Latest / Le centre de gravité / Pentest — trente ans après, l'IA change tout

Transcript

Pentest — trente ans après, l'IA change tout · Le centre de gravité

0:00
Épisode pentest 30 ans après, l'i a change tout.
0:05
Chapitre 144, boulevard de l'hôpital, métro Campo Formiau.
0:09
Une école, un vieux commissariat, un canapé.
0:12
C'est là que tout a commencé. Le métal froid, des menottes, le
0:18
carrelage, une pomme, la pomme. Je m'en souviens précisément.
0:23
C'est la seule chose que j'ai mangé en 48 h de garde à vue.
0:26
Mais avant ça ? Je dormais sur un canapé à
0:30
l'épita et les Flics sont venus me chercher là, les menottes
0:33
dans le dos, le regard au sol. Et je traverse mon école
0:36
d'ingénieurs dont j'espérais le diplôme. 2 mois plus tard, je
0:40
l'ai eu. Le diplôme bien sûr.
0:42
J'ai vécu à l'épita comme on vit dans une gare, entre 2 nuits,
0:45
entre 2 écrans, boulevard de l'hôpital Paris 13e.
0:49
J'y passais presque tout mon temps.
0:50
Je dormais peu. Métro Campo Formion, juste à
0:53
côté pour me doucher, j'allais dans la loge des gardiens, ça
0:56
peut faire sourire aujourd'hui, mais sur le moment, je ne me
0:59
disais pas une 2nde que c'était bizarre.
1:01
C'était ma vie, c'était mon terrain, et c'est précisément là
1:04
que les Flics sont venus me chercher, pas chez moi, à
1:07
l'école, tout le monde savait que j'étais là, toujours là.
1:10
Le commissariat du 13e était à 100 M au 144 du même boulevard,
1:14
ils m'emmènent à pied, les cellules étaient vétustes à
1:17
l'époque, ils ont reconstruit depuis, mais je me souviens très
1:20
bien de la sensation. Le vieux métal, la fatigue ?
1:24
40 08h01, pomme pour seule nourriture, cette sensation
1:29
sèche qui te traverse quand tu comprends.
1:30
On m'avait placé en garde à vue pour piratage informatique avant
1:34
un transfert à Nanterre pour interrogatoire.
1:36
J'étais avec Vianney, mon ami de lycée et avec Nicolas, Philippe
1:40
et Laurent, eux n'étaient pas dans ce dossier là.
1:42
On piratait ensemble depuis des années des serveurs d'école, des
1:46
boîtes aux lettres de ministère, des systèmes qu'on aurait pas dû
1:49
pouvoir ouvrir. On développait aussi du soft
1:52
cyber d'attaque, on ne faisait pas ça pour voler ni pour
1:54
casser, on faisait ça pour apprendre les hackers des années
1:58
90 quoi. Et il faut se souvenir d'un
2:00
détail, en 939495, il n'y avait pas grand monde sur Internet.
2:06
En 95, j'ai 22 ans et je crée intrinsèque avec Laurent,
2:10
Philippe, Viannay et Nicolas. Là, on bosse vraiment.
2:14
Et pendant qu'on signait les statues à quelques centaines de
2:17
kilomètres, un enfant venait de naître. 3 août 95.
2:20
Il s'appelle Roman. On ne se connaît pas, on ne se
2:23
connaîtra pas avant longtemps, mais retenez son nom, j'y
2:25
reviendrai. Mais en 96, le passé nous
2:28
rattrape. Garde à vue, mise en examen
2:30
derrière, il y a eu un contrôle judiciaire avec interdiction
2:33
d'exercer ou de diriger dans la sécurité informatique et
2:37
interdiction de voir ou même de communiquer.
2:40
Avec Vianney et Nicolas, on avait créé intrinsèque, quelques
2:43
mois plus tôt. Et on nous interdisait de nous
2:47
parler. Ce n'était pas pratique pour une
2:49
start-up. Mon avocat l'a fait lever
2:51
quelques mois plus tard et puis la faire à traîner 8 ans, 8 ans
2:55
et un appel du Parquet pour finir sur une peine symbolique.
2:59
Ah l'ironie française, elle est violente quand on y pense.
