Résumé : Le marché du pentest par IA s'est fortement consolidé en 2026. Horizon3.ai a levé 250 M$ à une valorisation supérieure à 2 Md$ en août, XBOW a bouclé une série C de 120 M$ au-delà de 1 Md$ en mars, et Pentera, Terra Security, RunSybil et Hadrian ont tous livré des produits agentiques en neuf mois. Sous le financement, il n'existe que six architectures réellement distinctes, et toutes résolvent quatre problèmes d'ingénierie communs : gestion du contexte, planification, validation des résultats et maîtrise du rayon d'impact. Ce démontage couvre les dix plateformes leaders au niveau architectural, les preuves publiées pour chacune, et l'écart entre laboratoire et réalité que le marketing omet systématiquement : les agents qui exploitent 87 % des CVE d'un jour lorsqu'on leur fournit l'avis retombent à environ 13 % sur la même classe de cible lorsqu'ils doivent trouver la faille eux-mêmes.
ThreatExploit publie ce blog et développe l'une des plateformes évaluées ci-dessous, où elle est classée première. Les critères de classement sont énoncés intégralement avant la liste, chaque affirmation sur un concurrent provient de ses propres publications ou de benchmarks évalués par les pairs, et les limites de notre propre plateforme sont exposées dans le même format que celles des autres. Lisez ce texte comme l'argumentaire informé d'une partie intéressée, non comme un audit indépendant, et menez le test comparatif décrit à la fin dans votre propre environnement.
Deux chiffres définissent l'état du pentest par IA en 2026, et ils pointent dans des directions opposées.
Le premier est 665 M$ et plus : le financement en capital-risque total divulgué dans la catégorie de la sécurité offensive autonome, concentré sur une poignée d'entreprises désormais valorisées en licornes. Horizon3.ai a bouclé une série E de 250 M$ en août 2026, à une valorisation annoncée au-delà de 2 Md$. XBOW a bouclé une série C de 120 M$ en mars 2026, portant son financement total à 237 M$ pour une valorisation supérieure à 1 Md$. Pentera avait franchi le milliard plus tôt. Terra Security, RunSybil et Hadrian ont tous lancé ou étendu des offres agentiques dans la même période.
Le second chiffre est 13 %. C'est le taux de réussite d'exploitation qu'atteignent les meilleurs frameworks d'agents évalués publiquement sur CVE-Bench, un benchmark évalué par les pairs regroupant 40 CVE d'applications web réelles de gravité critique, lorsque l'agent doit trouver la vulnérabilité sans qu'on lui dise laquelle. Fournissez la description de la vulnérabilité et le même benchmark grimpe à environ 25 %.
Les deux chiffres sont vrais. La capacité est réelle et progresse vite, et elle est aussi bien plus étroite que ne le laisse entendre le marketing de la catégorie. Cet article est un démontage technique des dix plateformes qui comptent, écrit pour celles et ceux qui doivent prendre une décision d'achat et ont besoin de savoir ce qui tourne réellement sous l'étiquette.
- ✓Six architectures distinctes existent sur ce marché : modèles entraînés sur mesure dans des cadres gouvernés, moteurs déterministes avec couche IA, hackeurs agentiques autonomes, agents de raisonnement sur code, red teamers ciblant l'IA et frameworks d'agents open source. Comparer entre classes est une erreur de catégorie.
- ✓Chacun de ces systèmes résout les mêmes quatre problèmes d'ingénierie : gestion du contexte, planification, validation des résultats et maîtrise du rayon d'impact. La réponse d'un éditeur à ces quatre questions prédit ses résultats réels mieux que n'importe quel score de benchmark.
- ✓L'écart entre laboratoire et réalité est le chiffre le plus important de la catégorie : 87 % de réussite sur les CVE d'un jour avec l'avis fourni s'effondre à environ 7-13 % lorsque l'agent doit découvrir la faille lui-même.
- ✓L'architecture de validation sépare les vraies plateformes des démonstrations. Cherchez une découverte et une validation séparées dans le logiciel, avec la reproductibilité comme critère de promotion : les scanners automatisés portent une fourchette documentée de 10 à 40 % de faux positifs.
- ✓Un périmètre imposé dans le code à la frontière des outils est structurellement différent d'un périmètre écrit dans une consigne. L'un est une porte ; l'autre est une demande dont on peut dissuader le modèle.
- ✓Environ 70 % des vulnérabilités web critiques sont des failles de logique métier, qu'aucune plateforme de cette liste ne détecte de manière fiable. Tous les résultats marquants de 2026 ont conservé une revue humaine avant publication.
Les Six Architectures Derrière Tous les Produits de ce Marché
La plupart des comparatifs d'éditeurs listent des fonctionnalités. C'est presque inutile ici, car deux plateformes aux listes de fonctionnalités identiques peuvent avoir des modes de défaillance totalement différents selon leur construction. Il existe six classes d'architecture sur ce marché, et la première tâche de toute évaluation est de déterminer laquelle vous avez devant vous.
La première classe est la plus récente et la plus difficile à construire, car elle suppose de posséder le modèle autant que l'échafaudage qui l'entoure. Le reste du marché enveloppe un modèle généraliste ou code la logique d'attaque à la main. Un moteur déterministe avec couche IA ne vous surprendra jamais, et c'est précisément pour cela que c'est l'architecture qu'on lance contre un Active Directory de production. Un hackeur agentique autonome enchaînera occasionnellement quelque chose qu'aucun humain n'aurait tenté — XBOW a documenté une chaîne de 48 étapes escaladant un SSRF aveugle jusqu'à la compromission totale — et brûlera occasionnellement une heure à se convaincre d'avoir réussi une action qu'il n'a jamais exécutée. Ce sont des profils de risque différents, pas des listes de fonctionnalités différentes.
Les Quatre Problèmes que Tout Pentesteur IA Doit Résoudre
Sous les classes d'architecture, tous les systèmes de cette catégorie résolvent les mêmes quatre problèmes d'ingénierie. Lire la réponse d'un éditeur à ces quatre questions est le moyen le plus rapide d'évaluer son sérieux technique.
Problème 1 : Gestion du Contexte
Une mission réelle produit bien plus de sortie que n'en contient une fenêtre de contexte. Un simple balayage nmap sur un /16, une énumération de répertoires et quelques heures de trafic HTTP suffisent à saturer même un très grand contexte. Les agents naïfs tronquent, perdent les résultats antérieurs et retestent des cibles déjà couvertes.
