Audit de sécuritéPour les PME qui ont branché des outils ou des agents IA sans audit
Un audit complet de vos systèmes, agents IA compris.
Du serveur à l’agent IA, tout ce qui touche à votre activité est examiné. Vous recevez un rapport classé par gravité, les correctifs à appliquer, et la preuve de ce qui est refermé.
- Critique
Accès d’administration joignable depuis Internet
re-vérifié - Élevé
Outil d’un agent avec des droits d’écriture trop larges
corrigé - Élevé
Consigne dissimulée dans un document lu par l’agent
corrigé - Moyen
Journal des actions de l’agent absent
à traiter
Constats génériques, sans donnée réelle.
Cinq domaines, regardés ensemble.
Une faille se cache rarement là où on la cherche : elle se trouve à la jonction entre un accès trop large, une dépendance ancienne et un service oublié.
Configuration
Serveurs, services, en-têtes, chiffrement, paramètres laissés par défaut. Ce qui est ouvert sans que personne l’ait décidé.
Accès
Comptes, mots de passe, authentification à deux facteurs, droits accordés et jamais retirés, clés d’API oubliées dans un dépôt.
Dépendances
Bibliothèques et composants utilisés, versions connues pour avoir un défaut, mises à jour restées en suspens.
Exposition
Ce qu’un inconnu voit de l’extérieur : adresses, ports, sous-domaines oubliés, pages d’administration, fichiers publics.
Agents IA
Les assistants et automatisations eux-mêmes : ce qu’ils lisent, ce qu’ils ont le droit de faire, ce qu’ils laissent comme trace.
Vos agents IA sont aussi une surface d’attaque.
Un agent lit des documents, appelle des outils et agit en votre nom. Il se trompe d’une autre façon qu’un logiciel : par ce qu’il a lu, et par ce qu’on lui a laissé le droit de faire.
Consignes cachées
Un document, un courriel ou une page web peut contenir une phrase qui s’adresse à l’agent et non à vous. Nous vérifions ce qu’il lit, et ce qu’il en fait.
Droits trop larges
Un outil branché « pour aller plus vite » donne souvent plus de pouvoir que nécessaire. Nous relevons chaque droit et proposons le plus étroit qui suffit.
Journal des actions
Une trace datée de ce que l’agent a lu et fait permet de reconstituer un incident. Nous vérifions que cette trace existe, et qu’elle est lisible.
De l’autorisation écrite à la preuve que c’est refermé.
Cinq étapes, toujours dans cet ordre. Chacune laisse une trace écrite que vous gardez.
Cadrage écrit
Périmètre, fenêtre d’intervention et systèmes concernés sont mis par écrit avant tout geste.
Vous recevezLe périmètre signé
Analyse
Revue de la configuration, des accès, des dépendances et de la surface exposée publiquement, puis des agents IA.
Nous examinonsServeurs, accès, agents IA
Rapport
Chaque constat est classé par gravité, expliqué simplement, avec la preuve et l’effet possible sur votre activité.
Vous recevezLe rapport classé par gravité
Correctifs
Des correctifs applicables, dans l’ordre où ils comptent. Ceux qui relèvent de nous peuvent être appliqués sur devis.
Vous recevezLes correctifs, par priorité
Re-vérification
Après correction, nous vérifions à nouveau chaque constat et le rapport indique ce qui est réellement refermé.
La preuveCe qui est refermé, constat par constat
Écrit et signé avant le premier geste.
Autorisation écrite
Chaque test repose sur une autorisation écrite et préalable.
Périmètre respecté
Chaque intervention reste dans le périmètre et la fenêtre convenus.
Aucune action destructive
Les failles ne sont jamais exploitées de façon destructive et aucune donnée n’est supprimée.
Données limitées au besoin
Les données rencontrées ne sont conservées que dans la mesure où la mission l’exige.
Sans autorisation écrite, l’audit reste non intrusif.
Nous regardons alors ce qui est exposé publiquement, la configuration communiquée et ce qui se lit sans rien forcer.
Un test intrusif n’a lieu qu’avec une autorisation écrite et préalable qui précise le périmètre exact, la fenêtre d’intervention et les systèmes concernés.
Avant de nous confier vos systèmes.
Faites-vous des tests d’intrusion sans prévenir ?
Non, jamais. Un test intrusif n’a lieu qu’avec une autorisation écrite et préalable. Sans elle, l’audit reste non intrusif : configuration, surface exposée publiquement et revue.
Que contient le rapport ?
Une liste de constats classés par gravité, chacun expliqué sans jargon, avec la preuve relevée et la correction recommandée. Il se lit en deux niveaux : une page pour décider, le détail pour celui qui applique.
Pouvez-vous corriger ce que vous trouvez ?
Les correctifs sont livrés avec le rapport. Les appliquer sur vos systèmes se fait sur devis, dans un périmètre écrit. Nous re-vérifions ensuite chaque constat, pour que le rapport dise ce qui est réellement refermé.
L’audit couvre-t-il un agent IA déjà en place ?
Oui, c’est l’un de nos points d’attention : les documents qu’il lit, les droits de ses outils, la trace de ses actions. Cela vaut pour un agent que nous n’avons pas construit.
Faites relire vos systèmes
par un regard extérieur.
Décrivez-nous ce que vous souhaitez faire examiner. Nous répondons par un cadrage écrit, avant tout geste sur vos systèmes.