PolySécure Podcast volet pour les professionels

Nicolas-Loïc Fortin et tous les collaborateurs

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

  1. -6 j

    Spécial - Panel Bsides Montreal 2026

    Parce que… c’est l’épisode 0x351! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.contributor-photo { width: 100px; height: 100px; object-fit: cover; border-radius: 50%; } .contributors-table .contributor-name { display: block; margin-bottom: 4px; font-weight: bold; } .contributors-table .contributor-socials img { margin: 0 2px; } Nicolas-Loïc Fortin Éric Boivin Dominique Derrier marshaalexblanctimotijevic Crédits Montage par Intrasecure inc Locaux réels par Bsides Montréal

  2. 8 oct.

    Vincetopia - Deux fois sur le métier remettez votre ouvrage

    Parce que… c’est l’épisode 0x350! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.contributor-photo { width: 100px; height: 100px; object-fit: cover; border-radius: 50%; } .contributors-table .contributor-name { display: block; margin-bottom: 4px; font-weight: bold; } .contributors-table .contributor-socials img { margin: 0 2px; } Nicolas-Loïc Fortin Vincent Groleau Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

  3. 30 sept.

    SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs

    Parce que… c’est l’épisode 0x34B! Shameless plug 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un constat d’irréalisme René-Sylvain Bédard revient sur sa conférence au Sécure, où il a soutenu que la souveraineté numérique telle qu’on l’invoque actuellement n’est pas réaliste. Être souverain impliquerait de détenir ses propres centres de données, son équipement et ses logiciels, sur lesquels reposerait ensuite toute la structure numérique. Or aucun fabricant de processeurs ne se trouve à Montréal et aucune nouvelle plateforme de virtualisation ne sort de Toronto, tout l’écosystème reposant sur des serveurs, des systèmes d’exploitation et des applications américains. L’animateur note que la fabrication dépend de métaux rares presque exclusivement chinois et de capacités concentrées à Taïwan, sans que les administrations américaines soient parvenues à inverser la tendance. Un cadre légal mal lu Un directeur de Microsoft a marqué les esprits devant le Sénat français en admettant ne pas pouvoir garantir que les données ne seraient jamais consultées. René-Sylvain Bédard rappelle toutefois la question suivante, à laquelle le directeur a répondu qu’un tel accès n’était jamais survenu depuis 2018. Le Cloud Act avait justement été créé pour offrir une structure légale au cloud, alors qu’auparavant, les gouvernements refusaient même d’approcher un centre de données canadien. Les contrats précisent depuis qui possède quoi, et briser cette entente détruirait le modèle du cloud. La peur comme argument de vente L’animateur qualifie de désinformation l’histoire des comptes OneDrive ayant remis des clés, et rappelle que le Cloud Act ne vise que les données d’Américains à l’étranger, en contexte criminel, sur mandat de la Cour suprême. Les deux s’entendent pour dire que le Cloud Act sert d’épouvantail et que les plus bruyants sur les risques de souveraineté ont toujours quelque chose à vendre. L’animateur concède que l’instabilité de l’administration Trump a rendu l’épouvantail plus crédible, sans qu’il faille jeter le bébé avec l’eau du bain. Chiffrer plutôt que rapatrier René-Sylvain Bédard observe que l’argent public s’oriente vers la défense plutôt que vers les centres de données. S’il faut choisir des chantiers, il propose l’intelligence artificielle et le quantique, avec de vraies enveloppes, des règles d’attribution et des mesures contre l’acquisition étrangère. En attendant, le chiffrement offre une réponse concrète, puisqu’en apportant ses propres clés, notamment