Les réponses sérieuses découplent la mémoire de long terme de la fenêtre de contexte. PentAGI, le projet open source le plus populaire de la catégorie, utilise PostgreSQL avec des embeddings pgvector pour que l'agent se remémore les résultats antérieurs de façon sémantique plutôt qu'en relisant la sortie brute. VulnBot a introduit un Graphe de Tâches de Pénétration : un graphe orienté de dépendances qui persiste sur des sessions de plusieurs heures et déclenche automatiquement l'exploitation en aval dès qu'un prérequis est trouvé. Les plateformes commerciales publient rarement leur conception mémoire, ce qui constitue en soi un signal utile lors d'une évaluation technique. Posez la question.
Problème 2 : Planification
La recherche publiée a convergé vers un classement clair des architectures de planification, et les écarts sont importants.
La boucle ReAct mono-agent — réfléchir, appeler un outil, observer, répéter — est le socle de la plupart des outils de première génération, et se situe autour de 21 % sur les tâches de pentest autonome avant que le débordement de contexte ne la dégrade davantage. Séparer la planification de l'exécution aide nettement : les travaux sur le planificateur-exécuteur HPTSA rapportent une amélioration de 4,3x par rapport aux références mono-agent sur l'exploitation zero-day, atteignant 42 % pass@5 et 18 % pass@1 sur 14 vulnérabilités réelles. Les essaims dynamiques qui réécrivent leurs propres instructions lorsqu'ils détectent des schémas d'échec vont plus loin encore : D-CIPHER a couvert 65 % de techniques MITRE ATT&CK de plus que les références mono-agent et a obtenu 44,0 % sur les défis HackTheBox.
Le résultat le plus intéressant est le dernier. xOffense, bâti sur un Qwen3-32B affiné, a atteint 79,17 % d'achèvement de sous-tâches et a devancé les références GPT-4 et Llama 3. L'adaptation au domaine surpasse l'échelle brute du modèle sur cette famille de tâches. Une approche hybride nommée CHECKMATE, où le LLM rédige une description formelle de planification en PDDL et où un planificateur classique trouve la séquence optimale, rapporte plus de 20 % d'amélioration du taux de réussite et plus de 50 % de réduction de coût face à une planification purement LLM.
Problème 3 : Validation
C'est là que les plateformes se séparent, et c'est la question que la plupart des acheteurs oublient de poser.
Documenté dans plusieurs évaluations d'agents open source : l'agent imagine la sortie réussie d'une commande au lieu de l'exécuter, puis raisonne avec assurance sur cette fiction. Tout résultat en aval de cette hallucination est invalide. Toute plateforme dépourvue de validation programmatique, extérieure au modèle, de ses propres résultats produira cette défaillance à un certain taux, et sans le savoir.
La conception publiée de XBOW en est le meilleur contre-exemple. Les résultats passent par des validateurs : des relecteurs automatiques combinant revue par LLM et vérifications programmatiques sur mesure. Pour le cross-site scripting, un navigateur headless visite la cible et confirme que la charge JavaScript s'est réellement exécutée. C'est une vérification déterministe, pas un modèle affirmant sa réussite. XBOW utilise également SimHash pour la similarité de contenu et le hachage d'images pour la similarité visuelle afin de dédupliquer les résultats entre environnements clonés, ce qui empêche un système autonome à haut volume de noyer ses opérateurs sous les doublons.
NodeZero de Horizon3.ai applique le même principe dans une autre direction : il prouve l'exploitabilité en exécutant la chaîne contre l'environnement réel et rapporte ce qu'il a effectivement obtenu — compromission d'hôte, contrôle de domaine, exposition de données — plutôt que ce qu'il a déduit. C'est la différence entre un résultat réel et une sortie de scanner accompagnée d'une prose assurée, que nous avons traitée plus en détail dans faux positifs : scanners face au vrai pentest.
Problème 4 : Rayon d'Impact
L'exploitation autonome contre la production est un problème d'ingénierie de sécurité avant d'être un problème d'IA. Les deux approches crédibles sont un noyau déterministe qui n'exécute que de la logique d'attaque validée (l'architecture de Pentera, où la couche IA adapte le ciblage tandis que le moteur d'exploitation reste conçu à la main et auditable), ou un moteur sûr en production durci par le volume (Horizon3.ai indique que NodeZero a été bâti en exécutant des centaines de milliers de tests sûrs contre de grands réseaux sensibles).
La distinction qui compte : le périmètre validé dans le chemin d'exécution, après que le modèle a émis une instruction et avant qu'elle n'atteigne le réseau. Une action hors périmètre n'est pas découragée — elle est impossible.
Si un éditeur ne peut pas expliquer concrètement ce que son agent est structurellement empêché de faire, il n'a pas résolu ce problème. Nous avons traité les arbitrages opérationnels dans pentest automatisé sûr contre agressif.
La Mise à l'Épreuve des Benchmarks
Avant le détail plateforme par plateforme, il faut cadrer la base de preuves, car dans cette catégorie les chiffres de benchmark sont couramment cités sans les conditions qui les ont produits.
Trois enseignements ressortent de ce tableau.
Le contexte détermine le résultat, dans un rapport de six. La même classe de cible passe de 87 % à environ 7 % selon que l'avis de vulnérabilité est fourni ou non. CVE-Bench passe de ~25 % à 13 % sur le même axe. Lorsqu'un éditeur cite un taux de réussite, la seule question qui compte est de savoir si l'on avait indiqué au système ce qu'il devait chercher.
La difficulté est une falaise, pas une pente. Les modèles de frontière obtiennent des résultats corrects sur les machines faciles et très faciles de HackTheBox et environ zéro sur le niveau difficile. Il n'y a pas de dégradation progressive, ce qui signifie que la performance sur cibles faciles ne prédit rien sur les cibles difficiles.
L'évaluation indépendante est rare. Les résultats de benchmark de XBOW sont auto-déclarés, comme la plupart des chiffres d'éditeurs de cette liste. Les benchmarks évalués par les pairs (Cybench, CVE-Bench, NYU CTF Bench) évaluent des agents de recherche, pas des produits commerciaux distribués. Personne n'a publié d'évaluation rigoureuse, indépendante et directe entre les plateformes commerciales. Tant que ce ne sera pas fait, votre propre test comparatif est la seule preuve applicable à votre environnement.
