AWS lance le pentest continu piloté par un agent IA
AWS met le pentest à la demande, piloté par un agent IA. Le service s'appelle AWS Continuum pour le penetration testing, l'ancien AWS Security Agent rebaptisé après son intégration à la gamme Continuum. Vous lui donnez une application et des accès, il construit son contexte, conçoit des scénarios d'attaque multi-étapes et teste l'exploitabilité réelle des failles, pas seulement leur existence sur un scanner.
Comment ça marche
Le workflow décrit dans la documentation AWS tient en trois temps : l'agent découvre l'application et son périmètre, élabore des chaînes d'attaque plausibles, puis les exécute pour vérifier si la faille est réellement exploitable. La promesse est claire : sortir du rapport de scanner qui liste des CVE théoriques pour produire des preuves d'exploitation.
Le test des zones authentifiées
Avant le test, vous pouvez fournir des identifiants de connexion. L'agent s'authentifie comme un vrai utilisateur et découvre lui-même les domaines accessibles, qu'il propose ensuite comme périmètre. Cela règle un vrai point de friction : les zones authentifiées sont précisément celles que les scanners classiques ratent.
Le revers est connu : il faut confier ses identifiants à AWS. Pour des environnements de production, la question du périmètre accordé et de la traçabilité des actions de l'agent se pose avant même celle des résultats.
Ce qu'on ne sait pas encore
AWS annonce un agent « frontier » qui couvre tout le cycle de développement. Deux zones d'ombre demeurent. La facturation se fait à l'heure de tâche cumulée, ce qui rend le coût final difficile à estimer à l'avance. Et aucun benchmark indépendant sur le taux de faux positifs n'a encore été publié : la valeur d'un pentest automatisé se juge d'abord là.
Ce que ça change pour vos équipes
La direction est intéressante, même si l'outil reste à prouver. Pour une équipe sécurité de trois personnes qui doit couvrir quarante applications, un pentest continu même imparfait vaut mieux qu'un test annuel parfait resté dans un PDF.
Points de vigilance au moment d'évaluer ce type de service :
- Exiger des preuves d'exploitation réelles dans les rapports, pas des correspondances de signature.
- Encadrer les identifiants fournis : comptes dédiés, périmètre limité, révocation après test.
- Demander les taux de faux positifs, ou les mesurer sur un premier périmètre pilote avant de généraliser.
Le sujet s'inscrit dans la vague d'agents de sécurité lancés par les grands acteurs du cloud, comme le skill d'audit sécurité de Cloudflare, et pose la même question de gouvernance que l'identité des agents IA traitée avec RSA Agent ID : qui encadre un agent qui a des droits d'accès sur vos systèmes ?