Qu’est-ce qu’un pentest IA?
L’expression « pentest IA » a deux sens. Le premier consiste à utiliser l’IA pour tester vos propres sites Web, serveurs et applications afin d’y trouver des faiblesses. Le second consiste à tester des systèmes d’IA, comme des chatbots, pour trouver des façons de les déjouer. EluxAI se consacre au premier : un test d’intrusion assisté par IA, non destructif et toujours autorisé par écrit. Chaque constat est confirmé avant de vous être présenté.
Précisons-le : nous ne vendons pas de tests de chatbots d’IA. Ce service protège les sites Web, les serveurs et les applications que vous exploitez, et rien n’est testé avant que vous ayez signé une autorisation écrite.
La plupart des analyses de vulnérabilités s’arrêtent à une liste de problèmes possibles. Un test d’intrusion mené par des humains va beaucoup plus loin, habituellement une fois par année. Nos agents se situent entre les deux et ajoutent ce qu’aucune des deux n’apporte.
Ce qui est révolutionnaire, c’est ce qui se passe après l’analyse. Chaque constat est confirmé, un correctif est rédigé pour vous, puis ce correctif est surveillé jusqu’à ce qu’il fasse ses preuves. C’est l’un des onze services d’agents de notre gamme d’automatisation IA. Il est conçu pour les propriétaires d’entreprise qui veulent des réponses claires en cybersécurité, pas un chiffrier rempli de « peut-être ».
Pourquoi chaque mandat commence-t-il par une autorisation écrite?
Parce que tester un système informatique sans autorisation constitue un crime au Canada. Le Code criminel fait de l’utilisation non autorisée d’un ordinateur, frauduleusement et sans apparence de droit, un acte criminel passible d’un emprisonnement maximal de dix ans. C’est l’autorisation signée du propriétaire qui rend un test légal. Voilà pourquoi nous ne testons jamais aucun système sans elle.
Vous pouvez lire l’article 342.1 du Code criminel sur le site Web de la législation du ministère de la Justice. Notre lettre de périmètre transforme cette limite juridique en liste de vérification pratique :
- Chaque adresse Web et chaque système visés, et tout ce qui est exclu
- La période de test, et la personne à appeler si quelque chose semble anormal
- La confirmation que le signataire possède ou contrôle chaque système
- L’exclusion des plateformes hébergées et des services logiciels que vous ne contrôlez pas
Avis aux agences : vous ne pouvez pas autoriser le test du site Web d’un client en son nom. Chaque client signe pour ses propres systèmes, et ses résultats restent dans son propre espace de travail privé.
Que vérifie notre analyse de sécurité de site Web?
Nos agents examinent votre entreprise comme le ferait une personne de l’extérieur. Ils repèrent chaque adresse Web publique, chaque sous-domaine et chaque port ouvert associés à votre entreprise. Ils vérifient ensuite si un pare-feu applicatif Web protège votre site et comparent vos logiciels et vos extensions aux vulnérabilités publiées. Ils cherchent aussi les fichiers laissés publics et les réglages de sécurité faibles, sans endommager les données ni perturber le service.
Votre surface d’attaque
- Sous-domaines oubliés, anciens sites de test et adresses mises en ligne puis oubliées
- Ports ouverts sur vos serveurs qui devraient être fermés
- La présence ou l’absence d’un pare-feu applicatif Web devant votre site
Votre site Web et vos applications
- Logiciels et extensions périmés touchés par des vulnérabilités publiées
- Moyens qu’une personne de l’extérieur pourrait utiliser pour découvrir les noms d’utilisateur de vos comptes
- Fichiers, réglages et données qui ne devraient jamais être publics
Les réglages qui protègent vos visiteurs et votre marque
- Chiffrement, en-têtes de sécurité et témoins
- Réglages de courriel qui empêchent quiconque d’envoyer de faux courriels au nom de votre domaine
Rien dans cette liste n’implique d’interrompre un service, de deviner des mots de passe à grande échelle ou de modifier vos données. Ces limites sont inscrites dans chaque mandat.
Comment la boucle rouge-violet confirme-t-elle et corrige-t-elle les constats?
En sécurité, le rouge représente l’attaque, et le violet, la collaboration entre attaquants et défenseurs. Notre côté rouge confirme que chaque vulnérabilité est réelle, ce qui élimine les faux positifs. Notre côté violet rédige ensuite un correctif à déployer, comme un changement de réglage de sécurité ou une mise à jour logicielle. Vous recevez un sommaire exécutif pour la direction et le détail technique pour la personne qui entretient vos systèmes.
Nous appelons ce cycle complet la boucle rouge-violet autorisée :
- Cadrer. Une autorisation écrite et signée nomme chaque système, la période et les exclusions. Pas de périmètre, pas de test.
- Cartographier. Repérer toute la surface d’attaque, y compris les sous-domaines oubliés et les ports ouverts.
- Sonder. Vérifier les logiciels, les extensions, les fichiers publics et les réglages de sécurité, sans rien détruire.
- Prouver. Confirmer chaque constat et en établir la gravité. Les éléments non confirmés sont retirés ou clairement signalés.
