des systèmes existants, un développement de compétences nationales et un cadre réglementaire sérieux.

Conclusion

La souveraineté numérique est un chantier de longue haleine, mais l’exemple de S3NS en France démontre qu’il est possible de concilier technologie américaine de pointe et contrôle national effectif. Nicolas conclut sur une note d’enthousiasme, impatient de voir la conférence parisienne et d’espérer que des modèles similaires finissent par voir le jour au Canada. Un suivi de l’épisode est d’ores et déjà prévu.

Collaborateurs Crédits
Teknik - Et si l'IA n'avait plus besoin de vos données? - Parce que... c'est l'épisode 0x735!02 avr. 202601:01:16
Parce que… c’est l’épisode 0x735! Shameless plug Description Retour aux sources techniques

Dans cet épisode, l’animateur retrouve Frédéric Grelot, expert en intelligence artificielle, qu’il n’avait pas croisé depuis un moment. Frédéric a quitté son poste de dirigeant chez Glimps, une entreprise qu’il avait exportée au Canada, pour retrouver ses premières amours : la technique et la recherche. Il a rejoint l’AMIAD (Agence pour la maîtrise de l’IA de défense), rattachée au ministère des Armées français, créée en 2024. Un retour assumé, les « mains dans le cambouis », comme il le dit lui-même.

Le fil conducteur de cet échange tourne autour d’une idée provocatrice : peut-on faire de l’intelligence artificielle sans données ? Frédéric avertit d’emblée que la formule est volontairement accrocheuse, et que la réponse sera nuancée.

Une histoire de l’IA en quelques étapes clés

Pour comprendre où l’on va, Frédéric propose un retour sur les grandes ruptures qui ont façonné l’IA depuis une quarantaine d’années.

1989 – Les débuts des réseaux convolutifs. Le réseau LeNet-5, conçu pour lire des chiffres manuscrits sur des chèques, représente l’un des premiers exemples concrets de réseaux de neurones convolutifs. Ces réseaux fonctionnent en empilant des couches d’analyse : les premières détectent des formes simples (points, lignes, angles), les suivantes des structures plus complexes (roues, rétroviseurs, puis une voiture entière). Ce paradigme a dominé le domaine pendant environ vingt ans.

2012 – La double révolution. Deux événements simultanés ont provoqué une explosion du domaine. D’une part, Nvidia a démocratisé l’utilisation des GPU pour le calcul scientifique via son API CUDA, rendant accessibles des calculs matriciels massivement parallèles. D’autre part, le jeu de données ImageNet a été publié en accès libre — un million d’images réparties en 1 000 catégories — offrant à la communauté une base commune pour entraîner et évaluer des modèles. Ces deux facteurs combinés ont déclenché une effervescence considérable, notamment dans le domaine de la vision par ordinateur.

2017 – L’avènement des transformers. La publication du célèbre article Attention is all you need introduit une nouvelle architecture qui va s’imposer comme le standard de l’IA moderne. Contrairement aux approches séquentielles précédentes, le transformer analyse chaque mot d’une phrase en le mettant en relation avec tous les mots qui le précèdent, enrichissant progressivement le sens de chaque élément couche après couche. Cette capacité à saisir le contexte global d’une séquence est à la base de tous les grands modèles de langage actuels.

Son principal défaut : un coût de calcul quadratique par rapport à la longueur des séquences. Doubler la longueur d’un texte quadruple le volume de calcul. Les recherches de ces huit dernières années ont largement porté sur la résolution de ce problème, avec des résultats impressionnants — certains modèles open source atteignent aujourd’hui des fenêtres de contexte d’un à deux millions de tokens.

Novembre 2022 – ChatGPT et la démocratisation. La sortie de ChatGPT marque moins une rupture technologique qu’une rupture d’usage. En mettant dans les mains du grand public ce qui n’existait que dans des laboratoires, OpenAI a transformé une évolution technique en révolution sociale. Les questions d’hallucinations, de jailbreak et d’alignement des modèles ont alors émergé comme des enjeux majeurs.

Les modèles de fondation : l’IA qui apprend à vivre avant de se spécialiser

C’est ici que Frédéric introduit son concept central : les modèles de fondation. L’analogie qu’il utilise est parlante : un enfant qui grandit jusqu’à 20 ans — observant des formes, des visages, des papillons, faisant du cerf-volant — développe une compréhension générique du monde qui en fait un « excellent modèle de fondation ». Il sera ensuite capable d’apprendre un métier précis, comme la géométrie ou la rétroingénierie de code, en repartant de cette base solide plutôt que de zéro.

Un modèle de fondation est entraîné sur des quantités massives de données brutes, sans nécessairement annoter chaque exemple. Une fois cette phase généraliste accomplie, on n’a plus besoin que d’un tout petit volume de données spécialisées et annotées pour l’amener à un niveau d’excellence sur une tâche précise. Là où il fallait autrefois des millions d’exemples étiquetés, quelques centaines suffisent désormais.

Ce paradigme bouleverse les rapports de force autour de la donnée. Frédéric, qui conseillait autrefois à ses clients de « conserver précieusement toutes leurs données », leur dit aujourd’hui d’en garder un peu, de bonne qualité. Le reste n’est plus indispensable.

Vers l’inférence sans entraînement

La dernière évolution abordée est peut-être la plus spectaculaire : le zero-shot learning. Grâce à la richesse des modèles de fondation, il est aujourd’hui possible de montrer une seule image d’un objet inconnu — une voiture jamais vue pendant l’entraînement — et d’être immédiatement capable de la reconnaître dans d’autres photos. Aucun entraînement supplémentaire n’est nécessaire : le modèle comprend l’objet à partir d’un seul exemple.

C’est en ce sens que l’on peut parler d’IA « sans données » : non pas qu’il n’y en ait jamais eu, mais que l’utilisateur final n’a plus besoin d’en fournir pour bénéficier de capacités autrefois réservées aux experts disposant de vastes bases de données annotées.

Un domaine en perpétuelle ébullition

La conversation aborde également la dynamique concurrentielle entre modèles propriétaires américains et modèles open source, notamment chinois (DeepSeek) et français (Mistral). Les contraintes imposées aux acteurs chinois en matière de puissance de calcul ont paradoxalement stimulé l’innovation, à travers des techniques comme la distillation, le pruning ou l’optimisation des architectures d’attention.

L’épisode se conclut sur une note d’ouverture : les hallucinations reculent, les modèles apprennent à dire « je ne sais pas », et le champ continue d’évoluer à un rythme soutenu — autant de raisons de se retrouver pour un prochain épisode.

Collaborateurs Crédits
Spécial - Hacklore vs DarkSword - Parce que... c'est l'épisode 0x734!01 avr. 202600:30:51
Parce que… c’est l’épisode 0x734! Shameless plug Description Contexte

Dans cet épisode spécial du podcast, l’animateur reçoit Guillaume Ross pour discuter d’un sujet d’actualité brûlant en cybersécurité mobile : la publication d’un outil d’exploitation sophistiqué — le toolkit DarkSword — sur la place publique, et ce que cela signifie concrètement pour la sécurité des utilisateurs ordinaires. La discussion s’inscrit dans la continuité des conseils véhiculés par le projet Hacklore, qui vise à démystifier la sécurité informatique pour le grand public.

DarkSword et Corona : des outils de surveillance commerciaux

Guillaume commence par recontextualiser la situation. DarkSword et Corona sont deux toolkits d’exploitation mobile qui combinent de nombreuses vulnérabilités — notamment plusieurs failles dans WebKit et dans iOS — pour compromettre des appareils ciblés. Ces outils, qui valaient autrefois des millions de dollars, semblent provenir d’une entreprise commerciale de surveillance. Comment ils se sont retrouvés dans le domaine public reste flou : fuite interne, employé corrompu ou revente illicite, l’origine exacte n’est pas encore établie.

Ce qui est clair, c’est leur évolution d’utilisation : au départ déployés pour cibler des Ukrainiens dans le contexte du conflit avec la Russie (notamment via des watering hole attacks, soit des attaques à l’abreuvoir, où l’on compromise des sites web fréquentés par les cibles), ces outils ont ensuite été utilisés contre des acteurs du monde des cryptomonnaies et des jeux d’argent en ligne.

Faut-il vraiment paniquer ?

Guillaume tient un discours nuancé et rassurant pour la majorité des utilisateurs. La plupart des vulnérabilités exploitées par DarkSword et Corona ont été corrigées. En particulier, une personne qui maintenait son appareil à jour avec la version la plus récente d’iOS au moment de leur diffusion n’était généralement pas affectée. Aujourd’hui, il faudrait être deux versions en retard (soit en dessous d’iOS 26.2 au moment de l’enregistrement) pour rester vulnérable.

Ce constat rejoint directement le message de fond de Hacklore : les mises à jour système sont la mesure de protection la plus importante. Non pas par peur des ports USB à l’aéroport ou des réseaux Wi-Fi publics — aucune des vulnérabilités connues de DarkSword n’est liée aux ports USB —, mais parce que le vecteur d’attaque principal reste les messages textes (SMS, iMessage) et la navigation web.

