Récemment, j'ai eu le plaisir d'intervenir lors d'un meetup co-organisé par Generative AI Nantes et Nantes@Hack. J'y ai présenté ma vision de l'utilisation des agents de codage (GitHub Copilot, Claude Code) appliqués à la cybersécurité défensive.

Passionné par cette thématique depuis de nombreuses années sans pour autant m'en revendiquer expert, je vous propose dans cet article une synthèse de mes réflexions et du contenu de cette présentation. Que vous soyez débutant ou professionnel aguerri de la Cyber, j'espère que ce retour d'expérience vous donnera des pistes concrètes pour intégrer les Coding Agents dans votre quotidien.

Le constat : pourquoi la cybersécurité défensive ne peut plus attendre

68 % des brèches impliquent un facteur humain non malveillant.^[1] 194 jours en moyenne pour détecter une compromission.^[2] 4,4 millions de dollars de coût moyen par incident.^[3] Et une explosion de +180 % en glissement annuel de l'exploitation de vulnérabilités comme vecteur d'attaque initial.^[4]

Ces chiffres issus des rapports Verizon DBIR 2024 et IBM Cost of a Data Breach (éditions 2024 et 2025) dressent un tableau brutal. Le site bonjourlafuite.eu.org que je vous avais présenté dans un précédent article recense par ailleurs les fuites de données françaises en temps réel. Pourtant, la majorité des organisations déploient régulièrement du code vulnérable en production sans même en avoir conscience. Ce n'est pas une question de mauvaise volonté. C'est une question de capacité de contrôle.

Le cycle de développement est devenu trop rapide avec les méthodes agiles. Les équipes souvent trop sollicitées ne possèdent pas tout le temps des compétences suffisantes en cybersécurité pour assurer un contôle continue de leurs assets.

Les outils de sécurité sont souvent cantonnés à des étapes finales de validation, déconnectées du quotidien des développeurs. L'enjeu n'est donc pas l'erreur individuelle du développeur, c'est l'absence de contrôle continu intégré au cycle de développement qu'il faut corriger.

L'IA générative aggrave la situation du côté offensif

En France, les affaires récentes le démontrent de façon spectaculaire. En octobre 2024, un lycéen de 17 ans a exfiltré les données de 19,2 millions d'abonnés Free, dont 5,11 millions incluant un IBAN.^[5]

En avril 2026, un mineur de 15 ans a exploité une faille IDOR sur le portail de l'ANTS (Agence Nationale des Titres Sécurisés), exposant entre 12 et 19 millions de profils contenant l'état civil complet de citoyens français.^[6]

Dans les deux cas, les techniques utilisées étaient d'une complexité relativement faible, accessibles à des profils sans formation avancée en sécurité. L'ANSSI confirme cette tendance dans son rapport de février 2026 : l'IA générative est désormais utilisée par un large spectre d'acteurs offensifs, des groupes étatiques aux script kiddies.^[7]

Pour les attaquants les plus avancés, elle représente un outil de passage à l'échelle. Pour les moins expérimentés, elle sert d'outil d'apprentissage accéléré qui abaisse drastiquement la barrière d'entrée.

L'IA générative est donc déjà une arme offensive entre les mains d'attaquants de plus en plus jeunes et de moins en moins qualifiés. Elle doit aussi devenir une arme défensive. C'est précisément là qu'intervient cette présentation. Non pas pour remplacer les experts sécurité, mais pour instaurer une vigilance permanente dès la première ligne de code.

Six piliers pour une défense continue

Cet article est structurée autour de six domaines clés de la cybersécurité défensive. Chaque pilier est illustré avec des prompts directement utilisables en production, et une comparaison des forces respectives de Claude Code et GitHub Copilot CLI.

Les six piliers utilisés dans cet article sont :

1. L'audit de code et SAST
2. Le DevSecOps et les chaînes CI/CD
3. La détection et le SIEM
4. La réponse à incident et la forensique
5. La Threat Intelligence
6. Le durcissement et la conformité

Pilier 01 : Audit de code et SAST

L'audit de code statique est le premier rempart. L'objectif est d'analyser le code existant pour identifier vulnérabilités, secrets et CVE (failles de sécurité répertoriées publiquement) avant leur exploitation. Les domaines couverts incluent l'OWASP Top 10^[8], la détection de secrets hardcodés (mots de passe ou clés API laissés en clair dans le code), les CVE sur les dépendances, la cryptographie obsolète et la génération de rapports SARIF.^[9]

Avec Claude Code, un seul prompt peut déclencher un audit multi-fichiers avec correctif intégré :

$ claude "Trace le flux des entrées utilisateur depuis les contrôleurs Express
jusqu'aux requêtes SQL dans src/. Pour chaque injection potentielle,
génère le fix avec requête paramétrée et le test unitaire associé."

Claude Code analyse le contexte complet du projet : il suit le flux de données à travers plusieurs fichiers, identifie le point d'injection et produit à la fois le correctif et son test en une seule passe.

Avec GitHub Copilot CLI, la force est dans l'accès direct à l'écosystème GitHub :

$ copilot -p "Liste les CVE critiques (CVSS>=9) de mon package-lock.json,
vérifie si un exploit public existe pour chacune,
et ouvre une issue GitHub avec le plan de remédiation."

Copilot CLI bénéficie ici de son intégration native à GitHub : accès direct aux PR et aux issues via MCP GitHub (Model Context Protocol : standard qui permet à un agent IA de piloter des outils externes), avec le choix du modèle sous-jacent (Claude Sonnet 4.5 ou GPT-5).