Ce qui s'en rapproche le plus est l'étude ARTEMIS de décembre 2025 : un agent IA testé contre un réseau d'entreprise réel d'environ 8 000 hôtes répartis sur 12 sous-réseaux, aux côtés de pentesteurs humains. L'agent a trouvé 9 vulnérabilités valides avec un taux de validité de 82 %, s'est classé deuxième au total et a devancé 9 des 10 testeurs humains. Le meilleur humain en a trouvé 13 par enchaînement créatif d'exploits. L'agent a aussi produit plus de faux positifs que tous les participants humains, et l'étude relève qu'environ 70 % des vulnérabilités web critiques sont des failles de logique métier que l'IA ne détecte pas de façon fiable. Le coût opérationnel s'établissait autour de 18 $/heure contre environ 60 $/heure pour les testeurs humains.
Voilà l'état de l'art honnête : compétitif en étendue et en coût, deuxième en plafond, et plus bruyant en chemin.
Le Top 10, Classé
Critères de classement, annoncés d'emblée et dans l'ordre de leur poids : architecture de validation (la plateforme peut-elle prouver qu'un résultat est réel sans qu'un modèle de langage l'affirme ?), contrôle et auditabilité (le périmètre est-il imposé structurellement, et le travail peut-il être rejoué devant un auditeur ?), architecture de modèle et de mission (conçue sur mesure pour du travail adverse pluri-journalier, ou un modèle généraliste dans une boucle), couverture de surface d'attaque et adéquation opérationnelle pour les équipes qui l'exploitent. Les preuves publiées pèsent tout au long, et les chiffres auto-déclarés sont signalés comme tels — les nôtres compris.
Les plateformes résolvant des problèmes réellement différents sont classées sur la qualité avec laquelle elles résolvent le leur. Un agent de raisonnement sur code et un moteur d'exploitation de réseau interne ne se disputent pas la même place, et prétendre le contraire rendrait la liste inutile.
1. ThreatExploit (Sylas)
Classe : Modèle entraîné sur mesure au sein d'une architecture de mission gouvernée
Architecture. L'affirmation distinctive est que Sylas est un modèle différent, pas une consigne différente. C'est un modèle de langage spécialisé d'environ 400 milliards de paramètres, entraîné en interne sur près de six mois sur une infrastructure GPU détenue en propre plutôt qu'adapté d'un assistant généraliste. Il emploie l'activation éparse : seul le sous-ensemble de paramètres pertinent pour une inférence donnée est engagé, de l'ordre de 80 milliards à un instant donné. C'est ce qui rend les tests continus abordables, car le coût d'inférence d'un modèle de frontière à cadence de mission est précisément la raison pour laquelle les concurrents sont poussés vers des missions rares et à ticket élevé.
L'activation éparse est le mécanisme économique. Une capacité de frontière à une fraction du coût d'inférence qu'exigerait une activation dense au même nombre de paramètres.
Le corpus d'entraînement compte davantage que le nombre de paramètres. Sylas est entraîné sur environ six ans de télémétrie d'attaques réelles collectée en opérations vivantes : des chaînes d'attaque complètes, de la compromission initiale d'un équipement périmétrique jusqu'au déplacement latéral vers les systèmes internes. Ce sont des données longitudinales au niveau des chaînes, et non des scénarios synthétiques ou des événements isolés extraits de bases publiques de vulnérabilités. Un modèle entraîné sur des articles sait décrire une technique. Un modèle entraîné sur des chaînes a vu ce que fait un opérateur quand les trois premières tentatives échouent.
Le modèle s'inscrit dans un graphe d'états qui conduit chaque mission à travers six phases dans un ordre fixe qui ne peut être contourné.
Reconnaissance, énumération et analyse s'exécutent de façon autonome. Le passage à l'exploitation active — le moment où la mission cesse d'observer et commence à agir — exige une approbation humaine explicite.
L'état de la mission — périmètre autorisé, inventaire des hôtes, services découverts, identifiants récupérés, résultats et preuves — est conservé dans un objet structuré et interrogeable plutôt que dans une transcription conversationnelle. C'est la réponse directe au problème de gestion du contexte décrit plus haut : au troisième jour d'un grand test, le système lit dans une base de données, pas dans un journal de conversation devenu ingérable. L'état est persisté en continu, si bien qu'une mission interrompue reprend au lieu de redémarrer : les hôtes déjà traités ne sont pas re-scannés et le parc cible n'absorbe pas de trafic dupliqué. L'énumération et l'analyse se répartissent sur des sous-agents isolés travaillant par hôte ou par service, chacun dans son propre contexte neuf, les résultats étant fusionnés de façon centralisée.
Contrôle et preuve. C'est ici que la plateforme est construite pour être contestée. Chaque appel d'outil touchant une cible est validé dans le code contre un objet de Règles d'Engagement signé, et refusé si la cible sort du périmètre autorisé. Le périmètre n'est pas une consigne que l'on demande au modèle de respecter ; c'est une porte dans le chemin d'exécution que le modèle n'a aucun moyen de contourner par la parole. Une action hors périmètre n'est pas découragée, elle est impossible, et la tentative apparaît dans la trace.
Les résultats font l'objet d'une séparation délibérée des rôles dans le logiciel : le composant qui découvre un résultat candidat ne décide pas s'il est réel. Une passe de validation distincte réexamine les preuves capturées — paires requête/réponse, charges utiles, artefacts de réponse, capture de session — et un candidat n'est promu dans le rapport que lorsque le chemin d'exploitation se reproduit contre la cible. Un comportement observé une fois et non reproductible est traité comme non prouvé et conservé comme informatif plutôt que supprimé en silence. Cette architecture de validation est ce qui produit le taux de vérification des résultats de 94 %, face à une fourchette documentée de 10 à 40 % de faux positifs pour les scanners de vulnérabilités automatisés. Chaque décision et chaque invocation d'outil sont tracées, produisant un enregistrement rejouable et horodaté — l'ossature probatoire qu'un auditeur ou un assureur réclame lorsqu'un résultat est contesté.
Chaque mission s'exécute dans son propre conteneur durci dédié, provisionné au démarrage et détruit à la fin, sans état partagé entre clients. L'inférence tourne sur une infrastructure détenue en propre ; les données de mission ne transitent par aucun fournisseur de modèle tiers et les données client ne servent pas à entraîner le modèle. Pour des acheteurs régulés, c'est généralement la première question posée et celle qui décide si la conversation se poursuit.
