IA générative et cours de pentest : usages pédagogiques, garde-fous et mise à jour du syllabus

L'IA générative dans l'écosystème offensif : état des lieux en 2026

L'intégration de l'IA générative dans les pratiques offensives n'est plus un sujet de spéculation. En 2026, les professionnels du test d'intrusion disposent d'outils LLM pour assister chaque phase d'un pentest, de la reconnaissance à la rédaction du rapport. Ce changement pose une question directe aux enseignants : les cours de pentest existants reflètent-ils encore la réalité du terrain ?

La réponse est : partiellement. Les fondamentaux méthodologiques restent valides — cadrage, reconnaissance, exploitation, post-exploitation, reporting. Mais une nouvelle catégorie de cibles est apparue : les applications intégrant des LLM ont leurs propres vecteurs d'attaque, leurs propres outils de test, et leur propre cadre de référence — l'OWASP LLM Top 10.

Les LLM sont également utilisés offensivement de manière documentée. La génération automatisée de phishing ciblé, l'assistance à l'écriture de code d'exploitation, l'analyse de bases de code à la recherche de vulnérabilités : ces pratiques font désormais partie du paysage de menace réel que les futurs pentesteurs auront à affronter et à contrer.

Le cadre réglementaire évolue lui aussi. L'EU AI Act, signé en juin 2024, impose des obligations aux développeurs et déployeurs de systèmes d'IA à haut risque. Si cet acte ne concerne pas directement la pratique du pentest, il impose aux formateurs d'aborder la gouvernance et la responsabilité des systèmes d'IA dans les programmes de sécurité des systèmes d'IA. Les futurs auditeurs rencontreront ces exigences chez leurs clients.

Pour les enseignants, ce contexte implique trois chantiers parallèles : intégrer les LLM comme outils pédagogiques avec un cadre clair, enseigner les nouvelles surfaces d'attaque que ces systèmes génèrent, et arbitrer la mise à jour du syllabus sans surcharger un programme déjà dense.

Trois usages pédagogiques légitimes de l'IA en cours de pentest

L'usage d'un LLM dans un TP de pentest suscite encore de la méfiance chez certains enseignants. La crainte est compréhensible : un étudiant qui soumet une machine cible à un LLM et recopie la sortie sans analyse n'apprend rien. Mais l'interdiction totale est contreproductive. Dans les métiers de la sécurité offensive, ces outils sont déjà utilisés quotidiennement en production. La question pédagogique n'est pas de savoir s'il faut les utiliser, mais comment les utiliser de manière critique et documentée.

Trois usages se distinguent par leur valeur pédagogique réelle.

Aide à la compréhension des techniques

Un LLM peut expliquer le fonctionnement d'une technique d'attaque avec un niveau de détail ajustable. Pour un étudiant qui bloque sur la compréhension d'une injection SQL dans un contexte ORM, sur la différence entre une RCE et une LFI, ou sur la logique d'un pivot réseau, le dialogue avec un modèle peut débloquer la situation en quelques échanges ciblés — là où un manuel resterait opaque ou nécessiterait plusieurs heures de lecture.

L'usage est pédagogiquement valide à condition que l'étudiant soit capable de reformuler et d'expliquer ce qu'il a compris, et d'adapter ce qu'il a lu au contexte spécifique de la cible. En TP, cela se traduit par une règle simple : si un étudiant utilise un LLM pour comprendre une technique, il doit être capable de l'expliquer oralement lors de la restitution. Cette vérification s'intègre naturellement dans les grilles d'évaluation existantes.

Génération de scripts commentés

Un LLM peut produire un premier jet de script Python ou Bash pour automatiser une tâche de pentest : extraction de sous-domaines, parsing d'une sortie Nmap, mise en forme structurée d'un rapport. L'étudiant qui utilise un LLM à cette fin doit ensuite adapter, corriger et commenter le code produit pour son contexte cible.