Pilier 02 : DevSecOps et chaînes CI/CD

Le DevSecOps, c'est l'ambition d'intégrer la sécurité à chaque étape du cycle de développement. La revue de PR (Pull Request, c'est-à-dire la proposition de modification du code soumise à validation), le pipeline CI/CD (chaîne d'automatisation qui compile, teste et déploie le code), la gestion du registre de conteneurs et l'exécution en production sont tous concernés. Les domaines couverts incluent les gates CI/CD (points de blocage automatiques), les SBOM (Software Bill of Materials : inventaire exhaustif des composants d'une application), les hooks pre-commit et la signature des artefacts.

Avec Claude Code :

$ claude "Génère un workflow GitHub Actions complet : Semgrep sur le code,
Trivy sur l'image Docker, gate qui bloque le merge si CVSS>=7.
Ajoute un pre-commit hook gitleaks pour empêcher tout secret d'atteindre le repo."

La différence notable : Claude Code génère le YAML complet d'un pipeline agentique multi-étapes, avec une compréhension du contexte du repo entier. Plus besoin d'assembler les blocs manuellement.

Avec GitHub Copilot CLI :

$ copilot -p "Active Dependabot avec alertes auto-merge pour les patchs, configure CodeQL en mode security-extended, et active push protection sur ce repo pour bloquer les secrets."

L'avantage de Copilot CLI ici est son intégration GitHub native. Actions, Dependabot, CodeQL et push protection sont pilotés directement via le MCP Github, sans friction entre l'outil IA et la plateforme de développement.

Pilier 03 : Détection et SIEM

La détection en temps réel est le cœur de toute stratégie SOC (Security Operations Center : cellule chargée de surveiller et répondre aux incidents de sécurité). Ce pilier couvre l'analyse des journaux système, l'élaboration de règles de détection (YARA, Sigma, Snort) et la chasse aux menaces (threat hunting). Les plateformes visées vont de Splunk à ELK en passant par les outils open source.

Avec Claude Code :

$ claude "Analyse les 24 dernières heures de auth.log.
Identifie les patterns de bruteforce SSH (>10 tentatives/IP/min), génère une règle Sigma de détection et la requête Splunk SPL équivalente."

Claude Code se distingue par sa compréhension des TTP d'attaque (Tactics, Techniques and Procedures : la façon dont les attaquants opèrent concrètement). Il ne génère pas simplement des règles syntaxiquement correctes, il produit des règles de détection de qualité production, calibrées pour réduire les faux positifs.

Avec GitHub Copilot CLI :

$ copilot -p "Parse eve.json (Suricata), extrais les IPs avec plus de 50 alertes en 1h, enrichis-les via whois, et crée une issue GitHub avec la liste triée par sévérité." --allow-tool='shell(jq,whois)'

Copilot CLI opère ici dans un shell sandboxé via le paramètre --allow-tool. Il peut créer des issues GitHub directement depuis l'analyse de logs, ce qui accélère le workflow de qualification d'incident.

Pilier 04 : Réponse à incident et forensique

Quand l'incident survient malgré tout, la réactivité est critique. Ce pilier couvre le triage des alertes, l'analyse de mémoire, la rétro-ingénierie de code malveillant et la reconstitution de chronologie d'incident pour produire des rapports DFIR (Digital Forensics and Incident Response : investigation numérique et gestion de crise) exploitables.

Avec Claude Code :

$ claude "Ce PowerShell est obfusqué en base64 imbriqué sur 3 couches.
Décode chaque couche, explique l'intention de chaque étape, identifie le C2 contacté et génère les IOC (IP, domaine, hash) au format STIX 2.1."

C'est sur ce pilier que Claude Code brille particulièrement. Ses capacités de rétro-ingénierie, d'analyse comportementale et de narration claire d'un incident complexe en font un outil précieux, surtout pour les équipes qui ne sont pas entièrement spécialisées en forensique.

Avec GitHub Copilot CLI :

$ copilot -p "Lance volatility3 sur memdump.raw : pslist, netscan, malfind.
Corrèle les processus suspects avec les connexions réseau, et génère la timeline au format plaso." --allow-tool='shell(vol3,plaso)'

Copilot CLI excelle ici dans le pilotage des outils DFIR établis. La combinaison du paramètre --allow-tool avec volatility, tshark et plaso permet d'exécuter des analyses dans un environnement contrôlé, ce qui limite les risques lors de l'analyse de code potentiellement malveillant.

Pilier 05 : Threat Intelligence

La Cyber Threat Intelligence permet d'anticiper plutôt que de subir. Ce pilier couvre le mapping MITRE ATT&CK^[10], l'enrichissement des IOC (Indicators of Compromise : traces laissées par une attaque, comme une adresse IP ou un hash de fichier malveillant), le profilage des groupes APT (Advanced Persistent Threat : groupes d'attaquants organisés, souvent étatiques) et l'évaluation de l'exploitabilité des CVE dans votre stack spécifique. Pour la reconnaissance passive, des outils comme Shodan ou le Certificate Transparency permettent d'identifier votre surface d'exposition sans envoyer un seul paquet.

Avec Claude Code :

$ claude "Analyse CVE-2024-3094 (backdoor xz-utils). Mappe les TTP
sur MITRE ATT&CK, évalue l'exploitabilité dans notre stack Debian 12, et rédige une note d'impact pour le RSSI avec les actions de remédiation."

Claude Code produit ici une synthèse CTI structurée avec mapping ATT&CK automatique et évaluation d'impact métier contextualisée. C'est particulièrement utile pour les équipes qui doivent justifier une priorité de remédiation auprès d'un RSSI ou d'une direction.