En quoi elle diffère du reste de cette liste. Sur trois points. C'est la seule plateforme ici dont le modèle a été entraîné sur mesure sur de la télémétrie d'attaques au niveau des chaînes plutôt qu'adapté d'un modèle généraliste. Elle dispose d'un renseignement propriétaire accessible au modèle pendant la mission plutôt qu'ajouté après coup — recherche sur le dark web d'identifiants exposés, détection de domaines sosies et de typosquatting, et scan continu de la surface d'attaque externe — si bien qu'un test démarre en sachant déjà ce qui a fuité sur cette entreprise au lieu de découvrir le périmètre à froid. Et elle est conçue pour la livraison par des prestataires : rapports en marque blanche en PDF, JSON et formats structurés, vues exécutive et technique, serveurs dédiés mono-locataire déployables en Amérique, en Europe et en Asie, et permissions par rôle avec clés API pour la CI/CD.
Les rapports sont rattachés aux référentiels sur lesquels les clients sont réellement évalués — ISO 27001 (dont Annexe A 8.8 et 8.29), SOC 2 (CC4.1 et CC7.1), PCI DSS v4.0 exigence 11.4 et Cyber Essentials — en suivant la méthodologie OWASP Testing Guide, OWASP Top 10, NIST SP 800-115 et PTES.
Limites. Énoncées dans les mêmes termes que pour les autres. Elle ne trouve pas de façon fiable les failles de logique métier qui représentent environ 70 % des vulnérabilités web critiques, et elle ne remplace pas le jugement d'un testeur senior sur l'impact métier — raison pour laquelle la validation humaine avant publication du rapport est obligatoire et non optionnelle dans l'architecture. La porte d'approbation humaine avant exploitation est un contrôle réel et une contrainte de débit réelle : une mission attendra une personne. Il n'existe aucun score de benchmark tiers publié pour Sylas, donc le taux de vérification de 94 % est notre propre mesure et doit être traité comme les chiffres auto-déclarés de XBOW : une affirmation à éprouver, pas un résultat audité. Enfin, la plateforme vise les prestataires de services et leurs clients ; une entreprise unique testant seulement son propre parc peut trouver la machinerie de livraison multi-locataire sans objet.
Meilleur usage. MSSP, opérateurs télécoms, hébergeurs et cabinets de conformité livrant des tests d'intrusion à de nombreuses organisations clientes sous leur propre marque, et organisations régulées ayant besoin de tests autonomes défendables devant un auditeur, un assureur ou un client.
2. XBOW
Classe : Hackeur agentique autonome (web et API)
Architecture. Des agents entièrement autonomes s'exécutant en parallèle contre une cible, pilotant l'outillage dans des boucles planifier-agir-observer, sans intervention humaine pendant l'exécution. Les publications de XBOW décrivent des alliages de modèles : appeler dynamiquement différents modèles au sein d'un même fil de conversation, sans que les modèles se connaissent, ce qui permet d'appliquer des forces spécialisées à différentes phases d'une attaque sans fragmenter le contexte. Les résultats passent par des validateurs : des relecteurs automatiques combinant revue par LLM et vérification programmatique, comme un navigateur headless confirmant qu'une charge s'est réellement exécutée. Un score de domaine sélectionne les cibles à partir de la présence d'un WAF, des codes de réponse HTTP, de la surface d'authentification, du nombre d'endpoints et des technologies détectées. SimHash et le hachage d'images dédupliquent les cibles quasi identiques.
Preuves publiées. Les plus solides de la catégorie. Sur une fenêtre de 90 jours close en juin 2025 : 1 060 signalements de vulnérabilités sur HackerOne, dont 54 critiques, 242 élevés, 524 moyens et 65 faibles, avec 130 résolus et 303 triés au moment de la publication, plus 208 doublons et 209 informatifs. Ce dernier couple est la part honnête de la divulgation : près de 40 % des soumissions n'ont pas converti. L'agent a atteint la première place du classement américain de HackerOne en juin 2025. Fondée par Oege de Moor, créateur de GitHub Copilot et fondateur de Semmle/CodeQL. 237 M$ levés, série C de 120 M$ en mars 2026 au-delà de 1 Md$.
Limites. Centrée web et API ; ce n'est pas un outil pour le réseau interne ni pour Active Directory. Le volume élevé de soumissions implique des taux de doublons et d'informatifs qu'une équipe de livraison doit absorber. Les résultats sont auto-déclarés et le jeu de benchmarks est celui de XBOW.
Meilleur usage. Tests offensifs continus sur de vastes patrimoines web et API externes, et découverte à volume façon bug bounty.
3. Horizon3.ai NodeZero
Classe : Exploitation autonome contre l'infrastructure de production
Architecture. NodeZero enchaîne identifiants faibles, mauvaises configurations et failles d'identité en chemins d'attaque opérationnels contre des réseaux de production réels, et rapporte ce qu'il a effectivement obtenu plutôt que ce qu'il a déduit. Horizon3.ai décrit la plateforme comme combinant apprentissage par renforcement, raisonnement sur graphe et un corpus en expansion continue de données adverses réelles collectées en production. Le moteur sûr en production est l'affirmation d'ingénierie centrale : l'entreprise indique que NodeZero a été bâti en exécutant des centaines de milliers de tests sûrs contre de grands réseaux sensibles. En juillet 2026, la plateforme a ajouté le test autonome d'applications web, qui enchaîne les vulnérabilités applicatives avec l'infrastructure, démontrant comment une injection SQL ou un contrôle d'accès défaillant escalade en compromission d'hôte, contrôle de domaine ou exposition de données. La couverture englobe l'OWASP Top 10, les défaillances complexes de contrôle d'accès et les techniques fondées sur les identifiants.
Preuves publiées. Série E de 250 M$ en août 2026 co-menée par NightDragon et NEA, valorisation annoncée au-delà de 2 Md$ ; série D de 100 M$ en juin 2025. Participant au programme CAPT de la NSA. Les chiffres d'échelle opérationnelle portant sur des centaines de milliers de tests en production sont déclarés par l'entreprise.
