Utilisation de ChatGPT dans les travaux red team — dans le test pour lequel on a reçu une offre, y en a qui utilisent ça, c'est quoi le risque ?

Les modèles publics ne peuvent pas produire directement un exploit zero-day à cause des filtres de sécurité. Ce que font les consultants, c'est surtout réorganiser des structures de code connues pour contourner les mécanismes de détection. À part les modèles locaux et isolés, coller du code d'entreprise dans des services cloud est une vulnérabilité inacceptable.

Dans le test d'intrusion à 120 000 TL qu'on a fait faire le mois dernier, on a chopé via le trafic de surveillance réseau un expert qui interrogeait un service d'IA public avec les logs d'erreur du réseau interne. On a arrêté le test immédiatement et résilié le contrat. Surveiller la sortie de données de l'équipe d'audit devient malheureusement la responsabilité de l'employeur.

Il faut saluer l'honnêteté du cabinet qui dit clairement qu'il utilise l'IA, mais demander 160 000 TL et faire résoudre la majorité du boulot par un bot avec des prompts tout faits, c'est du gaspillage. La logique Red Team c'est l'esprit créatif humain ; les attaques sur template, les scanners automatiques les font déjà.

Faire analyser la boîte cible par l'IA puis facturer du conseil Red Team, c'est un business rentable. Quand le rapport est livré faites gaffe aux structures de phrases ; vérifiez qu'ils n'ont pas copié-collé des réponses de bot génériques dans le résultat.

s'ils utilisent des modeles qui tournent sur serveur local et coupes d'internet y a auucn souci mais s'ils envoient des donnees vers un cloud externe la confidentialite c'est fini puis franchement faites mettre une clause penale severe dans le contrat.

Conformément à la loi sur la protection des données personnelles et aux normes de sécurité de l'information, le transfert de données d'employés ou de clients obtenues lors du test vers des plateformes d'IA hébergées sur des serveurs basés à l'étranger constitue une violation manifeste de la réglementation. Cette situation peut faire courir à votre entreprise un risque d'amende administrative.

Votre inquiétude est tout à fait légitime. Demandez absolument un document de méthodologie de test aux entreprises qui vous font une offre. Exigez qu'elles s'engagent par écrit sur les outils utilisés, à quelle étape et avec quelles mesures de sécurité des données. Une entreprise professionnelle n'hésitera pas à le documenter.

Je trouve difficile d'être aussi catégorique côté red team chatgpt. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger. C'est confirmé par l'expérience.

chez nous aussi.

Résumé rapide pour les nouveaux : Si c'est une première, commencez petit, l'échelle viendra plus tard.

Voilà désolé si je me suis étendu.

Merci de partager le résultat. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

J'espère que cela vous sera utile.

Exact. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Quand on décide sans mesurer, on revient toujours au même point.

J'ai vécu exactement la même chose il y a deux ans. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Bien sûr, cela change si votre situation est différente.

Je suis d'accord j'aimerais même souligner ce point. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Je vais défendre l'opposé, ne m'en veuillez pas. Si vous grondez les fausses alertes, plus personne ne signalera rien.

À votre place, j'irais par cette voie.

C'est globalement vrai, mais il manque un point. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement. Bien sûr, cela change si votre situation est différente.

c'est noté, merci.

Absolument. Si j'ajoute quelque chose : La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Si vous avez des questions écrivez-moi je répondrai au mieux.