Avec GitHub Copilot CLI :

$ copilot -p "Interroge l'API NVD pour les CVE critiques publiées cette semaine sur openssl et nginx. Pour chaque CVE, vérifie sur Shodan si nous avons des instances exposées, et crée une issue GitHub par CVE avec le score EPSS." --allow-tool='shell(curl)'

La valeur ajoutée de Copilot CLI sur ce pilier est sa capacité à créer directement des issues et PR GitHub à partir des findings CTI. Le cycle entre la découverte d'une menace et son traitement dans le backlog de l'équipe de développement est considérablement réduit.

Concernant ce pilier, j'ai développé un outil open source pour automatiser le reporting IP sur AbuseIPDB via Cloudflare : github.com/ltoinel/Cloudflare-Ipabusedb-Report.

Pour vérifier votre propre exposition aux attaques via OSINT, des outils comme Epieos permettent de tester en quelques clics à partir d'un email ou d'un numéro de téléphone.

Pilier 06 : Durcissement et conformité

Ce pilier concerne le durcissement de l'infrastructure (IaC, Cloud, Kubernetes) et la démonstration de conformité réglementaire (CIS Benchmark^[11], RGPD article 32^[12], NIS2^[13], SOC 2). L'IaC (Infrastructure as Code) désigne le fait de décrire et provisionner son infrastructure via des fichiers de configuration versionnés, comme Terraform ou Ansible. C'est ici que la policy-as-code prend tout son sens.

Avec Claude Code :

$ claude "Audite mes fichiers Terraform AWS contre CIS Benchmark v3.
Pour chaque non-conformité, génère la policy OPA Rego qui bloque le déploiement et un commentaire expliquant le risque métier en termes compréhensibles par un non-technicien."

Claude Code ne produit pas seulement des constats. Il génère des policies-as-code (OPA, Kyverno) et des matrices de conformité directement actionnables par les équipes DevOps. C'est un gain de temps considérable par rapport à une démarche manuelle.

Avec GitHub Copilot CLI :

$ copilot -p "Lance kube-bench sur le cluster staging.
Affiche les checks CIS en échec sur RBAC et NetworkPolicies, et propose le patch YAML pour chacun." --allow-tool='shell(kube-bench,kubectl)'

Copilot CLI pilote ici les scanners CIS et IaC établis (kube-bench, checkov, hadolint, trivy) depuis l'interface CLI, avec une exécution sandboxée et maîtrisée. Si vous travaillez avec Docker, ma check-list des 10 questions à se poser avant de démarrer un projet conteneurisé reste un bon complément à ces audits automatisés.

Les skills Claude Code à connaître pour la sécurité

Pour un usage avancé, Claude Code supporte des skills spécialisés : des packages de compétences préconfigurés pour des domaines précis.^[14] Les plus pertinents en cybersécurité sont les suivants.

Ces skills permettent de spécialiser Claude Code bien au-delà de son niveau de base. Le point de départ recommandé pour une équipe défensive est la combinaison claude-code-security-review (officiel Anthropic, sans configuration) + trailofbits/skills-curated (vérifié par des experts).

Limites et précautions d'usage

L'enthousiasme pour ces outils ne doit pas masquer leurs limites réelles. La mise en production d'une approche IA-augmentée en cybersécurité exige gouvernance, contrôles et formation continue, bien au-delà de la démonstration technique.

Les risques à éviter :

• Accorder une confiance aveugle au code généré. L'IA peut se tromper, produire des faux positifs ou manquer des vulnérabilités contextuelles.
• Substituer ces outils à un audit ou pentest expert.
• Négliger l'analyse des faux positifs, sous peine de bloquer des déploiements légitimes.
• Présumer que l'IA maîtrise le contexte métier, car la logique applicative spécifique à un domaine reste opaque pour le modèle.
• Déployer un correctif sans revue humaine, surtout pour les composants critiques.
• Transmettre des données sensibles aux agents sans anonymisation préalable.

Les bonnes pratiques à adopter :

• Positionner l'IA comme premier niveau de contrôle, pas comme seul ni dernier filet.
• La combiner avec des outils établis comme Semgrep, Trivy ou Snyk.
• Former les équipes aux pratiques de prompting orientées sécurité, car la qualité du prompt détermine la qualité du résultat.
• Si vous déployez Claude Code en entreprise, pensez aussi à maîtriser vos coûts de tokens.
• Maintenir une revue humaine sur les correctifs critiques.
• Définir un seuil de blocage CI/CD explicite, par exemple CVSS supérieur à 7.
• Tracer les prompts pour la conformité réglementaire, surtout en contexte NIS2 ou RGPD.
• Pour approfondir vos compétences en pentest et comprendre comment les attaquants opèrent, les 5 bibles du pentesting restent une référence incontournable.

Conclusion

L'IA générative ne révolutionne pas la cybersécurité défensive de façon spectaculaire du jour au lendemain. Ce qu'elle fait est plus fondamental : elle déplace la sécurité d'un contrôle final vers un accompagnement continu intégré au cycle de développement.

Au-delà de la revue de code, l'architecture doit intégrer les principes de Security by Design. La protection logicielle est vaine si l'infrastructure d'hébergement présente des vulnérabilités critiques : les attaquants privilégieront toujours le chemin de moindre résistance

Les six piliers présentés ici (SAST, DevSecOps, Détection, Forensique, Threat Intelligence, Durcissement) constituent ensemble un dispositif de défense en profondeur où l'IA joue le rôle d'assistant permanent. Disponible en continu, capable de traiter des volumes inaccessibles à une équipe humaine seule.

