Le problème.
Pour bien défendre, il faut savoir comment on attaque. Je voulais pratiquer le test d'intrusion web et évaluer un agent de pentest piloté par IA, sans jamais sortir du cadre légal.
Ce que j'ai construit.
01
Cadre
- Règles d'engagement écrites : autorisation écrite obligatoire, jamais la production, cibles en liste blanche, isolation réseau (aucun accès au réseau local), moteur IA sur abonnement uniquement.
- Chaque outil tiers vérifié avant installation (recherche de consignes cachées, d'envoi de données, de scripts d'installation).
02
Pratique
- OWASP Juice Shop comme cible d'entraînement, remise à neuf après chaque série de tests.
- Scans OWASP ZAP passif, actif et AJAX via navigateur : injection SQL trouvée et rapports archivés.
- Prochaine étape : comparer ce que l'agent de pentest IA trouve et rate face aux failles connues de la cible.
L' architecture.
Plan de testcibles en liste blanche
Serveur dédiéréseau isolé
OWASP ZAPpassif · actif · AJAX
Agent IAen évaluation
Juice Shopcible d'entraînement
Rapportfaille · preuve · correction
Sécurité & garde-fous.
- Autorisation écrite avant tout test (art. 323-1 du Code pénal).
- Réseau Docker sans accès au LAN.
- Cible de test remise à neuf, sauvegarde avant chaque série.
Les résultats.
- Lab opérationnel avec des premiers résultats prouvés ; évaluation de l'agent IA en cours.
