Le coût était la seule protection

On entend beaucoup parler, ces temps-ci, d’audits menés par des nuées d’agents automatisés et le ton oscille entre l’émerveillement et la panique. Je voudrais proposer une lecture plus calme et à mon sens plus utile, parce que ce qui se joue n’est pas l’apparition d’une menace inédite, c’est la disparition d’une protection qui n’avait jamais vraiment existé.

L’idée en une phrase

Une bonne partie de ce que nous jugions “peu risqué” ne l’était pas vraiment, c’était simplement coûteux à atteindre et le jour où ce coût s’effondre, la protection qu’il offrait s’effondre avec lui. Tout le reste de ce billet n’est que le développement de cette phrase.

Pourquoi l’humain trie et pourquoi la machine n’en a pas besoin

Un auditeur humain travaille avec un temps et un budget bornés et c’est très bien ainsi. Avec quelques jours devant lui, il ne peut pas tout regarder, alors il trie, il va d’abord là où l’expérience lui dit que ça a des chances de payer et il laisse de côté ce qui lui paraît marginal, trop long à creuser ou trop improbable pour mériter sa journée. Ce tri n’a rien d’une faute, c’est même ce qui distingue un bon professionnel d’un débutant, savoir où ne pas perdre son temps.

Mais ce tri a une conséquence qu’on oublie, il dessine en creux une zone que personne ne visite jamais, non parce qu’elle serait sûre, mais parce qu’elle coûte trop cher à explorer pour qui compte ses heures. Une machine qui ne se fatigue pas, qui ne facture pas à la journée et qui ne s’ennuie jamais n’a pas besoin de faire ce tri, elle peut se permettre de regarder aussi ce que l’humain avait raisonnablement écarté. Le terrain est le même, les chemins sont les mêmes, seule la manière d’en évaluer le coût a changé et ce changement suffit à rendre visibles des zones qui ne l’étaient que par économie.

Cette lecture par le coût garde pourtant un angle mort qu’il faut nommer, elle suppose un attaquant qui n’arbitre pas comme un hacker.

Qui attaque et pourquoi

L’équation “pas rentable à attaquer” ne dit rien de l’attaquant réel, elle vaut pour un professionnel qui arbitre en heures facturables et les motivations du hacking n’ont jamais tenu dans cette seule colonne. En plus de l’appât du gain, il y a la curiosité, le goût du défi, les représailles, la vengeance et le besoin de liberté, désormais aussi des agendas proprement géopolitiques. Les deux manifestes de Phrack racontent exactement cette évolution, celui de The Mentor en 1986 et sa réécriture de 2025 pour les quarante ans de la revue, deux textes qui éclairent une bonne part des comportements qu’on observe aujourd’hui.

Le manifeste de 1986, écrit après une arrestation, définit le hacker par la curiosité, le besoin d’appartenir et le refus des cadres assignés, il s’y déclare sans couleur de peau, sans nationalité, sans religion et il retourne l’accusation contre une société qui construit des bombes tout en le traitant de criminel. Pour ce profil, la moitié “pas rentable à attaquer” de l’équation n’a jamais pesé, la protection budgétaire n’a jamais été autre chose que de l’aveuglement budgétaire, ce que le budget d’un pentest ne couvrait pas restait atteignable à force de persévérance, simplement plus lentement et en laissant plus de traces derrière soi.

Celui de 2025 décrit ce que ces quarante ans ont fait du monde du hacking, la curiosité est devenue une marchandise que des plateformes de bug bounty monétisent, le titre de hacker est devenu un intitulé de poste et les APT étatiques se sont industrialisés, avec des exploits écrits par des employés d’État et mis sous embargo au lieu d’être partagés. L’inversion est frappante, le hacker de 1986 reprochait aux profiteurs de vendre cher un service qui aurait dû coûter presque rien, ce sont désormais des États qui s’approprient la connaissance et la gardent pour eux. La revue a d’ailleurs publié dans le même numéro que ce manifeste l’analyse des fichiers d’une opération étatique nord-coréenne , dont les auteurs reprennent mot pour mot le manifeste de 1986 pour expliquer à Kimsuky qu’il n’est pas un hacker.