matérielles, des données interceptées demeurent illisibles. Il appuie le chiffrement des données gouvernementales et des secrets de défense avec des clés souveraines, mais rejette le discours sur le cloud souverain. Des données sensibles à graduer La France en débat depuis dix à quinze ans sans grand résultat, alors que le Canada voudrait tout rattraper du jour au lendemain, et René-Sylvain Bédard note que les entreprises françaises utilisent majoritairement Microsoft 365. Selon l’animateur, la Défense nationale canadienne devrait probablement sortir de Microsoft, mais pas l’ensemble des organisations, les milieux sensibles gardant déjà leurs infrastructures à l’interne. Quant aux données de santé, leur présence dans un cloud américain pose peu de problèmes, puisque ces dossiers n’intéressent pas le gouvernement américain. Pour l’animateur, la souveraineté relève parfois de la récupération politique, les projets de consolidation de données de santé s’écrasant toujours faute de dialogue. Le calcul sécurisé et la valeur des données René-Sylvain Bédard évoque sa rencontre au World AI Summit avec la responsable de l’intelligence artificielle en santé au Canada, qui valorisait des zones sécurisées où les modèles s’entraînent sans que les données sortent. L’animateur décrit le secure compute de Google, une boîte noire certifiée et cryptographiquement bloquée, utile aussi pour deux institutions financières voulant détecter la fraude sans ouvrir leurs données. On ne peut plus être dogmatique, estime René-Sylvain Bédard, puisque cent ans de radiographies archivées permettraient d’entraîner un modèle détectant le cancer plus rapidement sans remonter aux patients. Les données constituent le pétrole d’aujourd’hui, que détiennent en abondance les hôpitaux, les gouvernements et les municipalités. Des défaillances opérationnelles L’exemple de CrowdStrike illustre une erreur d’architecture, des systèmes critiques mis à jour le soir même sans test préalable. L’animateur invoque l’ingénierie aéronautique, encadrée à chaque étape, loin d’un avion ou d’un pont conçu en vibe coding. AWS, Google et Apple déploient leurs correctifs par anneaux et suspendent les mises à jour problématiques, d’où une leçon qui relève des opérations, non de la souveraineté. L’écart avec les hyperscalers René-Sylvain Bédard met au défi les promoteurs de centres de données canadiens de montrer leur pile technologique, une dépendance majoritairement américaine rendant l’opération impossible si les ventes cessaient. Microsoft investit dix milliards par année et un technicien y surveille cinquante mille machines virtuelles, un ratio qu’aucun centre canadien n’atteint. L’animateur confirme l’expertise et l’automatisation exceptionnelles de Microsoft, d’AWS et de Google, et dans une moindre mesure d’OVH. René-Sylvain Bédard n’a rien contre les petits joueurs canadiens, mais refuse qu’on affirme que Microsoft pose problème sans proposer des équivalents locaux d’Exchange, de Dynamics, de SharePoint ou de Teams. Un monde multipolaire La souveraineté devient un dogme, estime l’animateur, alors qu’on peut composer avec des fournisseurs américains, européens ou asiatiques. Ce qu’on craint des Américains aujourd’hui, on le craindra demain d’autres puissances. René-Sylvain Bédard rappelle qu’Israël figure parmi les plus grands fournisseurs de pare-feu, sans que personne ne propose de s’en départir. Au-delà de la confidentialité La discussion se termine sur les trois facettes de la souveraineté, soit la confidentialité, la disponibilité et l’intégrité, le débat public ne portant que sur la première. Microsoft a ainsi accepté, après négociation, de déplacer au pays une composante complète de son offre, disponible même si les frontières se fermaient. René-Sylvain Bédard mentionne aussi Azure Sta

