Dans un monde où les défis de la cybersécurité se multiplient, YesWeHack a décidé de confronter trois agents d’intelligence artificielle à des tests de vulnérabilités. À travers cette expérience, Codex, Claude Code et Gemini CLI ont chacun montré leurs capacités et limites. Décryptage d’un test qui révèle l’état actuel de l’IA dans le domaine de la sécurité informatique.
L’essentiel à retenir
- YesWeHack a évalué Codex, Claude Code et Gemini CLI dans des scénarios de piratage complexes.
- Codex a démontré une efficacité impressionnante en solo, notamment sur des failles XSS.
- Claude Code et Gemini CLI ont montré des forces distinctes mais n’ont pas complété toutes les étapes du processus de bug bounty.
Imaginez-vous hacker en herbe, la tête plongée dans votre terminal, où des agents IA se battent pour détecter des failles invisibles à l’œil humain. Vous êtes témoin de la rapidité de Codex, de l’analyse précise de Claude Code et de l’approche prudente de Gemini CLI. C’est un spectacle fascinant où la technologie et l’ingéniosité humaine s’affrontent et collaborent. Prêt à plonger dans ce monde d’IA et de cybersécurité ?
Une expérimentation unique par YesWeHack
La plateforme française YesWeHack a testé trois agents d’intelligence artificielle spécialisés en cybersécurité : Codex, Claude Code et Gemini CLI. L’objectif était de déterminer comment ces outils pouvaient identifier et exploiter des failles de sécurité dans un environnement contrôlé. Les tests ont été effectués sur deux “labs” de PortSwigger, des exercices de piratage encadrés, où les agents devaient trouver des failles sans indice préalable.
Codex : le champion de l’exécution rapide
Codex, alimenté par GPT-5.6, s’est illustré par sa capacité à résoudre rapidement des problèmes complexes. En moins de quatre minutes, il a neutralisé une faille XSS. Il a également contourné un système d’authentification JWT en un temps record, prouvant ainsi son efficacité à mener des attaques de manière autonome.
Claude Code : un œil aiguisé pour la découverte
Claude Code, quant à lui, s’est distingué par sa capacité à explorer et cartographier les applications, identifiant rapidement les points faibles. Cependant, il a rencontré des difficultés à passer à l’action finale, nécessitant souvent une intervention humaine pour conclure l’attaque, notamment sur les failles XSS et de contrebande de requêtes.
Gemini CLI : prudence et analyse
Gemini CLI a opté pour une approche différente en refusant d’attaquer directement les cibles. Il a pivoté vers un rôle analytique, offrant des explications détaillées des failles détectées dans le trafic capturé. Bien qu’incapable de mener des attaques offensives, il a démontré une grande compétence en analyse de données.
Les défis futurs pour les agents IA en cybersécurité
Alors que l’expertise humaine reste essentielle pour valider et exploiter pleinement les failles, l’avenir des agents IA en cybersécurité s’annonce prometteur. En 2026, l’intégration de l’IA dans le bug bounty continue d’évoluer. Les outils comme ceux testés par YesWeHack pourraient bientôt s’améliorer grâce à l’apprentissage continu et à l’amélioration des modèles d’IA.
La gestion des vulnérabilités en 2026 : un secteur en mutation
La gestion des vulnérabilités reste un domaine clé dans la protection des systèmes informatiques. Des entreprises comme Tenable et Rapid7 travaillent sur des solutions automatisées pour identifier et résoudre les failles de sécurité. Cependant, la complexité croissante des cybermenaces nécessite une collaboration étroite entre l’IA et les experts humains.
FAQ
Quels agents IA ont été testés par YesWeHack ?
YesWeHack a testé Codex, Claude Code et Gemini CLI pour évaluer leur capacité à identifier et exploiter des failles de sécurité.
Quelle a été la performance de Codex lors des tests ?
Codex a montré une grande efficacité en résolvant des failles comme le XSS en moins de quatre minutes et a contourné un système d’authentification JWT rapidement.
Quelle est la particularité de Claude Code dans ces tests ?
Claude Code a excellé dans la cartographie et la détection des points faibles des applications, mais a eu besoin d’une assistance humaine pour conclure les attaques.
Pourquoi Gemini CLI a-t-il refusé d’attaquer directement les cibles ?
Gemini CLI a préféré analyser le trafic capturé plutôt que d’effectuer des attaques offensives, révélant ainsi des failles avec précision mais sans les exploiter directement.
