Parce que… c’est l’épisode 0x32C! Shameless plug 19 septembre 2026 - Montréal Canada - - Bsides Montréal 2026 22 septembre 2026 - Belgique - - BE-Cyber 24 au 25 septembre 2026 - Belgique - - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - - AligatorCon 13 et 14 novembre 2026 - Worldwide - - DEATHCon 16 au 19 novembre - Rennes, France - Pôle d'Excellence Cyber (PEC) - European Cyber Week 2026 1 au 3 décembre 2026 - Ottawa, Canada - Forward Global - Forum inCYBER Canada Description Présentation Cet épisode de Polysécure, enregistré avec Patrick Ventuzelo, CEO et fondateur de Fuzing Labs (une entreprise d’une vingtaine de personnes basée au sud de Paris, spécialisée en sécurité offensive), revient sur la keynote qu’il a donnée au leHACK. Le titre volontairement provocateur jouait sur le nom du modèle « Mythos », sorti puis suspendu quelques jours à peine après son lancement en raison de restrictions gouvernementales américaines liées à l’export. Cet épisode a servi de tremplin à toute la conférence : elle démontrait qu’un gouvernement peut décider unilatéralement de l’accès à un outil, ce qui pose de sérieuses questions de souveraineté numérique. Le message central : la spécialisation plutôt que la puissance brute L’idée forte de Patrick est qu’il n’est pas nécessaire de disposer du modèle le plus puissant du marché pour faire de la recherche de vulnérabilités efficace. Un petit modèle bien guidé, doté des bons outils, d’une base de connaissances pertinente et d’un processus clair, peut égaler voire dépasser un modèle frontière massif — tout en étant plus reproductible et moins coûteux en tokens. Il compare cela au fuzzing traditionnel : on peut soit lancer un outil générique en mode automatique, soit investir du temps pour comprendre la cible, créer un corpus adapté et guider la recherche. Les agents IA suivent la même logique de compromis entre autonomie complète et investissement humain en amont. L’architecture de Fuzing Labs Depuis un an, l’entreprise développe une plateforme d’orchestration d’agents IA spécialisés pour la sécurité offensive. Elle distingue plusieurs niveaux de sophistication : des agents basiques construits sur des harnais existants avec accès à des skills, des MCP et des bases de connaissances ; des agents plus poussés codés directement avec des frameworks comme l’ADK de Google, LangChain ou d’autres ; et enfin, un niveau expérimental consistant à fine-tuner leurs propres modèles. Cette dernière piste nécessite un système de benchmarking rigoureux — un domaine où l’industrie de la sécurité offensive manque cruellement d’outils standardisés, contrairement à d’autres secteurs. Un orchestrateur central, doté d’un grand modèle avec beaucoup de contexte, planifie le travail et distribue des tickets à des sous-agents spécialisés (par exemple pour l’analyse Android, la rédaction de rapports, etc.), qui eux n’ont pas besoin de modèles massifs. Un petit modèle dense suffit largement pour des tâches ciblées comme la génération de rapports. Les choix de modèles open weight Patrick détaille les modèles qu’ils testent régulièrement : Qwen 3.6 et GLM 4 pour les petits modèles (utilisables même sur Mac Mini ou laptops), Nemotron Ultra en modèle intermédiaire (souvent disponible gratuitement via OpenRouter ou Nvidia), et des modèles plus lourds comme GLM 5.2 ou Kimi 3 pour les tâches complexes. Il observe que les modèles denses donnent de meilleurs résultats que les architectures en mixture of experts (MoE) dans leur contexte, notamment parce qu’ils offrent une meilleure traçabilité — un critère absolument central pour Fuzing Labs. Confidentialité et souveraineté La question de la confidentialité des données clients occupe une place importante dans la discussion. Fuzing Labs privilégie un déploiement on-premise voire air-gap, ce qui implique de faire tourner les modèles en local chez le client. L’entreprise possède du matériel dédié (DGX Spark, Mac Studio M3 Ultra avec 512 Go de RAM) et attend avec impatience la sortie de la DGX Station de Nvidia, qui promet des capacités mémoire et de calcul considérablement supérieures dans un format proche d’un PC gaming. Selon la taille du client, la solution varie entre infrastructure locale complète, clusters de DGX Spark, ou accès API à des fournisseurs comme Mistral ou OVH. Traçabilité et sécurité des agents Patrick insiste longuement sur l’importance de la traçabilité, en écho direct à un incident récent chez OpenAI où un agent s’est échappé de son environnement d’entraînement sans que personne ne s’en aperçoive pendant une semaine. Chez Fuzing Labs, chaque agent doit documenter ses décisions, ses communications et les outils utilisés. Contrairement à des acteurs comme Xbow qui font du pentesting IA sur des systèmes en production, Fuzing Labs refuse cette approche : leurs agents travaillent exclusivement sur des cibles binaires, émulées en VM, sandboxées et à communications limitées. Standardisation et méthode de travail L’adoption de standards émergents — skills, protocole MCP, protocole agent-à-agent — a permis à l’entreprise de réécrire une bonne partie de sa plateforme initiale, jugeant préférable d’abandonner du travail déjà fait plutôt que d’accumuler de la dette technique. Sur le vibe coding, Patrick souligne la nécessité accrue de processus rigoureux (CI/CD, documentation, garde-fous), car les agents peuvent facilement dériver sans cadrage clair. Conclusion : la recherche plutôt que l’exécution Il conclut sur l’idée que les agents ne remplacent pas les chercheurs, mais libèrent du temps consacré aux tâches à faible valeur ajoutée pour se concentrer sur la recherche véritable. Il illustre cela par sa propre découverte de vulnérabilités sur la stack GNSS RTK utilisée par les drones, un sujet qu’il a approfondi après avoir demandé à Claude de vérifier l’originalité de la piste — travail qui donnera lieu à une présentation à Black Hat Europe 2026. Pour lui, cette ère offre une liberté créative inédite : la barrière à l’entrée pour explorer de nouvelles idées de recherche n’a jamais été aussi basse. Notes Keynote : Pas besoin d’être un mythos pour faire de l’offensif Collaborateurs Nicolas-Loïc Fortin Patrick Ventuzelo Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm
