The Blind Spots of Agentic Pentesting and How to Close Them

Les limites du pentesting agentique et stratégies de remédiation

Le pentesting “agentique” (utilisant des agents IA autonomes) représente une avancée majeure pour contrer la rapidité avec laquelle les attaquants exploitent désormais les nouvelles vulnérabilités. Toutefois, cette approche présente des angles morts structurels nécessitant une stratégie hybride.

Points clés

• Dualité opérationnelle : Le pentesting agentique excelle dans la découverte de chaînes d’exploitation complexes grâce à sa créativité, mais il est coûteux, chronophage et ses résultats peuvent manquer de répétabilité. Le pentesting déterministe reste essentiel pour des tests cohérents et rapides.
• Limites de portée : Le pentesting basé sur l’exploitation réelle est limité par des contraintes de sécurité (risque de crash de services critiques) et d’accessibilité réseau (zones isolées).
• Absence d’exploits publics : Environ 75 % des CVE ne disposent pas de preuves de concept (PoC) exploitables publiquement, rendant le test dynamique inopérant sur de nombreuses vulnérabilités.
• Approche intégrée : La solution consiste à combiner le pentesting agentique et déterministe avec la « validation d’exposition » (Exposure Validation), qui analyse les comportements d’attaque et l’efficacité des contrôles de sécurité plutôt que de tenter l’exploitation réelle.

Vulnérabilité citée

• CVE-2026-33032 : Contournement d’authentification dans nginx-ui. L’étude de cas montre que sur 480 instances vulnérables, le pentesting agentique n’a pu en tester que 120, laissant 360 instances sans évaluation.

Recommandations

• Adopter une approche multicouche : Ne pas se limiter à une seule méthode de test. Combiner :
  1. Pentesting agentique/déterministe pour les surfaces accessibles et non critiques.
  2. Validation d’exposition pour évaluer les systèmes critiques et isolés sans risque de perturbation.
  3. Simulation de brèches et d’attaques (BAS) pour vérifier l’efficacité des contrôles de sécurité en temps réel.
• Contextualisation : Centraliser les résultats de ces trois méthodes au sein d’une plateforme unique pour prioriser les remédiations en fonction de l’exposition réelle et de la criticité métier, plutôt que de traiter chaque trouvaille isolément.

Source