AI CYBER VALIDATION
La validation, pas la supposition
Veync éprouve votre gouvernance de l'IA, vos garde-fous et vos contrôles de sécurité déployés sous pression adverse autonome soutenue — et produit la preuve dans les deux cas.
Des agents adverses autonomes. Une autorisation écrite. Chaque constat relié à l'action qui l'a démontré.
Référentiels et normes
Des preuves rattachées aux référentiels que votre conseil, votre auditeur et votre régulateur utilisent déjà.
EU AI Act Regulation (EU) 2024/1689
European Union
NIS2 Directive (EU) 2022/2555
European Union
DORA Regulation (EU) 2022/2554
European Union
ISO/IEC 42001 2023
ISO/IEC
NIST AI RMF 1.0
NIST
MITRE ATT&CK
MITRE
MITRE ATLAS
MITRE
OWASP Top 10 for LLM Applications
OWASP
OWASP Top 10 for Agentic Applications
OWASP
Le problème
Votre posture de sécurité reste une hypothèse jusqu'à ce qu'on l'éprouve
Les contrôles sont achetés, configurés et attestés. Très peu sont réellement éprouvés face à un adversaire après leur mise en service — et la couche IA a ajouté une surface entière dont personne ne connaît la référence.
01
Les contrôles dérivent en silence
Un contrôle efficace au déploiement se dégrade au fil des changements de politique, des montées de version, des réglages et des exclusions. Rien n'annonce l'instant où il cesse de détecter : l'écart apparaît pendant un incident, pas avant.
02
Une attestation n'est pas une preuve
Les questionnaires, les schémas d'architecture et les matrices de couverture décrivent une intention. Aucun ne démontre qu'une action précise d'attaquant serait bloquée, détectée ou manquée dans l'environnement que vous exploitez réellement.
03
L'IA a dépassé l'assurance
Les modèles, les agents et les chaînes d'outils détiennent désormais de vraies permissions et agissent sans humain dans la boucle. Leurs modes de défaillance relèvent de l'autorisation et du périmètre, que les tests classiques n'ont jamais été conçus pour éprouver.
Veync comble cet écart : un adversaire autonome qui opère en continu, confiné à un périmètre autorisé, et produit des preuves qui résistent à la lecture d'un auditeur.
Modules de validation
Sept modules de validation
Chaque module répond à une question qu'un conseil peut poser et qu'un auditeur peut suivre.
01
Assurance de la gouvernance de l'IA
Vérifie que la gouvernance de l'IA annoncée est réellement appliquée dans le système en production.
02
Test d'intégrité des garde-fous
Mesure la résistance des garde-fous des modèles et des agents sous pression adverse soutenue.
03
Risque agentique et autorisations
Sonde les permissions, les limites d'autorisation et le confinement de périmètre des agents.
04
Validation des contrôles de sécurité
Établit si les catégories de contrôles déployées bloquent, détectent, alertent ou laissent passer.
05
Alignement aux référentiels et analyse d'écarts
Relie les preuves de validation aux référentiels qui vous engagent, et nomme les écarts.
06
Sécurité du code généré par IA
Identifie les défauts exploitables du code écrit par IA et de ses dépendances, preuve à l'appui.
07
Opérations offensives autonomes
Émulation d'adversaire en hypothèse de compromission, sous règles d'engagement écrites.
Le moteur Veync
Un adversaire autonome, sous un plan de contrôle qui vous appartient
Le moteur planifie, exécute et vérifie les actions adverses, confine chacune d'elles à un périmètre autorisé, et consigne précisément ce qui a démontré chaque résultat.
Tissu d'agents adverses autonomes
Des agents de planification, de reconnaissance, d'exploitation et de couche IA qui enchaînent les actions comme le ferait un opérateur, au lieu de rejouer une bibliothèque de scénarios figée.
Plan de contrôle des autorisations
Règles d'engagement, application du périmètre, limitation du rayon d'impact et interrupteur d'arrêt se placent au-dessus des agents. Rien ne s'exécute hors de la limite que vous avez signée.
Graphe de preuves
Chaque constat est relié à l'action exécutée qui l'a démontré : un verdict peut être relu, rejoué et remis à un auditeur sans retraduction.
En continu, pas une fois par an
La validation est rejouée à chaque changement significatif — un nouvel agent, une nouvelle permission d'outil, un réglage modifié — pour que la réponse décrive le système que vous exploitez aujourd'hui.
Veync n'intervient que sur autorisation écrite et selon des règles d'engagement définies. Le périmètre, les limites et les voies d'escalade sont convenus avant toute exécution.