Le vrai vecteur de menace : les messages et le web

Contrairement à l’idée populaire que le danger vient des connexions physiques ou des réseaux publics, Guillaume souligne que les exploits mobiles les plus redoutables transitent principalement par :

  • Les messages textes et iMessage, car l’utilisateur ne contrôle pas ce qu’il reçoit, et l’application Messages est complexe et supporte de nombreux formats de fichiers.
  • La navigation web (attaques à l’abreuvoir), où un site légitime mais compromis peut servir de vecteur d’infection via Safari.

Cela signifie que même en faisant « attention », une personne ciblée peut être compromise sans avoir cliqué sur quoi que ce soit de suspect.

Recommandations concrètes selon le profil de risque

Guillaume distingue clairement deux catégories d’utilisateurs :

Pour monsieur et madame tout le monde :

  • Installer les mises à jour iOS ou Android dès que possible, sans attendre.
  • S’abonner à la liste de diffusion Security Announce d’Apple pour être alerté rapidement.
  • Utiliser l’application iVerify pour recevoir des notifications presque instantanées lors de nouvelles mises à jour.
  • Envisager le DNS over HTTPS pour avoir une meilleure visibilité sur le trafic réseau en entreprise.

Pour les personnes à haut risque (journalistes, militants, détenteurs de cryptomonnaies importantes) :

  • Activer le mode Isolement (Lockdown Mode) sur iPhone, qui désactive les aperçus de fichiers dans Messages et réduit considérablement la surface d’attaque.
  • Utiliser iVerify pour une analyse forensique de l’appareil.
  • Considérer le renouvellement régulier de l’appareil : le processeur de l’iPhone 17 (et des puces M5) intègre le Memory Integrity Enforcement (MIE), une technologie qui rend de nombreuses techniques d’exploitation nettement plus difficiles.
Le problème des mises à jour négligées

Un point important est soulevé concernant iOS 26 et son interface Liquid Glass, jugée peu populaire, voire franchement mauvaise selon Guillaume. Beaucoup d’utilisateurs décident délibérément de ne pas mettre à jour, préférant attendre iOS 27. C’est une erreur de sécurité significative, car les correctifs arrivent d’abord sur la version actuelle, avec un délai parfois important avant d’être rétroportés sur les versions plus anciennes. Ironiquement, Guillaume suggère que les nouveaux emojis inclus dans iOS 26.4 pourraient être le meilleur argument pour convaincre les récalcitrants de mettre à jour.

Qui est vraiment à risque sans le savoir ?

La partie la plus importante de la discussion porte sur les personnes qui ne se rendent pas compte de leur profil de risque élevé. Parmi elles : les détenteurs de cryptomonnaies avec des portefeuilles locaux, qui se sont retrouvés propriétaires d’actifs considérables sans avoir mis en place une hygiène de sécurité adéquate. Mais aussi des personnes vivant dans des pays où certaines caractéristiques personnelles (orientation sexuelle, opinions politiques) peuvent faire d’eux des cibles gouvernementales, sans qu’ils y pensent nécessairement.

Conclusion

En somme, la publication de DarkSword ne contredit pas les conseils de Hacklore — elle les confirme. Pour la grande majorité des utilisateurs, maintenir ses appareils à jour reste la mesure la plus efficace. Ce qui change, c’est que la fenêtre entre la disponibilité d’un exploit et son utilisation à plus grande échelle se rétrécit. La vigilance doit s’accélérer en conséquence.

Collaborateurs Crédits
PME - Retour sur l'IA et un regard critique sur le vibe coding - Parce que... c'est l'épisode 0x733!31 mars 202600:23:49
Parce que… c’est l’épisode 0x733! Shameless plug Description Introduction

Dans cet épisode spécial enregistré au chalet, Claude reçoit Nicolas pour une conversation approfondie sur l’utilisation de l’intelligence artificielle dans les PME. L’entretien aborde plusieurs thèmes essentiels : la nature réelle des modèles d’IA, leurs risques et avantages pour les petites et moyennes entreprises, le phénomène du vibe coding, les enjeux de droits d’auteur, la confidentialité des données, ainsi que les risques liés aux achats sur des plateformes étrangères.

Ce qu’est réellement l’intelligence artificielle

Nicolas commence par démystifier le fonctionnement des grands modèles de langage (LLM). Contrairement à une idée répandue, l’IA ne « réfléchit » pas : il s’agit d’un modèle statistique dont le seul rôle est de prédire le prochain mot dans une séquence, en s’appuyant sur les données d’entraînement ingérées. Même les modèles qui prétendent « raisonner » ne font que relancer ce processus statistique sur lui-même.

Cette nuance est fondamentale. Se fier aveuglément à une réponse générée par un LLM comporte des risques importants, particulièrement dans des domaines spécialisés comme la médecine ou le droit. Nicolas précise qu’une recherche dans une vraie base de données structurée — comme Google ou une bibliothèque — offre une meilleure garantie d’exactitude qu’une réponse générée par un modèle ayant « lu en diagonale » une quantité massive de contenu.

Les avantages de l’IA pour les PME… avec nuances

Il existe néanmoins des gains réels pour les PME qui utilisent l’IA de façon éclairée. L’IA générative de type LLM, popularisée depuis le lancement public de ChatGPT, représente la face la plus visible d’une technologie qui existe en réalité depuis plusieurs décennies. Les avancées récentes ont simplement permis de rendre ces outils accessibles au grand public.

Cependant, les LLM sont des outils généralistes : ils performent bien dans l’ensemble, mais montrent leurs limites dès qu’on entre dans des domaines très précis. Pour ces cas, il est nécessaire d’entraîner des modèles spécialisés. La prudence reste de mise : ces technologies sont encore nouvelles, les usages mal maîtrisés peuvent créer des problèmes sérieux. Nicolas conseille aux PME d’observer les erreurs des autres avant de se lancer tête baissée.

Les hallucinations et l’aide à la décision

Un risque majeur des LLM est le phénomène d’hallucination : le modèle génère une réponse fausse, mais formulée avec assurance. La probabilité d’hallucination dépend notamment de la façon dont le modèle a été configuré et enrichi. Un modèle « augmenté » avec du contenu robuste et pertinent offre de meilleures garanties.

Toutefois, Nicolas souligne une règle d’or : seul un expert dans son domaine est réellement en mesure de détecter une hallucination. Il ne poserait jamais une question médicale à une IA, faute de pouvoir valider la réponse. En revanche, un professionnel qui connaît son secteur peut utiliser l’IA comme outil d’exploration d’avenues, tout en exerçant son jugement critique.

Des guides de bonnes pratiques existent désormais, publiés par les gouvernements du Québec, du Canada, ainsi que par des agences européennes et américaines. Ces documents encouragent unanimement la prudence, la vérification des sources et l’absence de confiance aveugle envers les réponses générées.

Le vibe coding : programmer au pif

La partie la plus percutante de l’échange porte sur le vibe coding, cette tendance à utiliser l’IA pour générer du code sans posséder les connaissances techniques nécessaires. Nicolas utilise une analogie parlante : c’est comme demander à quelqu’un sans formation en menuiserie de fabriquer un meuble de qualité. Le résultat fonctionnera peut-être, mais il ne sera ni durable, ni élégant, ni robuste.

Le problème central est celui de la dette technologique : le code produit par vibe coding devra être revu, corrigé, voire entièrement réécrit beaucoup plus tôt que du code conçu selon les règles de l’art. Un développeur formé en ingénierie de système ne se contente pas d’atteindre un objectif immédiat — il conçoit une architecture cohérente, évolutive et maintenable. L’IA, elle, est orientée vers l’objectif final, sans souci du chemin parcouru.

Ce manque de rigueur dans le processus engendre également de sérieux problèmes de sécurité. Des études récentes ont démontré que le code généré par IA présente un niveau de vulnérabilité significatif. Des exemples publics, notamment aux États-Unis, illustrent les conséquences concrètes : des applications mal sécurisées exposant des données personnelles sensibles. Claude Mercier évoque un cas marquant impliquant des informations personnelles de femmes vulnérables rendues publiques en raison de failles dans une application mal codée.

Le vibe coding reste acceptable pour de petits projets internes, sans exposition à internet, lorsque les enjeux sont limités. En revanche, pour des systèmes de production, des applications complexes ou tout ce qui constitue le cœur d’une entreprise, il est fortement déconseillé.

Droits d’auteur et confidentialité des données

Un aspect souvent négligé est la question des droits d’auteur sur le code généré par IA. Un jugement récent aux États-Unis ne reconnaît pas de droits d’auteur sur les contenus générés par l’intelligence artificielle. Ainsi, si 90 % d’un code est produit par une machine, il n’est probablement pas protégé légalement, ce qui signifie qu’en cas de vol, aucun recours juridique n’est possible.

Par ailleurs, la protection des données envoyées aux LLM est un enjeu critique. Seules les licences de type entreprise — comme Microsoft 365 Copilot ou Google Workspace — offrent une protection réelle contre la réutilisation des informations transmises. Les versions gratuites ou personnelles de ces outils, tout comme ChatGPT ou Claude en accès grand public, peuvent utiliser les échanges pour réentraîner leurs modèles. Nicolas rappelle qu’il faut activement décocher certaines options pour retirer son consentement à cette réutilisation.