3:02
On t'explique que tu n'as pas Le droit d'exister dans le domaine
3:05
même où tu vois déjà plus clair que les autres.
3:08
Quelques semaines plus tard, au même endroit, sur le même
3:11
boulevard, dans ce bâtiment où je dormais parfois sur un
3:14
canapé. Canal Plus vient tourner un
3:16
reportage et ça aussi c'est français.
3:18
On t'embarque d'un côté du boulevard et de l'autre côté, on
3:22
invente déjà le métier pour lequel on t'a interdit
3:24
d'exister. Karl 0 caméra dans un caddie de
3:27
supermarché pour faire les travelling dans les couloirs,
3:30
des salles pleines de terminaux, une ambiance de ruche
3:33
électrique. Et dans le plan, Laurent
3:35
débarque en roller pour pirater Matra défense.
3:39
Laurent, c'est mon associé. On s'est rencontré pendant nos
3:42
études, on avait 20 ans. Lui, c'était déjà le Mec solide,
3:46
le bâtisseur, celui qui transforme un délire en système
3:49
qui marche. Ce jour-là, l'équipe va montrer
3:51
à la télévision ce qu'on commence à vendre depuis peu.
3:54
Un test d'intrusion, ce n'est pas un audit qui explique, c'est
3:58
un truc qui prouve. La cible c'est Matra, ce n'est
4:01
pas la petite PME du coin. Matra.
4:03
Défense des missiles, des systèmes sensibles, des secrets
4:06
industriels, des gens qui pensent être à l'abri parce
4:09
qu'ils ont des murs, des badges et des titres.
4:12
Laurent pénètre le poste de la Secrétaire de direction.
4:15
C'est modem à modem, pas besoin de cours d'histoire du
4:17
numérique, il suffit d'entendre de bruit pour comprendre qu'on
4:20
est dans la préhistoire. Alors là, on arrête de raconter
4:25
et on écoute. Avril 96, Canal Plus Karl 0 dans
4:30
la salle machine. Le modem attrape la ligne et le
4:33
reportage ne reconstitue rien. Il filme le test pendant qu'il a
4:36
lieu. Si Sarah, tant pis si ça passe.
4:39
la France voit naître quelque chose qu'elle ne s'est pas
4:41
encore nommée. Tendez l'oreille.
4:44
Laurent a concocté un courrier électronique piégé.
4:47
Quand la Secrétaire de direction de la société cible va consulter
4:50
sa boîte aux lettres sur Internet, elle va aussi ouvrir
4:53
les portes de son disque. Dur à nos pilleurs.
4:56
Ah ça. Devrait marcher.
4:58
Vous arrivez à vous connecter là ?
5:00
Ah bah voilà. Curriculum vitae, c'est le.
5:02
Bon sens, allez. Hop, tu prends.
5:04
Tout, tu prends tout. Eh bah voilà.
5:06
C'est elle, ça ? Allez Hugo, c'est son répertoire
5:08
à elle. Piquez moi tout ça putain.
5:11
Ça fait 80 mégas. Alerte sur Internet, ce que
5:16
viennent de réussir les privés d'Intrinsèques d'autres surdoués
5:19
de l'informatique, qu'ils soient américains, allemands ou Russes,
5:22
peuvent le réaliser. C'est sans doute déjà le cas
5:24
avec la mondialisation de l'économie et l'extension des
5:27
réseaux. La guerre virtuelle sera bientôt
5:29
permanente. Pour se défendre contre cet
5:32
espionnage New look, les grandes entreprises françaises doivent
5:35
briser un tabou et faire confiance à de jeunes allumés de
5:37
l'ordinateur comme ceux-ci et là, ça coince.
5:41
Les gens les plus intelligents de la précédente génération sont
5:44
aujourd'hui ceux qui sont capables de dire j'embauche
5:45
immédiatement des jeunes, des gens qui sont formés, des gens
5:49
qui ont cet état d'esprit, et vous voyez aujourd'hui un
5:52
pirate, un bon pirate sur le marché, ça n'a pas de prix.
5:55
Un bon hacker sur le marché, cela n'a pas de prix, voilà.
