+ nAIvigateA SHEET FOR PEOPLE WITHOUT 2 HOURS
▣ fiche-008.md ×
□ index.mdAgentic pentesting: same model, opposite results.
An agentic pentesting tool is a frontier model plus a harness: mission breakdown, tools, abandon rules, verification. Across 100,000 reports a year, YesWeHack sees three times more critical findings and three times more duplicates in one year. The model no longer makes the difference. The harness does.
Verdict
l’essentiel en 10 secondes3 rowsMODÈLEDeux outils sur le même modèle frontière peuvent donner des résultats opposés. Le harness fait la différence.DÉCISIF
VOLUME+88 % de rapports en un an, deux fois plus de rapports valides. Tout le monde trouve quelque chose.x3 DOUBLONS
FAILLESContrôle d’accès 24 %, IDOR 13 %, logique métier 11,5 %. Rien de nouveau, mais trouvé bien plus vite.STABLE 3 ANS
x3VULNÉRABILITÉS CRITIQUES EN UN AN
T3 2026 comparé au T3 2025, sur 100 000 rapports par an reproduits en interne par YesWeHack. Volume, validité et sévérité ont monté ensemble.
Même modèle, résultats opposés
ce qui change vraiment le résultat5 étapesLe harness, c’est tout ce qui entoure le modèle : découpage de la mission, outils, règles d’abandon, vérification. Sans lui, les résultats sont possibles, mais aléatoires, coûteux ou superficiels.
Six critères
les 6 questions à poser au fournisseur6 rowsvérificationChaque faille est-elle rejouée avant le rapport ? Quel taux de faux positifs, mesuré sur cibles réelles ?25 PTS · ÉLIMINATOIRE
pilotageComment l’outil répartit-il son budget, quand abandonne-t-il une piste ? Coût connu avant la mission.15 PTS
profondeurTeste-t-il contrôle d’accès, IDOR et logique métier ? Gère-t-il plusieurs comptes et rôles ?20 PTS
impactLa sévérité repose-t-elle sur un scénario d’exploitation démontré, ou seulement sur la catégorie de faille ?10 PTS
périmètreListe blanche stricte, rien de destructif par défaut, arrêt d’urgence. Quel modèle, où partent vos données ?20 PTS · ÉLIMINATOIRE
rapportDemandez un rapport réel anonymisé : constats courts, reproductibles, triés par risque, remédiation concrète.10 PTS
Grille de notation
noter sur preuves, pas sur promesses5 rows0Absent ou non démontré.
1Annoncé, sans preuve.
2Démontré en démo commerciale.
3Démontré sur votre propre périmètre.SEUL VRAI 3
scoreSomme de (poids × note ÷ 3), sur 100. Un 0 en vérification ou en périmètre écarte l’outil, quel que soit son total.RÈGLE
Signaux d’alerte
un seul suffit pour creuser8 rowsdémoLa démo ne tourne que sur une application volontairement vulnérable.FRÉQUENT
compteurOn vous vante un nombre de failles, jamais un taux de validité.
preuveLes trouvailles arrivent sans preuve d’exploitation rejouable.BLOQUANT
sévéritéLes « critiques » s’enchaînent sans scénario d’impact démontré.
donnéesPersonne ne sait dire quel modèle tourne ni où transitent vos données.BLOQUANT
factureFacturation à la consommation de tokens, sans plafond par mission.
rôlesPas de gestion de plusieurs rôles : IDOR et contrôle d’accès passent à la trappe.
promesseLe discours promet de remplacer entièrement le pentest humain.
Tester avant de signer
le seul test fiable6 rows1 · choisirUne application déjà auditée, dont les failles sont connues et documentées.
2 · lancerChaque outil dans les mêmes conditions : même périmètre, mêmes comptes, même budget.
3 · comparerCe que chaque outil retrouve, ce qu’il rate, ce qu’il invente.
4 · noterRemplir la grille avec ces résultats, pas avec la démo commerciale.
5 · prévoirQui trie et corrige les constats : l’outil augmente le volume à traiter.OUBLIÉ
Go deeper
fundamentals, in Learn2 linksVotre prochain pentest sera-t-il agentique ? On vous aide à cadrer le pilote, comparer les offres et lire les résultats.
PARLER À nAIvigate STUDIO →Follow nAIvigate | naivigate.com/en/fiches