Parce que… c’est l’épisode 0x35F! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Le parcours d’un participant qui décroche Dans cet épisode spécial de Polysécure, l’animateur reçoit Mathéo Vergnolle, expert en cybersécurité chez Synactive, spécialisé en rétro-ingénierie et en recherche de vulnérabilités bas niveau. Ancien membre de l’équipe de France au Challenge européen de cybersécurité, il revient sur la transformation des CTF sous l’effet de l’intelligence artificielle et explique pourquoi il a presque totalement décroché de ces compétitions. Un moment de bascule au BRES CTF Son dernier CTF, le BRES CTF à Rennes, autorisait l’IA. Son équipe avait choisi d’y jouer sans intelligence artificielle, par goût de l’apprentissage, mais sans aucune chance de gagner. Les gagnants eux-mêmes n’ont « pas appris grand-chose ce jour-là ». Cette expérience marque, selon lui, la fin de sa motivation pour les CTF classiques. Quelques semaines plus tôt, le Challenge français de cybersécurité avait interdit l’usage agentique des LLM tout en tolérant leur emploi comme moteur de recherche avancé ou pour la documentation. Les organisateurs ont passé un temps considérable à démasquer des tricheurs souvent de mauvaise foi, mais l’expérience demeurait intéressante pour les joueurs. La lente intrusion des LLM dans les compétitions Mathéo retrace l’évolution observée. Les LLM constituaient d’abord un outil modeste, une recherche Google un peu plus efficace. Au Challenge européen de 2024, ils apportaient encore une aide limitée. En 2025, en Pologne, la bascule fut radicale, puisque plus de la moitié des challenges se résolvaient sans intervention humaine et sans règlement pour l’interdire. Devant des épreuves qu’il savait pouvoir déléguer à une machine, il n’y retrouvait plus le sentiment de satisfaction et de réussite. Il a donc décidé d’abandonner complètement les LLM, y compris pour la recherche documentaire, afin de continuer à apprendre dans son métier comme dans ses loisirs. Compétition et apprentissage désormais dissociés Pour Mathéo, les CTF comportaient deux aspects qui se mariaient harmonieusement, l’aspect compétitif et l’aspect apprentissage. Ces deux dimensions sont aujourd’hui complètement séparées. On participe soit pour gagner, soit pour apprendre, rarement pour les deux à la fois. S’engager dans une compétition où l’on sait d’avance que l’on perdra n’a rien de motivant. Beaucoup de membres de la communauté sont dérangés par les LLM ou préfèrent s’en passer. Les équipes qui gagnent les CTF autorisés ne trichent pas forcément, puisqu’elles respectent les règles. Ces étudiants subissent une pression implicite ou explicite de leur école, qui communique sur leurs résultats et finance leurs déplacements. On évalue ainsi le résultat plutôt que la compétence réelle, même si Mathéo reconnaît un vrai talent dans la configuration des agents. Des organisateurs en quête de résistance à l’IA La question des formats viables nourrit de nombreuses discussions. Un blog post de Lolo Le Kik décrivait une méthodologie pour créer des challenges résistants à l’IA, par exemple en insérant du lore trompeur évoquant des injections SQL alors que le sujet réel est tout autre. Le joueur comprend l’astuce, le LLM part sur une fausse piste. Ces tentatives vieillissent vite, car les modèles progressent sans cesse. La surveillance en présentiel demeure envisageable mais intrusive. Le récent Challenge européen de cybersécurité, malgré l’interdiction des LLM, a connu plusieurs triches avérées. Interdire totalement internet paraît irréaliste, les CTF nécessitant des recherches en ligne, et les joueurs de cybersécurité aiment contourner les règles. À HexaCon, la conférence organisée par Synactive, un CTF speedrun a bien fonctionné. Des challenges simples, résolubles en quelques minutes, se sont joués en duel devant un public, écrans projetés en direct, IA interdite, ce qui rend toute tricherie immédiatement visible. Mathéo évoque enfin l’idée de remplacer les petits challenges isolés par un jeu multijoueur dont l’objectif serait de créer des modes ou des cheats, un format créatif mais où l’IA resterait avantageuse. Retrouver du plaisir hors compétition Les CTF non compétitifs conservent tout leur intérêt à ses yeux. Il prévoit de participer à celui de la GRHAC, annoncé sans classement, chacun progressant pour découvrir et apprendre à son rythme. Il apprécie également Acropole, la plateforme du France Cyber Security Challenge, où les profils sont privés et où l’on n’affronte que soi-même. Des enjeux sérieux pour le recrutement Mathéo craint de lourdes pertes pour le recrutement. Les ressources humaines des entreprises de cybersécurité auront de plus en plus de mal à distinguer les profils. Chez Synactive, un challenge est proposé dans les premières phases de recrutement, et certains candidats y recourent à l’IA avant d’échouer aux questions posées en salle technique, de sorte que tout le monde perd du temps sans rien apprendre. Les CTF ont été le moteur de sa carrière. C’est par eux qu’il a découvert la cybersécurité, orienté ses études et obtenu son poste en mettant en avant ses résultats. Au BRES CTF, le concepteur des challenges qu’il avait appréciés est venu le rencontrer, et Synactive a recruté ce concepteur plutôt qu’un joueur. Concevoir de bons challenges devient ainsi plus visible que d’y participer. Mais les concepteurs se démobilisent, sachant que les participants lanceront Claude ou un autre agent sans même examiner leur travail. Des pistes pour l’avenir Les formats à deux podiums, l’un avec IA autorisée, l’autre sans IA et généralement sans récompenses pour éviter la triche, lui semblent une bonne manière de conserver de l’adrénaline dans des conditions justes. La journée déconnectée du récent Challenge européen a également été appréciée des joueurs. Désormais, sur son temps libre, Mathéo préfère les projets personnels, comme la rétro-ingénierie de jeux vidéo ou l’apprentissage de nouvelles technologies, à son rythme, sans rien avoir à prouver à personne. Il rappelle enfin que c’est en progressant sur Root Me qu’il a pris goût à ce domaine, et s’inquiète qu’un débutant se contente de cliquer et de lancer un agent, sans retrouver les motivations d’antan. Notes Hexacon Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: cente
