Pourquoi Veync
Quatre pratiques, et ce que chacune démontre
La validation continue est régulièrement prise pour un test d'intrusion accéléré ou une bibliothèque de scénarios enrichie. La nuance n'est pas commerciale : elle détermine ce que vos preuves couvrent réellement.
La comparaison
Comparées sur les quatre dimensions qui comptent
Ce sont des catégories de pratique, pas des entreprises. Chacune est réellement bonne à quelque chose, et chacune laisse un manque précis que les autres ne comblent pas.
| Veync | Test d'intrusion annuel | Simulation d'attaque et de compromission | Outils de red teaming IA | Red team interne | |
|---|---|---|---|---|---|
| Rythme | En continu, et rejoué à chaque changement significatif | Une ou deux fois par an, périmètre fixé d'avance | Planifié, à partir d'une bibliothèque de scénarios figée | Ponctuel, par campagne de requêtes | Limité par la capacité de l'équipe |
| Modèle d'adversaire | Des agents autonomes qui planifient, exécutent et enchaînent les actions | Des testeurs humains dans une fenêtre fixe | Rejeu de techniques déjà connues | Sondage par requêtes d'un seul modèle | Des opérateurs humains face à des priorités concurrentes |
| Couverture IA et agents | Gouvernance, garde-fous, autorisations des agents et code écrit par IA | Rarement dans le périmètre | Non modélisée | Sorties du modèle uniquement | Dépend de l'expertise IA interne |
| Preuves produites | Chaque constat relié à l'action exécutée qui l'a démontré | Un rapport à un instant donné | Des pourcentages de couverture | Des transcriptions de requêtes | Des comptes rendus internes |
| Rythme | En continu, et rejoué à chaque changement significatif |
|---|---|
| Modèle d'adversaire | Des agents autonomes qui planifient, exécutent et enchaînent les actions |
| Couverture IA et agents | Gouvernance, garde-fous, autorisations des agents et code écrit par IA |
| Preuves produites | Chaque constat relié à l'action exécutée qui l'a démontré |
| Rythme | Une ou deux fois par an, périmètre fixé d'avance |
|---|---|
| Modèle d'adversaire | Des testeurs humains dans une fenêtre fixe |
| Couverture IA et agents | Rarement dans le périmètre |
| Preuves produites | Un rapport à un instant donné |
| Rythme | Planifié, à partir d'une bibliothèque de scénarios figée |
|---|---|
| Modèle d'adversaire | Rejeu de techniques déjà connues |
| Couverture IA et agents | Non modélisée |
| Preuves produites | Des pourcentages de couverture |
| Rythme | Ponctuel, par campagne de requêtes |
|---|---|
| Modèle d'adversaire | Sondage par requêtes d'un seul modèle |
| Couverture IA et agents | Sorties du modèle uniquement |
| Preuves produites | Des transcriptions de requêtes |
| Rythme | Limité par la capacité de l'équipe |
|---|---|
| Modèle d'adversaire | Des opérateurs humains face à des priorités concurrentes |
| Couverture IA et agents | Dépend de l'expertise IA interne |
| Preuves produites | Des comptes rendus internes |
L'argument
Pourquoi continu et autonome, ensemble
Chacune des quatre pratiques établies répond raisonnablement à la question telle qu'elle se posait il y a dix ans. Le test d'intrusion annuel achète un regard humain approfondi sur un périmètre borné. La simulation d'attaque achète de la répétabilité. Les outils de red teaming IA achètent une focalisation sur la couche modèle. Une red team interne achète un contexte qu'aucun prestataire ne possède. Aucune n'est fausse, et un programme mature en combine généralement plusieurs.
Ce qui a changé, c'est la forme du risque. Les chemins qui comptent sont des enchaînements : ils traversent un terminal, une identité, un rôle cloud et désormais un agent détenant de vraies permissions. Un enchaînement est précisément ce qu'une mission échantillonnée et limitée dans le temps a le moins de chances de parcourir, ce dont une bibliothèque figée n'a jamais entendu parler, et ce qu'un outil au niveau de l'invite ne peut pas voir au-delà de la frontière du modèle.
Da Vinci disséquait les corps pour comprendre leur fonctionnement, et dessinait à la fois la forteresse et la machine qui la percerait. Comprendre une défense et l'attaquer n'ont jamais été deux disciplines séparées.
L'autonomie traite le problème d'étendue et la continuité celui de l'obsolescence, mais seulement ensemble. Des agents autonomes exécutés une fois par an produisent un verdict périmé plus vite. L'exécution continue d'un script figé produit une réponse assurée à la mauvaise question. Des agents qui planifient face à votre environnement, rejouent quand il change et ancrent chaque verdict à l'action qui l'a prouvé : voilà ce qui rend la réponse à la fois actuelle et défendable.
La limite honnête est que cela ne remplace pas un adversaire humain pour un travail véritablement inédit, et nous ne le prétendons pas. Cela remplace l'étendue répétitive qui consomme l'essentiel de la capacité d'une red team, et c'est précisément ce qui libère cette capacité pour le travail que seuls des humains peuvent faire.
Questions
Objections légitimes
Devons-nous arrêter les tests d'intrusion ?
Non. Une mission humaine approfondie sur une cible difficile trouve des choses que l'autonomie ne trouve pas, et certains régulateurs et clients en demandent explicitement une. Ce qui change, c'est sa finalité : elle cesse d'être tout le programme d'assurance et devient l'approfondissement posé sur une base continue.
Nous faisons déjà de la simulation d'attaque. Qu'est-ce que cela ajoute ?
La simulation rejoue des techniques déjà consignées, ce qui mesure une couverture face à une bibliothèque connue. Elle ne planifie pas, n'enchaîne pas de façon opportuniste, ne s'adapte pas quand une étape échoue, et ne modélise pas du tout la couche IA. Ce sont les manques, et c'est là que vivent les chemins non détectés.
Un attaquant autonome est-il sûr en production ?
Il l'est exactement dans la mesure où ses limites sont structurelles et non comportementales. Le périmètre est appliqué par le plan de contrôle avant toute action, le rayon d'impact est borné à l'avance, et un arrêt unique interrompt planification, exécution et file d'attente. Cette architecture est le produit.
Et notre red team interne ?
Elle cesse de consacrer sa capacité à la répétition. Le schéma habituel : Veync tient la base continue sur l'ensemble du parc, et l'équipe interne prend le travail inédit et à fort contexte que cette base fait apparaître.
Comparez avec votre propre programme
Une session de validation est le moyen le plus rapide de voir où la validation continue apporte quelque chose que votre programme actuel ne couvre pas déjà.
Les résultats nommant des éditeurs et les preuves de contournement de contrôles sont partagés sous accord de confidentialité, via l'annexe de preuves.