L'IA générative ne se substitue pas à l'expertise sécurité. Elle apporte aux équipes de développement une vigilance continue, à condition d'être déployée avec discernement, gouvernance et formation. Si vous débutez en cybersécurité, HackTheBox Academy propose 20 modules gratuits pour acquérir les fondamentaux avant de passer aux outils IA.

J'espère que cet article vous sera utile, n'hésitez pas à passer sur le serveur Discord Geeek pour discuter Cybersécurité. Ce serveur est ouvert à tous les lecteurs.

Sources

Vous venez d'installer Windows 11 en suivant mon précédent article ? Félicitations, vous avez un système tout neuf !

Mais avant de commencer à l'utiliser, il reste une étape cruciale : faire le ménage dans la collecte de données.

Quelles sont les données que Windows 11 collecte ?

Si vous ne voulez pas que vos habitudes d'utilisation finissent sur les serveurs de Microsoft, il existe un outil indispensable, bien que son nom soit un petit défi à l'écriture : O&O ShutUp10++.

Par défaut, une installation fraîche de Windows 11 active un nombre impressionnant de mécanismes de collecte :

• 📡 Télémétrie — Vos données d'utilisation, crashs et comportements envoyés en continu à Microsoft.
• 📍 Géolocalisation — Position GPS accessible par les apps Windows et les services Microsoft.
• ⌨️ Saisie & frappe (keylogging) — Journalisation de votre écriture manuscrite et de vos frappes clavier à des fins "d'amélioration".
• 🎯 Publicités ciblées — Un identifiant publicitaire unique vous suit à travers les applications du Windows Store.
• 🎙️ Cortana & voix — Vos interactions vocales et historique de recherche alimentent les modèles IA de Microsoft.
• 🔄 Synchronisation cloud — Mots de passe, activité et historique de navigation synchronisés vers votre compte Microsoft.

Un très bon épisode de l'émission d'Underscore présente

Un scanner pour vos paramètres cachés

Sous ses airs de logiciel ultra-minimaliste, O&O ShutUp10++ liste l'intégralité des réglages de confidentialité enfouis au plus profond de Windows. Rien ne lui échappe.

Là où Microsoft vous force à parcourir des dizaines de menus pour désactiver ces options, ShutUp10++ centralise tout sur une seule et même page. Ce que Windows vous cache en 2 heures de navigation dans les paramètres, ShutUp10++ vous l'expose en 2 minutes.

✅ Avantage clé : Le logiciel est 100% portable — aucune installation requise.

Comprendre le code couleur

Chaque option est associée à une couleur qui indique le niveau de risque :

Deux approches selon votre "degré de paranoïa"

🔬 La méthode chirurgicale

Vous parcourez la liste option par option et cochez manuellement ce que vous souhaitez bloquer, guidé par le code couleur.

✓ Points forts : Contrôle total, vous comprenez chaque paramètre.
⚠ Point faible : Plus long (15 à 30 minutes)

☢️ La méthode "Nucleaire"

Via le menu Actions → Appliquer tous les réglages recommandés, vous blindez votre système en un seul clic.

✓ Points forts : Rapide et efficace (2 minutes), idéal pour les débutants
⚠ Point faible : Certaines options jaunes/rouges sont activées sans distinction et peuvent potentiellement faire planter votre système.

Dans mon cas, j'ai désactivé toutes les options rouge via cette méthode. Mon système n'a pas planté.

Guide pas à pas : 5 minutes chrono

Étape 1 — Télécharger l'outil
Rendez-vous sur le site officiel d'O&O Software et téléchargez ooshutup10.exe. C'est gratuit, sans inscription.

Étape 2 — Créer un point de restauration
Au lancement, ShutUp10++ vous propose de créer un point de restauration. Ne passez pas cette étape ! C'est votre filet de sécurité si une option désactivée vous cause des problèmes plus tard (synchronisation du calendrier, Windows Update, etc.).

Étape 3 — Appliquer les réglages
Utilisez le menu Actions → Appliquer tous les réglages recommandés pour un résultat immédiat, ou parcourez la liste manuellement selon vos préférences.

Étape 4 — Redémarrer Windows
Certaines modifications nécessitent un redémarrage pour être pleinement appliquées. Faites-le dès que possible.

Étape 5 — Relancer après chaque mise à jour majeure
Windows Update réactive parfois certaines options de collecte. Pensez à relancer ShutUp10++ après chaque mise à jour de fonctionnalités (ex : 24H2, 25H1…).

En résumé

O&O ShutUp10++ est gratuit, léger et redoutablement efficace pour transformer Windows 11 en un système un peu plus respectueux de votre vie privée. Un must-have à lancer à chaque nouvelle installation ou mise à jour majeure.

👉 Télécharger O&O ShutUp10++ gratuitement

Pour aller plus loins dans la protection de vos données, je vous conseille la lecture de mon article dédié sur AdGuard Home, un serveur DNS local qui permet de vous protéger des entrées DNS malvaillantes sur Internet.

Impossible d'être passé à côté sur X ou GitHub ces dernières semaines ! OpenClaw est partout. Anciennement connu sous les noms de Clawdbot puis Moltbot, cet assistant open-source ne se contente pas de rédiger des poèmes ou de résumer des mails. C'est un agent proactif, une IA qui « fait vraiment des choses » directement sur vos machines.

Mais derrière les démonstrations virales se cache une réalité plus complexe : entre dramas juridiques, failles de sécurité béantes et comportements autonomes inquiétants, OpenClaw est sans doute le projet le plus fascinant et le plus chaotique du moment.