Ce processus d'appropriation active est lui-même formateur. Comprendre pourquoi un script ne fonctionne pas dans un environnement donné, identifier les suppositions implicites du modèle, corriger les erreurs de logique : ce sont des compétences techniques réelles. Un script recopié sans lecture produit généralement des résultats incorrects — ce qui illustre concrètement les limites des LLM.

Analyse et interprétation de sorties d'outils

Les outils de pentest génèrent des sorties volumineuses, parfois difficiles à interpréter pour des profils débutants. Une sortie Nikto, un rapport Nessus, un résultat Gobuster sur un serveur configuré de façon non standard : l'interprétation de ces données est une compétence à part entière. Un LLM peut aider l'étudiant à décomposer une sortie, à identifier les éléments prioritaires et à formuler des hypothèses d'exploitation.

L'usage est valide si l'étudiant intègre une étape d'analyse critique. Le modèle peut se tromper, produire des faux positifs ou ignorer le contexte spécifique de la cible. Savoir distinguer ce qui est pertinent de ce qui est incorrect dans une réponse de LLM est une compétence professionnelle à part entière.

Les nouveaux vecteurs d'attaque à enseigner

La mise à jour du syllabus passe aussi par l'intégration de vecteurs d'attaque spécifiques aux applications LLM, que les programmes existants ne couvrent pas ou couvrent superficiellement. Ces cibles sont désormais présentes dans les périmètres audités réels.

L'OWASP LLM Top 10 est le cadre de référence pour cette catégorie de risques. Publié et maintenu par l'OWASP, il identifie les dix risques les plus critiques pour les applications intégrant des LLM. Pour un module sur l'IA générative en cybersécurité, ce document est la source primaire. Dans le contexte d'un cours de pentest, trois catégories méritent une attention prioritaire.

Prompt injection

La prompt injection est l'attaque la plus documentée contre les applications LLM. Le principe est conceptuellement direct : un contenu malveillant inclus dans les entrées traitées par le LLM — un message utilisateur, un document, une réponse d'API externe — détourne les instructions système du modèle pour le faire agir à l'encontre de ses directives initiales.

En termes pédagogiques, la prompt injection illustre la confusion de privilèges : le modèle ne distingue pas structurellement les instructions du développeur (le system prompt) des données fournies par des sources non fiables. Les contre-mesures — isolation des entrées, validation, layered prompting — ne sont que partiellement efficaces, ce qui rend leur audit particulièrement instructif.

Un TP de prompt injection directe peut être monté avec des applications sandbox open source en quelques heures. Il illustre des concepts déjà présents dans tout programme de pentest — injection, gestion des privilèges, confiance implicite dans les entrées — en les transposant à une architecture nouvelle.

Jailbreak et contournement des garde-fous

Le jailbreaking d'un LLM consiste à contourner les restrictions imposées par les fournisseurs pour amener le modèle à produire du contenu qu'il est censé refuser. Les techniques documentées évoluent rapidement : roleplay avec personnages fictifs, décomposition de requêtes malveillantes en sous-requêtes anodines, encodage, exploitation de langues moins bien couvertes par les filtres de modération.

Pour un cours de pentest, l'intérêt pédagogique est double. D'abord, le jailbreaking illustre la fragilité des contrôles reposant uniquement sur le modèle plutôt que sur l'architecture système. Ensuite, il prépare les étudiants à l'audit de systèmes d'IA où les garde-fous sont présentés comme une garantie de sécurité — garantie systématiquement surestimée par les équipes produit non spécialisées en sécurité.

Cet enseignement doit être encadré par des règles explicites et se dérouler exclusivement sur des modèles déployés localement dans un environnement de lab isolé (voir la section suivante).

Tool poisoning dans les pipelines d'agents

Les architectures d'agents LLM — où un modèle orchestre des outils (appels API, exécution de code, accès à des bases de données, navigation web) — créent des surfaces d'attaque spécifiques. Le tool poisoning consiste à injecter des instructions malveillantes dans les données traitées par un agent pour provoquer des actions non autorisées : exfiltration de données, escalade de privilèges via des appels API non prévus, exécution de commandes système hors périmètre.

