Parce que… c’est l’épisode 0x34C! Shameless plug 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Le FCSC et ses enjeux Jérémy Jean est cryptologue à l’ANSSI, l’agence nationale de la cybersécurité en France, où il travaille depuis dix ans au laboratoire de cryptographie. Il coorganise le FCSC, le France Cybersecurity Challenge, un CTF en ligne organisé chaque année depuis 2019. Le concours se joue individuellement et dure dix jours, afin que chacun puisse concilier travail, études et jeu. Il poursuit un double objectif. Le premier est de faire monter en compétences l’écosystème français avec des épreuves techniques proches des métiers réels. Le second est de sélectionner l’équipe de France, dix jeunes de moins de vingt-cinq ans, qui représentera le pays à l’ECSC, le championnat d’Europe organisé chaque automne par l’ENISA dans un pays différent, en 2026 à Bochum, en Allemagne. Une interdiction difficile à faire respecter L’année 2025 marquait les débuts des LLM dans les CTF. Les modèles manquaient de performances et hallucinaient souvent, comme le montraient les flags soumis. En 2026, la situation a radicalement changé. Compte tenu de l’enjeu de sélection, les organisateurs du FCSC avaient pris le parti d’interdire l’usage des LLM dans les règles du concours. Ce choix s’est révélé difficile à assumer. Certains participants ont quand même utilisé ces outils malgré les règles, créant une compétition inéquitable. L’équipe d’organisation s’est lancée dans une chasse aux tricheurs pendant les dix jours de l’événement, tâche désagréable et sans garantie absolue de détection. La chasse aux tricheurs Concrètement, les organisateurs disposaient d’un système de tickets et de la communauté Discord pour contacter les participants suspects et leur demander d’expliquer leurs résolutions express. Certains ont admis avoir utilisé un LLM, parfois sans avoir lu les règles. D’autres savaient parfaitement qu’ils enfreignaient l’interdiction. Légèrement plus de la moitié sont restés dans le déni, cherchant à conserver leurs points. Ces échanges, habituellement agréables pour un organisateur qui aime discuter des approches de résolution, ont été pollués par cette confrontation. L’efficacité déroutante des LLM Jérémy Jean raconte avoir pris un abonnement personnel à ChatGPT quelques semaines avant l’événement. Une épreuve de reverse engineering qu’il avait mise plusieurs semaines à concevoir a été résolue en sept à dix minutes par le modèle. Si l’IA est autorisée, la compétition se réduit à qui possède le meilleur abonnement. Côté concepteurs, le constat est démoralisant. Il faut des heures pour avoir la bonne idée et des dizaines d’heures pour concevoir une épreuve difficile, que les modèles résolvent en quelques minutes. La dimension pédagogique des CTF s’en trouve balayée. Les joueurs qui délèguent aux LLM n’en retiennent rien, n’ayant parfois même pas lu l’énoncé, et copient-collent le flag sorti par le modèle. Le tri des comptes et la sélection Les participants détectés n’ont pas été bannis, mais leurs comptes ont été cachés, ce qu’ils ont généralement mal vécu. Les autres ont globalement apprécié ce travail laborieux, car le haut du classement final ressemble à nouveau à un scoreboard d’avant l’ère des LLM. Ce filtrage a aussi servi la sélection de l’équipe de France. Les candidats s’inscrivent en catégories junior, senior ou hors catégorie, l’ECSC demandant cinq juniors jusqu’à vingt ans et cinq seniors de vingt et un à vingt-cinq ans. Les vingt-cinq à trente meilleurs passent ensuite un entretien en visioconférence avant la sélection des dix membres et de quatre remplaçants. Ce tri évite de perdre du temps avec des candidats ayant tout résolu par IA. Les règles de l’ECSC Les règles de l’ECSC ne sont pas encore fixées fin août, la décision revenant à l’équipe allemande organisatrice. Une interdiction, au moins partielle, semble la piste la plus naturelle, l’événement se déroulant en présentiel sur réseau local, ce qui permet une supervision impossible en ligne. L’animateur compare l’IA à un produit dopant qui fausse la compétition et balaie la valeur de l’événement. Accropole, une alternative sans compétition L’ANSSI propose aussi Accropole, une plateforme qui recense plus de six cents épreuves issues du FCSC, avec solutions librement accessibles. Sans classement ni points, elle permet un apprentissage au calme, à son rythme, où utiliser un LLM reviendrait à se mentir à soi-même. Loin de la compétition, elle invite à creuser les problèmes en profondeur pour vraiment apprendre. Un bilan douloureux et l’avenir Une quinzaine d’organisateurs ont géré l’événement pour deux à trois mille participants. Le rôle de police a fait perdre à Jérémy Jean le plaisir de suivre le scoreboard et les first blood. Ses collègues en charge des tickets ont vécu l’expérience encore plus durement. Reproduire ce modèle en 2027 semble impossible, car refaire une centaine d’épreuves vouées à être résolues trivialement ne motive plus. Durcir les épreuves contre les LLM en gonflant les bases de code ou en semant de fausses pistes est jugé une mauvaise approche, car elle les rendrait pénibles pour les humains. Autoriser les LLM conduit à des équipes dopées, même si l’argent ne garantit pas encore le succès, comme observé au NorthSec. Un mode présentiel faciliterait le contrôle et raviverait la dimension sociale et festive des rencontres. Sans solution convaincante, il évoque la possibilité, pessimiste, que les CTF touchent à leur fin ou deviennent des benchmarks de LLM contre LLM. Une coordination entre organisateurs D’autres CTF publics français, comme le 404 CTF et le Shucklock, ont fait les mêmes choix et rencontré les mêmes difficultés. Un retour d’expérience partagé est prévu d’ici la fin de l’année, notamment sur les systèmes de détection de triche. L’épisode se conclut sur l’espoir d’un renouveau des CTF d’ici 2027 ou 2028, avec le retour de leur esprit social. Notes FCSC - France Cybersecurity Challenge European Cybersecurity Challenge 2026 Hackropole ANSSI Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.