Conclusion

Cet échange offre une perspective lucide et nuancée sur l’IA dans le contexte des PME. L’intelligence artificielle est un outil puissant, mais mal compris et souvent mal utilisé. La prudence, la formation et le recours à des professionnels qualifiés restent les meilleures garanties pour en tirer des bénéfices réels sans s’exposer à des risques coûteux.

Collaborateurs Crédits
Actu - 29 mars 2026 - Parce que... c'est l'épisode 0x732!30 mars 202600:55:46
Parce que… c’est l’épisode 0x732! Shameless plug Notes Collaborateurs Crédits
Spécial - Lorsqu'une jeune pousse ne connait pas le succès escompté ou le RETEX de Defants - Parce que... c'est l'épisode 0x731!26 mars 202600:46:06
Parce que… c’est l’épisode 0x731! Shameless plug Description Présentation et contexte

Dans cet épisode spécial du podcast, Nicolas reçoit François Khourbiga et Thomas Raffineau Maréchal, cofondateurs d’une startup dans le domaine de la cybersécurité (Defants). Après quatre années d’activité, la compagnie a officiellement fermé ses portes en août 2025. Quelques mois après cette fermeture, les deux fondateurs acceptent de revenir sur cette expérience avec sérénité, dans un esprit de partage et de transmission pour ceux qui souhaiteraient se lancer dans l’aventure entrepreneuriale.

La fermeture : un événement difficile, vécu différemment

Thomas et François s’accordent sur le fait que la fermeture a été un choc émotionnel profond, mais que les effets se sont souvent manifestés après coup. Pendant les turbulences, les fondateurs restaient concentrés sur la gestion quotidienne, tenant le cap. C’est seulement une fois la tempête passée que le vide s’est fait ressentir — une expérience qu’ils comparent à un deuil, ou à la perte d’une relation importante. Leur engagement avait été total : familial, financier, personnel. Cela rend inévitablement la chute plus douloureuse que pour des collaborateurs salariés.

Les causes de l’échec : une suite d’erreurs cumulées

Les deux fondateurs sont honnêtes sur les facteurs qui ont conduit à la fermeture.

Un excès de confiance envers l’écosystème. Lors de leur première levée de fonds, ils ont idéalisé le rôle des investisseurs et des structures d’accompagnement. Ils ont découvert que tous les fonds n’avaient pas la même vision : certains adoptaient une approche purement comptable, incompatible avec les horizons longs que nécessite une startup deeptech investissant massivement en R&D.

Une divergence de visions. Les cofondateurs et leurs investisseurs n’avaient pas les mêmes objectifs ni les mêmes contraintes. Cette tension entre croissance à long terme et exigence de rentabilité immédiate n’a jamais vraiment été résolue, épuisant l’énergie de l’équipe — et le cash.

Un marché français très régulé. La startup opérait dans un secteur où les certifications coûtent des centaines de milliers d’euros aux entreprises clientes, rendant ces dernières très résistantes au changement. Proposer de l’innovation dans un marché aussi rigide s’est avéré extrêmement difficile commercialement. Leur demande de pivoter vers des marchés moins régulés n’a pas reçu le soutien espéré.

Une stratégie commerciale inadaptée. En rétrospective, Thomas et François estiment qu’ils auraient dû commencer par une activité de service outillé — démontrer la valeur de leur logiciel par des prestations concrètes — plutôt que d’essayer de vendre directement une solution logicielle à de grandes entreprises. Arriver face à des groupes qui voient défiler quinze startups par jour en clamant « nous sommes différents » n’était pas la bonne approche. La preuve par l’exemple aurait été bien plus convaincante.

Des pivots trop fréquents. S’adresser trop tôt à de trop grands comptes, pivoter trop souvent : l’accumulation de ces faux pas a fini par mener dans une impasse.

« Rater bien » : la fermeture dans le respect des équipes

Malgré l’échec, François et Thomas tiennent à souligner ce qu’ils considèrent comme une réussite dans la manière de conclure l’aventure. Conscients de leur responsabilité envers leurs collaborateurs, ils ont tout fait pour que personne ne se retrouve du jour au lendemain sans filet. Transparents sur les difficultés tout au long de la vie de la startup, ils ont accompagné chaque membre de l’équipe vers une sortie digne, à l’opposé des fermetures brutales que l’on observe parfois dans l’écosystème américain. Comme le dit François : « Le bateau a coulé, certes, mais tout le monde avait un radeau. »

L’écosystème breton : une bienveillance remarquable

Un point revient avec insistance dans la discussion : la qualité de l’écosystème entrepreneurial en Bretagne et à Rennes. Les deux fondateurs saluent la chaleur humaine, la proximité des acteurs et le soutien reçu, aussi bien pendant la vie de la startup qu’au moment de sa fermeture. Beaucoup de personnes ont répondu présent pour échanger, partager des expériences similaires ou simplement témoigner leur soutien. Si cet accompagnement s’est parfois révélé être une forme de « sirène » — encourageant sans nécessairement aligner les attentes — la reconnaissance reste entière envers celles et ceux qui ont cru en eux.

Ce qu’ils referaient, et ce qu’ils changeraient

Sur les décisions passées, Thomas et François refusent de tomber dans le regret. Chaque choix a été pris avec les informations et la conviction du moment. Ce qui change, c’est le bagage accumulé. Si c’était à refaire, ils opteraient pour une approche plus pragmatique et mesurée : commencer petit, prouver la valeur par le service, créer de la traction concrète avant de chercher des financements, et ne jamais considérer qu’une levée de fonds ou un accompagnement équivaut automatiquement à des clients.

La suite : rebondir et regarder vers l’avenir

Aujourd’hui, chacun a repris sa route. François a lancé une activité indépendante centrée sur la réponse à incident, le threat hunting et la forensique — des domaines qu’il a découvert être ses véritables moteurs. Thomas, de son côté, a rejoint un centre d’excellence cyber en tant que product owner, se retrouvant désormais de l’autre côté du miroir, à évaluer les idées de startups qu’il reçoit.

Ce qui importe le plus, peut-être, c’est que les deux cofondateurs ont traversé la tempête ensemble et sont arrivés sur la même plage. Leur amitié est intacte, leur envie d’entreprendre n’est pas éteinte, et leur sac à dos est désormais bien plus riche d’expériences. Comme le résume Thomas : « Si une prochaine bêtise est à faire, on la refera peut-être ensemble. »

Notes Collaborateurs Crédits
PME - Les postes, sauvegardes et d'autres questions - Parce que... c'est l'épisode 0x730!25 mars 202600:30:02
Parce que… c’est l’épisode 0x730! Shameless plug Description Introduction

Dans cet épisode spécial PME du podcast 0x730, Nicolas reçoit à nouveau Claude Mercier pour une conversation enregistrée au chalet. Claude, qui travaille régulièrement avec des PME, pose une série de questions pratiques sur la cybersécurité en entreprise. L’objectif est simple : traduire des concepts techniques parfois abstraits en conseils concrets et accessibles pour les gestionnaires et propriétaires de petites et moyennes entreprises.

Sécuriser les postes de travail

La première question porte sur la configuration idéale d’un poste ou d’un portable en PME. Nicolas explique qu’il existe déjà des gabarits de configuration préconçus qui facilitent grandement le travail. Dans un environnement centralisé, leur déploiement est simplifié ; pour les plus petites structures, ils peuvent être appliqués machine par machine. Le principe de base reste le même : garder les systèmes d’exploitation constamment à jour, ce qui constitue la mesure de protection la plus efficace et la plus négligée.

Pour illustrer l’importance de protéger un poste, Nicolas recourt à une analogie simple : un ordinateur, c’est comme un édifice physique. On y met des serrures, des verrous, des coffres-forts, non pas pour la forme, mais parce que l’intérieur contient des informations précieuses — liste de clients, données financières, procédés exclusifs. Perdre le contrôle de ces informations peut mettre en péril l’entreprise entière.

Chiffrement et mot de passe

Le sujet du chiffrement de disque est abordé avec nuance. Des outils comme BitLocker de Microsoft permettent de chiffrer le contenu d’un disque dur, mais cette protection ne vaut que si un mot de passe d’ouverture de session est également configuré. Sans ce mot de passe, le coffre-fort virtuel reste grand ouvert. Nicolas précise que le chiffrement sert principalement à protéger les données en cas de vol physique de l’appareil ou du disque dur : sans la clé associée, le contenu devient illisible pour n’importe qui.

Antivirus modernes, EDR et XDR

La question des antivirus permet à Nicolas de distinguer les solutions d’ancienne génération des solutions modernes. Le Defender intégré à Windows, par exemple, est considéré comme suffisant pour la grande majorité des PME qui n’évoluent pas dans des secteurs à risques élevés. Il bloque environ 95 % des menaces courantes.

Les termes EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response) désignent précisément ces antivirus de nouvelle génération. Leur grande différence par rapport aux anciens outils : ils ne se contentent plus de reconnaître des signatures de fichiers malveillants, ils analysent les comportements anormaux sur la machine. Un processus qui agit de façon suspecte sera détecté, même si aucune signature connue ne lui correspond.

Les droits administrateur

Sur la question de qui devrait avoir les droits d’administrateur dans une PME, Nicolas est catégorique : le moins de personnes possible. Il compare ces droits à l’accès aux paramètres internes d’un moteur de voiture : personne ne va bricoler les composants d’un véhicule sans être mécanicien qualifié. De même, un utilisateur non formé qui dispose de droits admin peut involontairement causer des dommages considérables, ou pire, offrir aux attaquants le même niveau d’accès que le sien s’il clique sur un lien malveillant.

VPN : mythes et réalités

Les VPN commerciaux font l’objet d’un marketing souvent trompeur. Nicolas distingue deux types de VPN : les VPN commerciaux (NordVPN, ProtonVPN, etc.), dont l’utilité réelle est très limitée pour une PME, et les VPN d’entreprise, que l’on configure soi-même pour permettre l’accès sécurisé à distance à son propre réseau interne. Le premier est largement superflu dans le contexte actuel, car les communications en ligne sont déjà chiffrées nativement. Le second est utile, mais doit être déployé avec soin : si le poste utilisé est mal sécurisé, le tunnel VPN devient un vecteur d’intrusion vers l’ensemble du réseau d’entreprise.

Windows Hello et l’authentification sans mot de passe

Nicolas présente Windows Hello comme une solution d’authentification moderne dite passwordless. Plutôt qu’un mot de passe classique — qui peut être volé —, cette approche repose sur une clé cryptographique associée à un scan biométrique. Il n’y a donc rien à dérober. La sécurité est plus robuste et l’expérience utilisateur, plus fluide.

Sauvegardes : l’approche 3-2-1

La deuxième grande thématique concerne les sauvegardes. Nicolas présente la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. L’objectif est de pouvoir récupérer rapidement les informations critiques en cas de panne mécanique, de vol ou d’attaque par rançongiciel.

Point crucial : les sauvegardes doivent être hors ligne ou hors réseau (offline). Une copie accessible depuis le réseau de l’entreprise peut être chiffrée ou effacée par un attaquant en même temps que les données originales, la rendant inutile. Elles doivent également être chiffrées, qu’elles soient stockées dans le nuage ou transportées physiquement. Enfin, il est tout à fait possible de sauvegarder les courriels hébergés sur des plateformes comme Microsoft 365 ou Google Workspace grâce à des services tiers dédiés.

La « question noire » : les rançongiciels

En guise de conclusion, Claude pose une question délicate : si Nicolas était un attaquant, quelle stratégie adopterait-il ? La réponse est sans équivoque : les rançongiciels ciblant les PME. Ces entreprises sont souvent les moins bien protégées, n’ont pas de sauvegardes fiables, et sont prêtes à payer pour récupérer leurs données. Le coût d’une cyberattaque peut rapidement atteindre 100 000 $ par jour en honoraires d’urgence, sans compter les pertes d’exploitation, voire la perte de clients au profit de concurrents.

La bonne nouvelle : les PME qui appliquent les mesures de base — sauvegardes hors ligne, MFA, séparation des accès — compliquent suffisamment la tâche des attaquants pour que ceux-ci renoncent plus rapidement. La tendance s’améliore lentement, mais le chemin reste long.

Collaborateurs Crédits
L'univers selon Cyber Citoyen et PolySécure - Parce que... c'est l'épisode 0x729!24 mars 202601:13:27
Parce que… c’est l’épisode 0x729! Shameless plug Description Introduction

Dans cette 14e collaboration entre les balados Cyber Citoyen et PolySécure, Nicolas reçoit Catherine Dupont-Gagnon et Samuel Harper pour une discussion dense et animée sur plusieurs enjeux de cybersécurité, de surveillance et de démocratie numérique. L’épisode couvre trois grands thèmes : le projet de loi canadien C-22, les révélations sur le Department of Homeland Security américain, et la montée des outils d’influence politique automatisés.

Le projet de loi C-22 : entre progrès et inquiétudes

Samuel Harper introduit le projet de loi C-22, une version remaniée et plus ciblée de l’ancien C-2, qui avait suscité beaucoup de controverse. Si certaines dispositions particulièrement attentatoires à la vie privée ont été retirées — notamment la fouille du courrier postal et la collecte de données sans mandat — d’autres éléments soulèvent encore des préoccupations.

Parmi les changements notables, les forces de l’ordre pourront désormais demander à un fournisseur de services Internet ou de télécommunication si une personne y détient un compte, sans avoir besoin d’un mandat préalable. La compagnie doit simplement répondre par oui ou non. Sam souligne que cette disposition, bien qu’encadrée, pourrait permettre de dresser des profils assez détaillés en croisant les informations de plusieurs fournisseurs.

Le projet de loi prévoit également d’obliger certains fournisseurs — désignés comme « core providers » — à conserver les métadonnées de communications pendant une période maximale d’un an. Cela inclut notamment des données de géolocalisation et des informations sur quels appareils ont communiqué entre eux. Catherine soulève un point crucial : cette obligation de conservation crée une cible de choix pour des acteurs malveillants ou des employés internes corrompus qui pourraient accéder à ces données de façon non autorisée.

Le trio discute également de la légalisation pour les forces de l’ordre d’utiliser des données de sources ouvertes (réseaux sociaux publics, forums) et potentiellement d’acheter des données auprès de data brokers. Cette dernière pratique est particulièrement problématique, car elle permet de contourner l’exigence d’un mandat judiciaire en remplaçant la procédure légale par un simple budget d’enquête. La question des données de santé achetables sur le marché, et la facilité croissante de désanonymiser des individus grâce à l’intelligence artificielle, vient compléter ce tableau préoccupant.

Pour ceux qui souhaitent s’opposer au projet de loi, Samuel rappelle que les citoyens peuvent contacter leur député, écrire des commentaires sur le site du Parlement ou demander à témoigner en comité.

Les révélations sur le Department of Homeland Security

Catherine prend ensuite la parole pour présenter des documents divulgués par des activistes concernant des projets de surveillance du Department of Homeland Security américain. Environ 6 000 entreprises auraient soumis des propositions à l’agence, allant de la surveillance biométrique avancée dans les aéroports jusqu’à l’utilisation des téléphones comme scanners biométriques.

Le projet qui retient le plus l’attention de Catherine est une plateforme qui analyserait les appels au 911 à l’échelle nationale pour créer une carte prédictive des incidents criminels — une forme de « minority report » appliquée à la police. Cette approche algorithmique de la prévention du crime est hautement problématique en raison des biais systémiques qu’elle risque de reproduire et d’amplifier. Le livre Automating Inequality est mentionné comme référence sur ce sujet.

Samuel insiste sur le fait que ces projets ne sont pas que théoriques : certains sont déjà partiellement retenus et font l’objet de financements dépassant les 100 milliards de dollars. Sans tomber dans le fatalisme, les trois animateurs rappellent que la résistance citoyenne a déjà démontré son efficacité — notamment à Minneapolis — et que des solutions créatives et low-tech, comme des techniques de maquillage perturbant la reconnaissance faciale, peuvent constituer des formes de résistance accessibles et efficaces.

Les « combattants numériques » et la démocratie gamifiée

Catherine présente ensuite un article du Devoir portant sur une entreprise israélienne qui commercialise une technologie d’influence politique au Canada. Le principe : envoyer des messages à des sympathisants pour les inciter à interagir avec des publications politiques, en générant même des commentaires personnalisés par intelligence artificielle afin d’éviter la détection des plateformes.

Il ne s’agit pas de bots, mais d’humains dont l’action est orchestrée et facilitée par la machine, ce que Samuel qualifie d’« astroturfing gamifié ». La comparaison avec Cambridge Analytica est inévitable : on instrumentalise les liens de confiance entre individus, comme Farmville le faisait jadis sur Facebook pour aspirer les données des amis d’utilisateurs. L’enjeu démocratique est fondamental : l’application est conçue pour que l’utilisateur n’ait pas à réfléchir au message qu’il diffuse, court-circuitant ainsi l’engagement politique authentique.

La dette cognitive et l’intelligence artificielle en éducation

La discussion dérive naturellement vers l’usage de l’IA générative dans les milieux professionnels et éducatifs. Catherine observe une dégradation notable chez ses étudiants : travaux générés en quelques secondes sans relecture, anxiété accrue aux examens, baisse des résultats sur des évaluations identiques à celles d’il y a 18 mois. Elle note que les étudiants délèguent même la prise de notes à des outils IA lors des cours Zoom, privant leur cerveau du travail cognitif nécessaire à la mémorisation.

Nicolas renchérit en évoquant la qualité des documents reçus dans son milieu professionnel, qu’il décrit comme des textes « bien polis mais sans substance » — un éternuement qui n’aboutit pas. Le groupe s’entend pour dire que l’IA est un outil utile dans certains contextes, mais que son utilisation généralisée et non réfléchie érode des compétences fondamentales. La solution, jugée simple mais exigeante, reste de faire l’effort cognitif soi-même.

Conclusion

L’épisode se termine sur une note d’espoir mesuré : sans nier la gravité des enjeux abordés, les trois animateurs refusent le fatalisme. Ils évoquent la possibilité de diffuser le balado sur Twitch pour rejoindre un public plus jeune, et s’engagent à tester prochainement la fameuse application de militantisme virtuel pour en analyser les résultats dans un épisode futur.

