YESWEHACK FAIT UN TEST QUI EN DIT LONG SUR LES IA !

YesWeHack a confronté trois agents IA, Codex, Claude Code et Gemini CLI, à des failles de sécurité cachées. Chacun excelle sur un maillon précis du bug bounty, mais aucun ne gère la chaîne complète. Les agents IA ont débarqué dans la cybersécurité, et la plateforme française YesWeHack, toujours avide de tests en tous genres, a voulu les mettre à l’épreuve. Elle a lancé Codex, Claude Code et Gemini CLI sur des exercices de piratage où la faille, la vulnérabilité restait cachée. Chacun a réagi à sa façon, avec l’un qui l’exploitait seul, l’autre qui dénichait sans conclure, et le dernier qui refusait même de toucher à la cible. Retour sur un test révélateur des forces et des limites de ces outils, qui nous montre qu’en bug bounty, ces intelligences artificielles accélèrent le travail mais ne remplacent pas encore le jugement humain. Pour ce comparatif d’agents IA, YesWeHack a opté pour un test à l’aveugle, façon examen surprise. Ces agents en ligne de commande n’ont rien d’un chatbot classique, car installés dans le terminal du hacker, ils agissent en quasi-autonomie, lancent eux-mêmes les commandes et pilotent les outils à sa place. Chacun devait résoudre deux « labs » PortSwigger (des exercices de piratage encadrés) sans qu’on lui révèle la nature de la faille, et sans droit de décoder l’indice dissimulé dans la page. Pour travailler, ils s’appuyaient sur Burp Suite, le couteau suisse des chasseurs de failles, qui capture et dissèque tout le trafic échangé avec le site. Le seul point commun aux trois épreuves fut une faille XSS, ou crosssite scripting, une technique qui consiste à injecter du code malveillant côté navigateur. Codex, propulsé par GPT-5.6, s’est révélé le plus débrouillard en solo. La faille XSS a été bouclée en moins de quatre minutes. Il a ensuite déjoué un système d’authentification JWT, ces jetons numériques qui servent de carte d’identité le temps d’une session, en à peine une minute et quatorze secondes, avant de se hisser au rang d’administrateur et de le prouver, preuve à l’appui. Là où les autres tâtonnent, on peut dire que lui enchaîne, puisque lorsque sa méthode se complique, il la simplifie, et mène chaque attaque à son terme sans qu’on ait à lui tenir la main. Claude Code, animé par Opus 4.8, a brillé sur un autre terrain, celui de l’exploration et la découverte. Dans le détail, il dresse vite la carte d’une application, repère ses rouages fragiles et flaire les bonnes pistes. Mais au moment de porter le coup final, il cale. Sur le lab XSS, il a tourné en rond près de vingt minutes, sans voir qu’une simple redirection, le site renvoyait la requête vers une autre adresse, lui barrait la route. Rebelote sur le terrain serveur, il a bien repéré une faille de « contrebande de requêtes », technique retorse qui glisse une requête clandestine dans une autre pour tromper le serveur, mais il lui a fallu trente-quatre minutes et un humain pour reproduire l’attaque et prouver son impact. Gemini CLI, lui, a joué disons une tout autre partition, sans doute la plus déconcertante du trio. Même averti que le test était autorisé et parfaitement dans les règles, il a refusé net d’attaquer la cible. Du coup, reconverti en analyste, chargé cette fois d’éplucher le trafic déjà capturé, il s’est révélé redoutable, avec des failles repérées en quelques secondes, et des explications limpides à l’appui. Mais tout le travail offensif, à savoir forger la charge malveillante, la lancer, puis démontrer les dégâts, est resté entre des mains humaines. Attention toutefois à ne pas tirer de conclusions hâtives. YesWeHack le reconnaît volontiers : ces chiffres proviennent de sessions uniques, jouées une seule fois, et non d’un classement définitif. Surtout, chaque agent a affronté côté serveur une faille d’une famille différente, avec contrebande de requêtes pour l’un, contournement de jeton JWT pour l’autre, et désérialisation Java pour le dernier, c’est-à-dire la manière dont un programme reconstruit des données reçues, un procédé détournable pour lui faire exécuter du code pirate. Opposer un chrono d’une minute à un autre de trente-quatre n’a donc qu’une valeur indicative, car les trois ne couraient pas sur la même piste. S’il faut retenir une chose, c’est que l’explication la plus convaincante ne vaudra jamais une preuve. Une IA peut décrire une faille avec aplomb sans que celle-ci soit réellement exploitable, d’où l’intérêt de répartir les rôles. Un agent pour cartographier l’application, un autre pour relire le trafic, et toujours un humain pour fixer les limites du test, confirmer que la faille est bien exploitable et signer le rapport. En bug bounty, l’intelligence artificielle accélère la traque. Pour l’instant, elle n’a toujours pas le flair du chasseur.  