- Corriger. Livrer un correctif à déployer, avec un sommaire exécutif et des notes techniques.
- Surveiller. Suivre chaque correctif pendant trois jours et l’annuler si des erreurs réapparaissent.
Que se passe-t-il entre deux évaluations?
La sécurité ne s’arrête pas le jour du rapport. Après un mandat, nos agents effectuent un autotest de sécurité quotidien et ouvrent un billet pour chaque nouveau constat. Chaque correctif est surveillé pendant trois jours et annulé si les erreurs reviennent. Les fichiers suspects reçus par votre équipe peuvent être vérifiés en toute sécurité sans que personne ne les ouvre, ce qui empêche une fausse facture de devenir un incident.
Un rapport annuel vous dit où vous en étiez au printemps dernier. Des autotests quotidiens avec retour en arrière automatique des correctifs représentent un changement révolutionnaire pour une PME qui n’a pas les moyens de s’offrir une équipe de sécurité informatique.
Cette approche rejoint les contrôles de cybersécurité de base pour les petites et moyennes organisations du Centre canadien pour la cybersécurité. Ces contrôles comprennent l’application automatique des correctifs et la sécurisation des sites Web. Les constats alimentent le même centre de billets que nos agents IA sur mesure, pour que chaque problème ait un responsable.
Analyse de vulnérabilités, évaluation par IA ou test d’intrusion humain : quelle est la différence?
Une analyse de vulnérabilités compare les versions de logiciels aux problèmes connus et produit une longue liste pleine de fausses alertes. Un test d’intrusion mené par des humains prouve le pire scénario, habituellement une fois par année. Notre évaluation par IA se situe entre les deux : elle confirme ce qui est réel, vous remet les correctifs et continue de vérifier chaque jour. Pour un audit qui exige un test humain, celui-ci reste nécessaire.
| Question | Analyse automatisée des vulnérabilités | Évaluation par IA d’EluxAI | Test d’intrusion mené par des humains |
|---|---|---|---|
| Rôle | Compare les versions aux problèmes connus | Cartographie la surface d’attaque, teste sans danger, confirme les constats | Des experts enchaînent les attaques et testent la logique d’affaires |
| Techniques destructives | Non | Non | Parfois, si c’est convenu |
| Faux positifs | Fréquents | Réduits par l’étape de confirmation | Peu nombreux |
| Correctifs | Conseils génériques | Correctifs prêts à déployer, plus un sommaire exécutif | Recommandations écrites |
| Fréquence | Continue ou hebdomadaire | Autotest quotidien et évaluations complètes périodiques | Habituellement annuelle |
| Après un correctif | Rien | Surveillé trois jours, annulé au besoin | Rien jusqu’au prochain test |
| Preuve pour les audits de conformité | Non | Preuve complémentaire seulement | Oui |
Verdict : l’analyse vous dit ce qui pourrait clocher, le pentest humain prouve le pire scénario une fois par année, et nos agents confirment ce qui cloche, aident à le corriger et continuent de vérifier.
Pourquoi les entreprises canadiennes ont-elles besoin de tests de sécurité continus?
Parce que les attaquants balaient Internet sans arrêt et que le coût d’une atteinte ne cesse de grimper. Selon Statistique Canada, environ une entreprise canadienne sur six a été touchée par des incidents de cybersécurité en 2023. Le rapport 2026 d’IBM chiffre le coût moyen d’une atteinte aux données au Canada à un sommet de 7,11 millions de dollars. De plus, 48 185 nouvelles vulnérabilités logicielles ont été publiées en 2025 seulement.
L’Évaluation des cybermenaces nationales 2025-2026 du Centre canadien pour la cybersécurité constate que les auteurs de menace mènent constamment des analyses pour trouver des vulnérabilités publiques dans les logiciels. Ils exploitent ensuite celles qui ne sont pas corrigées. Le Centre ajoute que les technologies d’IA réduisent presque certainement les obstacles à l’entrée pour les attaquants.
Les dépenses de rétablissement des entreprises canadiennes après des incidents ont doublé, passant d’environ 600 millions de dollars en 2021 à 1,2 milliard de dollars en 2023, selon Statistique Canada. Dans les résultats canadiens d’IBM, les organisations qui faisaient un usage intensif de l’IA en sécurité ont payé en moyenne 5,5 millions de dollars par atteinte, contre 8,91 millions pour celles qui n’en utilisaient pas.
Que prévoient la LPRPDE et la Loi 25 si un test révèle un problème?
Une vulnérabilité, à elle seule, n’est pas une atteinte. Si les tests révèlent un véritable accès non autorisé à des renseignements personnels, une déclaration au commissaire à la protection de la vie privée peut être obligatoire. La LPRPDE l’exige lorsqu’il existe un risque réel de préjudice grave. Les registres d’atteintes doivent être conservés pendant deux ans. La Loi 25 du Québec ajoute ses propres obligations de déclaration et des sanctions beaucoup plus lourdes.