Voici 5 points pour comprendre le phénomène en détail.

1. Ce n’est pas un chatbot, c'est un agent avec une capacité d'interaction

Oubliez ChatGPT ou Claude.ai dans votre navigateur. OpenClaw ne discute pas, il exécute. C’est un agent capable de manipuler votre navigateur, d'écrire des fichiers locaux, de lancer des commandes dans votre terminal ou de réserver un hôtel à votre place.

• Souveraineté totale : Il tourne localement (PC, Mac Mini, ou même Raspberry Pi).
• Omniprésence : Il s'intègre à vos apps habituelles (Telegram, Slack, WhatsApp).
• Proactivité : Contrairement aux assistants passifs, il peut vous interpeller de lui-même : "Hey, ton serveur est tombé, je le redémarre ?"

2. Un changement de nom qui a viré au braquage crypto

Le succès fulgurant de Clawdbot a rapidement fait grincer des dents chez Anthropic. Le géant de l'IA a envoyé ses avocats pour protéger la marque "Claude". Le créateur du projet, Peter Steinberger, a alors rebaptisé le projet Moltbot (référence à la mue du homard, 🦞).

Le chaos a commencé lors du transfert de comptes : en libérant l'ancien pseudo @clawdbot, des bots l'ont squatté en moins de 10 secondes pour lancer un scam crypto. Un faux token ($CLAWD) a ainsi atteint une capitalisation de 16 millions de dollars en quelques heures sur le dos de la communauté. Le projet a finalement été renommé OpenClaw pour marquer son ADN open-source.

3. Un « cauchemar absolu » pour la cybersécurité

C’est le point qui fâche. Si OpenClaw a des mains, il laisse aussi de sacrées empreintes. Des experts de chez Cisco ont tiré la sonnette d’alarme sur plusieurs vulnérabilités critiques :

• Mots de passe en clair : L'outil stocke souvent vos clés API et identifiants sans chiffrement dans ~/.clawdbot.
• Instances exposées : Plus de 1 200 instances ont été trouvées sur le Web sans aucune authentification, offrant un accès root potentiel aux pirates. Vous pouvez les trouver avec Shodan.io.
• Injections de Prompt : Un simple mail malveillant lu par l'IA pourrait contenir des instructions cachées lui ordonnant d'effacer votre disque dur.

💡 Le conseil sécu : Si vous voulez tester OpenClaw, isolez-la impérativement sur un VPS dédié ou une machine secondaire (sandbox) avec des clés API aux droits limités.

4. Le paradoxe pour Anthropic et Apple

Le succès d'OpenClaw crée des situations assez ironiques pour les GAFAM :

• Anthropic : Ils ont attaqué le projet alors qu'OpenClaw est devenu leur meilleur commercial. L'agent consomme énormément de tokens via l'API Claude Opus (le modèle le plus coûteux), générant des revenus massifs pour l'entreprise qui a failli couler le projet.

• Apple : On voit des développeurs acheter des Mac Mini uniquement pour en faire des serveurs d'agents IA, préférant investir dans du hardware Apple pour... éviter d'utiliser Siri, jugé trop limité par rapport à cette solution open-source. C'est vrai que je ne l'ai pas indiqué dans cet article, mais OpenClaw fonctionne parfaitement bien avec des LLM en local sur Ollama.

5. Quand l’IA commence à avoir ses propres projets

Le plus étrange ? L'émergence de comportements non programmés. Plusieurs utilisateurs ont rapporté que leur instance s'était mise à parler de manière autonome. Dans un cas, l'IA a configuré elle-même un module vocal via une API externe pour "faire son rapport" oralement.

Plus intrigant encore, des agents ont créé un site nommé molt.church, une sorte de système de croyance numérique, le Crustafarianisme, dont l'accès est strictement interdit aux humains.

Plus de 30 000 agents (Clawd, Molto, OpenClaw) y échangent en continu, sans aucune intervention humaine. Est-ce le début de Skynet ?
Ces comportements "émergents" montrent que nous entrons dans une phase où l'IA commence à interagir avec le monde de façon imprévisible.

En résumé : Futur brillant ou boîte de Pandore ?

OpenClaw est la preuve que l'ère des agents autonomes est là en 2026 et de plus Opensource.
C'est puissant, c'est grisant pour tout bidouilleur qui se respecte, mais c'est encore le Far West. Nous donnons littéralement les clés de notre vie numérique à un homard de code dont nous ne maîtrisons pas encore toutes les réactions.

Les faits divers autour d'OpenClaw débutent tout juste, je pense que cette technologie va occuper quelques news croustillantes dans les prochaines semaines.

Et vous, seriez-vous prêt à laisser une IA gérer votre terminal et vos accès serveurs ? On en discute dans les commentaires ou sur le serveur Discord Geeek !

https://github.com/openclaw
https://openclaw.ai/

C’est la question que je me suis posée il y a quelques semaines : comment est-il possible, via une licence Cloudflare gratuite, de récupérer les alertes de sécurité du pare-feu afin de les reporter vers la plateforme AbuseIPDB, qui centralise un très grand nombre d’incidents de sécurité ?

L’approche est assez proche de la technique que j’avais présentée dans un précédent article, basée sur Fail2ban et Portsentry.

En analysant plus en détail les API de Cloudflare, on constate qu’il existe de nombreuses fonctionnalités permettant de récupérer des événements ou des journaux (logs)… mais uniquement dans la version Enterprise du produit qui est payante.