  4. 24 sept.

    Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés

    Parce que… c’est l’épisode 0x348! Shameless plug 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une démarche pragmatique Dans cet épisode spécial de Polysécure, Nicolas reçoit Jordan Theodore pour discuter d’un article cosigné avec Glimps et la Chambre de commerce de New York. Destiné aux décideurs, ce texte plaide pour une utilisation équilibrée de l’intelligence artificielle sous le thème de faire plus avec moins. La discussion arrive à point nommé alors que plusieurs géants amorcent un repli après l’enthousiasme démesuré de 2025. Des budgets fondus à grande vitesse Le cas d’Uber sert d’exemple marquant, l’entreprise ayant épuisé la totalité de son budget annuel dédié à l’IA en à peine quatre mois. Ce phénomène n’a rien d’isolé selon Jordan, qui rappelle qu’un rapport du MIT de 2025 estime que 95 % des projets pilotes échouent. Le passage à l’échelle constitue le véritable obstacle, le déploiement massif d’agents de code autonome comme Claude Code auprès de milliers d’ingénieurs engendrant des coûts qu’aucun pilote ne laisse entrevoir. Des KPI contre-productifs Les KPI imposés par les décideurs privilégiaient l’adoption au détriment de la valeur. Jordan relate avec humour le concept de token maxim, qui consistait à consommer un maximum de tokens pour démontrer l’usage de l’IA. Comme la facturation se fait à l’usage, ces indicateurs ont créé une compétition absurde à qui consommera le plus, des employés se sentant jugés non performants lorsqu’ils sous-utilisaient les outils. Un développeur peut ainsi atteindre 2000 dollars US de frais d’API par mois, illustrant les dépenses de géants comme Walmart ou Uber. Le coût des boucles agentiques Jordan attribue ce gaspillage au loop engineering, qui lance des systèmes agentiques itérant de longues minutes, parfois avec plusieurs sous-agents qui se consultent entre eux. Il consomme personnellement environ 162 000 tokens par requête et avoisine les 500 millions de tokens par semaine. Nicolas souligne que cette réflexion prolongée coûte cher. Les deux conviennent qu’un agent peut perdre des heures et des sommes considérables à déboguer une simple variable mal définie qu’un humain corrigerait en quelques instants, d’où la nécessité d’une utilisation raisonnée. Le ROX comme nouvelle mesure Face à un retour sur investissement décevant, Jordan présente le ROX, le retour sur expérience, un concept liant la satisfaction des utilisateurs à l’usage des outils. Est-ce que l’expert passe plus de temps à micromanager l’IA qu’à produire ? Est-ce que l’outil réduit la friction au travail ou en crée davantage ? Nicolas demeure sceptique face à ce terme marketing, mais les deux conviennent qu’un outil qui frustre les talents coûte plus cher qu’il n’en rapporte. Un code abondant mais problématique L’IA produit environ 38 % de code de plus qu’un humain pour un même script, alourdissant lecture et maintenance. Ce code demeure étranger, sans logique humaine perceptible, et sa refactorisation donne des maux de tête à Nicolas. En cybersécurité, des outils contenant de l’IA ont été mis en production alors qu’ils n’étaient que des preuves de concept, et des cas publics de SaaS ont révélé des oublis de sécurisation élémentaire. Les intervenants reconnaissent malgré tout des gains réels, comme partir d’une structure existante plutôt que de la page blanche. Modèles spécialisés et inférence Jordan présente ensuite la vision de Gartner sur les small language models, devenus pour 2027 des DSLM, des modèles spécialisés, rapides, légers et économiques, avant de définir l’inférence. La vie d’un modèle se divise en deux phases, l’entraînement qui ingurgite des milliards de textes jusqu’à figer le modèle, puis l’inférence qui constitue le passage à l’acte par des calculs de probabilité. Nicolas ajoute une mise en garde au sujet de Hugging Face, où des scripts Python exécutables peuvent se cacher dans des modèles de sources douteuses. Il recommande de privilégier les producteurs reconnus comme Mistral, Qwen ou Google avec Gemma. Mélange d’experts et quantisation Les moteurs d’inférence comme VLLM ou SGLang gèrent la mémoire et les requêtes simultanées. Chez Glimps, les contraintes exigent au moins 10 utilisateurs en parallèle avec un contexte de plus de 128 000 tokens et un débit rapide. Les modèles retenus sont de type MoE, mélange d’experts, où seuls les experts pertinents s’activent à chaque requête. La quantisation complète le tout en arrondissant les chiffres du modèle, une différence négligeable sur des milliards de paramètres. Des modèles compacts comme Phi-3 tournent même sur un simple Mac M1, et le mode thinking peut être coupé pour les profils bureautiques. Le RAG en appui des petits modèles Jordan explique ensuite le RAG, la génération augmentée par récupération. Les documents sont découpés en petits morceaux convertis en vecteurs puis stockés dans une base de données vectorielle. Lors d’une question, seuls les quelques paragraphes pertinents sont injectés au modèle, ce qui réduit les coûts, accélère les réponses et diminue les hallucinations. Nicolas insiste sur la préparation préalable, un RAG improvisé ayant mené plusieurs utilisateurs à abandonner la démarche. Une masse documentaire suffisante est requise pour que les vecteurs soient représentatifs. Les tests réalisés avec les write-ups de CTF illustrent la valeur du concept et l’ingénierie nécessaire à son paramétrage. La vraie complexité organisationnelle La simplicité apparente du déploiement masque une complexité organisationnelle redoutable, qu’il s’agisse des silos entre départements, de la gouvernance des données confidentielles ou des droits d’accès. Les organisations doivent traiter l’IA comme tout projet structurant, sans raccourci, et les équipes deviennent hybrides, mêlant IA et cybersécurité. Cap sur le SOC L’épisode se conclut avec un aperçu du prochain volet consacré aux SOC et aux CERT. L’automatisation des tâches des analystes de niveau 1, trop souvent noyés sous les alertes, pourrait prévenir le burn-out, accélérer les décisions et améliorer des indicateurs comme le temps moyen de détection et de réponse. Notes French American Chamber of Commerce - New York Contributeurs .contributors-table { border-collaps

  5. 10 sept.

    SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant

    Parce que… c’est l’épisode 0x340! Shameless plug 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Le parcours menant à la faillite Jean-Philippe Racine débute dans le domaine en 2001, devient travailleur autonome en 2009, puis fonde CyberSWAT en 2015. L’entreprise croît rapidement, portée par la pandémie, jusqu’à compter 25 employés. Le marché change toutefois beaucoup dans les deux dernières années, entre la hausse des salaires, des ventes plus difficiles et les dépenses importantes dans le logiciel Protection C4. Les liquidités finissent par manquer et la faillite est déclarée à la fin août 2025, forçant des décisions difficiles. Le rachat des actifs et de la marque Pendant qu’il aide le syndic à liquider les actifs, Jean-Philippe s’interroge sur son avenir et constate qu’il aime toujours la sécurité, décidant de rester dans le service conseil auprès des PME. Vendre des actifs en faillite fonctionne par enchères et ressemble à la vente d’une maison sans garantie légale, ce qui en diminue la valeur. Les actifs sont séparés en deux lots, le premier comprenant la marque CyberSWAT avec son site web et ses articles promotionnels, le deuxième regroupant le logiciel Protection C4, ses clients et son code. Il rachète finalement les deux. Racheter la marque évite de repartir de zéro, ce qui exigerait de reconstruire un site web, de changer les courriels et de recontacter tous les contacts. Chaque dollar dépensé réduit d’autant les dettes, un peu comme de l’argent de Monopoly. Cette période soulève aussi des questions d’identité, ne sachant plus comment se présenter, comme président ou comme consultant, mais il décide d’assumer son choix de garder le nom. Un fil Reddit sur la faillite est apparu au moment des événements, et une recherche Google fait aujourd’hui ressortir ce post en deuxième position, ce qui exigera des efforts pour redresser la perception. Heureusement, les clients se sont montrés très sympathiques et humains. Les propositions refusées et le recentrage Durant sa période de flottement, plusieurs personnes manifestent de l’intérêt. Certains proposent de racheter le logiciel à condition qu’il s’implique personnellement, une firme lui offre de gérer une grosse équipe de sécurité et un autre scénario prévoit de redevenir coactionnaire avec un investisseur. Il se demande s’il veut se remettre cette pression. Son objectif passé de lever des fonds en capital de risque aurait exigé une expansion au Canada et aux États-Unis. Il réalise que ces objectifs ne lui ressemblent plus. Le nouveau CyberSWAT adopte donc une offre plus restreinte, ne gardant que les éléments qui lui plaisent. Avec la croissance, l’entreprise avait intégré des services qui alimentaient la machine sans lui plaire. La faillite lui permet de faire le ménage et de retourner sur le plancher des vaches, en refaisant de la cybersécurité au quotidien. Le poids du rôle de PDG Jean-Philippe occupait aussi le rôle de coordonnateur de gestion d’incidents, appuyé par son équipe pour le volet technique. Il déterminait la portée des incidents et choisissait les intervenants, en collaborant avec des assureurs et des firmes comme KPMG. Cette responsabilité pesait lourd, avec la crainte constante qu’un incident survienne la nuit ou pendant les vacances, et l’équipe n’avait jamais atteint la masse critique pour déléguer ce rôle. L’expérience de PDG lui apporte aujourd’hui une grande clarté sur ce qu’il aime et ce qu’il n’aime pas. Il constate qu’il est trop amoureux de la sécurité pour rester éloigné de l’exécution. Il recherche un meilleur équilibre de vie, notamment pour passer plus de temps avec sa fille, sans l’épée de Damoclès des incidents et des départs de joueurs clés. Un virage vers l’intelligence artificielle Le repositionnement demeure subtil. CyberSWAT se voulait auparavant un généraliste auprès des PME de 10 à 500 employés, grâce aux dossiers liés à la loi 25. Désormais, il concentre ses efforts sur deux pôles qui l’intéressent, soit la protection des renseignements personnels et des renseignements de santé, domaines qu’il connaît pour avoir travaillé sur les dossiers de la RAMQ et de Santé Québec. Il ajoute un volet intelligence artificielle, un intérêt de longue date qu’il n’avait pas le temps de cultiver comme PDG. Pour concrétiser ce virage, il a obtenu avant les fêtes les certifications AAIA et AAISM d’ISACA, lui qui n’avait plus passé d’examen depuis plusieurs années. Les certifications ne font pas tout, mais elles lui servent de défi personnel, un peu comme réserver un voyage au Kilimandjaro pour se forcer à faire de la randonnée. Le logiciel Protection C4 poursuit sa vie Le logiciel continue d’exister et Jean-Philippe reprend son rôle de product owner, qu’il occupait déjà pour la première version. La firme qui assurait le développement a accepté de poursuivre, malgré les factures impayées perdues dans la faillite. Des clients existants continuaient d’utiliser la plateforme et de nouvelles ventes ont été réalisées depuis le rachat. Une bonne partie du travail relève de la configuration plutôt que du développement. Les défis restent réels avec la transformation des produits SaaS et l’évolution du cloud. Il tient à financer le développement avec son propre argent, et les nouvelles méthodes de codage assisté devraient permettre d’accélérer l’ajout de fonctionnalités malgré un budget limité. Réflexions sur l’avenir du domaine Plus actif dans la veille, Jean-Philippe constate que la vitesse des changements est fulgurante et que les métiers se transforment, au point qu’il a de la difficulté à imaginer son travail dans 24 mois. Il s’interroge sur l’avenir de la facturation à l’heure dans cinq ans, lui qui peut désormais offrir plusieurs services à forfait grâce aux outils d’intelligence artificielle utilisés de manière sécuritaire. L’animateur note que l’usage de l’intelligence artificielle demeure peu sécurisé dans plusieurs organisations, notamment avec les risques d’injection de prompt par des documents externes. La conférence complète sera disponible sur le site du Sécur. Notes Présentation faire lors du SéQCure 2026 Contributeurs .contributors-table { border-collapse:

  6. 20 août

    Spécial - Chronhr ou comment trouver la fraude (Propolys)

    Parce que… c’est l’épisode 0x331! Shameless plug 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Présentation et parcours Dans cet épisode spécial de Polysécure, Yanis Ould Mahammed, étudiant en 4e année de génie logiciel à Polytechnique Montréal, présente Chronhr, une startup qu’il a cofondée avec Aziz, candidat au doctorat en cybersécurité à Polytechnique et également CTO de l’entreprise. Aziz, qui travaille chez Morgan Stanley, a identifié un enjeu majeur lié à la fraude et au blanchiment d’argent dans le cadre de son travail. Grâce à sa compréhension approfondie de l’intelligence artificielle, il a validé l’idée en discutant avec des analystes du domaine avant de proposer à Yanis, rencontré au sein d’une association étudiante, de le rejoindre dans l’aventure. L’accompagnement de Propolys Les deux cofondateurs ont postulé et ont été retenus pour intégrer le programme d’accompagnement Propolys, une expérience que Yanis décrit comme extrêmement formatrice puisqu’il s’agissait de sa première entreprise. Le programme leur a fourni une base solide en entrepreneuriat, en les aidant à comprendre le fonctionnement réel du milieu plutôt que ce qu’on peut voir sur YouTube. L’accompagnement combine des rencontres hebdomadaires ou bimensuelles avec des mentors pour discuter des avancements et des prochaines étapes, ainsi que des ateliers de deux heures, deux fois par semaine, animés par des professionnels de différents secteurs (cybersécurité, medtech, cleantech). Ces ateliers sont surtout orientés vers le développement des compétences business — validation d’idées, élaboration d’un Business Model Canvas (BMC) — plutôt que vers les aspects purement techniques, bien que certaines formations sur le déploiement et les processus aient aussi été offertes. Le problème identifié : l’AML manuel et vieillissant Chronhr s’attaque à un problème concret dans le domaine de la lutte contre le blanchiment d’argent (AML). Les fondateurs ont observé que les systèmes actuels utilisés par les institutions financières sont désuets, que l’extraction de données prend énormément de temps au détriment de l’analyse, et que les erreurs humaines sont fréquentes en raison de la nature répétitive du travail. Les analystes doivent traiter un grand nombre de cas quotidiennement, ce qui crée un arriéré constant. À cela s’ajoute une pression réglementaire croissante au Canada, notamment de la part du CANAFE (Centre d’analyse des opérations et déclarations financières du Canada) et de FINTRAC. Toute entreprise disposant d’un système de transactions — banques, sociétés de services monétaires, entreprises fintech, crypto, immobilier, casinos, assurances et prêteurs — doit se conformer à ces obligations, sous peine de sanctions financières sévères en cas de blanchiment non détecté. La solution technique Chronhr propose une équipe d’agents virtuels d’intelligence artificielle qui automatise les tâches répétitives liées à la collecte de données, à l’analyse et à la rédaction de rapports pour les analystes AML. Le système est conçu pour être modulaire et s’intègre aux infrastructures existantes plutôt que de les remplacer entièrement. Concrètement, lorsqu’une alerte est générée par un système externe détectant une transaction suspecte, Chronhr crée automatiquement un dossier (case) regroupant les alertes pertinentes. Un orchestrateur mobilise ensuite plusieurs agents pour aller chercher des données dans les bases de transactions, les dossiers KYC (Know Your Customer) et les listes réglementaires gouvernementales, afin notamment de vérifier si une personne est politiquement exposée. Le traitement combine des règles déterministes — des formules éprouvées pour détecter des schémas circulaires ou des structures de type « fan-in/fan-out » typiques du blanchiment — avec des composantes d’IA générative, dont la nature non déterministe est encadrée par des balises strictes. Yanis compare cette architecture à un patron de conception de type « décorateur », où chaque couche d’information vient s’ajouter aux précédentes pour former un rapport riche, semblable à un « gâteau mille-feuilles » de données. Le rapport final n’est pas un simple document statique : il comprend des graphiques interactifs, de la visualisation de déplacement de données, des fonctionnalités de recherche de réseau (network research) permettant de visualiser les relations entre comptes et transactions, ainsi que des espaces pour les commentaires des analystes. L’objectif est de permettre à l’analyste de prendre une décision plus rapide et mieux informée. Confidentialité et flexibilité technologique Un enjeu central pour le secteur financier est la protection des données. Chronhr a conçu son système pour être entièrement modulable au niveau du choix des modèles d’IA utilisés, avec la possibilité d’injecter des prompts personnalisés. Les données ne quittent jamais les infrastructures du client — aucune information sensible n’est envoyée dans le cloud — et le système peut fonctionner entièrement on-premise. Seules des données non sensibles comme les journaux (logs) et statistiques sont transmises à Chronhr. L’équipe a testé plusieurs modèles, notamment ceux d’Anthropic et d’OpenAI, avec des résultats satisfaisants, bien qu’ils prévoient une phase plus scientifique de validation avec des jeux de données dédiés. Étapes actuelles et ambitions Actuellement, l’équipe a développé une banque de données synthétiques pour tester sa solution et cherche désormais à décrocher un projet pilote avec un premier client réel, dans un marché reconnu pour ses coûts d’entrée élevés. Elle s’appuie sur un comité consultatif (advisory board), sur le soutien de Propolys, ainsi que sur des discussions en cours avec PwC et KPMG pour établir des partenariats stratégiques. Chronhr prévoit plusieurs apparitions publiques : l’entreprise a été sélectionnée dans le top 100 des compagnies en intelligence artificielle au Canada et présentera un kiosque au Forum FinTech les 14 et 15 septembre, ainsi qu’au GoSec fin septembre. Pour l’instant, l’entreprise cible exclusivement le marché canadien avant d’envisager une expansion vers les États-Unis, où la concurrence est plus forte. Le nom Chronhr, orthographié différemment de « Cronher », est né de la fusion des mots Chronos et Hermès — un clin d’œil approprié à une solution qui vise justement à faire gagner un temps précieux aux analystes AML, avec l’ambition d’atteindre une amélioration de vitesse et de simplification de 4 à 5 fois supérieure aux méthodes actuelles. Notes Chronhr Propolys Collaborateur