Ce vecteur est particulièrement utile à enseigner parce qu'il transpose des principes classiques du pentest à des architectures nouvelles. Un étudiant qui comprend l'escalade de privilèges dans un environnement Windows comprend la logique d'un agent LLM qui pivote d'un outil à un autre en accumulant des permissions. Les fondamentaux ne changent pas ; le contexte architectural, si.

Pour approfondir ces concepts, le glossaire IA et cybersécurité est un point d'entrée utile pour les étudiants qui débutent.

Garde-fous éthiques et règles de lab

L'intégration de l'IA générative dans un cours de pentest nécessite un cadre explicite et écrit. Sans règles claires, les dérives sont prévisibles : utilisation de LLM publics pour générer du code malveillant à déployer hors du lab, soumission de travaux entièrement générés sans appropriation réelle, ou contournement de garde-fous à des fins non pédagogiques.

Le tableau ci-dessous récapitule ce qui est autorisé et ce qui ne l'est pas dans le cadre d'un lab pédagogique.

Ces règles doivent être présentées en début de module, inscrites dans la charte du lab, et rappelées à chaque TP impliquant des LLM. La documentation de tout usage d'IA dans le rapport de TP — outil utilisé, prompt soumis, résultat obtenu, ajustements manuels — est une bonne pratique à instaurer systématiquement. Elle prépare les étudiants aux exigences professionnelles croissantes en matière de traçabilité dans les rapports d'audit.

L'EU AI Act, signé en juin 2024, introduit une logique de responsabilité documentée sur les systèmes d'IA. Habituer les étudiants à cette traçabilité dès le lab les prépare aux exigences de leurs futurs clients.

Mettre à jour le syllabus : ce qu'on ajoute, ce qu'on peut retirer

La mise à jour d'un syllabus de pentest en 2026 n'est pas un exercice d'accumulation. Ajouter des contenus sans en retirer revient à surcharger un programme déjà dense au détriment de la profondeur. L'arbitrage est nécessaire : quelles compétences sont nouvelles et essentielles, quels contenus peuvent être réduits ou délégués à l'apprentissage autonome ?

Ce qu'on ajoute

Trois thèmes s'imposent dans tout programme de cours de pentest à jour en 2026 :

Audit des applications LLM : au minimum une séance de deux à trois heures couvrant les risques OWASP LLM Top 10 — avec priorité sur LLM01 (prompt injection), LLM02 (sensitive information disclosure) et LLM06 (excessive agency) — complétée par un TP de prompt injection directe sur une application sandbox et une introduction à des outils comme Garak pour l'automatisation des tests adversariaux. Ce contenu est accessible dès le niveau M1.

Pentest des pipelines d'agents IA : une séance dédiée aux architectures d'agents — orchestration, appels d'outils, mémoire persistante — et aux vecteurs d'attaque associés : tool poisoning, escalade via API, exfiltration par injection dans le contexte. Cet enseignement est pertinent pour les profils M2 ou les formations spécialisées en sécurité offensive avancée.

Usage offensif des LLM dans la reconnaissance : intégrer dans la séance OSINT existante une section sur l'utilisation des LLM pour accélérer la collecte et l'analyse d'informations publiques, et sur la génération de leurres ciblés (spear phishing, prétexting). L'objectif pédagogique est de comprendre comment l'adversaire utilise ces outils, pour mieux anticiper et détecter ces techniques.

Ce qu'on peut alléger

Les contenus les plus opérationnels orientés vers la préparation individuelle à des certifications comme l'OSCP peuvent être partiellement délégués à des plateformes d'entraînement autonome (HackTheBox, TryHackMe) pour libérer du temps de cours collectif en faveur des sujets émergents.

Certains modules dédiés aux vulnérabilités et architectures legacy — vecteurs de dépréciation Microsoft largement patchés, exploitation bas niveau x86 pure — peuvent être réduits pour les formations généralistes, sans être supprimés pour les spécialisations en exploitation offensive.

L'arbitrage doit se faire programme par programme, selon le profil des étudiants et les débouchés visés. Bug bounty web et audit industriel n'ont pas les mêmes priorités.