5:58
Celui qui dit ça, ce n'est pas moi, ce n'est pas un de mes
6:01
potes. C'est le commanditaire de la
6:02
mission, un consultant en veille économique à la direction de
6:06
Matra. Le client, quoi.
6:07
Celui qui nous a payé pour rentrer à la télé nationale en
6:11
96. Le commanditaire de l'intrusion
6:13
explique tranquillement qu'un bon hacker, ça n'a pas de prix.
6:17
Retenez cette phrase parce qu'à la fin du reportage, quelqu'un
6:20
d'autre va dire exactement le contraire. 80 mégaoctets aspirés
6:25
en direct à cette époque là c'est presque une vie entière
6:27
qui bascule, aucun jargon, aucun slide, juste un bruit, une
6:32
intrusion et un pays qui voit sans encore comprendre.
6:35
Et au fond, quand j'y repense avec une blague pour Canal Plus,
6:39
on a peut être offert la sensibilisation des françaises
6:41
et des Français la moins chère de tous les temps.
6:46
Et puis arrive Daniel Padouin. Lui, ce n'est pas un figurant,
6:49
c'est le créateur du Safety, le service d'enquête sur les
6:52
fraudes aux technologies de l'information.
6:54
En gros, la première brigade anti cybercriminalité française,
6:58
en février 96. Dans les échos, il dit que les
7:01
entreprises sont mal protégées, que les tests de pénétration
7:04
sont rarement faits, que les grandes boîtes ne savent même
7:07
pas toujours nommer leur responsable sécurité.
7:10
En mars, dans libération, il explique que l'image du pirate,
7:13
jeune, sympathique et surdoué, l'agace.
7:15
Que le pirate est surtout un salarié vengeur, jaloux,
7:19
intéressé. Et en avril, il nous voit à
7:21
l'œuvre 4 jeunes sympathiques, oui, surdoués parfois et surtout
7:26
capables d'entrer là où les procédures rassurantes ne
7:29
servent plus à rien. Il décrit le problème depuis des
7:32
mois et quand la solution apparaît devant sa caméra, il la
7:35
rejette. souvenez-vous du dirigeant de Matra, un bon
7:39
hacker sur le marché, cela n'a pas de prix.
7:42
Lui, il voyait la valeur. Daniel Padouin, lui, voit autre
7:46
chose, commissaire créateur du safety, la voix de
7:49
l'institution. Devant la caméra, il explique en
7:52
substance que les pirates sont des salariés vengeurs, jaloux,
7:56
intéressés, que ce qu'on fait n'a pas vraiment de valeur, que
7:59
le vrai problème c'est nous. À l'époque, on A203 ans, on
8:02
vient de monter une boîte et un pays entier nous regarde en se
8:06
demandant si on est des délinquants ou des ingénieurs.
8:08
Sa dernière phrase, vous allez l'entendre. 2 mots.
8:12
J'ai pas souvent vu, c'est peut être pas un parallèle tout à
8:15
fait exact à faire, mais enfin des gens qui faisaient des
8:16
braquages de banque ou du style spaggiari montaient des sociétés
8:20
pour sécuriser par exemple, des bon jamais vu.
8:23
Mais enfin bon, ça paraît-il que ça existe dans le monde des
8:26
hackers ? Je sais pas si ce sont les les
8:30
les personnes qui sont le mieux placées pour faire ce genre
8:33
d'activité. Voilà c'est tout.
8:34
C'est tout. Voilà, c'est tout.
8:37
Une minute plus tôt, le client disait, un bon hacker, ça n'a
8:41
pas de prix. Lui conclut par c'est tout, 2
8:44
lectures françaises de la même scène.
8:46
L'une voit la valeur, l'autre voit un problème et honnêtement,
8:50
ça a été un obstacle de plus à surmonter.
8:52
Je ne souhaite de mal à personne.
8:54
Padouin a fait sa carrière, il est parti en retraite en 2020,
8:57
il est aujourd'hui bénévole aux Restos du cœur à Montchanin.
9:00
Très bien, mais disons le simplement, la plupart des
9:03
start-up ne passent pas les 2 ans.
9:05
Nous, on avait déjà peu d'oxygène et en plus on partait
9:09
avec un peu de pub nationale pour expliquer qu'on ne servait
9:12
à rien. On a tenu 30 ans quand même.