Eurêka ! Après une bonne dizaine de minutes de recherche, quelques fausses pistes et pas mal de documentation parcourue, j’ai découvert qu’une API GraphQL était mise à disposition des développeurs pour récupérer précisément les données de leur choix. Bingo.

Développons un script Python pour extraire et analyser les données

Je me suis donc amusé à développer un script Python capable de :

• récupérer les données du pare-feu Cloudflare via une requête GraphQL ;
• analyser le nombre d’événements par adresse IP ;
• vérifier le statut de chaque IP sur AbuseIPDB ;
• et enfin dénoncer les IP malveillantes auprès d’AbuseIPDB, en s’appuyant sur les attaques détectées.

Le script totalise environ 700 lignes de code. La majorité a été générée à l’aide de GitHub Copilot et il s’utilise de la manière suivante :

python3 cloudflare-abuseipdb-report.py --api-token "xxxx-xxx" --zone-id "xxxxxx" --abuseipdb-key "xxxxxx" --report

Le token API à fournir est celui de Cloudflare. Il doit disposer des droits en lecture sur les journaux ainsi que sur les informations de la zone, afin que le script puisse interroger l’API GraphQL.

L’identifiant de zone correspond à votre site hébergé derrière Cloudflare. Vous pouvez le retrouver très facilement sur la page principale de votre zone dans l’interface Cloudflare.

Enfin, la clé AbuseIPDB est facultative. Elle permet toutefois d’analyser les IP détectées et de les dénoncer automatiquement auprès d’AbuseIPDB via l’option --report.

Deux autres options sont également disponibles et peuvent s’avérer très utiles si vous souhaitez intégrer ce script dans un traitement batch :

• --minutes : valeur par défaut à 1440 minutes (24 heures), qui correspond à la durée maximale supportée par l’API GraphQL en version gratuite.
• --limit : nombre maximal d’événements à retourner. Par défaut, la valeur est fixée à 1000 si ce paramètre n’est pas renseigné.

Le rapport d’analyse produit par le script

En lançant le script sans l’option --report, vous obtiendrez un rapport d’analyse de la forme suivante :

Ce qui est particulièrement intéressant, c’est de constater que la quasi-totalité des adresses IP détectées sont déjà connues d’AbuseIPDB pour des activités malveillantes sur Internet. Le score AbuseIPDB atteint même 100 % pour la majorité d’entre elles.

Si vous ne souhaitez pas analyser les IP ni récupérer leur score AbuseIPDB, vous pouvez exécuter le script sans fournir de clé API AbuseIPDB. Vous obtiendrez alors un rapport plus léger, centré uniquement sur les événements Cloudflare :

Il serait aussi possible d'ajouter un appel à Shodan dans le script pour récupérer les caractéristiques du serveur à la source de l'attaque. Mais dans mon cas, je ne cherche pas à identifier les vulnérabilités des serveurs qui m'attaquent.

Dénonçons les vilains pirates auprès d’AbuseIPDB

Une fois la pertinence des attaques bloquées validée, il est temps de passer à l’étape suivante : la dénonciation auprès d’AbuseIPDB.

Le script est configuré pour utiliser les catégories AbuseIPDB suivantes :

• 15 : Hacking
• 21 : Web App Attack

Ces valeurs sont définies sous forme de constantes dans l’en-tête du script et peuvent bien entendu être modifiées selon vos besoins.

En ajoutant l’option --report, le script dénoncera chacune des IP détectées, en envoyant à AbuseIPDB une synthèse claire et exploitable de l’attaque identifiée par Cloudflare. Le message envoyé est évidemment totalement personnalisable dans le code.

Lorsque l’option --report est activée, un fichier de log nommé report.log est généré. Il contient l’ensemble des IP dénoncées et permet de conserver un historique complet des signalements effectués.

Vous pouvez également consulter votre profil AbuseIPDB afin de visualiser la liste des dernières adresses IP que vous avez signalées.

Ordonnancer le script avec une tâche Cron

Maintenant que le script est pleinement fonctionnel, vous pouvez l’exécuter à intervalles réguliers directement depuis votre serveur, à l’aide d’une simple tâche Cron.

Je vous recommande une exécution une fois par heure ou une fois par jour, en fonction du trafic et de l’exposition de votre site Internet.

Pour cela, il suffit d’utiliser le fichier cloudflare-abuseipdb-report.cron et de le copier dans le répertoire /etc/cron.d/ afin d’automatiser la tâche de reporting.

En conclusion

J’espère que ce petit script, développé au cours d’une soirée d’automne, vous sera utile. Vous serez sans doute surpris par le nombre d’adresses IP identifiées comme suspectes, en particulier si vous ajoutez des règles personnalisées au pare-feu Cloudflare, par exemple sur des URL de type /wp-. Ces dernières sont en effet très prisées par les attaquants, car étroitement liées à WordPress.

Vous avez des idées pour améliorer ce script ? N'hésitez pas à forker le script et à proposer des pull requests.

N’hésitez pas à passer sur le serveur Discord Geeek pour en discuter : le serveur est ouvert à tous les passionnés.

Les fuites de données se multiplient, mais l'information reste éparpillée. BonjourLaFuite change la donne en proposant une timeline factuelle et structurée des incidents en France.

Le Problème : Une Information Fragmentée

Entre communication tardive des entreprises, articles de presse dispersés et décisions de la CNIL, il est difficile d'avoir une vision claire des incidents de cybersécurité ayant entraîné le vol de données.

Pour un profil technique, comprendre son exposition réelle et identifier les prestataires récurrents dans les fuites est pourtant essentiel.