Collaborateurs Crédits
Actu - 22 mars 2026 - Parce que... c'est l'épisode 0x728!23 mars 202601:07:45
Parce que… c’est l’épisode 0x728! Shameless plug Notes Collaborateurs Crédits
Teknik - Le COCD/SOC moderne - Parce que... c'est l'épisode 0x727!19 mars 202600:41:54
Parce que… c’est l’épisode 0x727! Shameless plug Description Contexte et invités

Dans cet épisode, Nicolas reçoit David Bizeul pour un retour approfondi sur le concept de SOC (Security Operations Center) moderne. David est notamment l’un des artisans de Secoya, une plateforme SOC développée par son équipe, ce qui lui confère une perspective à la fois pratique et stratégique sur l’évolution du domaine.

Ce que contient un SOC moderne en 2026

David commence par dresser un portrait du SOC contemporain tel qu’il devrait fonctionner aujourd’hui. Selon lui, trois grandes dimensions structurent un SOC efficace.

1. La fusion de la connaissance interne et externe avec les événements de sécurité

La première brique fondamentale est la capacité à ingérer, normaliser et consolider les événements de sécurité issus du système d’information. À cela s’ajoutent deux couches de connaissance complémentaires :

  • La connaissance interne : elle porte sur les assets de l’entreprise, les identités, les vulnérabilités, les chemins critiques métier. En somme, tout ce qui permet de comprendre ce que l’on protège.
  • La connaissance externe : c’est le domaine de la threat intelligence (CTI). Elle répond à la question « qu’est-ce que je dois craindre ? » et modélise les menaces extérieures, les campagnes d’attaque, les modes opératoires.

David explique que Secoya a justement construit son produit en partant de la CTI, avant même de s’intéresser aux événements clients. L’idée était d’abord de bien connaître la menace, puis de confronter cette connaissance aux données du terrain.

2. Les moteurs de détection

Une fois les données ingérées, trois moteurs distincts entrent en jeu :

  • Le moteur de threat intelligence : il repose sur une base de connaissances en graphe. Chaque indicateur (une adresse IP, par exemple) est relié à des nœuds représentant des malwares, des campagnes, des acteurs malveillants. Quand un indicateur apparaît dans les événements, le moteur remonte automatiquement tout le contexte associé, permettant d’évaluer rapidement la gravité de la situation.

  • Le moteur de corrélation : basé sur le langage Sigma et Sigma Correlation, il modélise des comportements suspects à partir d’enchaînements d’événements. Par exemple : cinq échecs d’authentification sur un poste suivis d’une connexion anormale sur un équipement réseau peuvent caractériser une tentative d’intrusion. Toutes les règles sont créées ou validées par des experts internes, ce qui permet d’atteindre un taux de faux positifs infime (environ 0,001 %).

  • Le moteur d’anomalie : il détecte les déviances par rapport à une baseline comportementale. Un pic de trafic soudain sur un serveur web, une exfiltration de données inhabituelle ou une activité de type brute force sont autant de signaux que ce moteur est conçu à relever.

Le retour en arrière : le SOC d’il y a dix ans

Pour mieux illustrer les progrès accomplis, David fait un flash-back sur les SOC de la génération précédente. Monter un SOC il y a dix ans était une opération longue et coûteuse : infrastructure à déployer, licences SIEM à acquérir, threat intelligence quasi inexistante ou inutilisable, enrichissement des alertes quasi nul. Une seule alerte pouvait mobiliser un analyste pendant une heure sans déboucher sur une conclusion claire. Les règles de corrélation, souvent dérivées de politiques de sécurité mal rédigées, généraient un volume d’alertes sans valeur réelle. Le bilan : des millions dépensés pour un SOC qui ne produisait rien d’utile.

De l’alerte à la réponse : l’automatisation et l’IA agentique

La génération d’alertes n’est qu’une étape. Le vrai objectif d’un SOC est de contenir les risques avant qu’ils ne se concrétisent en impacts. David décrit la chaîne de réponse moderne :

  1. Qualification automatique des alertes : des agents IA prennent en charge le triage préliminaire, vérifient le contexte autour d’un événement (les cinq minutes avant/après, la nature de l’asset concerné), et déterminent si l’alerte mérite d’être escaladée ou peut être ignorée.

  2. Playbooks automatisés : des plans de réponse préconfigurés peuvent déclencher des actions concrètes, comme l’isolation d’une machine compromise, sans intervention humaine immédiate.

  3. Le rôle central de l’humain : malgré l’automatisation, l’analyste reste indispensable pour les décisions complexes, la communication de crise, l’adaptation des plans de réponse aux spécificités du client.

Le modèle MDR et l’architecture multitenant

David aborde également la réalité économique : la grande majorité des entreprises n’ont pas les ressources pour gérer un SOC en interne. C’est là qu’interviennent les prestataires MDR (Managed Detection and Response), qui mutualisent les services de SOC pour plusieurs clients. Secoya répond à ce besoin avec une architecture multitenant : un opérateur MDR peut gérer dix clients dans une seule interface, tout en maintenant une séparation stricte des données.

L’interopérabilité et le rôle d’OXA

La dernière partie de l’échange porte sur l’interopérabilité entre produits de cybersécurité, notamment via la plateforme ouverte OXA et le protocole MCP (Model Context Protocol). L’idée est de permettre à chaque outil de se « présenter » aux autres — ses capacités, ses endpoints, ses types de données — afin de construire des workflows automatisés sans friction.

La mise en garde finale : l’IA ne vaut que ce que valent ses données

Les deux interlocuteurs s’accordent sur un point crucial pour conclure : l’engouement pour l’IA agentique en 2025 a souvent masqué un problème fondamental. Si les sources de données en entrée sont de mauvaise qualité, l’IA produira des résultats erronés, voire dangereux. La vraie tendance de 2026 sera donc la valorisation des data sources de pertinence : une CTI fiable, une connaissance interne solide des assets, avant d’y injecter de l’intelligence artificielle. Un prochain épisode est annoncé pour approfondir spécifiquement cette question.

Collaborateurs Crédits
PME - La sécurité en toute simplicité - Parce que... c'est l'épisode 0x726!18 mars 202600:12:37
Parce que… c’est l’épisode 0x726! Shameless plug Description Introduction

Dans cet épisode du podcast, je reçois Cédrick Bruyère, associé chez Vigilia, une entreprise spécialisée en cybersécurité qui se concentre principalement sur la formation et la sensibilisation des PME. Cédrick nous partage les réflexions qui ont guidé la création de leur plateforme, articulées autour de trois piliers fondamentaux pour rendre une solution véritablement accessible en entreprise : la simplicité, l’abordabilité et l’adaptabilité. Ces trois concepts, bien que distincts, s’alimentent mutuellement et forment un cadre cohérent pour penser le développement de solutions qui répondent aux besoins réels des organisations.

Premier pilier : la simplicité

Le premier pilier, la simplicité, est apparu comme une évidence lors des sondages menés par l’équipe de Vigilia auprès d’entrepreneurs et de décideurs. Le constat était récurrent : lorsque les gens visitent le site d’un fournisseur de solutions en cybersécurité, l’impression dominante est celle d’une complexité rebutante. On a l’impression de s’embarquer dans un labyrinthe de configurations et de problèmes techniques. Résultat : beaucoup renoncent avant même d’avoir commencé.

Pour Cédrick, la simplicité ne réside pas dans la solution elle-même, mais avant tout dans la façon de communiquer. Il évoque le concept bien connu de la curse of knowledge — la malédiction du savoir — ce phénomène par lequel un expert, tellement immergé dans son domaine, oublie que son interlocuteur ne partage pas le même bagage. On se retrouve alors à utiliser un jargon technique, à accumuler les termes spécialisés sur une page d’accueil pour afficher son expertise, mais on finit par perdre le lecteur plutôt que de le convaincre.

La clé, selon Cédrick, est de privilégier une communication humaine, accessible, qui explique clairement ce qu’on fait et comment on peut aider, sans chercher à impressionner. L’objectif d’une communication efficace n’est pas de paraître intelligent, mais d’être compris. C’est un renversement de posture important pour beaucoup d’entreprises habituées à valoriser leur expertise par la complexité de leur discours. Être simple dans sa communication, c’est paradoxalement l’un des exercices les plus difficiles qui soit — et l’un des plus puissants.

Deuxième pilier : l’abordabilité

Le deuxième pilier est l’abordabilité. Cédrick reconnaît que le sujet est délicat, car il ne s’agit pas d’accuser les entreprises qui proposent des solutions coûteuses d’être motivées uniquement par le profit. Le prix d’une solution est souvent le reflet direct de sa complexité. Plus on accumule de fonctionnalités, plus on mobilise de ressources humaines pour faire fonctionner et entretenir la solution, et inévitablement, le coût grimpe.