9:15
Comme quoi ? Sauf que non, c'était le début.
9:18
Et ce début tient dans 100 M. Une école où je dormais, un
9:22
commissariat où on m'enferme, une caméra qui filme mes amis,
9:25
un commissaire qui dit non sur le même boulevard, tout est déjà
9:29
là et maintenant il faut vendre. Chapitre 2.
9:35
Il faut vendre, vendre un métier que personne ne sait nommer à un
9:38
marché qui achète du spectacle jusqu'au jour où le spectacle
9:42
coûte trop cher. Le fond du truc c'est les sous.
9:45
Toujours bon en 95 quand on commence à vendre ce qu'on
9:49
appelle test d'intrusion. L'offre en face existe déjà.
9:53
Elle a des costumes, des méthodologies, des slides bien
9:56
mises en pages. Elle parle d'audit, elle coûte
9:58
cher. Et surtout, elle prend du temps,
10:01
beaucoup de temps, de l'humain, du très humain, du lent, du
10:06
fastidieux. Nous, on arrive avec autre
10:09
chose. Pour 6000€, on teste votre site
10:11
et votre interconnexion pour 40000,00€.
10:13
Les cabinets vous expliqueront plus tard ce qu'il aurait fallu
10:16
penser avant. Pas besoin d'être un génie du
10:19
capitalisme pour voir où le marché va pencher.
10:21
On a tué l'audit à l'ancienne, on a porté une preuve.
10:26
Eux vendaient un commentaire joliment relié.
10:29
On n'a pas gagné parce qu'on était plus beau, plus propre ou
10:32
plus légitime. On a gagné parce qu'on montrait
10:35
et montrer dans la sécurité, c'est obscène.
10:38
Donc ça marque le patron, le directeur financier, le RSSI.
10:42
Même eux, là ils comprennent. Bonne chance pour lutter contre
10:47
un mec qui arrive avec une porte déjà ouverte.
10:51
Le Pen test s'est vendu sur une scène, imagine le RSSI qui
10:54
débarque en comité de direction avec un rapport qui dit on a
10:57
payé des hackers, ils sont rentrés en 3 jours.
11:00
Aucun audit en costume ne tient la route face à ça.
11:03
Le problème c'est qu'un effet n'est pas un modèle économique
11:06
stable. Tu entres tu rends ton rapport,
11:09
tout le monde sursaute, puis il faut repartir vendre ailleurs.
11:12
Derrière le Prestige, il y a la misère du planning, pas signée.
11:18
Pendant qu'on se battait pour tenir, roman lui apprenait à
11:21
lire. Et puis il y a eu un premier
11:23
avertissement sérieux, une boîte qui s'appelait Qualys, fin des
11:27
années 90, début des années 2000.
11:29
Et là, la boucle devient presque insolente.
11:31
A l'origine, il y a Philippe, un des cofondateurs d'intrinsèque
11:35
avec Laurent Viannet, Nicolas et moi, le même monde, la même
11:40
intuition qui revient sous une autre forme.
11:42
Sauf que Philippe était parti faire qualys.
11:46
Laurent et moi, on avait continué.
11:48
Cette fois, ce n'est plus le test d'intrusion qui bouscule
11:51
l'audit classique, c'est le scan industrialisé qui vient regarder
11:55
le pentest de travers. Qualys, c'était la répétition
11:59
générale. L'i a, c'est la vraie même
12:02
logique que ce qui arrive aujourd'hui.
12:04
Plus fréquent, plus scalable, moins coûteux, le pentest n'est
12:07
pas mort pour autant. Il garde son théâtre, son
12:10
prestige, son panache. Le scanner trouve.
12:14
L'humain lui raconte la faille comme un récit d'effraction et
12:18
le client continue d'acheter ça. Il y a pourtant une erreur qu'on
12:22
traîne depuis le départ, on vend l'après, toujours l'après.
12:26
Le site est en ligne, l'application est partie,
12:29
l'architecture existe déjà et on arrive pour casser proprement ce
12:33
qui aurait dû être sécurisé avant.
