Contexte et limites du pentest traditionnel

Le rapport Verizon DBIR 2026 indique que 31 % des violations débutent par l’exploitation d’une vulnérabilité, faisant de l’exploitation le vecteur d’accès initial numéro un. En parallèle, le même rapport montre que le temps médian de correction d’une faille exploitée passe de 32 à 43 jours, alors que les attaquants exploitent en moyenne cinq jours (telemetry Google Mandiant). Le modèle annuel de pentesting, qui couvre seulement 10 % de l’infrastructure et délivre un rapport PDF plusieurs semaines après les tests, ne peut plus suivre ce rythme. Cobalt (2026) souligne que le temps médian pour résoudre une vulnérabilité à haut risque est de 39 jours, avec un écart de 25 fois entre les meilleures et les pires équipes.

Preuve de concept des agents autonomes

Un système autonome a atteint la première place du classement US de HackerOne en 2025 (nommé XBOW), démontrant que les agents peuvent rivaliser avec les humains sur des plateformes publiques. Une étude de Fang et al. (2024) montre que des agents revus par les pairs ont exploité 87 % des failles découvertes en moins d’un jour, sans assistance humaine. Cobalt (2026) rapporte que les équipes utilisant des tests programmatiques sont 4,5 fois plus susceptibles de corriger les vulnérabilités critiques en moins de trois jours que celles s’appuyant sur des pentests ponctuels.

Mécanismes de gouvernance requis

Pour que l’agentic pentesting soit fiable, trois exigences architecturales sont détaillées dans le guide CISO : couverture vérifiable (une matrice de tests générée à l’avance et appliquée à chaque point d’entrée), validation indépendante (un second agent reproduit chaque découverte avant qu’elle ne soit consignée), et exécution via un navigateur réel (pour gérer les rendus dynamiques, MFA, anti‑bot et autres mécanismes qui bloquent les simples appels curl). Sans ces garde‑fous, les solutions qui se limitent à un DAST enrichi d’un LLM restent des démonstrations, car le modèle d’IA peut ignorer silencieusement des parties du périmètre.

Analyse économique et risques résiduels

Le coût moyen d’une mission manuelle de pentest est estimé à ≈ 18 000 $, alors que le coût moyen d’une violation s’élève à 4,44 M$ (IBM 2025). En déployant un agent autonome, les organisations réduisent le risque financier tout en obtenant une visibilité continue. Toutefois, le guide insiste sur des garde‑rails de rayon d’explosion, un arrêt d’urgence réversible, l’isolation des données et une traçabilité exportable. L’absence de ces contrôles expose l’entreprise à des actions non autorisées de l’agent, pouvant entraîner des perturbations ou des fuites de données internes.