Le pentester augmenté par l'IA : modèles locaux non censurés, attaque des systèmes IA et agents autonomes de pentest

Module 1 — Pourquoi le pentest traditionnel est en mutation

• Impact des défenses IA modernes sur les techniques classiques : EDR ML, NDR, SIEM IA, WAF adaptatifs
• Asymétrie attaquant/défenseur et nécessité d'une augmentation par l'IA
• Modèles censurés (ChatGPT) vs non censurés (Dolphin-3) pour l'usage offensif
• Enjeux de souveraineté technique : confidentialité mission, air-gap, zéro télémétrie
• Travaux pratiques : comparaison du même prompt envoyé à ChatGPT et à Dolphin-3 local pour la génération de payloads offensifs

Module 2 — Limites fondamentales des LLM

• Architecture LLM appliquée au pentest : tokens, context window, temperature, system prompt
• Limite de Shannon : le LLM compresse avec perte, il ne crée pas d'information
• Hallucinations et leur impact opérationnel : CVE inventés, commandes approximatives
• Angles morts des LLM : vulnérabilités logiques métier, chaînes créatives, contexte environnemental, raisonnement adversarial

Module 3 — Installation du laboratoire IA offensif

• Installation d'Ollama et configuration des 4 modèles : dolphin3, qwen2.5-coder, nomic-embed-text, llama3.2
• Création d'un modèle « pentester » personnalisé avec Modelfile et system prompt offensif
• Déploiement d'Open WebUI pour l'interface graphique
• Validation de l'environnement et test en mode air-gap
• Travaux pratiques : installation complète, création du modèle custom, génération de payload et identification d'au moins une hallucination

Module 4 — Reconnaissance augmentée par IA

• Apport du LLM à la phase de reconnaissance : synthèse, corrélation et priorisation des résultats
• Limites à connaître : le LLM n'accède pas au réseau et ne vérifie pas les vulnérabilités
• Architecture d'un agent de reconnaissance : subprocess (nmap, curl) couplé à l'analyse LLM
• Calibrage de la temperature : 0.3 pour l'analyse, 0.7 pour la génération de payloads
• Travaux pratiques : mini-agent Python — scan nmap d'une cible Docker, analyse LLM, génération d'un plan d'attaque priorisé

Module 5 — Génération de payloads et bypass de WAF

• Payloads statiques (SecLists) vs payloads génératifs (LLM) : avantages et limites
• Boucle itérative offensive : générer → tester → intégrer le feedback → adapter
• Exploitation des réponses WAF (codes 403, patterns bloqués) pour orienter le LLM
• Évaluation de la qualité syntaxique des payloads et mesure du taux de réussite
• Travaux pratiques : fuzzing adaptatif avec LLM, boucle SQLi/XSS contre une cible avec WAF, analyse comparative vs approche manuelle

Module 6 — IA et Active Directory

• Problématique de l'analyse AD à grande échelle (10 000+ objets)
• Stratégie d'alimentation du LLM : pré-filtrage Python des données SharpHound/BloodHound
• Extraction automatique des cibles prioritaires : Domain Admins, comptes Kerberoastable, AS-REP Roastable, ACL dangereuses, délégations
• Génération de chemins d'attaque priorisés avec commandes impacket/crackmapexec
• Travaux pratiques : analyse de données BloodHound simulées par LLM, identification de chemins d'attaque, comparaison avec l'analyse visuelle BloodHound

Module 7 — Social engineering augmenté par IA

• L'IA comme multiplicateur de force pour le social engineering : personnalisation à l'échelle
• Génération de prétextes de spearphishing ciblés par profil
• Obsolescence des formations anti-phishing classiques face aux contenus générés par IA
• Cadre éthique strict : exercice autorisé en red team uniquement, deepfakes exclus
• Travaux pratiques : red team simulé — génération de prétextes pour 3 profils, page de phishing Office 365, exercice de détection en binôme