12:35
Ça se vend parce que c'est spectaculaire, mais ça reste un
12:39
rattrapage. Et parce que très concrètement
12:41
si tu veux mettre à jour ton site e-commerce 2 fois par
12:44
semaine avec un peu d'agilité, audit et tout ça à la main par
12:48
des humains devient très vite trop long et trop cher, voilà le
12:52
piège. Le Pen TEST a gagné parce qu'il
12:55
était plus concret que l'audit, mais il s'est installé à un
12:58
endroit du cycle où il arrive trop tard pour tout transformer.
13:02
Et quand un marché vit trop longtemps sur un angle mort, il
13:05
finit toujours par rencontrer quelque chose qui ne lui demande
13:08
pas son avis. Cette fois, ce quelque chose ne
13:11
débarque pas en roller, ça débarque par la petite porte.
13:15
Chapitre 3, un pour 101 marché peut refuser une idée pendant
13:19
des années, jusqu'au jour où elle revient sous une autre
13:22
forme, avec moins de charme et beaucoup plus de force.
13:26
En 2026, l'audit de coach est intrinsèque, c'est un pour 100
13:29
du chiffre d'affaires, un pour 100. 30 ans à casser des trucs
13:33
pour de l'argent et le vrai sujet reste une miette, le
13:37
marché n'a jamais voulu acheter l'endroit où la sécurité devient
13:40
sérieuse, il a voulu acheter le moment où elle devient visible.
13:43
C'est pas pareil quand tu vends un test d'intrusion, tu vends
13:46
une scène, quelqu'un est entré, quelque chose est tombé.
13:49
Un dirigeant comprend. Enfin, quand tu vends de l'audit
13:51
de code, tu vends une hygiène, personne n'applaudit une
13:54
hygiène. Le Pen test a été la grande
13:56
émotion de la cybersécurité. L'audit de code aurait dû en
13:59
être la colonne vertébrale. Mais l'émotion, ça se vend la
14:02
colonne vertébrale, non ? Le test d'intrusion, c'est le
14:05
pompier héroïque qui défonce la porte.
14:07
L'audit de code, c'est le type Chiant qui demande pourquoi la
14:10
Baraque est en carton, devinez lequel passe à la télé ?
14:13
On savait pourtant, à chaque fois qu'on essayait de pousser
14:16
le sujet, le client nous ressortait la même phrase, bah
14:18
non, on vous a demandé 1TI1 test d'intrusion quoi ?
14:22
Traduction, laissez-nous casser après, pas avant. 2026 l'i a
14:26
beaucoup de marketing grotesque et une bascule réelle.
14:29
On peut s'en moquer, je m'en moque souvent moi même, mais il
14:33
YA1 truc qui serait idiot de rater la machine se place
14:35
exactement là où nous n'avons jamais réussi à imposer notre
14:38
valeur en amont, dans le code, dans la chaîne, dans la
14:41
répétition, pas en héros final mais en contrôle permanent.
14:46
L'i a ne demande pas au client de changer de culture par amour
14:49
de la sécurité, elle entre par la commodité, le coût, la
14:53
vitesse. Un développeur veut aller plus
14:55
vite, elle est déjà là, elle lit, suggère, corrige, repasse,
14:59
elle banalise le contrôle en amont et elle ne demande la
15:01
permission à personne et le vibe coding par-dessus pour ceux qui
15:05
décrochent 2 Min c'est codé en demandant à une IA de pondre le
15:08
truc à ta place, ça met un bon coup de turbo.
15:10
Des gens poussent du code qu'ils n'ont pas vraiment écrit et
15:13
qu'ils ne comprennent pas toujours.
15:15
La quantité augmente, l'intimité avec le code baisse et d'un seul
15:19
coup, l'audit de code cesse d'être un luxe d'experts.
15:22
Il devient une nécessité. Dans les échos en février 80161,
15:25
papier relevait déjà que les revues de code n'étaient pas
15:28
d'usage courant dans les banques. 30 ans plus tard, la
15:30
phrase tient encore debout, même naïveté, même retard, même
15:34
facture à venir, le Cyber resilience Act rend obligatoire
15:38
ce que le marché n'a jamais voulu acheter spontanément.
15:40
Une loi, tu ne la négocies pas autour d'un déjeuner.
