Teknik - Pas besoin d'être un Mythos pour faire de l'offensif (leHACK) - Parce que... c'est l'épisode 0x32C! — PolySécure Podcast

Teknik - Pas besoin d'être un Mythos pour faire de l'offensif (leHACK) - Parce que... c'est l'épisode 0x32C!

PolySécure Podcast · 12/08/2026 04:00 · 1 h
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x32C! Shameless plug Description

Présentation

Cet épisode de Polysécure, enregistré avec Patrick Ventuzelo, CEO et fondateur de Fuzing Labs (une entreprise d’une vingtaine de personnes basée au sud de Paris, spécialisée en sécurité offensive), revient sur la keynote qu’il a donnée au leHACK. Le titre volontairement provocateur jouait sur le nom du modèle « Mythos », sorti puis suspendu quelques jours à peine après son lancement en raison de restrictions gouvernementales américaines liées à l’export. Cet épisode a servi de tremplin à toute la conférence : elle démontrait qu’un gouvernement peut décider unilatéralement de l’accès à un outil, ce qui pose de sérieuses questions de souveraineté numérique.

Le message central : la spécialisation plutôt que la puissance brute

L’idée forte de Patrick est qu’il n’est pas nécessaire de disposer du modèle le plus puissant du marché pour faire de la recherche de vulnérabilités efficace. Un petit modèle bien guidé, doté des bons outils, d’une base de connaissances pertinente et d’un processus clair, peut égaler voire dépasser un modèle frontière massif — tout en étant plus reproductible et moins coûteux en tokens. Il compare cela au fuzzing traditionnel : on peut soit lancer un outil générique en mode automatique, soit investir du temps pour comprendre la cible, créer un corpus adapté et guider la recherche. Les agents IA suivent la même logique de compromis entre autonomie complète et investissement humain en amont.

L’architecture de Fuzing Labs

Depuis un an, l’entreprise développe une plateforme d’orchestration d’agents IA spécialisés pour la sécurité offensive. Elle distingue plusieurs niveaux de sophistication : des agents basiques construits sur des harnais existants avec accès à des skills, des MCP et des bases de connaissances ; des agents plus poussés codés directement avec des frameworks comme l’ADK de Google, LangChain ou d’autres ; et enfin, un niveau expérimental consistant à fine-tuner leurs propres modèles. Cette dernière piste nécessite un système de benchmarking rigoureux — un domaine où l’industrie de la sécurité offensive manque cruellement d’outils standardisés, contrairement à d’autres secteurs.

Un orchestrateur central, doté d’un grand modèle avec beaucoup de contexte, planifie le travail et distribue des tickets à des sous-agents spécialisés (par exemple pour l’analyse Android, la rédaction de rapports, etc.), qui eux n’ont pas besoin de modèles massifs. Un petit modèle dense suffit largement pour des tâches ciblées comme la génération de rapports.

Les choix de modèles open weight

Patrick détaille les modèles qu’ils testent régulièrement : Qwen 3.6 et GLM 4 pour les petits modèles (utilisables même sur Mac Mini ou laptops), Nemotron Ultra en modèle intermédiaire (souvent disponible gratuitement via OpenRouter ou Nvidia), et des modèles plus lourds comme GLM 5.2 ou Kimi 3 pour les tâches complexes. Il observe que les modèles denses donnent de meilleurs résultats que les architectures en mixture of experts (MoE) dans leur contexte, notamment parce qu’ils offrent une meilleure traçabilité — un critère absolument central pour Fuzing Labs.

Confidentialité et souveraineté

La question de la confidentialité des données clients occupe une place importante dans la discussion. Fuzing Labs privilégie un déploiement on-premise voire air-gap, ce qui implique de faire tourner les modèles en local chez le client. L’entreprise possède du matériel dédié (DGX Spark, Mac Studio M3 Ultra avec 512 Go

Plus d'informations