  7. 22 juil.

    Spécial - Le 800e aka l'état de la recherche cybersécurité au Québec

    Parce que… c’est l’épisode 0x320! Préambule C’est toujours difficile d’avoir une qualité uniforme lorsqu’il y a autant de gens autour de la table. Shameless plug 6 au 9 août 2026 - Las Vegas, USA - DEFCON 34 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cet épisode spécial de Polysécure réunit huit invités venus d’horizons variés — académique, industriel et gouvernemental — pour dresser un portrait de la recherche en cybersécurité au Québec : Benoît Baudry (sécurité de la chaîne d’approvisionnement logicielle, UdeM), Olivier Bilodeau (Flaire, Northsec), Alexandre Côté Cyr (malware researcher), François Proulx et Sébastien Gravelines (Boost Security, sécurité applicative et supply chain), Benoît Dupont (criminologie, UdeM), Sébastien Gambs (protection de la vie privée et IA, UQAM) et Alexis Dorais-Joncas (recherche sur le cyberespionnage, Proofpoint). Les origines : des CTF à la recherche professionnelle La discussion s’ouvre sur l’histoire du domaine. Plusieurs intervenants rattachent les débuts de la recherche en cybersécurité au Québec aux petites équipes pionnières comme celle d’ESET (I7), fondée notamment autour de figures comme Pierre-Marc Bureau. Beaucoup de premiers chercheurs venaient de l’ÉTS et avaient été initiés par les compétitions de capture de flag (CTF). Un débat émerge sur la légitimité du titre de « chercheur » en entreprise : certains estiment que la recherche académique, plus rigoureuse et lente, se distingue nettement de la recherche industrielle, souvent plus chaotique et teintée de marketing. D’autres nuancent : la recherche académique dépend largement des données et de la collaboration avec l’industrie, et les deux mondes s’enrichissent mutuellement. Une circularité féconde entre industrie et université Un exemple concret de collaboration est présenté : Benoît Baudry, arrivé au Québec il y a deux ans et demi, a rapidement contacté Boost Security (François Proulx), aboutissant à un projet commun avec des étudiants au doctorat et à la maîtrise qui construisent un « ground truth dataset » à partir des données accumulées par l’entreprise. Ce type de partenariat illustre comment l’industrie fournit des données massives et des cas concrets pendant que l’académie apporte la rigueur méthodologique. L’humain au cœur de la cybersécurité Plusieurs intervenants insistent sur l’importance croissante des sciences sociales dans la recherche en sécurité. Benoît Dupont souligne que l’étude des cybercriminels exige une collaboration avec la criminologie, tandis qu’Alexis Dorais-Joncas explique comment l’analyse des cibles d’attaques par courriel permet d’émettre des hypothèses sur les motivations géopolitiques des attaquants. La discussion aborde aussi l’ingénierie sociale et les leviers psychologiques exploités par les attaquants, ainsi que les collaborations avec le droit et l’éthique, notamment autour de la protection des données (loi 25) et de l’intelligence artificielle. Un exemple original est mentionné : une collaboration avec des chercheurs en théâtre pour concevoir des simulations de cyberattaques plus immersives. Un écosystème québécois dense mais discret Les participants estiment