15:45
L'i a ne remplace pas Le Pen testeur comme on remplace un
15:47
standardiste par un répondeur. Elle ne sait pas tout, elle ne
15:51
comprend pas encore toutes les logiques métier, mais ce n'est
15:53
pas le sujet. Elle retire Au Pen test une
15:55
partie de ce qui justifiait son coût et sa rareté, elle fait
15:58
sauter la prime à l'intervention tardive, elle pousse le marché
16:02
vers le contrôle continu et ça c'est un basculement sérieux.
16:05
En 95, on a rendu l'audit classique trop cher pour ce
16:08
qu'il apportait en 2026, l'i a rend Le Pen test traditionnel
16:11
trop tardif pour ce qu'il coûte. Ça pique bien fait.
16:16
Le plus con dans cette histoire, c'est qu'on leur disait, J'ai
16:19
passé 30 ans à leur vendre le bon moment, ils n'en voulaient
16:22
pas. Aujourd'hui, ce déplacement
16:24
arrive quand même pas par amour du raisonnement, par pression,
16:27
par saturation, par trouille économique.
16:30
Le fond du truc, encore une fois, c'est la thune.
16:33
Et quand les sourds rencontrent une machine qui ne dort pas, qui
16:36
relie sans se vexer et qui ne te vend pas 40 jours d'homme pour
16:39
redécouvrir ce qu'elle voit tous les matins, il faut être
16:42
honnête, ça bascule. Pas demain maintenant.
16:45
Voilà. Et le plus drôle, c'est que
16:47
quelqu'un, quelque part, a déjà appris à faire exactement ça en
16:51
silence, pour de vrai. Lui, il ne le sait pas encore
16:54
complètement, mais moi je le sais et je vais vous dire
16:57
pourquoi. Chapitre 4, le successeur, un
17:02
nom, une date de naissance. Et un calendrier qui ne laisse
17:06
rien au hasard. Au roman d'El Gado est né le 3
17:08
août 1995, quelques mois après le premier test d'intrusion
17:10
français fait par intrinsèque. Une précision qui fait sourire,
17:13
son histoire ne ressemble pas à une brochure, elle ne sent pas
17:16
là trajectoire parfaite, elle sent la réalité.
17:17
L'été 2015, il a 20 ans, il est caissier chez Monoprix à Issy
17:21
les Moulineaux, rien de plus banal.
17:22
Ce n'est évidemment pas sa première carrière, juste un job
17:25
étudiant, et c'est encore mieux comme ça, caisse numéro 3, bip
17:27
bip. Et personne à ce moment-là
17:30
n'imagine qu'il deviendra un jour un des experts les plus
17:32
solides. Du pentest chez intrinsèque.
17:36
Ensuite, son parcours prend des virages qui ne se lisent pas
17:38
comme 1CV de petit prince. Il passe par un stage de
17:40
recherche olipsis, puis fait du développement chez Sopra Steria
17:43
pour le ministère de l'Intérieur.
17:44
Tu pourrais croire à une histoire assez classique et puis
17:47
non. Service civique à Dijon, débat
17:48
cinéma dans des collèges ensuite assistant d'éducation à nuits
17:52
Saint Georges pion dans un collège de Bourgogne.
17:54
Cette image dit quelque chose du métier.
17:56
Les gens croient encore qu'on fabrique des pentesteurs avec
17:58
une grande école, un joli diplôme, 2 stages bien repassés
18:01
et une photo LinkedIn bien sage en réalité.
18:04
On voit aussi émerger des profils qui se sont construits
18:07
par entêtement, par curiosité, par nuit volée.
18:09
Roman, C'est ça ? Un parcours qui n'avait aucune
18:12
raison apparente d'aboutir à ce niveau-là, sauf qu'il y avait le
18:14
reste. Les heures invisibles trayak me
18:17
root me les plateformes où tu apprends en cassant où tu
18:19
avances parce que tu veux comprendre où tu acceptes de te
18:22
prendre des murs jusqu'à ce que ça rentre.
18:24
Il a grindé là-dessus, il y a des gens qui font une formation
18:26
et d'autres qui se fabriquent leur terrain.
18:28
Lui, il sait fabriquer un terrain.