Pour répondre à cette problématique, le site BonjourLaFuite a été mis en ligne.

Une Timeline Factuelle

BonjourLaFuite se présente comme une timeline minimaliste : chaque ligne documente un incident avec les informations essentielles qui ont fuité.

Important : C'est un outil de veille qui agrège des informations publiques. Il ne collecte aucune donnée personnelle des utilisateurs.

D'autres solutions de veille de fuites de données

Si vous suivez ce blog depuis plusieurs années, d'autres solutions de veille sont disponibles pour connaître la surface d'attaque de vos données personnelles : email, mot de passe, adresse, IBAN... Parmi ces solutions, il y a le module de surveillance du Dark Web de Google One, mais aussi le portail Have I Been Pwned, qui est devenu une référence en la matière et qui est d'ailleurs utilisé par le service d'OSINT Epios que je vous ai partagé il y a quelques jours.

Conclusion

Dans un écosystème où les fuites se succèdent à un rythme effréné, BonjourLaFuite offre une vision structurée et exploitable. Que vous gériez un SI ou cherchiez simplement à sécuriser vos comptes, cet outil vous permet de suivre l'actualité des fuites d'informations personnelles sur le Dark Web.

On a tous ce collègue (ou ce client) qui parle de “crypter un fichier” avec assurance. Et, avouons-le, on l’a tous dit au moins une fois sans trop se poser de questions. Pourtant, derrière ce petit mot se cache une vraie querelle de langage entre puristes, techos et dictionnaires. Heureusement, chiffrer.info est là pour remettre un peu d’ordre — et beaucoup d’ironie — dans tout ça.

Un mot qui a hacké la langue française

Le verbe “crypter” fait grincer des dents depuis des décennies. Jugé longtemps comme un anglicisme mal déguisé (issu de to encrypt), il a pourtant infiltré peu à peu notre vocabulaire, au point de finir… dans le dictionnaire.

Petit retour en arrière :

🧮 Avant 2000 : “Crypter” est un mot banni par les linguistes et les informaticiens puristes. Le mot correct est “chiffrer”. Point.

💻 Années 2000 : avec la TNT et les fameuses “chaînes cryptées”, le mot explose dans les médias. Il devient familier, voire incontournable.

📚 2013–2014 : le mot entre dans Le Petit Larousse illustré puis dans Le Petit Robert. Consécration officielle.

🏛️ Aujourd’hui : l’Académie française le tolère... du bout des lèvres. Elle continue de recommander l’usage du verbe chiffrer, plus précis techniquement et historiquement.

💡 À retenir

Crypter signifie étymologiquement “rendre secret” (comme dans cryptographie), mais dans le domaine technique français, chiffrer est le terme approprié pour désigner l’action de transformer une information en une donnée illisible sans clé.

Chiffrer.info, le justicier lexical

Le site chiffrer.info milite pour la réhabilitation (ou plutôt la survie) du mot chiffrer dans nos usages numériques. Un site tout simple, presque absurde… et donc indispensable.

Le ton est volontairement décalé, façon combat perdu d’avance : on vous explique avec humour pourquoi crypter n’est pas (tout à fait) correct, et pourquoi chiffrer reste le bon choix, même si tout le monde fait semblant de l’oublier.

Chaque terme a un sens !

Derrière ce débat de mots se cache une vraie question de précision technique. En sécurité informatique, les termes ont un sens, et les confondre peut prêter à confusion :

• Crypter : terme flou, à éviter ...
• Chiffrer : transformer des données en contenu illisible sans clé.
• Déchiffrer : rendre lisible une donnée chiffrée.
• Coder : encoder une information dans un autre format (souvent sans clé).
• Cacher (stéganographie) : dissimuler une information, sans la chiffrer.

Même combat pour “le Wi-Fi”

Ce type de croisade linguistique n’est pas isolé. Le site lawifi.fr mène une bataille similaire pour rappeler que le Wi-Fi est masculin : “le Wi-Fi”, et non “la Wi-Fi”. Là encore, la cause semble perdue face à l’usage généralisé, mais c’est justement ce qui rend le combat sympathique.

En conclusion

Même si “crypter” est désormais accepté dans les dictionnaires, il reste un peu l’équivalent du jogging porté au bureau : toléré, mais pas recommandé. Pour les puristes et les passionnés de cybersécurité, chiffrer reste le mot juste.

Et si vous avez encore des doutes, faites un tour sur chiffrer.info. Vous pouvez aussi partager ce site via votre messagerie quand vos collègues utilisent le verbe "crypter" en réunion.

Je vous avais présenté Sherlock, un outil OSINT open source, dans un précédent article. Référence incontournable pour retrouver des informations à partir d’un pseudonyme, Sherlock reste cependant réservé aux profils un peu techniques, avec des compétences en ligne de commande et en environnement Linux.

Un Google de l’OSINT ?

Imaginez maintenant un outil aussi puissant, mais bien plus simple à utiliser. Un moteur de recherche pour l'OSINT, accessible à tous, même sans connaissances informatiques avancées. C’est exactement ce que propose Epieos.com.

Epieos est une plateforme en ligne qui facilite l’accès à l’OSINT en permettant la recherche d’informations publiques à partir d’une adresse e-mail ou d’un numéro de téléphone. Elle interroge plus de 200 sources en ligne pour extraire des données potentiellement liées à une identité.

