Teknik - Série l'IA dans les CtF - Regard mix - Parce que... c'est l'épisode 0x35A! — PolySécure Podcast

Teknik - Série l'IA dans les CtF - Regard mix - Parce que... c'est l'épisode 0x35A!

PolySécure Podcast · 22/10/2026 04:00 · 32 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x35A! Shameless plug Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Dans cet épisode technique de Polysécure, l’animateur s’entretient avec Bitkay, membre de l’équipe The Flat Network Society et vétéran des CTF avec treize ans de pratique et plus de trois cents événements. Spécialiste des épreuves web, à la fois participant et organisateur, il livre un regard lucide sur l’irruption de l’IA dans ces compétitions de sécurité.

Un basculement net entre 2025 et 2026

En 2025, l’IA restait timide et peu performante. Quelques équipes l’utilisaient sur les épreuves simples pour gagner du temps, mais le travail manuel demeurait plus efficace. En 2026, plus personne ne s’en cache. Les modèles dits de frontière viennent à bout de la plupart des challenges et la compétition devient une course aux dépenses, la victoire revenant à l’équipe qui brûle le plus de tokens.

Un plaisir de jeu fragilisé

Le CTF était pour lui un jeu entre copains, où chaque épreuve résolue après des heures d’effort procure un vrai rush d’adrénaline. Utiliser l’IA retire ce sentiment d’accomplissement, tandis que s’en passer condamne à descendre dans les classements. Ce dilemme l’a démotivé et l’inquiète surtout pour les débutants, pour qui le CTF restait une excellente école des vulnérabilités et de leur exploitation. Obtenir un flag à coups de prompts, c’est apprendre beaucoup moins, et il redoute une dépendance croissante.

Présentiel, distance et économie des tokens

Le présentiel garde sa magie, puisqu’on peut enfin mettre un visage sur les équipes rivales et échanger plus librement sur les attaques et les writeups. Sur la question de l’IA, rien ne change, car les modèles tournent à distance. Les coûts révèlent plusieurs profils. Les étudiants disposent de crédits offerts par leurs écoles, des entreprises de cybersécurité utilisent leurs bons classements sur CTFtime comme argument marketing, d’autres ont les moyens de leurs ambitions. Hors des événements prestigieux comme la Defcon, l’investissement reste rarement rentable, d’où sa boutade sur le bug bounty et ses tokens.

Des parades organisationnelles limitées

Sur certains événements, il voit des équipes lancer un essaim d’agents et aller boire une bière pendant que d’autres galèrent à la main. Interdire l’IA paraît presque impossible, car un modèle capable de réussir une épreuve rédigera aussi un rapport convaincant, et surveiller le réseau reste illusoire avec des joueurs experts en VPN. Tout repose sur la bonne volonté des équipes, alors que prix et gloire attirent la triche. Certains organisateurs proposent deux classements, l’un libre où tout est permis, l’autre où des équipes s’engagent à jouer sans IA. Il imagine même des compétitions dédiées aux meilleurs setups d’IA.

Détecter les tricheurs et le code généré

Organisateur du FCFC, la sélection française pour la compétition européenne, il raconte comment les tricheurs étaient repérés. Des requêtes trahissaient leur compte par des headers caractéristiques, d’autres résolvaient cinq épreuves en cinq minutes puis se montraient démunis face aux questions. Les exploits livrés trahissent aussi

Plus d'informations