On m'a parlé d'un outil appelé "Pentest GPT" — est-ce utilisé dans les tests pour lesquels on a des devis ?

En gros, cet outil analyse les sorties de scan réseau ou de scan de vulnérabilités saisies par le pentester et lui propose la prochaine commande à exécuter via une chaîne de prompts. En arrière-plan, il fait des requêtes vers un modèle d'IA grand public. Se contenter de copier-coller les sorties dans le rapport garantit de passer à côté de toutes les failles de logique métier.

Le prestataire le moins cher a-t-il accepté d'inclure une clause de confidentialité et de rétention des données dans le contrat ? S'ils ne peuvent pas garantir techniquement que les données du test ne fuiteront pas vers des serveurs publics, est-ce bien raisonnable de prendre ce risque pour un logiciel de scoring financier ?

L'année dernière, on avait fait faire un pentest automatisé dans les 50.000 TL. Près de 80 % du rapport n'était qu'un copier-coller d'outils de scan classiques, et ils avaient raté une faille critique d'élévation de privilèges sur notre tunnel de paiement. On a ensuite payé 110.000 TL pour un vrai test manuel, et c'est là que les vraies failles sont sorties.

Dans le milieu, "on a réduit les coûts" veut souvent dire "on a filé le boulot à un stagiaire qui tape des prompts sur l'outil". L'IA est un super assistant, mais s'ils s'en servent comme argument de réduction des coûts, c'est qu'ils rognent sur le temps d'expertise humaine.

Reprenez contact avec l'entreprise et exigez qu'ils fournissent les preuves de validation manuelle pour chaque vulnérabilité mentionnée dans le rapport. Précisez dès le départ que vous refuserez une simple liste de failles hypothétiques générée par l'outil.

on l'avait installe pour tester aussi cet outil ca sort les commandes de base mais les erreeurs de logique genre controle d'acces ca voit rien du tout. pour un projet financier faut surtout pas lui faire confiance tout seul, blindez le contrat avec une clause sur l'ia direct.

Conformément aux réglementations encadrant les institutions traitant des données financières, le transfert non maîtrisé vers des services cloud basés à l'étranger de données clients ou de réseau interne collectées lors des tests peut constituer une infraction légale. Il est recommandé d'exiger par écrit la cartographie des flux de données auprès de votre prestataire.

trois points à vérifier lors de cette opération.. puis bon si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

corrigez-moi si je me trompe.

Merci beaucoup, je teste dès aujourd'hui.

Je ne savais pas ça.

Chez nous, ça s'est passé comme ça. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Voilà, désolé si je me suis étendu.

Mon regard a changé après avoir vécu cela. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

La réponse ci-dessus va droit au but. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Ce sujet est archivé.

C'est une bonne idée d'avoir ouvert ce sujet. genre essayer de faire cela seul est la voie la plus coûteuse.

À votre place j'irais par cette voie.

Je me pose aussi la question.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Quand on décide sans mesurer, on revient toujours au même point.

Enregistré.