Bug bounty automatisé : quand l'IA chasse les vulnérabilités

Les programmes de bug bounty versent des récompenses allant de 100$ à 500 000$ pour des vulnérabilités découvertes dans des systèmes en production. Des plateformes comme Immunefi (crypto/Web3), HackerOne et YesWeHack listent des centaines de cibles. La question qui se pose : un agent IA peut-il automatiser une partie significative de ce travail ?

Phase 1 : Reconnaissance automatisée

La phase de recon est celle où l'automatisation apporte le plus de valeur. Un agent peut scanner en quelques minutes ce qu'un humain fait en quelques heures.

Énumération de sous-domaines

L'agent lance des outils comme subfinder, amass ou httpx pour cartographier tous les sous-domaines d'une cible. Un domaine principal peut avoir des dizaines de sous-domaines — api.cible.com, staging.cible.com, admin.cible.com — chacun étant une surface d'attaque potentielle.

# Exemple de recon automatisée
subfinder -d cible.com -silent | httpx -silent -status-code -title
# Résultat:
# https://api.cible.com [200] [API Gateway]
# https://staging.cible.com [403] [Forbidden]
# https://admin.cible.com [302] [Login Redirect]

Analyse des headers et de la stack technique

L'agent examine les headers HTTP de chaque endpoint : Server, X-Powered-By, Content-Security-Policy, X-Frame-Options. Les headers manquants sont déjà des signaux. Un X-Frame-Options absent peut indiquer une vulnérabilité au clickjacking.

Il identifie aussi la stack technique : frameworks (React, Angular, Laravel), serveurs (Nginx, Apache, Cloudflare), CMS (WordPress, Strapi). Chaque technologie a ses vulnérabilités connues (CVE).

Cartographie des endpoints

L'agent crawle le site, analyse le JavaScript côté client pour trouver des endpoints API non documentés, et vérifie les fichiers classiques : /robots.txt, /.env, /api/docs, /swagger.json, /.git/config.

Phase 2 : Scan de vulnérabilités

Une fois la surface d'attaque cartographiée, l'agent teste des patterns de vulnérabilités courants :

CORS mal configuré

L'agent envoie des requêtes avec un header Origin: https://evil.com et vérifie si le serveur répond avec Access-Control-Allow-Origin: https://evil.com. Si oui, n'importe quel site peut lire les données de l'API — c'est une vulnérabilité critique si des données sensibles sont exposées.

CSRF (Cross-Site Request Forgery)

L'agent vérifie si les formulaires et endpoints sensibles (changement de mot de passe, transfert de fonds) sont protégés par un token CSRF. Il teste si les requêtes passent sans token ou avec un token vide.

XSS (Cross-Site Scripting)

L'agent injecte des payloads de test dans chaque paramètre d'entrée : champs de formulaire, paramètres d'URL, headers. Il vérifie si le payload est reflété sans sanitisation dans la réponse.

# Payloads de test XSS courants
<script>alert(1)</script>
"><img src=x onerror=alert(1)>
javascript:alert(1)
{{7*7}}  # Test de template injection

SQLi (SQL Injection)

L'agent teste les paramètres avec des caractères spéciaux SQL (', ", ;, --) et observe les différences de réponse. Un message d'erreur SQL dans la réponse est un signal fort. Des différences de temps de réponse (time-based blind SQLi) sont aussi détectées.

Phase 3 : Génération de rapport

C'est là que l'IA apporte une valeur unique. Un bon rapport de bug bounty nécessite :

• Description claire de la vulnérabilité
• Étapes de reproduction détaillées (step-by-step)
• Preuve de concept (PoC) — requête curl, capture d'écran, vidéo
• Impact — ce qu'un attaquant pourrait faire
• Score CVSS — évaluation standardisée de la sévérité
• Recommandation de fix

L'agent IA génère automatiquement ce rapport à partir des données collectées. Un modèle comme Claude ou GPT-4 peut rédiger un rapport professionnel qui respecte les standards des plateformes de bug bounty.

Les récompenses réelles

Les montants varient considérablement selon la plateforme et la sévérité :

• HackerOne / YesWeHack — XSS reflété : 150-500$ | IDOR : 500-2 000$ | SQLi : 1 000-5 000$ | RCE : 5 000-50 000$
• Immunefi (crypto) — Les récompenses sont souvent plus élevées. Vulnérabilité critique sur un smart contract : 10 000$ à 500 000$. Certains programmes offrent jusqu'à 10M$ pour des failles de type "drain de fonds".

En moyenne, un chasseur de bugs actif sur ces plateformes peut espérer entre 500$ et 5 000$ par mois. Les top hunters dépassent les 100 000$ par an.

Les règles éthiques non négociables

L'automatisation de la chasse aux bugs doit respecter des règles strictes. Les violer peut entraîner un ban permanent des plateformes, voire des poursuites judiciaires.

1. Respect du scope — Ne tester QUE les domaines et endpoints listés dans le programme. Un sous-domaine hors scope, même s'il est vulnérable, ne doit pas être testé.
2. Rate limiting — L'agent ne doit jamais envoyer plus de 10 requêtes par seconde vers une cible. Surcharger un serveur de production est une violation des conditions d'utilisation et potentiellement un délit.
3. Pas d'actions destructives — Jamais de suppression de données, de modification de comptes d'autres utilisateurs, de déni de service. Le test doit être non-invasif.
4. Données sensibles — Si l'agent accède accidentellement à des données personnelles (emails, mots de passe, données financières), il doit immédiatement arrêter, ne pas stocker les données, et le signaler dans le rapport.
5. Documentation complète — Chaque action de l'agent doit être loggée. En cas de dispute, vous devez pouvoir prouver exactement ce qui a été testé et comment.

Un agent de bug bounty sans garde-fous éthiques n'est pas un outil de sécurité — c'est un outil d'attaque. La différence est dans les contraintes qu'on lui impose.

Architecture d'un agent bounty hunter

┌──────────────┐     ┌──────────────┐     ┌──────────────┐
│   Recon      │────▶│   Scanner    │────▶│   Reporter   │
│ (subfinder,  │     │ (CORS, XSS,  │     │ (génération  │
│  httpx, etc) │     │  SQLi, CSRF) │     │  de rapport) │
└──────────────┘     └──────────────┘     └──────────────┘
       │                    │                     │
       ▼                    ▼                     ▼
┌──────────────────────────────────────────────────────┐
│              Rate Limiter + Scope Checker             │
│        (vérifie CHAQUE requête avant envoi)           │
└──────────────────────────────────────────────────────┘

Le composant critique est le rate limiter / scope checker. Il s'interpose entre l'agent et le réseau, et bloque toute requête qui viole les règles. C'est une couche de sécurité qui a priorité absolue sur les décisions de l'agent.

Les limites actuelles

L'IA excelle dans la recon et les tests de patterns connus. Elle est moins performante pour les vulnérabilités de logique métier (ex: un processus de paiement qui peut être contourné en modifiant l'ordre des étapes). Ces failles nécessitent une compréhension du contexte applicatif que les modèles actuels n'ont pas encore.

L'approche la plus efficace en 2026 : l'IA gère la recon et le scan automatique (90% du temps de travail pour 30% des trouvailles), pendant que l'humain se concentre sur l'analyse logique (10% du temps pour 70% des trouvailles de valeur).