What Is Agentic Pentesting? What It Proves, and Where It Stops.

Les limites et l’avenir du pentesting agentique

Le pentesting “agentique” (ou autonome) est une méthode automatisée capable de découvrir, valider et exploiter des chemins d’attaque. Bien qu’il représente une avancée majeure, il ne peut constituer à lui seul une stratégie de sécurité complète en raison de ses contraintes de temps et de couverture.

Points clés

• Délai d’exploitation critique : Le temps moyen entre la divulgation d’une vulnérabilité et son exploitation réelle est tombé à 8 heures en 2026. Un pentest classique (annuel ou hebdomadaire) est inadapté face à cette vitesse.
• Limites opérationnelles : Le pentesting agentique est trop lent pour couvrir l’ensemble d’un parc informatique complexe (cycle de plusieurs semaines) et il ne peut pas tester les systèmes critiques ou isolés pour des raisons de stabilité.
• Approche hybride nécessaire : L’efficacité repose sur la combinaison de trois méthodes :
  1. Validation de l’exploitabilité : Vérifie si une vulnérabilité est exploitable sans nécessairement lancer l’exploit (couverture étendue).
  2. Validation des contrôles de sécurité : Évalue la capacité des défenses en place à prévenir ou détecter des techniques d’attaque.
  3. Pentesting agentique : Confirme, par preuve réelle, les chemins d’attaque complexes (mouvements latéraux, escalade de privilèges).

Vulnérabilités

• L’article souligne l’augmentation exponentielle du nombre de CVE (35 364 au premier semestre 2026), rendant le tri par simple score de sévérité inefficace. La priorité doit être donnée aux vulnérabilités réellement exploitées “in-the-wild”.

Recommandations

• Adopter le “Continuous Offensive Security Testing” (COST) : Remplacer les tests ponctuels par des validations déclenchées par des événements, complétées en quelques heures.
• Centraliser les données : Utiliser une plateforme unique qui consolide les résultats des différentes méthodes de validation (pentest, simulation d’attaques, validation d’exposition) dans un modèle de données partagé.
• Validation axée sur les changements : Laisser le type de changement (nouvelle CVE, nouvelle campagne d’attaque ou modification d’infrastructure) déterminer la méthode de validation la plus rapide et la plus sûre.
• Prioriser la remédiation prouvée : Ne pas se contenter d’analyses théoriques ; revalider chaque correctif immédiatement après son application pour garantir son efficacité.

Source