L'IA générative change les règles du pentest en 2026.

Les méthodologies de test d'intrusion suivent les mêmes grandes étapes depuis vingt ans : reconnaissance, énumération, exploitation, post-exploitation, reporting. Le cadre PTES (Penetration Testing Execution Standard) publié en 2014 reste la référence. Pourtant, en 2026, le métier change plus vite qu'il ne l'a fait en quinze ans. La raison tient en trois lettres : LLM.

L'arrivée massive des modèles de langage dans les workflows offensifs ne remplace pas le pentester. Elle modifie la profondeur, la vitesse et la nature de chaque phase. Voici ce que nous observons chez CyberKortex et comment cela impacte directement les PME québécoises qui font auditer leurs systèmes.

Reconnaissance : du tâtonnement à la cartographie instantanée

La phase de reconnaissance représentait historiquement 30 à 40 % du temps total d'une mission. Le pentester compilait sous-domaines, certificats, technologies, employés exposés sur LinkedIn, métadonnées de documents publics. Tout cela avec des dizaines d'outils (Amass, Subfinder, theHarvester, FOCA, Maltego) qui produisaient chacun leur format de sortie à corréler à la main.

Avec un LLM agentique connecté à ces mêmes outils via une couche d'orchestration, ce travail s'effectue désormais en quelques heures. L'agent enchaîne automatiquement les requêtes, dédoublonne les résultats, croise les sources, et produit une cartographie consolidée que le pentester n'aurait jamais eu le temps de bâtir manuellement.

Concrètement : sur une mission récente pour une PME montréalaise (200 employés), notre équipe a identifié 47 sous-domaines exposés, 3 buckets S3 mal configurés et 12 endpoints API non documentés en une matinée. Le même travail nous aurait pris 3 jours en 2023.

Le revers : les attaquants font la même chose

Cette accélération profite aux deux camps. Les groupes de ransomware utilisent désormais des agents LLM pour cartographier leurs cibles avant même de lancer un email de phishing. La fenêtre entre "premier intérêt d'un attaquant" et "intrusion réelle" est passée de plusieurs semaines à quelques jours, parfois moins. C'est ce qui justifie la pertinence du pentest continu plutôt que du pentest annuel.

Exploitation : génération contextuelle de payloads

L'exploitation traditionnelle reposait sur des dictionnaires de payloads (SQLi, XSS, SSTI, deserialization) à essayer un par un. Les WAF modernes (Cloudflare, AWS WAF, Imperva) bloquent 95 % de ces payloads connus. Le pentester devait donc bricoler des variantes — bypass d'encodage, fragmentation, polymorphisme.

Un LLM bien prompté génère ces variantes en temps réel, adaptées au contexte spécifique de la cible. Par exemple, face à un endpoint /api/search?q= protégé par AWS WAF avec règle Core Rule Set v3.3, le modèle peut produire en quelques secondes 50 variantes d'injection SQL qui évitent les patterns connus du WAF, en utilisant des fonctions MySQL spécifiques que l'outil de filtrage ne reconnaît pas comme malveillantes.

Ce qui prenait 2 heures de tests manuels prend 5 minutes avec un agent LLM. Mais ce qui était impossible (générer un payload polymorphe spécifique au stack technique de la cible) devient maintenant trivial.

L'enjeu pour les défenseurs québécois

Les PME qui se reposent uniquement sur des WAF "out of the box" sont les premières exposées. Un WAF signature-based ne suffit plus. Il faut compléter par :

• Détection comportementale : analyse de patterns d'usage par utilisateur/IP, pas juste de patterns de requêtes
• Rate limiting adaptatif : seuils dynamiques basés sur le comportement habituel d'un utilisateur
• Honeypots applicatifs : endpoints leurres qui révèlent immédiatement la présence d'un scan automatisé
• Validation côté serveur stricte : ne jamais faire confiance au WAF comme unique ligne de défense

Reporting : la fin du rapport PDF de 80 pages

Le livrable d'un pentest, c'est le rapport. C'est aussi traditionnellement la partie la plus douloureuse : rédiger un document compréhensible par un dirigeant non technique, classer les vulnérabilités par criticité réelle (et non pas par CVSS brut), proposer des remédiations concrètes. Beaucoup de pentesteurs passent 20 à 30 % de leur temps à rédiger.

Les LLM excellent à cette tâche. À partir des données techniques brutes (sorties d'outils, captures de requêtes, preuves d'exploitation), un modèle bien configuré produit en quelques minutes :

• Un résumé exécutif d'une page lisible par un directeur général
• Une fiche technique par vulnérabilité avec contexte d'exploitation
• Une recommandation de remédiation chiffrée (effort, coût, dépendances)
• Une vue priorisée par risque métier réel (pas par CVSS)

Le pentester redevient ce qu'il aurait toujours dû être : un expert qui valide, contextualise et juge — pas un rédacteur de prose technique.

Ce que ça change pour vos audits CyberKortex

Concrètement, voici ce que nos clients québécois constatent depuis que nous avons intégré les LLM dans notre méthodologie offensive :

Profondeur d'audit doublée à coût égal

Une mission de pentest externe qui couvrait historiquement 20 endpoints en 5 jours en couvre maintenant 50+ dans le même temps. Pour le client, c'est un audit plus exhaustif au même tarif.

Rapports lisibles par les non-techniques

Le rapport n'est plus un document de 80 pages que personne ne lit. C'est un livrable structuré en deux niveaux : exécutif (3 pages, lisible par votre direction) et technique (annexes détaillées pour vos équipes IT). Les recommandations sont contextualisées à votre stack, pas générique.

Tests continus plutôt qu'annuels

Avec l'automatisation partielle, le pentest cesse d'être un événement annuel coûteux pour devenir une veille continue. Toko Sentinel, notre SaaS de cyberdéfense IA, illustre cette logique : surveillance permanente de votre périmètre exposé, avec test immédiat de chaque nouveau service détecté.

Les limites réelles des LLM en pentest

Soyons honnêtes : tout ne s'automatise pas. Voici ce que les LLM ne savent toujours pas faire correctement :

• Comprendre la logique métier : un LLM ne sait pas qu'une PME québécoise qui sert des clients en Floride a des contraintes Loi 25 ET américaines. Le pentester humain le voit immédiatement.
• Évaluer le risque réel : une SQLi sur une base de catalogue produits n'a pas la même criticité qu'une SQLi sur la table des employés. Le LLM voit la vulnérabilité, pas l'impact.
• Négocier des fenêtres d'exploitation : certaines vulnérabilités ne sont exploitables que dans des conditions précises (timing, ordre des requêtes, état applicatif). Cela demande encore beaucoup d'intuition humaine.
• Réagir face à un défenseur actif : si une équipe SOC détecte vos actions et commence à vous bloquer en temps réel, un LLM en mode automatique se fait écraser. Le pentester sait improviser, ralentir, changer d'angle.

Conclusion : le pentest humain renforcé, pas remplacé

Le métier de pentester en 2026 ressemble à celui d'un chirurgien moderne : il utilise des outils ultra-puissants (robots, imagerie 4K, IA d'aide à la décision) mais reste le seul à pouvoir prendre les décisions critiques. L'IA augmente sa capacité, pas son rôle.

Chez CyberKortex, notre approche pour les PME québécoises combine systématiquement automatisation LLM (pour la couverture et la profondeur) et expertise humaine (pour le jugement et la pertinence). C'est ce qui fait qu'un audit de 5 jours produit aujourd'hui des résultats qu'un audit de 15 jours produisait il y a trois ans, au tarif d'un audit standard.