18:30
Ensuite, alternance chez hedge airpass, formation
18:33
openclassrooms sur la sécurité. Des systèmes d'information, pas
18:36
de parcours sacré ici, ni d'avale institutionnel rassurant
18:39
pour impressionner les recruteurs au réflexe, non, une
18:41
autre voix. Et puis février 2023CDI chez
18:43
intrinsèque pentester et le plus beau arrive après Ah l'o SWE
18:46
offsec web expert. Ceux du métier savent ce que ça
18:50
veut dire, c'est une épreuve sale, longue, exigeante, sans
18:52
poudre aux yeux, 48 h presque d'affilée dans un labo à lire du
18:56
code, trouver des failles, écrire des exploits, documenter
18:58
proprement, ça c'est pas 1QCM de fin de stage, c'est pas.
19:04
Une certif, à accrocher au mur, c'est une épreuve qui demande du
19:07
fond, de la tenue, du nerf et c'est là que ça devient beau.
19:10
Elle le place exactement au point de bascule de tout cet
19:13
épisode. Le type qui porte aujourd'hui
19:14
une part très forte du savoir Faire Pen test chez intrinsèque
19:17
possède justement la certification qui correspond le
19:20
mieux au monde qui arrive, celui où l'i a rend l'audit de code
19:23
obligatoire. Le calendrier se fout de nous,
19:25
le marché ne valorise pas encore massivement ce savoir là et lui
19:28
il l'a comme nous en 95 avec le test d'intrusion, une compétence
19:31
très forte pour un besoin que la plupart des gens n'avaient.
19:34
Pas encore compris. Roman n'est pas seulement un
19:36
successeur, il est la preuve que dans ce métier, la légitimité,
19:40
tu ne l'achètes pas avec un diplôme, tu la prends avec de la
19:42
pratique, de l'entêtement et la capacité à voir le coude avant
19:45
les autres. En 2019, il surveille des
19:46
collégiens à nuits Saint Georges, en 2026, il porte une
19:49
part très réelle de ce qu'intrinsèque va devenir entre
19:51
les 2, il y a des nuits du code, des machines cassées, du boulot
19:54
ingrat, une montée réelle. Et quand je pense à lui, je me
19:58
dis 2 choses, d'abord quel parcours, ensuite mon vieux, tu
20:00
arrives au moment exact où le métier va devoir choisir.
20:04
Dire s'il veut survivre intelligemment ou défendre trop
20:07
longtemps ce qu'il a été. Roman est né l'année du premier
20:09
test d'intrusion français fait par intrinsèque.
20:12
Il a aujourd'hui 30 ans. Ça, pour moi, ce n'est pas un
20:14
hasard narratif, ce n'est pas une coïncidence, c'est une
20:17
provocation. En 96, on nous regardait comme
20:20
des délinquants du clavier. 30 ans plus tard, le groupe qu'on a
20:24
lancé est un des leaders de la souveraineté et de la Cyber
20:27
française. Comme quoi.
20:30
Demain, vendredi 17 avril 2026, j'ai rendez-vous avec roman et
20:33
Cyril pour voir où ils en sont, pour leur refiler quelques
20:36
intuitions et pour regarder avec une curiosité presque tendre ce
20:40
que devient ce qu'on a lancé gamin.
20:43
Laurent lui a posé les rollers il y a quelques années, il est
20:48
dans le sud avec ses abricotiers.
20:51
Ce truc vit sans moi depuis longtemps et c'est exactement ça
20:55
la victoire. Ce qu'on a lancé avec rien, une
20:58
école, un boulevard, des nuits trop courtes, un canapé, des
21:02
idées mal élevées est devenu un organisme vivant qui pense,
21:07
avance et se transforme tout seul.
21:10
Le reste compte moins et roman Roman va faire le sien. 30 ans
21:15
plus tard, ce n'est plus ma place et franchement, tant
21:18
mieux. Vous venez d'Écouter Pen test 30
21:22
ans après l'i a change tout. Un récit signé par l'un des
21:25
fondateurs d'intrinsèques. Si cet épisode vous a parlé,
21:29
partagez le à quelqu'un qui pense encore que la sécurité
21:32
commence après à bientôt.