que le Québec, et Montréal en particulier, constitue un pôle de recherche en cybersécurité de calibre international, porté par une concentration unique d’universités francophones (UdeM, ÉTS, Concordia, UQAM, Laval, Sherbrooke) totalisant près d’une centaine de professeurs actifs, sans compter leurs étudiants. Les crédits d’impôt en R-D fédéraux ont favorisé l’implantation d’équipes de recherche en entreprise (I7/ESET, Flaire, GoSecure). Toutefois, un certain manque de confiance collective — attribué en partie à la culture et à la langue — empêcherait le Québec de pleinement revendiquer ce leadership, malgré des études d’industrie le confirmant. Formation, angles morts et lacunes Les intervenants reconnaissent une tension récurrente : l’industrie se plaint que les diplômés ne sont pas immédiatement opérationnels, un problème jugé inhérent à un domaine en évolution constante plutôt qu’un vrai défaut de formation. Un consensus se dégage sur une lacune importante : l’usabilité (HCI — interaction humain-machine) appliquée à la cybersécurité est quasi absente de la recherche québécoise, alors qu’elle est cruciale — les gestionnaires de mots de passe et les clés d’accès (passkeys) étant cités comme exemples de solutions encore mal adaptées aux usagers ordinaires. Certains plaident pour réduire au minimum les décisions demandées aux utilisateurs plutôt que de tenter de les éduquer davantage. La francophonie comme atout à mieux structurer Le réseau francophone — Québec, France, Afrique francophone (Algérie, Maroc, Sénégal), Haïti — est identifié comme une richesse sous-exploitée. Des collaborations existent, notamment via la conférence Botconf, mais restent largement informelles et ad hoc, faute de canal structuré entre le Québec et la France. Le manque d’un équivalent local de l’ANSSI française, en raison de la centralisation des services de renseignement à Ottawa, est aussi déploré. Menaces sur l’avenir : immigration et financement Un sujet préoccupant est la réduction récente des seuils d’immigration étudiante (environ 14 % de baisse), qui fragilise particulièrement les programmes de maîtrise — historiquement alimentés par des étudiants internationaux — et menace, à moyen terme, le vivier des futurs doctorants et chercheurs. Par ailleurs, l’augmentation prévue des dépenses fédérales de défense (vers 5 % du budget) pourrait injecter des fonds importants en cybersécurité, mais avec le risque de biaiser la recherche vers des thématiques strictement militaires, au détriment des enjeux civils. Conclusion Malgré ces incertitudes, les intervenants demeurent optimistes quant à la richesse et à la diversité de l’écosystème québécois, porté par une jeune génération talentueuse et un terreau propice à la collaboration interdisciplinaire. Ils appellent toutefois à une meilleure structuration — notamment un regroupement provincial fédérant les chercheurs de toutes les universités et disciplines — pour consolider les acquis et faire face aux défis migratoires et budgétaires à venir. Collaborateurs Nicolas-Loïc Fortin Olivier Bilodeau François Proulx Alexis Dorais-Joncas [Sébastien Gambs] Benoit Baudry Benoit Dupont Alexandre Côté-Cyr Sébastien Graveline Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  8. 30 juin

