Agents IA de pentest : fonctionnement, open source ou entreprise (2026)

Chaque agent exécute la même boucle : planifier, agir, observer, mémoriser. Le modèle lit l'objectif et ce qu'il sait déjà, choisit une action comme un scan de ports, une requête ou un exploit, un outil l'exécute, et la sortie revient au modèle, qui décide de la suite. La boucle s'arrête quand l'objectif est atteint, que le budget est épuisé ou qu'une personne l'interrompt.

Le modèle seul ne peut pas le faire. L'échafaudage qui l'entoure fournit les outils, un bac à sable pour les exécuter, la mémoire de ce qui a été tenté, le périmètre dont il ne doit pas sortir et le format du rapport. La recherche montre régulièrement que l'échafaudage compte autant que le modèle : AutoPT a presque doublé le taux d'accomplissement des tâches avec le même modèle en le contraignant par une machine à états, et l'étude ARTEMIS a vu des échafaudages de développement généralistes passer derrière la plupart des testeurs humains sur le même réseau où un échafaudage conçu sur mesure s'est classé deuxième.

Les principales architectures que vous rencontrerez :

• Assistant. L'agent suggère l'étape suivante et une personne l'exécute. C'est la conception d'origine de PentestGPT.
• Agent autonome unique. Un seul modèle doté de nombreux outils exécute toute la boucle.
• Multi-agents. Un contrôleur confie le travail à des spécialistes de la reconnaissance, de l'exploitation ou du mouvement latéral, chacun avec ses propres outils et son propre contexte. PentAGI, Strix et VulnBot fonctionnent ainsi.
• Passerelle d'outils. Un serveur MCP expose des outils de sécurité à n'importe quel modèle, comme le fait HexStrike AI. L'intelligence et les règles de sécurité se trouvent alors là où s'exécute le modèle.
• Boîte blanche. L'agent lit d'abord le code source puis attaque l'application en fonctionnement, comme le fait Shannon.

Les projets open source les plus connus en novembre 2026 figurent dans le tableau ci-dessous. Quelques points que les étoiles GitHub ne montrent pas :

• Les licences diffèrent. MIT et Apache-2.0 autorisent l'usage commercial ; l'AGPL-3.0 impose des obligations si vous proposez l'outil en tant que service ; le code propre de CAI est limité à la recherche non commerciale et le projet a été archivé en août 2026 au profit d'un successeur commercial.
• L'open core est courant. Strix et Shannon sont gratuits à exécuter, avec des éditions cloud ou entreprise payantes par-dessus.
• Le lieu d'exécution du modèle est un paramètre, pas une donnée. Le mode autonome de PentestGPT pilote un agent de développement cloud ; son mode historique et PentAGI peuvent utiliser des modèles locaux. Avec un modèle cloud, chaque bannière, réponse et identifiant que voit l'agent est envoyé à un tiers.
• La plupart sont conçus pour un seul type de cible. Strix et Shannon testent des applications web ; PentestGPT et PentAGI penchent vers les réseaux et les machines de type CTF. Rares sont ceux qui couvrent de bout en bout Active Directory, le mouvement latéral et les réseaux internes.

Les évaluations indépendantes et en aveugle restent rares. Voici ce qui existe :

• Un réseau d'entreprise réel. Dans l'étude ARTEMIS menée par Stanford (ICLR 2026), dix professionnels, six agents existants et le framework des auteurs ont testé un réseau universitaire d'environ 8 000 hôtes. ARTEMIS s'est classé deuxième, devant 9 des 10 humains, avec 9 vulnérabilités valides et 82 % de soumissions valides ; il a produit davantage de faux positifs que les humains et a eu des difficultés avec les tâches en interface graphique. Plus de détails dans pentest IA ou pentesteurs humains.
• Autonome ou assisté. Sur AutoPenBench (33 tâches), un agent entièrement autonome en a résolu 21 % et le même agent avec une aide humaine 64 %.
• Benchmarks CTF. Cybench utilise 40 tâches CTF professionnelles. Les 104 défis web de XBOW ont été largement cités jusqu'à ce que le propre dépôt de XBOW les déclare saturés depuis mi-2026, les vulnérabilités ayant été intégrées à l'entraînement des modèles.

Deux limites s'appliquent à presque tous les chiffres que vous verrez. Les tâches CTF ont un objectif connu, un flag, et ne sont donc pas en aveugle ; et les tâches publiques fuient dans les données d'entraînement. Considérez le score qu'un fournisseur ou un projet obtient sur son propre benchmark comme du marketing tant que quelqu'un d'autre ne l'a pas reproduit sur un réseau que l'agent n'a jamais vu.

• Application du périmètre

  Un agent qui improvise trouvera des hôtes que vous n'avez pas listés. C'est la plateforme, et non le prompt, qui doit refuser les cibles hors périmètre, y compris dans les scripts que l'agent écrit.

• Étapes d'approbation et arrêt d'urgence

  Décidez quelles actions attendent une personne, et assurez-vous qu'un seul bouton arrête tous les agents à la fois et que cet arrêt persiste après un redémarrage. Voir l'humain dans la boucle.

• Où vont les données

  Les identifiants capturés et les noms d'hôtes internes sont sensibles. Un modèle local sur du matériel que vous maîtrisez les garde chez vous ; une API cloud, non.