C’est là que les deux premiers piliers se rejoignent avec force : en simplifiant l’offre, on réduit les coûts. En se concentrant sur l’essentiel — c’est-à-dire ce qu’on veut réellement accomplir pour le client —, on évite de surcharger la solution de fonctionnalités superflues qui alourdissent la structure sans nécessairement apporter de valeur ajoutée à la majorité des utilisateurs. Cédrick illustre cette idée avec une analogie parlante : comme chez Maxi ou dans un magasin de meubles à bas prix, le décor est fonctionnel mais pas tape-à-l’œil. On vend le produit, point. Pas d’artifices, pas d’employés en surnombre pour entretenir une mise en scène. La marchandise est accessible, le client achète, et tout le monde y trouve son compte.

En cybersécurité, la logique est identique. Si l’objectif est de sensibiliser les entreprises, il faut concentrer ses efforts sur cet objectif précis, délivrer la solution la plus directe possible, et éviter de complexifier pour le simple plaisir de l’exhaustivité. Moins il y a de personnes nécessaires pour faire tourner la machine, plus la solution peut être proposée à un prix accessible — et donc atteindre un plus grand nombre d’entreprises.

Troisième pilier : l’adaptabilité

Le troisième pilier, l’adaptabilité, est celui que Cédrick considère comme le plus important, car c’est lui qui permet de répondre aux besoins spécifiques de chaque client. Une solution, aussi bien conçue soit-elle, ne peut pas être universelle si elle ne peut pas s’ajuster aux particularités de chaque organisation.

Cédrick insiste toutefois sur un point crucial : l’adaptabilité découle directement de la simplicité. Si la base d’une solution est simple, la modifier pour répondre à un besoin particulier devient une opération légère et rapide. Par exemple, si un client souhaite diviser son compte en plusieurs équipes, il suffit d’effectuer un ajustement minimal sur une structure épurée. En revanche, si la solution est déjà surchargée de couches de complexité, chaque modification devient un chantier, et l’adaptabilité devient illusoire en pratique — même si elle est promise sur le papier.

L’adaptabilité n’est donc pas une fonctionnalité qu’on ajoute par-dessus une solution complexe. C’est une qualité qui émerge naturellement d’une solution bien conçue à la base. Cédrick souligne également l’importance d’avoir une solution qui appartient vraiment à l’entreprise qui la développe — une plateforme qu’on peut moduler soi-même, sans dépendre d’une infrastructure tierce rigide.

Conclusion

Ces trois piliers — simplicité, abordabilité et adaptabilité — forment un tout cohérent et interdépendant. La simplicité conditionne l’abordabilité, et toutes deux rendent l’adaptabilité possible. Le fil conducteur de la réflexion de Cédrick est une mise en garde contre la tendance naturelle des experts à se perdre dans leur propre expertise au détriment des besoins fondamentaux de leurs clients.

La vraie valeur d’une solution ne réside pas dans sa sophistication, mais dans sa capacité à aider le plus grand nombre, le plus efficacement et le plus accessiblement possible. Un message simple à retenir, et pourtant difficile à appliquer.

Collaborateurs Crédits
H'umain - PODCASTHON - Prévention du suicide - Parce que... c'est l'épisode 0x725!17 mars 202600:40:57
Parce que… c’est l’épisode 0x725! Préambule
  • Besoin d’aide?
    • Téléphone: 1866-277-3553
    • SMS: 535353
    • Clavardage
Shameless plug Description Présentation

Dans cet épisode spécial enregistré dans le cadre du Podcaston, l’animateur reçoit Hugo Fournier, PDG et porte-parole de l’Association Québécoise de Prévention du Suicide (AQPS). L’organisme, qui célèbre son 40e anniversaire, poursuit une vision à la fois ambitieuse et utopique : bâtir un Québec sans suicide, brique par brique. Sa mission s’articule autour de trois grands axes — influencer les décideurs politiques, soutenir les initiatives citoyennes et offrir des formations aux intervenants.

Les mythes tenaces autour du suicide

Hugo Fournier commence par déconstruire plusieurs mythes profondément ancrés dans la société.

Mythe 1 — La personne suicidaire veut mourir. C’est faux. Elle ne veut pas mourir ; elle veut cesser de souffrir. Face à une souffrance devenue insupportable, l’espoir se transforme en désespoir. Il subsiste néanmoins toujours une ambivalence : une partie d’elle veut en finir, une autre cherche de l’aide. C’est précisément pour cela que les personnes appellent les lignes d’écoute.

Mythe 2 — Parler du suicide encourage le passage à l’acte. C’est également faux. Poser directement la question « Penses-tu au suicide ? » ne provoque pas le geste ; au contraire, cela soulage la personne, lui fait sentir qu’elle n’est pas seule et ouvre une conversation sur sa souffrance. Briser le tabou du silence est une étape essentielle.

Mythe 3 — Le suicide est un acte de courage ou de lâcheté. Ni l’un ni l’autre. La personne ne se suicide pas par choix, mais parce qu’elle n’aperçoit plus aucune option devant elle, même si elles existent.

Mythe 4 — Les menaces de suicide sont de la manipulation. Toute verbalisation suicidaire est un appel à l’aide. Il faut toujours prendre ces propos au sérieux.

Comment intervenir : la simplicité avant tout

Un point central de l’entretien porte sur la façon d’aborder quelqu’un qu’on inquiète. Hugo Fournier insiste : il ne s’agit pas de devenir un intervenant professionnel, mais simplement d’initier une conversation sincère et directe.

Concrètement, si une personne de l’entourage dit qu’elle « n’en peut plus », on peut lui répondre : « Quand tu dis que tu n’en peux plus, est-ce que ça t’amène à penser au suicide ? » Un geste aussi simple qu’une main sur l’épaule, accompagné de mots bienveillants, peut faire toute la différence. L’objectif est de faire sentir à la personne qu’elle n’est pas seule et de l’orienter vers une ressource professionnelle.

Hugo rappelle également les ressources disponibles : le 1 866 APPEL, le 5353 (texto) et le site suicide.ca (clavardage). Ces plateformes sont accessibles autant aux personnes en détresse qu’à celles qui ne savent plus comment aider un proche.

Les signaux de détresse à reconnaître

Plusieurs signaux peuvent alerter, indépendamment du genre ou de l’âge :

  • Tristesse persistante, découragement, propos comme « Vous seriez bien mieux sans moi »
  • Isolement social soudain chez quelqu’un d’habituellement extraverti
  • Négligence de l’hygiène et de l’apparence
  • Absence de motivation, changement des habitudes de vie
  • Intérêt soudain pour la mort, colère inhabituelle, impulsivité
  • Don d’objets précieux, règlement de conflits, évocation d’un legs

Un signe particulièrement trompeur est la rémission spontanée : une personne en grande souffrance qui semble soudainement apaisée. Cet apaisement peut indiquer qu’elle a pris sa décision, ce qui représente un risque élevé de passage à l’acte.

La spécificité des hommes et la culture du silence

Les hommes, surtout ceux des générations plus anciennes, sont statistiquement plus touchés par le suicide, mais moins enclins à demander de l’aide. Le stéréotype voulant qu’un homme « doit être fort » a longtemps invalidé toute expression de vulnérabilité. Hugo Fournier le rappelle avec conviction : demander de l’aide est un signe de force, pas de faiblesse. Face à un ami masculin en difficulté, une approche directe et simple — aller cogner à sa porte, proposer un café, lui demander d’appeler le 5353 devant soi — est souvent plus efficace qu’un long discours.

Une réalité préoccupante chez les jeunes et les femmes

Les données récentes de suicide.ca révèlent des tendances alarmantes. En 2025, 70 % des interventions par clavardage concernaient des femmes, et 67 % des utilisateurs avaient entre 18 et 40 ans. Plus inquiétant encore : les interventions auprès de filles de 13 ans et moins ont bondi de 80 % par rapport à 2024. Le taux d’hospitalisation pour tentative de suicide chez les adolescentes de 15 à 19 ans est le plus élevé jamais enregistré, et celui des 10-14 ans a triplé depuis 2010.

Les facteurs explicatifs pointés par la recherche incluent les séquelles de la pandémie, l’usage excessif des écrans, la pression de performance scolaire, l’intimidation en ligne et la surcharge travail-études.

Pour rejoindre les jeunes là où ils se trouvent, l’AQPS soutient les gardiens virtuels : des travailleurs de rue du numérique formés à détecter les signaux de détresse dans les chambres de jeu en ligne (PS5, Xbox) et à intervenir directement dans cet environnement.

Le rôle des médias

Les médias ont une responsabilité particulière. Diffuser les moyens utilisés lors d’un suicide peut provoquer un effet d’entraînement, comme l’ont montré des cas marquants au Québec. Aujourd’hui, les médias sont invités à adopter une approche sécuritaire : mettre l’accent sur les facteurs de protection, présenter les ressources d’aide et traiter le sujet avec respect, sans détailler les méthodes.

Conclusion

Cet épisode offre des outils concrets pour reconnaître la détresse, oser poser la question directement et orienter vers les bonnes ressources. Comme le résume Hugo Fournier, chaque initiative — un podcast, un tournoi, une conversation — contribue, brique par brique, à construire un Québec où la souffrance peut trouver une réponse humaine et digne.