Au bout du compte, trois familles n’arbitrent jamais sur le budget d’un pentest, le criminel dont le retour sur investissement se mesure en monétisation, le hacker de la lignée de 1986 qui cherche autre chose que de l’argent et l’État qui raisonne en renseignement, en influence, en sabotage et en prépositionnement, avec des cibles choisies pour leur valeur stratégique et une patience qui se compte en années. Une nuée d’agents sert les trois à la fois, elle industrialise la curiosité comme elle industrialise la collecte de renseignement. Ces attaques ne sont pas plus bruyantes pour autant, certaines sont même très élaborées, mais une nuée peut par essence faire du volume, ce qui rend industriel ce que le temps et la persévérance produisaient artisanalement. La protection par le coût n’a donc jamais protégé que contre l’attaquant qu’on avait choisi d’imaginer.

La dette qu’on croyait à l’abri

Toute organisation un peu ancienne porte une dette qu’elle a choisi de tolérer et ce choix était souvent rationnel. Un vieux service qu’on n’a jamais migré parce que la migration coûtait trop cher, un composant qu’on sait daté mais qu’on a jugé trop marginal pour intéresser qui que ce soit, une configuration bancale dans un coin du réseau que personne ne regarde. Le raisonnement implicite tenait en une équation, “pas rentable à traiter” parce que “pas rentable à attaquer” et tant que l’attaque coûtait cher, l’équation tenait.

Le problème, c’est que la seconde moitié de l’équation ne dépendait pas de nous. Elle reposait sur le coût supporté par l’attaquant et ce coût vient de baisser, si bien que des choix qui étaient défendables hier deviennent fragiles aujourd’hui sans que rien n’ait changé de notre côté. C’est la mécanique que je décris à propos de la sécurité par l’obscurité , elle n’achète pas de la sécurité, elle achète du temps et ce temps se paie toujours un jour. Et c’est aussi pourquoi compter les failles une à une, sans regarder comment elles peuvent s’enchaîner, donnait déjà une fausse tranquillité .

Rien de neuf, sauf le prix

Il faut se garder du discours de rupture, parce qu’explorer méthodiquement un système sans se lasser n’a rien d’une invention récente. Les spécialistes et les laboratoires de recherche disposent depuis une vingtaine d’années d’outils de modélisation et d’aide à la décision qui faisaient précisément ce travail systématique et c’est d’ailleurs une lignée que je prolonge moi-même dans mes propres projets, augure et lictor . Ce qui change, ce n’est pas la capacité, c’est qui peut se l’offrir. Ce qui demandait hier une équipe spécialisée, du temps et un savoir-faire rare devient une ressource que l’on loue et l’exploration exhaustive passe du statut de compétence rare à celui de commodité. Autrement dit, l’automatisation n’ouvre pas de porte nouvelle, elle rend simplement banal le fait d’essayer toutes les portes connues, patiemment et pour presque rien.

Ce que ça change pour la défense

La bonne nouvelle, c’est que la réponse ne demande ni magie ni panique, seulement de changer d’hypothèse. Il faut cesser de raisonner en supposant un attaquant qui abandonne faute de temps et refaire l’inventaire de tout ce que l’on tolère en se demandant, pour chaque élément, s’il était réellement sûr ou seulement coûteux à atteindre. Ce qui relevait de la seconde catégorie mérite d’être repriorisé, migré, isolé ou simplement éteint et c’est un travail d’hygiène et d’inventaire, exactement celui que le métier aurait dû faire de toute façon. Les mêmes outils d’automatisation peuvent d’ailleurs servir la défense, en refaisant régulièrement ce tour exhaustif de son propre parc avant que quelqu’un d’autre ne s’en charge.

La négligence n’est plus gratuite

Le risque n’est pas qu’une menace inédite apparaisse, c’est la fin d’une protection qui n’avait jamais vraiment existé. Ce qui était “peu risqué parce que coûteux” ne l’est plus, puisque le coût a fondu. La capacité d’explorer sans se lasser existait déjà, ce qui change, c’est son prix et donc le nombre de gens qui peuvent se l’offrir. Et la réponse tient en un mot qui n’a rien de spectaculaire, l’inventaire, mené en supposant un adversaire qui n’abandonne jamais faute de temps.