Module 8 — OWASP Top 10 LLM & Agentic AI

• Panorama des 10 risques OWASP Top 10 for LLM Applications (2025)
• Risques spécifiques à l'IA agentique : OWASP Top 10 for Agentic AI (décembre 2025)
• Prompt Injection (LLM01) en profondeur : injection directe, indirecte, techniques d'extraction
• System Prompt Leakage (LLM07) en profondeur : role-play, encodage, multi-turn, crescendo, side-channel
• Travaux pratiques : attaque d'un chatbot vulnérable à 4 niveaux de protection croissante, extraction de flags par prompt injection progressive

Module 9 — Attaque de systèmes RAG

• Architecture RAG : embedding, base vectorielle et recherche de similarité
• Les 4 surfaces d'attaque : poisoning, extraction, injection indirecte, manipulation de la recherche
• Dangerosité du poisoning RAG : influence persistante sur les réponses du système
• Contre-mesures : contrôle d'accès, sanitisation des documents, détection d'anomalies
• Travaux pratiques : exploitation d'un RAG vulnérable Docker — extraction de document confidentiel, poisoning de la base vectorielle, injection indirecte via commentaire HTML

Module 10 — Anatomie d'un agent IA et sa surface d'attaque

• Architecture d'un agent IA : LLM Core, Tools, Memory, Planner
• Chatbot (répond) vs agent (agit) : différences et implications sécurité
• Surfaces d'attaque agentiques : Tool Poisoning, Memory Manipulation, Excessive Agency, Goal Manipulation
• Impact d'une prompt injection sur un agent : RCE, exfiltration de données, phishing
• Travaux pratiques : exploitation de l'agent financier FinBot — escalade de privilèges, tool abuse SQL, exfiltration de base de données, injection indirecte via email

Module 11 — Construire un agent de pentest autonome supervisé

• Pattern ReAct (Reasoning + Acting) appliqué aux agents de pentest
• API directe vs frameworks (LangChain, CrewAI) : arbitrage contrôle, auditabilité, stabilité
• Implémentation du human-in-the-loop obligatoire et de la blacklist de commandes dangereuses
• Génération automatique d'un résumé structuré pour le rapport de pentest
• Travaux pratiques : construction et utilisation d'un agent supervisé — boucle ReAct contre une cible Docker, validation humaine de chaque action, résumé final automatique

Module 12 — Le vibe coding sous l'angle sécurité

• Risques sécurité du code généré par IA : patterns vulnérables hérités des données d'entraînement
• Les 8 vulnérabilités typiques du vibe coding : SQLi, XSS, IDOR, upload non filtré, secrets hardcodés, path traversal, mots de passe en clair, absence de CSRF
• Intégration de l'audit de code « vibe codé » dans une prestation de pentest
• Comparaison audit humain vs audit par LLM du même code
• Travaux pratiques : pentest d'une application entièrement générée par IA — 8 vulnérabilités intentionnelles, 100 points, audit comparatif humain/LLM en bonus

Module 13 — CTF « AI Red Team »

• Challenge 1 — Le chatbot bavard (30 pts) : extraction de credentials via prompt injection
• Challenge 2 — La base empoisonnée (40 pts) : extraction d'un document confidentiel et poisoning RAG
• Challenge 3 — L'agent manipulé (50 pts) : escalade de privilèges, tool abuse, exfiltration de base de données
• Challenge 4 — La chaîne complète (60 pts) : web classique + prompt injection + agent = RCE
• Challenge Bonus — Le bouclier (20 pts) : défi inversé, sécuriser un chatbot contre des attaques automatisées
• Travaux pratiques : CTF en équipes de 2-3 — infrastructure Docker complète, scoreboard temps réel, 200 points au total

Module 14 — Debrief et perspectives

• Positionnement d'une prestation « AI Red Team » : argumentaire commercial, livrables, référentiels OWASP
• Intégration de l'audit IA dans une méthodologie de pentest classique : cadrage, recon, exploitation, rapport
• Perspectives émergentes : MCP Security, agents multi-modaux, deepfakes, EU AI Act
• Ressources de veille et d'entraînement : Gandalf, Dreadnode Crucible, PortSwigger LLM Labs, AI Goat