Voir le fonctionnement du moteurCe qui change
Quatre pratiques, et ce que chacune démontre réellement
La validation continue n'est pas un test d'intrusion accéléré, ni une bibliothèque de scénarios. La nuance compte dès qu'un régulateur demande ce que vos preuves couvrent.
| Veync | Test d'intrusion annuel | Simulation d'attaque et de compromission | Outils de red teaming IA | Red team interne | |
|---|---|---|---|---|---|
| Rythme | En continu, et rejoué à chaque changement significatif | Une ou deux fois par an, périmètre fixé d'avance | Planifié, à partir d'une bibliothèque de scénarios figée | Ponctuel, par campagne de requêtes | Limité par la capacité de l'équipe |
| Modèle d'adversaire | Des agents autonomes qui planifient, exécutent et enchaînent les actions | Des testeurs humains dans une fenêtre fixe | Rejeu de techniques déjà connues | Sondage par requêtes d'un seul modèle | Des opérateurs humains face à des priorités concurrentes |
| Couverture IA et agents | Gouvernance, garde-fous, autorisations des agents et code écrit par IA | Rarement dans le périmètre | Non modélisée | Sorties du modèle uniquement | Dépend de l'expertise IA interne |
| Preuves produites | Chaque constat relié à l'action exécutée qui l'a démontré | Un rapport à un instant donné | Des pourcentages de couverture | Des transcriptions de requêtes | Des comptes rendus internes |
| Rythme | En continu, et rejoué à chaque changement significatif |
|---|---|
| Modèle d'adversaire | Des agents autonomes qui planifient, exécutent et enchaînent les actions |
| Couverture IA et agents | Gouvernance, garde-fous, autorisations des agents et code écrit par IA |
| Preuves produites | Chaque constat relié à l'action exécutée qui l'a démontré |
| Rythme | Une ou deux fois par an, périmètre fixé d'avance |
|---|---|
| Modèle d'adversaire | Des testeurs humains dans une fenêtre fixe |
| Couverture IA et agents | Rarement dans le périmètre |
| Preuves produites | Un rapport à un instant donné |
| Rythme | Planifié, à partir d'une bibliothèque de scénarios figée |
|---|---|
| Modèle d'adversaire | Rejeu de techniques déjà connues |
| Couverture IA et agents | Non modélisée |
| Preuves produites | Des pourcentages de couverture |
| Rythme | Ponctuel, par campagne de requêtes |
|---|---|
| Modèle d'adversaire | Sondage par requêtes d'un seul modèle |
| Couverture IA et agents | Sorties du modèle uniquement |
| Preuves produites | Des transcriptions de requêtes |
| Rythme | Limité par la capacité de l'équipe |
|---|---|
| Modèle d'adversaire | Des opérateurs humains face à des priorités concurrentes |
| Couverture IA et agents | Dépend de l'expertise IA interne |
| Preuves produites | Des comptes rendus internes |
Périmètre de la plateforme
La plateforme en un coup d'œil
- Modules de validation
- 7
- Référentiels clés couverts
- 9
- Catégories de contrôles éprouvées
- 12
- Constats reliés à l'action qui les a prouvés
- 100%
Ces chiffres décrivent la plateforme elle-même : les modules qu'elle exécute, les référentiels auxquels ses preuves se rattachent et les catégories de contrôles qu'elle éprouve. Les résultats clients sont partagés sous accord de confidentialité, avec leur méthodologie.
Veync Labs
Une recherche originale, divulguée de façon responsable
Labs étudie comment échouent les garde-fous d'IA, les modèles d'autorisation des agents et les chaînes de détection, puis publie ce sur quoi les défenseurs peuvent agir.
Identifiants d'avis de sécurité
- VYN-2026-0001En cours de divulgation coordonnée
- VYN-2026-0002En cours de divulgation coordonnée
- VYN-2026-0003En cours de divulgation coordonnée
Les chercheurs de Veync Labs participent aux programmes de divulgation coordonnée de vulnérabilités et de primes aux bogues des principales plateformes d'IA et fournisseurs de modèles. Les constats sont transmis d'abord à la partie concernée, et publiés seulement après correction ou à une date de divulgation convenue.
Consulter Veync LabsQuestions
Ce que les équipes demandent en premier
S'agit-il d'un test d'intrusion ?
Non. Un test d'intrusion est une mission humaine à périmètre fixe, dans une fenêtre déterminée. Veync fait opérer des agents adverses autonomes en continu sur l'environnement réel, et les rejoue à chaque évolution du système.
Avez-vous besoin d'un accès à la production ?
Veync n'intervient que sur autorisation écrite, avec un périmètre convenu. Ce que ce périmètre couvre — production, préproduction, locataires précis, agents précis — est décidé avec vous avant toute exécution, et appliqué par le plan de contrôle plutôt que par convention.
Quels contrôles de sécurité pouvez-vous valider ?
Des catégories de contrôles plutôt que des produits nommés : détection et réponse sur les terminaux, détection réseau, sécurité de la messagerie, prévention des fuites de données, pare-feu applicatifs, identité et authentification multifacteur, couches de garde-fous et de modération d'IA, ainsi que la télémétrie industrielle ou physique lorsqu'elle est dans le périmètre.
En quoi cela diffère-t-il d'une bibliothèque de scénarios ?
Une bibliothèque rejoue des techniques déjà consignées. Les agents de Veync planifient face à votre environnement, enchaînent les actions et s'adaptent lorsqu'une étape échoue — c'est précisément là que se trouvent les chemins non détectés.
Que recevons-nous au terme de la campagne ?
Un ensemble de preuves plutôt qu'une présentation : un verdict par contrôle, l'action exécutée qui l'a produit, les évolutions d'ingénierie de détection qui combleraient chaque écart, et un rattachement aux référentiels sur lesquels vous rendez compte.
Découvrez ce que vos contrôles font réellement
Une session de validation passe en revue votre environnement, le périmètre que nous ferions autoriser et les preuves que vous recevriez.
Les résultats nommant des éditeurs et les preuves de contournement de contrôles sont partagés sous accord de confidentialité, via l'annexe de preuves.