Notes Collaborateurs Crédits
Actu - 15 mars 2026 - Parce que... c'est l'épisode 0x724!16 mars 202600:53:20
Parce que… c’est l’épisode 0x724! Shameless plug Notes Collaborateurs Crédits
Teknik - La transformation d'un 20% en 100% - Parce que... c'est l'épisode 0x723!12 mars 202600:25:25
Parce que… c’est l’épisode 0x723! Préambule

Nous sommes à la Cage durant un match des Canadiens. Le bruit ambiant a fait que nous parlons en “criant”, pour nous entendre. Le lendemain, je n’avais plus de voix.

Shameless plug Description Un retour après une longue absence

C’est avec une certaine nostalgie que j’accueille Nicolas Bédard, un invité régulier qui avait mystérieusement disparu des ondes pendant plusieurs mois. La raison de cette absence ? Un changement de carrière majeur qui a bousculé son quotidien et rendu toute planification d’enregistrement pratiquement impossible. Entre les décalages de calendrier, les voyages et les nouvelles responsabilités à apprivoiser, les deux complices n’avaient tout simplement pas réussi à se retrouver devant un micro. Mais Nicolas est de retour, et il a beaucoup à raconter.

Cinq ans chez Google : de l’imposter syndrome aux 20 %

Tout commence en août 2020, quand Nicolas rejoint Google en pleine pandémie, parmi une cohorte de 10 000 nouvelles recrues embauchées simultanément. L’imposter syndrome le frappe de plein fouet. Comment se démarquer dans une entreprise peuplée de talents exceptionnels ? Sa réponse : trouver une niche où son expérience passée peut faire une différence.

Connaissant bien Palo Alto Networks de ses vies professionnelles antérieures, Nicolas remarque un courriel interne annonçant le lancement d’un nouveau produit, Cloud IDS. Il contacte directement le gestionnaire de produit pour offrir son aide. C’est ainsi que naît son premier projet à 20 %.

La règle des 20 % est une particularité culturelle bien connue de Google : chaque employé a le droit de consacrer 20 % de son temps de travail à un projet annexe, à condition que celui-ci apporte de la valeur à la compagnie ou à la société. C’est d’ailleurs ce principe qui aurait mené à la création de Gmail. Pour Nicolas, cette liberté devient un levier de croissance personnelle et professionnelle remarquable.

Pendant quatre ans, il consacre ce temps à renforcer l’alliance stratégique entre Google et Palo Alto Networks, deux géants dont le partenariat commercial est l’un des plus importants dans l’industrie de la cybersécurité. Il co-présente des produits lors de conférences comme Google Next, développe une expertise pointue sur les intégrations conjointes, et gagne en visibilité des deux côtés de l’alliance. Son 20 % devient, en quelque sorte, son véritable terrain de passion.

Le moment décisif : convertir le 20 % en 100 %

Après avoir tenté sans succès d’obtenir un poste dédié à cette alliance à l’intérieur même de Google, Nicolas pivote vers l’équipe Google Cloud Security (GCS) pour ses six derniers mois dans l’entreprise. C’est alors qu’il reçoit un texto inattendu de la personne responsable de l’alliance Google-Palo : un poste s’ouvre chez Palo Alto Networks pour prendre en charge tout l’enablement technique lié aux fournisseurs infonuagiques. Son nom a été mentionné. L’offre ? Transformer son ancien 20 % en 100 % de son travail.

La décision n’est pas difficile à prendre. Bien que les produits de Google soient de grande qualité, Nicolas constate lors de ses discussions avec des clients que des angles morts existent dans l’offre de sécurité. Les entreprises ne vivent pas exclusivement dans un seul environnement infonuagique : elles jonglent entre des charges de travail on-premises, AWS, Azure, Google Cloud et Oracle Cloud. Palo Alto Networks, en tant que pure player de la cybersécurité, possède cet avantage de la spécialisation que ne peut pas toujours offrir un généraliste comme Google, si bon soit-il.

Un nouveau rôle centré sur la valeur, sans pression de vente

Ce qui enthousiasme particulièrement Nicolas dans son nouveau poste, c’est l’abandon du quota de vente. Fini la pression commerciale mensuelle : il peut désormais enfiler son chapeau de formateur et se concentrer sur la transmission de la connaissance. Son équipe de quatre personnes se structure autour de quatre missions principales :

  • L’intégration de produits, pour s’assurer que les solutions conjointes Palo-Google fonctionnent de façon fluide et cohérente ;
  • La création de sales plays, des guides qui permettent aux équipes de vente de bien articuler la valeur des produits devant les clients ;
  • L’enablement, qui passe par des conférences, des webinaires, des architectures de référence et des démonstrations techniques ;
  • Le soutien aux équipes commerciales, qui garde Nicolas connecté à la réalité du terrain sans qu’il soit lui-même sous pression de résultats.
L’alliance Google-Palo Alto : une symbiose technique profonde

L’intégration entre les deux entreprises va bien plus loin qu’un simple partenariat commercial. La quasi-totalité des produits de Palo Alto Networks tourne aujourd’hui sur l’infrastructure de Google Cloud. Certains produits Google, comme Cloud IDS ou Cloud NGFW Enterprise, sont en réalité propulsés par la technologie de Palo Alto en dessous. Des utilisateurs de Prisma Access, l’outil SASE de Palo, traversent l’infrastructure de Google à chaque connexion VPN sans nécessairement le savoir. L’alliance permet également des optimisations réseau avancées, comme l’appairage natif entre Prisma Access et Google Cloud via le Network Connectivity Center.

L’intelligence artificielle : le prochain grand terrain de jeu

La conversation s’oriente naturellement vers l’IA, sujet incontournable du moment. Nicolas identifie deux enjeux majeurs pour les entreprises qui adoptent ces technologies : la consistance des résultats (les modèles d’IA ne sont pas déterministiques comme un formulaire web) et, en second lieu, la sécurité. Les grands fournisseurs infonuagiques développent des modèles de pointe, mais ils sont moins bien équipés pour gérer des problématiques comme la prévention des fuites de données (DLP), la protection contre le prompt injection ou la sécurisation des pipelines IA. C’est exactement là que Palo Alto Networks intervient en complémentarité, comme en témoigne l’annonce récente d’une intégration de Prisma AIRS directement dans Microsoft Copilot.

Un virage vers la souveraineté numérique

En guise de conclusion, Nicolas évoque brièvement le thème de la souveraineté numérique, sujet d’autant plus brûlant dans le contexte géopolitique actuel. Les organisations cherchent à reprendre le contrôle de leurs données, à réduire leur dépendance envers des infrastructures étrangères et à explorer les options de nuage souverain. Un vaste sujet que les deux complices promettent d’explorer en profondeur lors d’un prochain épisode, avec Nicolas qui se retrouve, cette fois-ci, aux premières loges de cette transformation.

Collaborateurs Crédits
Teknik - Hackerbot-claw - Parce que... c'est l'épisode 0x722!11 mars 202600:44:13
Parce que… c’est l’épisode 0x722! Shameless plug Description Nouveautés de Boost Security Labs

François Proulx commence l’épisode en faisant le point sur les développements récents de son équipe. Boost Security a procédé à une refonte de son site web afin de distinguer clairement l’entreprise commerciale de son équipe de recherche, désormais appelée Boost Security Labs, accessible à l’adresse labs.security. Ce nouveau site centralise les articles, outils et références produits par les chercheurs.

François mentionne également un article publié fin 2025 intitulé Defensive Research Weaponized — 2025 State of Pipeline Security, qui dressait un bilan de l’année et anticipait les types d’attaques qui se sont effectivement concrétisées depuis. L’équipe sera de retour à NorthSec cette année avec un nouveau talk et surtout un nouvel outil baptisé Smoke Meat — fidèle à la thématique culinaire montréalaise de l’équipe. Cet outil se veut le « Metasploit des pipelines CI/CD » : là où Poutine (leur outil d’analyse statique) détecte les vulnérabilités dans les pipelines de build, Smoke Meat permettra de les exploiter de manière semi-autonome, en proposant un menu d’options à l’utilisateur.

Un troisième outil est aussi annoncé : Bagel, un utilitaire défensif qui tourne entièrement hors ligne et analyse la posture de sécurité des laptops de développeurs et administrateurs. Il détecte les mauvaises configurations locales — clés SSH non chiffrées, tokens hardcodés dans des scripts, etc. — pour limiter les dégâts en cas d’infection par un logiciel de type info stealer (ou « kleptogiciel », selon la terminologie de l’équipe Flare).

L’attaque Hackerbot Claw : une offensive automatisée sur les pipelines CI/CD

Sébastien Graveline prend ensuite la parole pour détailler une attaque survenue le 27 février, impliquant un agent automatisé qui a ciblé plusieurs grands projets open source. Au moins quatre projets ont été confirmés comme exploités. Ce qui rend cette attaque particulièrement notable, c’est qu’il s’agit d’un agent IA attaquant d’autres systèmes intégrant de l’IA dans leurs pipelines — un scénario que les chercheurs qualifient, avec un certain humour noir, de « bienvenue en 2026 ».

L’équipe s’est concentrée notamment sur Aqua Security Trivy, un projet comptant plus de 25 000 étoiles sur GitHub. L’une des conséquences directes de l’attaque a été que le dépôt a été rendu privé ou supprimé, compliquant considérablement le travail d’investigation forensique.