• Preuves et piste d'audit

  Les auditeurs veulent savoir ce qui a été exécuté, quand, par qui et avec quel résultat, dans un enregistrement que personne ne peut modifier après coup.

• Rapports et correspondance de conformité

  Les transcriptions brutes d'un agent ne sont pas un rapport qu'un conseil d'administration ou un régulateur lira.

• Maintenance et support

  Outils, exploits et modèles changent chaque mois. Quelqu'un doit maintenir la pile en état de marche et répondre quand elle fait tomber un système.

Les agents open source sont excellents pour la recherche, la formation et les laboratoires. En exécuter un contre la production, c'est décider de construire et d'assumer tout ce qui précède. L'OWASP Autonomous Penetration Testing Standard liste ces contrôles comme exigences et constitue une bonne checklist quelle que soit la voie choisie.

• Les attaquants utilisent les mêmes outils. Check Point a rapporté en septembre 2025 que, quelques heures après la publication de HexStrike AI, des forums criminels discutaient de son utilisation contre de nouvelles failles de Citrix NetScaler et affirmaient que le délai d'exploitation était passé de plusieurs jours à quelques minutes. Il s'agit d'affirmations de forums, non d'attaques confirmées, mais la fenêtre entre divulgation et exploitation ne cesse de se réduire dans tous les cas.
• La cible peut répondre. Un agent lit tout ce que renvoie la cible, et une page, une bannière ou un fichier peut contenir des instructions destinées au modèle. La documentation de Shannon elle-même déconseille pour cette raison de l'exécuter sur des bases de code non fiables. C'est l'injection de prompt retournée contre le testeur.
• Faux constats. Les agents signalent davantage de faux positifs que des humains expérimentés. Exigez des preuves : ce qui a été envoyé, ce qui est revenu, ce qui a été atteint après l'accès. Voir la validation des exploits.
• Dommages collatéraux. Un agent qui relance un exploit dix fois ou exécute un outil de force brute sans limite peut verrouiller des comptes ou faire tomber des services. Les limites de débit et l'approbation des actions perturbatrices ne sont pas optionnelles.

Les agents ne suppriment pas le besoin de personnes. Ils excellent en couverture et en répétition : chaque hôte, chaque semaine, chaque nouvelle CVE. Les humains restent meilleurs sur la logique métier, l'ingénierie sociale et les arbitrages qu'exige un test piloté par un régulateur comme le TLPT de DORA.

Pour un acheteur, la distinction utile porte sur le mode de livraison : un agent open source que vous exécutez et maintenez, un service cloud qui lance des agents contre vous, ou une plateforme qui réalise des tests d'intrusion autonomes dans votre propre périmètre. La comparaison des outils couvre les plateformes commerciales, et le guide d'évaluation propose un plan de pilote pour tester n'importe laquelle d'entre elles.

PentestGPT est-il gratuit ? Oui, il est sous licence MIT. Vous payez le modèle qu'il utilise : son mode autonome pilote Claude Code ou Codex, il vous faut donc un compte chez ces fournisseurs ; le mode assistant historique peut aussi fonctionner sur un modèle local.

Puis-je exécuter un agent IA de pentest hors ligne ? Certains prennent en charge des modèles locaux, dont PentAGI et le mode historique de PentestGPT. Il vous faut alors un GPU assez puissant pour un modèle performant, et la précision dépend du modèle que vous pouvez faire tourner.

L'utilisation d'agents IA de pentest est-elle légale ? Leur utilisation est légale sur des systèmes qui vous appartiennent ou que vous êtes autorisé par écrit à tester, comme pour tout outil de pentest. Sans autorisation, c'est une infraction pénale dans la plupart des pays.

Quel agent open source est le meilleur ? Il n'existe pas de classement indépendant. Choisissez selon la cible : Strix ou Shannon pour les applications web, PentAGI ou PentestGPT pour les réseaux et les laboratoires. Vérifiez la licence et si le projet est toujours maintenu.

Les agents IA remplacent-ils les pentesteurs humains ? Pas encore. Sur un réseau réel, le meilleur agent de recherche a battu la plupart des humains en constats valides, mais avec davantage de faux positifs et des lacunes sur le travail en interface graphique. Le modèle courant : les agents pour la couverture et la fréquence, les humains pour la profondeur et le jugement.

Comment fonctionne l'agent de Zero Hunt ? Zero Hunt est une red team IA autonome pour les réseaux et les infrastructures, qui s'exécute sur une appliance on-premise avec ses propres modèles, de sorte qu'aucune donnée client n'en sort. Un contrôleur coordonne dix agents spécialisés : reconnaissance, analyse de vulnérabilités, exploitation, web, identifiants, post-exploitation, pivot, couverture ATT&CK, analyse du code source et rapports. Cinq niveaux d'autonomie déterminent quelles actions attendent un opérateur, le périmètre est validé sur les appels d'outils et dans les scripts générés, l'arrêt d'urgence persiste après redémarrage, et chaque tentative est un enregistrement signé Ed25519 et chaîné par hachage. Les campagnes s'exécutent une fois ou selon un calendrier quotidien, hebdomadaire, mensuel ou personnalisé, en boîte noire ou en boîte grise. Zero Hunt ne publie pas encore de résultats de benchmark ; sa méthodologie d'évaluation est en préparation.