Limites. La profondeur applicative est plus récente que son héritage réseau. La sortie sous forme de chemins d'attaque exige un opérateur capable de la lire ; la plateforme suppose une maturité de sécurité interne.
Meilleur usage. Validation des chemins d'attaque sur réseau interne, Active Directory, identité et cloud à l'échelle de l'entreprise, et organisations ayant besoin de preuves d'exploitabilité contre la production sans provoquer d'interruption.
4. Pentera
Classe : Moteur déterministe avec couche IA agentique
Architecture. L'architecture double est l'essentiel. Un moteur d'attaque déterministe maintient des tests reproductibles, auditables et sûrs en production, tandis qu'une couche IA agentique adapte les flux de test et d'investigation à mesure qu'évoluent identités, permissions et configurations. La plateforme est sans agent — aucune installation sur les endpoints — et orchestre des attaques de chaîne complète depuis les actifs externes jusqu'au cœur de l'infrastructure. Découpage produit : Pentera Core (réseaux internes), Surface (actifs externes), Cloud (cloud et hybride) et Resolve (remédiation, avec résultats validés priorisés, assignés, suivis et retestés pour confirmer que le correctif fonctionne). Pentera 8, annoncé le 19 mars 2026 avec disponibilité générale au deuxième trimestre 2026, a introduit Pentera Peer, une interface agentique intégrée permettant de guider les tests adverses et d'investiguer les résultats en langage naturel.
Preuves publiées. Valorisation au-delà de 1 Md$, environ 100 M$ de revenus récurrents annuels, plus de 1 200 clients annoncés. Longue présence sur Gartner Peer Insights. Les taux de réussite par technique d'attaque ne sont pas publiés.
Limites. Le noyau déterministe qui la rend sûre plafonne aussi son potentiel : elle n'inventera pas une chaîne inédite comme le fait parfois un agent non contraint. La capacité agentique est plus récente et plus étroite que ne le laisse entendre le marketing : Pentera Peer est avant tout une interface en langage naturel au-dessus d'un moteur existant, pas un hackeur autonome.
Meilleur usage. Entreprises ayant besoin d'une validation reproductible et auditable selon un calendrier, avec suivi de remédiation et retest intégrés à la même plateforme.
5. Terra Security
Classe : Agentique, humain dans la boucle, continue
Architecture. Pentest par IA agentique construit explicitement autour d'un modèle avec humain dans la boucle plutôt que d'une autonomie totale, avec des agents qui construisent et conservent un contexte par cible au fil de cycles de test continus au lieu de repartir de zéro à chaque exécution. Au cours de 2026, Terra s'est étendue depuis les applications web vers l'extérieur, annonçant un pentest agentique continu de réseau interne en avant-première avec des partenaires de conception, se positionnant comme couvrant en continu les quatre grandes surfaces d'attaque.
Preuves publiées. Série A de 30 M$ en septembre 2025 menée par Felicis avec Dell Technologies Capital, SYN Ventures, LAMA Partners et Underscore VC ; 38 M$ au total. Clients Fortune 500 annoncés. Aucun résultat de benchmark publié.
Limites. La plateforme la plus jeune de cette liste à l'échelle, la couverture réseau interne étant encore en avant-première à l'heure où nous écrivons. La conception avec humain dans la boucle est une véritable force pour la qualité des résultats et une véritable contrainte sur le débit.
Meilleur usage. Équipes sécurité souhaitant une couverture agentique continue mais refusant des résultats autonomes non revus.
6. RunSybil
Classe : Hackeur agentique autonome (continu, applications en production)
Architecture. Sybil exécute des tests d'intrusion autonomes continus contre des applications en production — trouvant, exploitant et documentant les vulnérabilités sans humain dans la boucle. L'origine de l'équipe est le différenciateur à noter : fondée par le premier recrutement sécurité d'OpenAI, avec d'anciens membres de la red team de Meta. Cette combinaison — ingénierie d'agents issue d'un laboratoire de frontière et pratique de sécurité offensive — est rare, et cela se voit dans l'accent mis sur l'exploitation autonome plutôt que sur le flux de travail assisté.
Preuves publiées. 40 M$ levés, menés par Khosla Ventures. Aucun résultat de benchmark publié ni évaluation indépendante disponible à l'heure où nous écrivons.
Limites. L'entreprise la plus précoce de cette liste. La posture d'autonomie totale signifie que l'architecture de validation constitue l'intégralité du risque produit, et elle n'a pas été documentée publiquement comme celle de XBOW. Demandez-la explicitement lors d'une évaluation.
Meilleur usage. Équipes à l'aise avec l'adoption précoce, souhaitant des tests autonomes continus d'applications en production et capables de valider elles-mêmes les résultats.
7. Hadrian Nova
Classe : Pentest agentique adossé à la gestion de surface d'attaque externe
Architecture. Nova, lancé à RSAC 2026 en mars, étend la plateforme de gestion d'exposition externe de Hadrian avec des tests d'intrusion autonomes à la demande. Le pari architectural est que la couche de découverte alimente la couche d'exploitation : les actifs et leur contexte sont déjà énumérés et surveillés en continu, si bien que l'agent démarre avec une image riche en contexte plutôt qu'une reconnaissance à froid. Nova exécute des tests de périmètre complet — reconnaissance, exploitation, résultats validés — en quelques heures, avec un périmètre contrôlé par le client, de la reproductibilité, une exécution transparente et une collaboration humain-IA pour la revue experte. Le support de conformité est intégré pour les organisations soumises à des exigences d'audit.
Preuves publiées. Leader ASM selon GigaOm trois années consécutives pour la plateforme sous-jacente. Nova est récent ; aucun résultat de benchmark publié.
Limites. Tourné vers l'extérieur par conception — ce n'est pas un outil de réseau interne. La couche agentique est la partie la plus récente d'un produit ASM mature ; évaluez les deux séparément.
Meilleur usage. Organisations exploitant déjà une gestion continue de surface d'attaque externe et souhaitant une exploitation validée sur le même inventaire d'actifs plutôt qu'une mission distincte.