La piste de MégaGame : remonter le fil de l’attaque

En examinant les discussions GitHub autour de l’incident, l’équipe repère une pull request (PR #10252) ouverte environ cinq heures avant la première attaque de Hackerbot, puis rapidement supprimée — un fait que personne d’autre n’avait mentionné dans les analyses publiées. L’utilisateur à son origine avait lui aussi été supprimé.

Grâce à Trat Hunter, leur outil de surveillance en temps réel des événements GitHub, les chercheurs identifient l’acteur derrière cette PR : un utilisateur qu’ils surnomment Méga Game, dont le compte datait de début janvier. En remontant plus loin, ils trouvent qu’une tentative d’attaque similaire avait été détectée un mois auparavant sur ce qui semble être un dépôt de test.

Forensique sur GitHub : fork networks et gists supprimés

L’investigation se heurte à un obstacle de taille : le dépôt Trivy ayant été supprimé ou rendu privé, il n’est plus possible de cloner directement la version du commit exploité. C’est ici qu’entre en jeu un comportement peu connu de GitHub : lorsqu’un dépôt est supprimé, le fork network ne disparaît pas pour autant. Le plus ancien fork existant hérite automatiquement du rôle de racine du réseau, et l’intégralité des commits de tous les forks reste accessible tant qu’il reste au moins un fork vivant.

L’équipe retrouve ainsi un fork avec une seule étoile mais… 3 000 forks rattachés, devenu malgré lui le patriarche de l’arbre. Cela leur permet de récupérer le payload de Méga Game, qui consiste en une exploitation d’action GitHub locale (local GitHub action exploit) : le workflow checkout le code de l’attaquant, puis exécute une action locale redéfinie par ce dernier — une variante classique du untrusted checkout.

L’exploitation finale repose sur un curl pipe bash pointant vers un gist GitHub privé (mais non authentifié). Les chercheurs découvrent qu’il est possible de cloner un gist supprimé par son identifiant unique, à condition d’être authentifié sur GitHub — peu importe que ce soit le créateur original ou non. Un comportement probablement lié à la gestion du CDN de GitHub, qui conserve les objets tant qu’un garbage collection n’a pas eu lieu.

L’essor des attaques automatisées sur les CI/CD

L’épisode se conclut sur une réflexion plus large. Les attaques sur les pipelines CI/CD sont en croissance exponentielle, car ces environnements donnent accès à des ressources cloud critiques et que les secrets y sont souvent mal scopés. Dans le cas de Trivy, un simple workflow de commentaires a suffi à obtenir des droits administrateurs sur le projet.

Face à cela, les recommandations sont claires : rouler des outils de détection comme Poutine, appliquer le principe de défense en profondeur (secrets correctement scopés, limitation des outils accessibles aux agents IA), et ne jamais oublier qu’un projet public est ouvert non seulement au téléchargement, mais aussi à l’attaque. L’équipe mentionne également des cas où Claude a détecté des tentatives de prompt injection et a correctement refusé d’exécuter les actions demandées — une lueur d’espoir dans un tableau par ailleurs assez sombre.

Notes Collaborateurs Crédits
PME - Shadow whatever - Parce que... c'est l'épisode 0x721!10 mars 202600:16:32
Parce que… c’est l’épisode 0x721! Shameless plug Description Introduction : qu’est-ce que le shadow IT ?

Dans cet épisode du podcast, Cyndie Feltz, Nicolas Milot et Dominique Derrier abordent un sujet omniprésent dans les entreprises, mais souvent méconnu : le shadow IT. Le terme désigne l’utilisation d’outils, de logiciels ou de périphériques non approuvés par le département des technologies de l’information (TI), dans un contexte professionnel. Il ne s’agit pas uniquement d’apporter son propre appareil au bureau (bring your own device), mais aussi d’installer des applications sur un poste de travail fourni par l’entreprise sans avoir obtenu l’aval de l’équipe TI.

L’exemple classique ? L’employé qui télécharge un convertisseur PDF gratuit trouvé sur Internet parce qu’il avait un problème avec son lecteur PDF habituel. Ce geste, anodin en apparence, illustre bien la nature du phénomène : il n’y a aucune mauvaise intention derrière, seulement un besoin pratique à combler rapidement.

Une question de besoin, pas de malveillance

L’un des points centraux de la discussion est que le shadow IT naît rarement d’une volonté de nuire. Les employés adoptent des outils non autorisés parce qu’ils veulent simplement faire leur travail efficacement. Ils connaissent un logiciel, ils ont l’habitude de l’utiliser, ou encore ils se retrouvent dans une situation d’urgence — il est 17 h 50, la présentation doit être envoyée dans dix minutes, et l’équipe TI est injoignable. La solution de facilité s’impose alors naturellement, sans que la personne mesure les risques auxquels elle expose son organisation.

Comme le soulignent les intervenants, l’être humain a horreur du vide. Lorsqu’un outil manque, il trouve une alternative, qu’on lui ait dit ou non de ne pas le faire. Une politique de refus systématique, sans solution de remplacement proposée, ne résout rien : les employés contournent l’interdiction de toute façon.

Les risques concrets pour l’entreprise

Le vrai problème avec le shadow IT, c’est qu’il échappe à toutes les mesures de sécurité mises en place par l’entreprise. Ces mesures existent précisément pour réduire les risques ; or, un logiciel installé en dehors des processus officiels ne bénéficie d’aucune de ces protections.

Les intervenants soulèvent plusieurs types de risques :

Les vulnérabilités logicielles non corrigées. Quand un logiciel est installé par un employé sans passer par les canaux officiels (Intune, GPO, etc.), l’équipe TI n’est souvent même pas au courant de son existence. Elle ne peut donc pas en assurer la maintenance ni les mises à jour. Le cas de VLC est cité en exemple : un employé l’installe pour lire des vidéos, l’oublie pendant trois ans, et entre-temps le logiciel accumule des failles de sécurité (zero-days) jamais corrigées. Pour un testeur d’intrusion comme Nicolas, c’est une aubaine ; pour l’entreprise, c’est une porte ouverte aux attaquants.

Les problèmes de licences. Certains logiciels sont soumis à des licences commerciales. Si un employé installe un tel outil sans que l’entreprise l’ait acheté, elle s’expose à des redressements financiers parfois très coûteux, pour un logiciel utilisé une seule fois et oublié.

Le shadow AI. Le phénomène s’étend désormais à l’intelligence artificielle. Les intervenants posent la question directement : si une entreprise n’a pas encore officiellement adopté un outil d’IA ni établi de directives à ce sujet, croit-elle vraiment que ses employés n’utilisent pas l’IA ? La réponse est non. Pire encore : même sans utiliser directement un outil d’IA, les employés se servent souvent de logiciels qui intègrent de l’IA en arrière-plan. La question n’est donc plus de savoir si l’IA est utilisée dans l’entreprise, mais comment l’encadrer.

Comment s’en prémunir ?

Les intervenants s’accordent sur plusieurs pistes concrètes pour limiter le phénomène.

Anticiper les besoins. La meilleure façon d’éviter que les employés cherchent leurs propres solutions, c’est de leur fournir les bons outils avant qu’ils en ressentent le besoin. Le département TI doit adopter une posture proactive et proposer des alternatives officielles aux logiciels populaires.

Limiter les droits d’administration. S’assurer que les employés ne sont pas administrateurs locaux sur leur poste de travail est une première étape importante. Cela ne résout pas tout, mais complique considérablement l’installation sauvage de logiciels.

Favoriser la communication. Il est crucial de créer un environnement où les employés se sentent à l’aise de signaler leurs besoins en matière d’outils, sans craindre un refus automatique ou une réaction négative. Quand un employé demande à son équipe TI s’il peut utiliser tel logiciel, c’est déjà un pas dans la bonne direction : il faut encourager et cultiver ce réflexe.

Inclure les TI dans l’adoption de nouveaux outils. Chaque fois qu’un département envisage d’adopter un nouveau logiciel — qu’il soit destiné à la facturation, à l’ingénierie ou à la gestion de projets — l’équipe TI doit être impliquée dès le départ, pas après coup.

Faire un inventaire des applications installées. Pour les entreprises qui font appel à un fournisseur de services managés (MSP), il est recommandé de lui demander un inventaire complet des applications présentes sur les postes de travail. Cet exercice réserve souvent de mauvaises surprises, mais il constitue un point de départ indispensable pour reprendre le contrôle.

Conclusion : un problème humain avant tout

Le shadow IT est un problème complexe, et il l’est d’autant plus que l’entreprise grandit. En PME, la pression de la rapidité et l’absence de processus formels amplifient le phénomène. Mais au fond, c’est avant tout un enjeu humain et communicationnel. Sensibiliser les employés aux risques, leur offrir des alternatives adaptées à leurs besoins et instaurer une culture de dialogue ouverte entre les équipes métier et l’équipe TI : voilà les piliers d’une approche réaliste et efficace face au shadow IT — et à tous ses avatars, du shadow hardware au shadow AI.

Collaborateurs Crédits
© My Podcast Data · Projet indépendant · Données issues d'Apple & Spotify
À proposMéthodologieContactMe soutenirPolitique de confidentialitéMentions légales