Enfreindre sciemment les règles de la LPRPDE sur les atteintes peut entraîner des amendes allant jusqu’à 100 000 $, comme l’expliquent la loi et les directives du Commissariat. Au Québec, la Loi 25 exige de déclarer à la Commission d’accès à l’information les incidents de confidentialité qui présentent un risque de préjudice sérieux. Ses amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé.
Si nos agents décèlent des signes d’un accès non autorisé antérieur, nous vous en avisons immédiatement. Votre responsable de la protection des renseignements personnels ou votre avocat décide s’il faut déclarer l’incident.
Combien coûte un pentest au Canada?
Les fourchettes typiques du marché canadien situent la plupart des tests d’intrusion entre 5 000 $ et 30 000 $ environ, et les mandats pour les entreprises de taille moyenne surtout entre 8 000 $ et 20 000 $. L’analyse automatisée des vulnérabilités pour une PME coûte environ de 2 000 $ à 8 000 $ par année. Ce sont des fourchettes du marché, pas nos prix. EluxAI prépare une soumission après une évaluation gratuite du périmètre de vos systèmes.
| Mandat | Fourchette typique du marché | Source |
|---|---|---|
| La plupart des tests d’intrusion au Canada | 5 000 $ à 30 000 $ | Guide canadien des coûts, juillet 2026 |
| Test de réseau externe | 5 000 $ à 12 000 $ | Même guide |
| Test d’application Web, portée standard | 12 000 $ à 25 000 $ | Guide canadien des coûts, juin 2026 |
| Test d’environnement infonuagique, portée standard | 25 000 $ à 40 000 $ | Même guide |
| Test de réseau pour PME | 8 000 $ à 25 000 $ | Guide canadien pour PME, 2026 |
| Analyse des vulnérabilités, PME | 2 000 $ à 8 000 $ par année | Même guide |
Ce qui fait varier une soumission : le nombre d’adresses Web et d’applications, l’inclusion ou non des zones qui exigent une connexion, le nombre d’environnements, les tests de validation après correction et le niveau de détail du rapport. Méfiez-vous des offres très bon marché. Les soumissions de moins de 5 000 $ sont souvent des analyses automatisées vendues comme des tests d’intrusion. EluxAI prépare une soumission après une évaluation gratuite, et vous pouvez réserver un appel de cadrage sans donner le moindre accès.
Qui a besoin d’un pentest IA?
Les entreprises qui détiennent des données de clients sans équipe de sécurité, ainsi que les agences et les développeurs qui travaillent pour elles. Les agences SEO et Web peuvent ajouter la sécurité à leurs mandats d’entretien. Les studios d’applications peuvent tester avant un lancement. Les cliniques, gestionnaires immobiliers, boutiques en ligne et franchises peuvent compter sur des vérifications quotidiennes pour que leurs pages de réservation, portails et paiements ne deviennent pas le maillon faible.
- Agences SEO et Web. Les extensions périmées et les fichiers publics ressortent souvent aussi dans les audits techniques. Chaque client signe un périmètre, et les billets de l’autotest quotidien arrivent dans l’espace de travail privé de ce client.
- Développeurs d’applications et studios logiciels. Évaluations avant lancement des environnements de production et de test, avec un sommaire exécutif pour les investisseurs ou les grandes entreprises clientes.
- Cliniques et cabinets professionnels. Pages de prise de rendez-vous et données des patients, testées dans des plages horaires calmes et clairement délimitées.
- Gestion immobilière et commerce électronique. Portails de locataires, pages de paiement et noms de domaine des boutiques, ainsi que la vérification sécuritaire des pièces jointes de factures suspectes.
- Franchises. Un seul modèle de périmètre pour toutes les succursales, et un siège social qui lit chaque sommaire exécutif.
Exemple illustratif : deux semaines avant un lancement, un studio d’applications de Montréal commande une évaluation. Les agents découvrent une adresse de test oubliée, toujours en ligne, où un fichier de configuration censé rester privé est exposé. Le studio la retire avant le lancement, puis demande à nos agents de développement d’applications d’ajouter cette vérification à chaque nouvelle version.
Un nouveau site en vue? Les revues de sécurité peuvent faire partie d’une refonte de site Web dès le premier jour.
Technologie NVIDIA : une analyse plus rapide, confidentielle dès la conception
Nous avons choisi le calcul accéléré de NVIDIA comme fondation innovante de notre plateforme agentique, et l’analyse de sécurité montre pourquoi. Confirmer un constat exige de raisonner à la fois sur de nombreuses vulnérabilités publiées et sur de nombreux résultats de tests. C’est exactement le genre de travail parallèle où les GPU excellent.
Les recherches de NVIDIA le démontrent. Son agent d’analyse de vulnérabilités a vérifié un paquet logiciel comptant 20 vulnérabilités publiées. En les traitant en parallèle, il a travaillé 9,3 fois plus vite qu’en les examinant une à une. Il a ensuite remis les résultats à un analyste humain chargé de décider. Nous suivons le même principe.
Grâce aux GPU NVIDIA, les détails sur vos points faibles restent aussi sur notre propre infrastructure à GPU NVIDIA, et non sur un service d’IA public.