8. OpenAI Aardvark (désormais Codex Security)
Classe : Agent de raisonnement sur code
Architecture. Une approche fondamentalement différente de tout ce qui précède. Aardvark analyse en continu des dépôts de code source pour identifier des vulnérabilités, évaluer l'exploitabilité, prioriser la gravité et proposer des correctifs ciblés. Il lit le code plutôt que de sonder le système en fonctionnement, ce qui lui permet d'atteindre des classes de bogues structurellement inaccessibles aux tests en boîte noire — et de manquer tout ce qui ne se manifeste qu'à l'exécution ou dans la configuration déployée. Annoncé en octobre 2025 comme chercheur en sécurité agentique propulsé par GPT-5 ; depuis mars 2026 il s'appelle Codex Security, disponible en avant-première de recherche pour les clients ChatGPT Enterprise, Business et Edu.
Preuves publiées. OpenAI a publié des descriptions de capacités et des modalités d'accès en avant-première plutôt que des résultats comparatifs de benchmark.
Limites. Exige l'accès au code source, donc inutile pour tester des tiers ou un périmètre en boîte noire. Ce n'est pas un test d'intrusion au sens de la conformité : il produit des constats de code et des correctifs, pas l'exploitation démontrée d'un système déployé. L'accès est limité à une avant-première de recherche.
Meilleur usage. Organisations d'ingénierie souhaitant une revue de sécurité continue au sein de la boucle de développement, en complément d'une plateforme en boîte noire et non à sa place.
Big Sleep est une collaboration entre DeepMind et Project Zero ciblant les bogues de sécurité mémoire dans de vraies bases de code de production. Il n'est pas classé ici parce qu'on ne peut pas l'acheter, mais il définit le plafond de la classe boîte blanche. En novembre 2024, il a trouvé un buffer underflow dans SQLite que ni OSS-Fuzz ni la suite de tests de SQLite n'avaient détecté — le premier zero-day crédible découvert par une IA dans un logiciel de production. En août 2025, il avait signalé 20 vulnérabilités dans des projets open source largement utilisés, dont FFmpeg et ImageMagick, et il a ensuite trouvé CVE-2025-6965 dans SQLite. Sur les tests de dépassement de tampon de CyberSecEval2, l'approche sous-jacente rapporte une amélioration de 20x par rapport à la référence.
Ses preuves sont les plus solides de cet article, et de loin : de vrais CVE dans de vrais logiciels avec une trace publique de divulgation, un standard nettement supérieur à tout benchmark auto-déclaré par un éditeur. Il est aussi étroit par conception : classes de bogues mémoire, pas de logique métier, pas d'autorisation applicative web, pas de chemins d'attaque d'identité. Servez-vous-en comme étalon de ce que peut accomplir une découverte agentique rigoureuse et étroitement délimitée, et restez sceptique face à toute plateforme commerciale revendiquant une qualité de preuve comparable.
9. Mindgard
Classe : Red teamer ciblant l'IA
Architecture. Mindgard teste les systèmes d'IA au lieu d'utiliser l'IA pour tester des systèmes conventionnels — red teaming automatisé et tests de sécurité continus pour LLM, agents IA et modèles multimodaux, positionné comme du DAST pour l'IA. En mars 2026, la plateforme a ajouté un module de reconnaissance qui découvre les garde-fous d'IA, les prompts système, les outils, les intégrations et les services externes avant de les tester. Les tests sont continus plutôt que ponctuels, avec des résultats rattachés à MITRE ATLAS et aux catégories OWASP LLM pour le reporting.
Preuves publiées. Plateforme commerciale avec abonnement annuel à cinq chiffres et tests adverses managés disponibles. Les alternatives open source de cette classe sont bien établies : Garak de NVIDIA (plus de 50 sondes), PyRIT de Microsoft (orchestration d'attaques multi-tours) et Promptfoo (red teaming défini en YAML dans la CI).
Limites. Métier entièrement différent — cela ne testera ni votre réseau ni vos applications web. Si votre seule exposition à l'IA est un chatbot sur un site vitrine, Garak ou Promptfoo dans la CI vous couvrent probablement gratuitement.
Meilleur usage. Organisations livrant des fonctionnalités LLM ou agentiques à des clients, en particulier lorsqu'un rattachement à MITRE ATLAS ou à l'OWASP LLM Top 10 est requis pour la gouvernance. HackerOne a signalé une hausse de 540 % en un an des signalements d'injection de prompt : cette surface est sondée que vous la testiez ou non. Nous avons couvert les classes d'attaque dans pentest des applications d'IA agentique et sécurité des LLM.
10. Le Palier Open Source
Classe : Frameworks d'agents auto-hébergés
Traiter cela comme une seule entrée est délibéré — ces projets évoluent trop vite pour qu'un classement individuel tienne, et la décision qui compte est de savoir s'il faut auto-héberger.
PentAGI est le projet le plus populaire de la catégorie (plus de 14 700 étoiles), écrit en Go avec un frontend React. Quatre sous-agents (Searcher, Coder, Installer, Pentester), exécution en bac à sable Docker, PostgreSQL et pgvector pour la mémoire sémantique, prise en charge de LiteLLM sur plus de 12 fournisseurs, licence MIT. Strix (Apache 2.0) offre la manipulation de proxy HTTP, l'automatisation de navigateur, des sessions terminal, un environnement Python d'exploitation et l'intégration CI/CD. CAI d'Alias Robotics prend en charge plus de 300 backends de modèles, y compris des modèles auto-hébergés pour environnements isolés — la seule option réaliste lorsque les données ne peuvent pas quitter votre réseau. PentestGPT (plus de 12 500 étoiles, Prix de l'Artefact Distingué à USENIX Security 2024) utilise trois modules en interaction et reste avec humain dans la boucle : il conseille, vous exécutez. Shannon rapporte 96,15 % (100/104) sur une version nettoyée du benchmark XBOW, le meilleur résultat de benchmark open source divulgué publiquement.
À connaître également : les finalistes de DARPA AIxCC ont ouvert le code de leurs systèmes de raisonnement cyber. Atlantis de Team Atlanta a remporté 4 M$ avec de l'apprentissage par renforcement multi-agent combiné à de l'analyse symbolique ; Buttercup de Trail of Bits a terminé deuxième avec un système en quatre parties couvrant 20 des 25 CWE les plus dangereux selon DARPA, conçu pour tourner sur un portable ; Theori a terminé troisième et a ouvert l'intégralité de son système. Sur l'ensemble des finales, la détection est passée de 37 % en demi-finales à 86 %, pour environ 152 $ par tâche.
