Du pentest annuel au contrôle de sécurité continu
Par Ralf Schmidt | 29 septembre 2026 | Tech Corner
Une application est testée aujourd'hui. Trois semaines plus tard, la version suivante arrive. De nouvelles fonctions, des droits modifiés ou des interfaces supplémentaires peuvent déjà avoir modifié la situation de sécurité.
Le test d'intrusion classique ne résout ce problème qu'en partie : il fournit un instantané qualifié.
C'est précisément là qu'intervient AigentX de KomodoSec. La plateforme est conçue pour réaliser des tests de sécurité de manière répétable, par exemple avant une mise en production, après la correction d'une vulnérabilité, à des dates planifiées ou à la demande.
Pour les PME et ETI, le mot à la mode « IA » est ici moins intéressant. Une autre question est décisive :
Le pentest ponctuel peut-il devenir un processus de sécurité continu ?
Plus qu'un scan de vulnérabilités automatisé
Les scanners de sécurité automatisés ne sont pas nouveaux. L'ambition d'AigentX va plus loin.
Selon KomodoSec, la plateforme reconstitue le fonctionnement réel d'une application. Services, workflows, rôles et leurs relations sont déduits du comportement de l'application. Le système peut créer des comptes, s'authentifier et générer les objets nécessaires à des tests de sécurité approfondis.
Le test de différentes identités et autorisations est particulièrement intéressant. AigentX compare les fonctions que différents utilisateurs, rôles ou locataires peuvent réellement atteindre et exécuter. Le système cible ainsi explicitement les vulnérabilités d'autorisation et de logique métier.
La différence réside donc dans la question posée.
Alors que les contrôles automatisés classiques identifient des vulnérabilités techniques, l'approche agentique d'AigentX vise à examiner les applications dans le contexte de leurs processus réels.
Ou, plus simplement :
Non seulement : « Quelle vulnérabilité pourrait exister ? », mais aussi : « Quelle action non prévue peut réellement être effectuée au sein d'un processus métier réel ? »
« Agentique » signifie ici que le système ne se contente pas de dérouler une procédure de test rigide, mais qu'il effectue des actions, exécute des workflows et réagit au comportement de l'application, dans des limites définies.
Des vulnérabilités potentielles aux findings validés
Un autre point important est la validation.
KomodoSec décrit AigentX de sorte que l'exploitabilité d'une vulnérabilité est confirmée avant qu'elle ne soit signalée comme finding. Les rapports présentés comprennent notamment un contexte exécutif, les findings par gravité, les chemins d'attaque, des preuves techniques, des informations de reproduction et de remédiation ainsi que des retests.
C'est pertinent pour le travail concret.
Les équipes de sécurité et de développement n'ont pas seulement besoin d'indices sur d'éventuelles vulnérabilités, mais d'informations aussi concrètes que possible sur la manière de reproduire puis de corriger un problème.
C'est précisément là qu'intervient l'approche d'AigentX : les résultats ne doivent pas être une simple liste de candidats à analyser, mais des findings validés avec chemin d'attaque et preuve.
Pourquoi c'est particulièrement intéressant pour les PME et ETI
Les entreprises de taille moyenne exploitent elles aussi de plus en plus de portails clients, d'applications web, d'API et de processus métier numériques critiques.
La surface d'attaque à protéger s'élargit, tandis que se pose la question de la fréquence à laquelle une organisation peut s'offrir et organiser des tests de sécurité offensifs de haute qualité.
C'est là que réside le potentiel particulier d'une approche comme AigentX : utiliser le test d'intrusion plus souvent et plus près du processus de développement et d'exploitation.
Selon KomodoSec, la plateforme prend en charge différents modes d'utilisation récurrents, notamment des retests ciblés après remédiation, des évaluations planifiées et des tests à la demande. Lors d'un retest, le chemin d'attaque initial peut être vérifié à nouveau.
Il en résulte une autre logique de sécurité :
Tester → Corriger → Valider à nouveau
Et en cas de changements pertinents, le cycle recommence.
Pour les PME et ETI, c'est particulièrement important. Au lieu de considérer le test d'intrusion uniquement comme un projet isolé, il peut à l'avenir être lié plus étroitement au développement continu des applications critiques.
Le pentest autonome a besoin de limites claires
Plus un système de sécurité agit de manière autonome, plus le contrôle de ce qu'il est autorisé à faire devient important.
Cela vaut en particulier pour la sécurité offensive.
Avec AigentX, le périmètre, les exclusions, les identités utilisées et l'intensité de test autorisée sont donc définis, entre autres. KomodoSec décrit en outre des mécanismes de sécurité internes. Un exploit n'est ainsi exécuté que dans la mesure nécessaire à la preuve. Les modifications ou suppressions inutiles de données existantes doivent être évitées et la disponibilité du système protégée, sauf si des tests destructifs ont été autorisés.
Pour les entreprises, cette gouvernance n'est pas une fonction accessoire.
C'est une condition préalable à l'utilisation contrôlée de tests de sécurité offensifs autonomes.
Pour les applications critiques en particulier, il faut définir quels systèmes sont testés, quelles zones sont explicitement exclues et jusqu'où un test peut aller.
AigentX associe ici autonomie et Rules of Engagement définies.
Pentest agentique et expertise humaine
La force d'AigentX ne réside pas dans le remplacement de l'expertise humaine en sécurité. Le progrès décisif consiste à pouvoir réaliser des tests de sécurité offensifs de haute qualité plus souvent, de façon répétable et plus près du cycle de vie logiciel.
AigentX est conçu pour comprendre les applications et leurs processus réels, tester différentes identités et autorisations et valider l'exploitabilité des vulnérabilités trouvées. Après une correction, le chemin d'attaque initial peut être vérifié à nouveau. Une évaluation unique devient ainsi un processus répétable de test, remédiation et retest.
Pour les PME et ETI, la combinaison de l'automatisation et de l'expertise humaine est particulièrement intéressante.
KomodoSec propose AigentX aussi bien en solution Self-Managed qu'en modèle Managed. Dans le modèle Managed, AigentX réalise l'évaluation. Les pentesters de KomodoSec vérifient et valident ensuite les findings avant leur livraison.
Il ne s'agit donc pas de « IA ou expert en sécurité », mais de la combinaison des deux : la technologie agentique apporte évolutivité et répétabilité, l'expertise humaine la complète là où un jugement professionnel est requis.
Pour les PME et ETI en particulier, cette approche ouvre la possibilité d'établir le test d'intrusion comme une composante continue de leur cybersécurité, au lieu de faire vérifier la sécurité des applications critiques uniquement à des moments isolés.
Du test de sécurité au processus de sécurité
AigentX est surtout intéressant parce que la plateforme rend visible une évolution fondamentale du test d'intrusion :
La sécurité offensive ne doit pas forcément rester un projet ponctuel.
Si les applications peuvent être retestées après des mises en production, après une remédiation, à des dates planifiées ou à la demande, le test d'intrusion se rapproche du cycle de vie logiciel. Selon KomodoSec, AigentX est conçu précisément pour de telles évaluations répétables.
Pour les PME et ETI, c'est un avantage essentiel du test d'intrusion agentique : non pas remplacer les experts en sécurité, mais rendre les tests offensifs plus évolutifs, plus répétables et donc disponibles de manière plus continue.
Le véritable changement ne réside donc pas uniquement dans une nouvelle technologie. Il réside dans la possibilité de repenser le test d'intrusion.