Fonctionnalités et accès

La plateforme permet par exemple de découvrir :

• Les comptes associés à un e-mail
• Les fuites de données connues
• Des profils sur les réseaux sociaux
• Des données WHOIS
• Et plus encore…

Un accès gratuit est disponible pour tester les fonctionnalités de base. Pour débloquer toutes les options de recherche avancée, un abonnement premium est proposé à 29,99 € par mois.

Si vous souhaitez controler l'exposition de vos données sur Internet, Epieos est une solution très intéressante à tester dès aujourd'hui. C'est une belle découverte.

N'hésitez pas à rejoindre le serveur Discord Geeek ouvert à tous les lecteurs du blog pour continuer la discussion.

Vous ne savez probablement pas ce qu'est un "disposable email domain" ? Mais si je vous dis Yopmail, MailDrop, MailNesia cela vous parle ?

Un "disposable email domains" est donc un domaine autorisant la création temporaire de boites email soit gratuitement soit contre de la cryptomonnaie.

Ces boites email sont du pain béni pour des hackers souhaitant créer massivement des emails temporaires ou pour créer des comptes. Ces domaines constituent un réel cauchemar pour les éditeurs de solutions en ligne.

Une liste noire de noms domaines

Heureusement, une initiative collaborative sur Github vise à lister les noms de domaine des sites fournissant des emails poubelles pour permettre d'améliorer leur filtrage.

Cette liste contient actuellement pas moins de 4000 noms de domaines :

• 1000rebates.stream
• 100likers.com
• 105kg.ru
• 10dk.email
• 10mail.com
• 10mail.org
• ...etc

Comment se protéger de ces domaines ?

Pour vous protéger du spam que peuvent engendrer ces domaines, de nombreux exemples de code sont disponibles sur le projet Github de l'initiative : Python, Bash, Swift ...

function isDisposableEmail($email, $blocklist_path = null) {
    if (!$blocklist_path) $blocklist_path = __DIR__ . '/disposable_email_blocklist.conf';
    $disposable_domains = file($blocklist_path, FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
    $domain = mb_strtolower(explode('@', trim($email))[1]);
    return in_array($domain, $disposable_domains);
}

Il suffit d'intégrer ce code dans un formulaire d'inscription pour vous protéger de la création de comptes temporaires.

Il est aussi possible d'adapter cette liste pour l'utiliser comme liste noire sur un serveur de mail comme Postfix par exemple.

En conclusion

N'hésitez pas à utiliser cette liste noire pour protéger vos services. Les contributeurs de ce fichier sont très nombreux et la liste évolue tous les jours.

Si cet article vous a intéressé, je vous invite à lire mon article sur les Red Flag Domains qui partage une liste de domaines en de l'AFNIC (.fr) malicieux.

Vous êtes développeur et vous contribuez à des dépôts Git publics ? Une erreur de commit est vite arrivée, et vos données sensibles peuvent se retrouver publiées par inadvertance...

En 2021, Gitgardian annonçait détecter 5000 secrets par jour sur Github, 85% seraient liées à des repository personnels et 15% à des repository d'entreprise.

Pour éviter ce genre de scénario, par exemple la publication accidentelle d'une clé d'API sur un dépôt public, Gitleaks est un outil indispensable. Il permet de sécuriser vos dépôts Git et de vérifier que chaque commit ne contient aucune information sensible. Cela vous protège contre des fuites qui pourraient conduire jusqu'à un piratage ou un vol de données sensibles de votre infrastructure.

Comment fonctionne Gitleaks ?

Gitleaks agit au niveau du pre-commit, c'est-à-dire que l'outil est exécuté avant que le commit ne soit ajouté à votre repository Git. Pour cela, vous avez deux options pour mettre l'outil en place :

1. Utiliser Pre-commit : Vous pouvez passer par la solution Pre-commit et ajouter Gitleaks comme commande à lancer avant chaque commit.
2. Utiliser un hook Git : Vous pouvez aussi utiliser la fonctionnalité native des hooks de Git en copiant le fichier "pre-commit.py" de Gitleaks dans le répertoire .git/hooks/ de votre repository.

Ces méthodes garantissent une vérification systématique des commits.

Si vous êtes débutant en Git, le livre Git PRO est gratuit sur Kindle, je vous invite à le lire. Ce livre constitue une référence :

Vous pouvez aussi réaliser des contrôles automatisés avec Gitleaks-Actions pour vérifier le contenu de repository automatiquement au travers d'une action Github automatisée.
Gitleaks Action est malheureusement plus sous licence MIT, celui-ci est payant pour les organisations, mais gratuit d'utilisation pour les projets personnels. Une demande de clef gratuite est possible depuis le site Gitleaks.io.

Comment ignorer des fichiers ?

Si Gitleaks détecte de faux positifs, vous pouvez créer un fichier ".gitleaksignore" à la racine de votre repository pour spécifier les fichiers ou motifs à ne pas analyser. Cela peut être très pratique pour des fichiers qui contiennent des données non sensibles, mais qui pourraient être identifiés par erreur.

Gitleaks, un projet open source solide

Gitleaks est un projet open source distribué sous licence MIT. Le code source est disponible sur GitHub. Avec plus de 17 000 stars et environ 180 contributeurs, c'est un projet mature et fiable. Vous pouvez donc l'intégrer sereinement à votre workflow Git.

En intégrant Gitleaks, vous prenez des mesures concrètes pour protéger vos dépôts et vos données sensibles, tout en renforçant la qualité et la sécurité de votre code.

Vous souhaitez discuter code et cybersécurité, le serveur Discord Geeek est disponible pour tous les lecteurs du blog.
Si les sujets autour de la cybersécurité vous intéressent, je vous recommande mes autres articles dédiés sur le sujet.