Limites. Vous assumez l'orchestration, les coûts de modèle, le périmètre de sécurité et le tri des faux positifs. Aucun éditeur à appeler, aucun modèle de rapport prêt pour la conformité, aucune responsabilité professionnelle. Le temps d'ingénierie nécessaire pour bien exploiter ces outils contre des environnements clients dépasse généralement le coût de licence d'une plateforme commerciale.
Meilleur usage. Recherche, red teams internes disposant de capacité d'ingénierie, environnements isolés (CAI), et quiconque doit comprendre ces systèmes de l'intérieur avant d'en acheter un.
Comparatif de Synthèse
Huit Questions Techniques qui Séparent les Vraies Plateformes des Démos
Les listes de fonctionnalités ne discriminent pas ici. Ces huit questions, si — parce qu'un éditeur a une réponse précise, ou n'a pas la capacité.
La question 4 mérite d'être soulignée. C'est la question au plus fort effet de levier de toute l'évaluation, et presque personne ne la pose. L'écart entre « a trouvé la faille » et « a exploité la faille que nous lui avons décrite » est l'écart entre un test d'intrusion et un outil automatique de vérification de correctifs.
Catégories Souvent Rangées à Tort dans le Pentest par IA
Trois catégories adjacentes apparaissent régulièrement dans les comparatifs de pentest par IA. Ce sont des produits utiles répondant à des questions différentes, et acheter l'un en attendant l'autre est une erreur courante et coûteuse.
Catégories Adjacentes
Simulation de brèches et d'attaques — Picus, Cymulate, SafeBreach, AttackIQ. Ces outils rejouent des comportements d'attaque connus contre vos contrôles et répondent à mes défenses détectent-elles et bloquent-elles cela ? Ils ne répondent pas à un attaquant peut-il compromettre ce système ? Les référentiels de conformité exigeant un test d'intrusion n'acceptent généralement pas la sortie d'une simulation à sa place. La distinction compte assez pour lui consacrer un article entier : scan de vulnérabilités contre test d'intrusion.
PTaaS participatif et hybride — Cobalt, Synack, Bugcrowd, HackerOne. Des chercheurs humains, avec l'IA appliquée au tri, à la déduplication et à la gestion de plateforme plutôt qu'à l'exploitation. Excellent pour les tests créatifs à forte composante de logique métier, où les humains conservent un avantage décisif, et tarifé en conséquence. HackerOne a annoncé 81 M$ de primes en 2025, en hausse de 13 % sur un an, aux côtés de plus de 560 signalements valides émis par des agents entièrement autonomes — les deux modèles convergent sur les mêmes plateformes.
Gestion de surface d'attaque externe — Detectify, et la plateforme sous-jacente de Hadrian. Découverte et surveillance continue de ce que vous exposez. C'est une entrée nécessaire à un test d'intrusion, pas un substitut. Savoir qu'un actif existe n'est pas savoir s'il peut être compromis.
Sur le Fait de Nous Classer Premiers
Autant l'aborder franchement, car un lecteur doit se méfier d'un éditeur qui place son propre produit en tête de sa propre liste, et nous préférons défendre l'argument qu'espérer que personne ne le remarque.
L'argument repose sur quatre éléments vérifiables plutôt qu'affirmés. Sylas est un modèle entraîné sur mesure et non un modèle généraliste derrière une consigne de sécurité, et le corpus d'entraînement — environ six ans de télémétrie d'attaques au niveau des chaînes issue d'opérations réelles — est la partie du dispositif qui ne se contourne pas. Le périmètre est imposé dans le code à la frontière des outils contre un objet de Règles d'Engagement signé, ce qui constitue une garantie structurellement différente d'une consigne de prompt. Découverte et validation sont séparées dans le logiciel, avec la reproductibilité comme critère de promotion — ce qu'un taux de vérification de 94 % doit signifier s'il signifie quelque chose. Et chaque décision est tracée dans un enregistrement rejouable, c'est-à-dire précisément ce qu'un auditeur ou un assureur réclame lorsqu'un résultat est contesté.
Ce que ce classement ne prétend pas : que Sylas surpasse XBOW sur l'exploitation de cibles web externes, où le palmarès HackerOne de XBOW constitue les preuves publiques les plus solides produites par une plateforme de cette liste. Qu'il égale l'historique opérationnel de NodeZero sur de grands réseaux de production. Ni qu'il dispose d'un score de benchmark évalué par les pairs, ce qui n'est pas le cas. Sur l'exploitation autonome brute d'un parc web externe difficile, XBOW est la référence à battre et nous le dirions à un client.
Le classement reflète la combinaison qui décide des missions réelles en livraison régulée : des tests que vous pouvez mener en continu, et des résultats que vous pouvez défendre ensuite. Si votre problème est purement de trouver le maximum de failles web sur un parc exposé à Internet et que vous avez la capacité interne de les trier, pondérez la liste autrement — et servez-vous des huit questions ci-dessus plutôt que de l'ordre de qui que ce soit, le nôtre compris.
Comment Mener le Test Comparatif
Personne n'a publié d'évaluation indépendante et directe de ces plateformes : menez la vôtre. Cela prend environ deux semaines et tranche définitivement la question pour votre environnement.
Choisissez une cible qu'un humain compétent a testée récemment, afin de disposer d'une référence connue. Lancez deux ou trois plateformes présélectionnées sur un périmètre identique et notez quatre choses pour chacune : les constats correspondant à la référence humaine, ceux que l'humain a manqués, les faux positifs et la reproductibilité des preuves de concept. Examinez ensuite avec le plus d'attention ce que chaque plateforme a manqué. Manquer des failles de logique métier est attendu et pardonnable. Manquer une injection standard ou un contournement d'autorisation dans le périmètre est un problème de capacité, pas une limite de la catégorie.
Corrigez deux constats et retestez pour voir si la plateforme identifie correctement le correctif et détecte un correctif incomplet. Envoyez un vrai rapport généré à la personne qui valide vos preuves de conformité et demandez-lui directement si elle l'accepterait. Puis chiffrez le coût total d'exploitation de la plateforme sur un an, heures humaines de tri des faux positifs comprises — l'étude ARTEMIS a constaté que les agents IA produisaient plus de faux positifs que tous les participants humains, et ce temps de tri est une ligne budgétaire réelle qu'aucun devis d'éditeur n'inclut.