NVIDIA a retiré la GeForce RTX 5090 de sa boutique américaine, et Micro Center a cessé de la vendre. Jeff Fisher, vice-président senior du groupe, jure que la carte n’est pas arrêtée, mais il ne donne ni volume ni prix. Les joueurs ont eu une semaine pour croire à la fin de la RTX 5090. Deux leakers suivis de près sur X, MEGAsizeGPU et hongxing2020, ont annoncé une RTX 5080 de 24 Go pour remplacer la RTX 5090, dont NVIDIA réserverait les puces GB202 à ses cartes professionnelles RTX PRO. Ce GB202 est le processeur graphique de la RTX 5090. La chaîne américaine Micro Center a ensuite passé ses fiches RTX 5090 au statut « Not Carried » (non référencé), puis NVIDIA a retiré la carte de son Marketplace américain sans un mot d’explication. À Taipei, Jeff Fisher a fini par démentir l’arrêt de son haut de gamme, sans dire combien de RTX 5090 NVIDIA compte encore livrer, ni à quel prix les joueurs pourront en trouver une. Jeff Fisher dirige l’informatique personnelle chez NVIDIA. Des journalistes taïwanais l’ont interrogé en marge de la soirée organisée à Taipei pour la mise en vente des premiers PC équipés de la puce RTX Spark. « La chaîne d’approvisionnement est effectivement un peu contrainte, mais NVIDIA fait tout pour mettre ses produits sur le marché. Il existe d’autres variantes de la puce de la RTX 5090, mais la carte n’est pas arrêtée, NVIDIA va continuer à la livrer, c’est très important », a-t-il répondu, dans des propos rapportés par 4Gamers. Devant l’agence de presse taïwanaise CNA, il a ajouté que tout le secteur, et pas seulement NVIDIA, subissait des tensions sur l’approvisionnement. « Sans l’activité jeu, sans GeForce, il n’y aurait pas le NVIDIA d’aujourd’hui », a-til glissé, avant d’expliquer que GeForce avait donné naissance à CUDA, puis CUDA à l’explosion du marché de l’IA. Le GB202 existe bel et bien en plusieurs versions. NVIDIA le monte sur la RTX 5090 D destinée à la Chine et sur plusieurs RTX PRO, dont la RTX PRO 6000 et ses 24 064 cœurs CUDA associés à 96 Go de GDDR7, contre 21 760 cœurs et 32 Go pour la RTX 5090. Jeff Fisher n’a pas dit comment NVIDIA partagera ces puces entre ses GeForce et ses cartes professionnelles, ni combien de RTX 5090 le groupe fera produire, a relevé le site allemand Hardwareluxx, alors que NVIDIA dégage des marges bien plus confortables sur le marché professionnel. De son côté, Tom’s Hardware a de nouveau sollicité l’entreprise après ces déclarations, sans obtenir de réponse. En Europe, NVIDIA affiche toujours la RTX 5090 Founders Edition à 2 099 euros, sans la livrer à ce prix. Outre-Rhin, les derniers revendeurs qui disposent de stock demandent entre 6 800 et 9 999 euros, d’après le comparateur de prix de ComputerBase. NVIDIA propose encore des modèles de partenaires sur sa boutique française, mais à partir de 6 699 euros. Un joueur français paie donc sa carte plus de trois fois le prix officiel, et Jeff Fisher ne lui a fait espérer aucune baisse. Aux États-Unis, Tom’s Hardware a repéré des RTX 5090 vers 8 500 dollars sur Amazon, chez de vendeurs tiers, et autour de 7 300 dollars sur Newegg. ComputerBase évoque aussi des rapports selon lesquels des RTX 5090 tournent par palettes entières dans des centres de données d’IA en Asie, loin des PC des joueurs. Côté composants, nous rapportions en juillet que les analystes n’attendent aucune stabilisation du coût de la mémoire avant 2027. Jeff Fisher a promis des livraisons, pas des volumes. Tant que NVIDIA ne précisera pas la part des GB202 réservée aux GeForce, les vendeurs français n’auront aucune raison de passer sous les 6 699 euros.