    Spécial - La géopolitique s'invite en cyber

    Parce que… c’est l’épisode 0x313! Shameless plug 30 juin au 2 juillet 2026 - Lille, France - Pass the SALT 6 au 9 août 2026 - Las Vegas, USA - DEFCON 34 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cet épisode spécial de Polysécure réunit un panel international : Geneviève Lajeunesse (spécialiste en cybersécurité, actuellement en gouvernance à Radio-Canada, à titre personnel), Fanny Tan (journaliste tech et chercheuse à l’Observatoire des conflits multidimensionnels de la Chaire Raoul-Dandurand), Christophe Darlhac (consultant en sécurité, ex-secteur aérospatial et défense) et William Sampietro (RSSI dans le cloud privé, avec un long passé en sécurité opérationnelle nationale et en normalisation). L’animateur ouvre le débat en notant qu’un acteur majeur a, depuis un an et demi, remis la géopolitique au cœur de la cybersécurité : on ne parle plus seulement de menaces venues de l’étranger, mais aussi de tensions internes qui ont des répercussions cyber. Le cyber comme levier de puissance Les intervenants s’accordent : le cyber n’est plus un simple enjeu technique mais un véritable levier de puissance pour les États, les entreprises privées et les groupes criminels. On est passé d’attaques isolées à une confrontation continue et souvent invisible. Les groupes d’attaquants sont aujourd’hui catégorisés (APT, groupes sponsorisés par des États), et le phishing, loin d’être artisanal, mène régulièrement à des acteurs identifiables poursuivant des objectifs géopolitiques précis. Un phénomène frappant est évoqué : la Birmanie et le Cambodge, où des dizaines de milliers de jeunes gens se voient confisquer leur passeport pour être forcés de mener des cyberattaques — une réalité suffisamment préoccupante pour que la Chine elle-même exerce une pression sur le Cambodge à ce sujet. Dépendance matérielle et logicielle Un thème central est la dépendance de l’Occident envers du matériel et des logiciels étrangers. La flambée du prix de la RAM, détournée vers des acheteurs privés ayant précommandé, illustre la fragilité des chaînes d’approvisionnement. Le matériel chinois (Huawei, par exemple) est souvent moins cher et parfois plus transparent que son équivalent américain, mais son adoption soulève des questions de confiance à long terme — un composant piégé peut rester dormant pendant des années avant d’être activé. La Chine a par ailleurs habilement orienté les normes techniques (comme le standard 5G) pour imposer ses propres équipements, une stratégie qualifiée de « soft power » plus subtile que les attaques directes russes. Doctrines nationales différenciées Les panélistes soulignent une différence de doctrine notable : les États-Unis assument une capacité de riposte cyber offensive inscrite dans leur politique nationale, alors qu’en Europe (à l’exception partielle de la France) cette capacité reste cantonnée au domaine militaire et n’est pas assumée publiquement. Cela crée une asymétrie dans la réponse aux attaques étatiques. Portraits par pays La Russie est associée à des campagnes de déstabilisation et de désinformation, rappelant des précédents comme Cambridge Analytica. La Chine privilégie le renseignement économique et l’espionnage industriel plutôt que la destruction — l’exemple d’une antenne suspecte de 15 mètres installée près d’un site sensible à Toulouse est mentionné. Les États-Unis, quant à eux, ne sont plus perçus comme des alliés inconditionnels : le rachat de VMware par Broadcom, ou l’utilisation du droit américain (via Microsoft) dans l’affaire Alstom-Pierucci, illustrent des formes de pression économique et juridique qui affectent directement les entreprises européennes. Le paradoxe de la souveraineté numérique Une large partie de la discussion porte sur la souveraineté numérique, jugée abondamment discutée mais peu mise en pratique, autant en France qu’au Québec. L’exemple de WhatsApp, massivement utilisé par des Européens pourtant critiques envers les États-Unis, illustre cette contradiction, malgré l’existence d’alternatives comme Signal ou Olvid. Les intervenants pointent l’absence de définition claire de la souveraineté numérique, notamment au Québec où le concept vient d’entrer dans la loi sans balises précises. Ils proposent de la penser par couches : souveraineté de l’individu (sur ses données), de l’entreprise, de l’État, puis de blocs régionaux (Europe, Amérique, Asie). Aucune souveraineté à 100 % n’est jugée réaliste ; il s’agit plutôt d’une question de priorisation selon la criticité des usages. Deux leviers concrets sont proposés pour sortir de l’inaction : la décision politique (imposer des fournisseurs nationaux ou alliés dans la commande publique) et le financement structurel des acteurs souverains, afin qu’ils puissent rivaliser avec les géants américains. Le retard technologique européen, estimé à environ 40 ans depuis l’essor de Windows, est jugé quasiment impossible à rattraper sans rupture volontaire — la Russie et la Chine, elles, ont innové par nécessité en étant coupées de l’accès à certaines technologies occidentales. La fuite des talents vers les géants américains, qui offrent des salaires nettement supérieurs à ceux du secteur public, est également citée comme un frein majeur à l’autonomie technologique. Reconfiguration des alliances En conclusion, le panel aborde la refonte des alliances internationales (Five Eyes, Union européenne, rapprochement Canada-Europe), accélérée par le désengagement relatif des États-Unis sous l’administration Trump. Les intervenants insistent : une alliance solide repose sur des valeurs communes et la confiance plutôt que sur des structures figées, et les alliances évoluent comme des relations humaines, avec des hauts et des bas. La frontière n’est plus seulement physique mais cyber, une dimension qui touche désormais la souveraineté, les infrastructures, la politique et la défense. La question de l’intégration formelle du Canada à l’Europe est jugée secondaire face à la volonté réelle de coopérer. L’épisode se termine sur la promesse d’un prochain volet, faute de temps pour aborder d’autres sujets comme l’informatique quantique. Collaborateurs Nicolas-Loïc Fortin Christophe D’ARLHAC Geneviève Lajeunesse Fanny Tan William Sampietro Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

À propos

Podcast francophone sur la cybersécurité. Pour professionels et curieux.