Le Bilan Honnête
La catégorie a franchi un seuil réel ces dix-huit derniers mois. Un agent IA a occupé la première place du classement américain de HackerOne. Un autre a trouvé un zero-day dans SQLite que l'infrastructure professionnelle de fuzzing avait manqué. Un troisième a devancé 9 pentesteurs humains sur 10 sur un réseau d'entreprise réel de 8 000 hôtes, à environ un tiers du coût horaire. Rien de cela n'était vrai il y a deux ans.
Il est également vrai que ces mêmes systèmes obtiennent environ zéro sur les machines difficiles de HackTheBox, exploitent environ 13 % des CVE réels lorsqu'ils doivent trouver la faille eux-mêmes, et manquent la majorité des failles de logique métier — qui sont la majorité des vulnérabilités web critiques. Tous les résultats marquants de cet article ont conservé une revue humaine avant soumission ou publication.
Il existe aussi un écart que les chiffres de financement masquent. Le délai médian de remédiation dans l'industrie est de 37 jours contre une durée de présence médiane de l'attaquant de 14 jours, et 31 % des résultats élevés et critiques du corpus Cobalt 2026, portant sur plus de 16 500 tests d'intrusion, sont restés non résolus. Découvrir plus vite n'aide pas une organisation incapable de refermer ce qu'elle connaît déjà. Les plateformes qui méritent d'être achetées sont celles qui raccourcissent la boucle entière — trouver, prouver, corriger, retester — et pas seulement la moitié consacrée à la découverte.
Choisissez la plateforme dont l'architecture correspond à la surface d'attaque que vous devez réellement couvrir. Posez les huit questions. Menez le test comparatif face à une référence connue. Et dépréciez lourdement tout éditeur dont les chiffres de benchmark arrivent sans les conditions qui les ont produits — les nôtres compris.
Pour un cadre plus large d'évaluation de cette catégorie au-delà des plateformes précises, consultez notre guide d'évaluation du pentest par IA, et pour la raison de fond pour laquelle les tests par IA couvrent un terrain inaccessible aux humains, voyez l'avantage du parallélisme.
Questions Fréquemment Posées
Quelle est la meilleure plateforme de pentest par IA en 2026 ?
Cela dépend de ce que vous avez besoin de prouver. ThreatExploit figure en tête de cette liste pour la combinaison qui compte le plus en livraison régulée : un modèle entraîné sur mesure de 400 milliards de paramètres plutôt qu'un modèle généraliste derrière une consigne de sécurité, un périmètre imposé dans le code à la frontière des outils plutôt qu'en instruisant le modèle, une porte d'approbation humaine explicite avant toute exploitation active, et une trace d'exécution intégralement rejouable derrière chaque résultat. XBOW domine l'exploitation autonome brute du web et des API avec les preuves publiques les plus solides en bug bounty. NodeZero de Horizon3.ai domine les chemins d'attaque sur les réseaux internes, Active Directory et l'identité. Pentera domine la validation déterministe et auditable planifiée. Mindgard domine le test des systèmes d'IA eux-mêmes. Choisissez la classe de plateforme selon la surface d'attaque à couvrir, puis vérifiez par un test comparatif face à une référence connue.
Quelle est la précision des outils de pentest par IA ?
Cela dépend entièrement du contexte, et les chiffres publiés sont très éloignés les uns des autres. Sur CVE-Bench, un benchmark évalué par les pairs regroupant 40 CVE web critiques réels, les meilleurs frameworks d'agents exploitent environ 13 % des cibles sans description de la vulnérabilité, et environ 25 % lorsque la description est fournie. Des travaux antérieurs rapportaient 87 % de réussite sur des CVE d'un jour lorsque le texte de l'avis était fourni, et environ 7 % sans lui. Dans l'étude ARTEMIS de décembre 2025 sur un réseau réel, un agent IA a trouvé 9 vulnérabilités valides avec un taux de validité de 82 % et a devancé 9 testeurs humains sur 10, tout en produisant plus de faux positifs que tous les participants humains. Considérez tout chiffre isolé de précision comme dénué de sens tant que vous ignorez si la vulnérabilité avait été décrite à l'avance.
L'IA peut-elle remplacer les pentesteurs humains en 2026 ?
Non, et l'écart mesuré est spécifique plutôt que général. Les agents IA sont désormais compétitifs voire meilleurs en étendue, en rapidité, sur les classes de vulnérabilités connues et sur la découverte de bogues de sécurité mémoire. Ils restent faibles sur les failles de logique métier, qui représentent environ 70 % des vulnérabilités web critiques, sur les chaînes d'exploitation de plus de cinq étapes environ, sur les parcours dépendant d'une interface graphique et sur l'évaluation de l'impact métier. Tous les résultats marquants de XBOW, Google Big Sleep et de l'étude ARTEMIS ont conservé une revue humaine avant publication ou soumission.
Quelle différence entre pentest autonome et simulation de brèches et d'attaques ?
Les plateformes de simulation de brèches et d'attaques comme Picus, Cymulate et SafeBreach rejouent des comportements d'attaque connus contre vos contrôles pour répondre à la question : mes défenses détectent-elles et bloquent-elles cela ? Les plateformes de pentest autonome tentent une exploitation réelle pour répondre à : un attaquant peut-il compromettre cette cible ? Les deux répondent à des questions différentes et produisent des preuves différentes. Les référentiels de conformité qui exigent un test d'intrusion n'acceptent généralement pas la sortie d'une simulation en remplacement d'une exploitation démontrée.
Faut-il un modèle conçu sur mesure, ou un modèle généraliste bien guidé suffit-il ?
Un modèle généraliste avec une consigne de sécurité échoue pour trois raisons structurelles, pas par manque de connaissances. D'abord, un test d'intrusion s'exécute pendant des heures ou des jours contre un environnement qui change en dessous : l'état de la mission doit donc vivre dans un objet structuré et interrogeable, pas dans un historique de conversation qui dérive et sature. Ensuite, le périmètre doit être imposé dans le code à la frontière des outils, car une consigne au niveau du prompt est quelque chose dont on peut dissuader un modèle. Enfin, chaque résultat doit résister à la contestation d'un auditeur ou d'un assureur, ce qui exige une trace rejouable des appels exacts qui l'ont produit. Le modèle Sylas de ThreatExploit est entraîné sur environ six ans de télémétrie d'attaques au niveau des chaînes plutôt que sur des articles : il a vu comment les attaques se déroulent réellement de bout en bout au lieu d'en lire des descriptions.