Contexte et besoin
Novee Cyber Security Ltd., startup spécialisée en pentesting piloté par l’IA, a présenté le 3 novembre 2026 son service External Surface Testing. Ce service répond à la phase critique qui suit la divulgation d’une vulnérabilité : les équipes de sécurité doivent identifier quels actifs exposés sont réellement exploitables. Les solutions traditionnelles d’External Attack Surface Management (ASM) se contentent de répertorier les actifs et de les classer par sévérité, sans fournir de preuve d’exploitation. Novee affirme que cette lacune oblige les analystes à valider manuellement de longues listes d’exposition.
Fonctionnement de External Surface Testing
Le processus démarre avec un simple nom de domaine fourni par le client. L’outil s’appuie sur un moteur d’attaque autonome qui se comporte comme un attaquant externe : il explore les sous‑domaines, serveurs de staging et autres points d’entrée oubliés, puis consigne chaque découverte. Lorsqu’une vulnérabilité récemment publiée est détectée, le moteur lance des tentatives d’exploitation contre les systèmes en direct pour vérifier la faisabilité. Les résultats sont exportés sous forme de liste courte, priorisée et accompagnée de preuves d’exploitation réussie ou d’échec.
Intégration avec les tests d’application
External Surface Testing s’exécute sur la même plateforme que le produit Application Pentesting de Novee. Ainsi, un hôte découvert lors de la phase externe peut être immédiatement promu à un test de type gray‑box ou white‑box, conservant les informations collectées (services, versions, configurations). Cette continuité évite la duplication d’efforts et permet d’étendre la couverture aux applications web, mobiles et même aux services d’IA, domaine que Novee considère comme non couvert par d’autres plateformes autonomes.
Limites et considérations de sécurité
Pour garantir la sécurité du client, le périmètre d’exécution doit être approuvé préalablement et les sondes n’utilisent ni agents ni identifiants fournis par le client. Les tentatives d’exploitation excluent les charges utiles destructrices et le trafic est limité par des seuils configurés afin d’éviter les pics de charge ou le bruit excessif dans le SOC. Ces garde‑fous peuvent toutefois engendrer des faux négatifs, notamment lorsque la validation nécessite une élévation de privilèges non simulée. Le service repose uniquement sur le nom de domaine, ce qui peut laisser des actifs hors‑ligne ou non résolus non détectés.