Ressources et veille pour actualiser le cours

Un syllabus de pentest intégrant l'IA générative a une courte durée de vie sans veille active. Le domaine évolue à un rythme qui rend caducs certains contenus en l'espace d'un semestre. Voici les sources à suivre en priorité :

OWASP LLM Top 10 (owasp.org) : document de référence pour les risques des applications LLM, mis à jour par la communauté au fil des retours d'expérience terrain. C'est la première source à citer dans un syllabus et la base de tout TP d'audit LLM.

MITRE ATLAS (atlas.mitre.org) : équivalent ATT&CK pour les systèmes d'IA et de machine learning. Référence les tactiques, techniques et procédures adversariales ciblant ces systèmes. Indispensable pour les formations orientées menaces avancées et les profils M2.

Garak (disponible sur GitHub, maintenu par NVIDIA Research) : outil open source de red team spécialisé LLM. Automatise des centaines de sondes adversariales — prompt injection, jailbreak, extraction de données sensibles. Sa documentation technique et ses rapports de tests constituent en eux-mêmes une ressource pédagogique.

Publications académiques : les conférences IEEE S&P, USENIX Security et ACM CCS publient des travaux sur la sécurité des LLM. Les prépublications sur arXiv (cs.CR et cs.AI) permettent de suivre les avancées avant publication officielle, sans y consacrer un temps excessif.

NVD / CVE : les vulnérabilités identifiées dans des bibliothèques d'orchestration LLM comme LangChain, ou dans des intégrations spécifiques, sont publiées ici dès leur divulgation. Des alertes sur ces identifiants permettent de réagir rapidement.

La veille est une condition structurelle pour enseigner ce sujet avec crédibilité. La sécurité des systèmes d'IA se stabilise progressivement, mais ses contours continuent d'évoluer. Former sur des contenus figés, c'est transmettre une image du terrain que les étudiants ne retrouveront pas en entreprise.

Ce qu'il faut retenir

L'IA générative modifie le cours de pentest sur deux axes : elle devient un outil pédagogique, et elle crée de nouvelles cibles et de nouveaux vecteurs d'attaque à enseigner. Ces deux axes requièrent des décisions explicites de la part des équipes pédagogiques.

• L'usage des LLM en TP est légitime s'il est encadré par des règles claires (documentation, appropriation, périmètre lab) et évalué sur la compréhension réelle de l'étudiant, pas sur la qualité du texte produit par le modèle.
• Trois usages pédagogiques valides : aide à la compréhension des techniques, génération de scripts commentés, analyse de sorties d'outils — chacun conditionné à la capacité de l'étudiant à expliquer et adapter ce que le modèle produit.
• Trois vecteurs à intégrer au syllabus : prompt injection (OWASP LLM01), jailbreak et contournement de garde-fous, tool poisoning dans les pipelines d'agents IA.
• Le tableau des règles de lab est le point de départ pratique : il prévient les dérives et prépare les étudiants aux exigences professionnelles en matière de traçabilité et de responsabilité.
• Mettre à jour le syllabus implique aussi de retirer ou d'alléger certains contenus. L'arbitrage est nécessaire programme par programme.
• La veille est structurelle : OWASP LLM Top 10, MITRE ATLAS, Garak, publications académiques et NVD sont les sources à suivre pour maintenir un programme crédible et à jour.

Le cours de pentest qui ignore ces évolutions envoie ses étudiants sur le terrain avec un référentiel partiel. L'enjeu n'est pas d'intégrer l'IA générative pour être dans l'air du temps, mais de former des professionnels capables d'auditer les systèmes qu'ils rencontreront réellement — y compris, et de plus en plus, ceux qui intègrent des LLM.

Vous cherchez un intervenant capable d'enseigner le pentest avec ces nouvelles dimensions — audit LLM, agents IA, usages offensifs des modèles génératifs ?
Retrouvez les experts disponibles sur Cyber Teachers et préparez vos étudiants aux réalités du terrain en 2026.