Services

Trois formats, pensés pour s'enchaîner ou se prendre séparément. Chaque mission commence par un périmètre écrit et se termine par une restitution.

2 jours

Diagnostic agents IA

Un état des lieux clair : quels agents, quels accès, quels risques prioritaires, et par quoi commencer.

Pour qui: Directions informatiques, RSSI et équipes produit qui déploient, ou s'apprêtent à déployer, un ou plusieurs agents IA.
Problème traité: Vous ne savez pas précisément ce que vos agents peuvent faire, à quelles données ils accèdent, ni quels scénarios d'abus sont réalistes dans votre contexte.
Ce que nous faisons: Nous cartographions les agents, leurs outils, leurs données, leur mémoire, leurs skills, leurs automatisations et leurs permissions. Nous relions ensuite chaque capacité aux décisions métier qu'elle peut influencer et aux garde-fous existants.
Livrables: Rapport de diagnostic, carte des capacités et des droits, scénarios de risque hiérarchisés, plan d'action priorisé.
Durée type: 2 jours
Comment on travaille: Entretiens avec vos équipes et lecture de l'architecture, à distance ou sur site. Aucun test intrusif à ce stade.

Demander une revue

5 jours · Offre phare

Audit et red teaming d'agents IA

Nous attaquons vos agents comme le ferait un adversaire, sur un périmètre autorisé, et nous vous montrons ce qui cède.

Pour qui: Organisations dont un agent est en production ou en préproduction : assistant interne, agent de support, automatisation documentaire, agent connecté à des outils métier.
Problème traité: Votre agent est-il détournable ? Peut-on lui faire exfiltrer des données, abuser de ses outils, contourner ses consignes ou enchaîner des actions dangereuses ?
Ce que nous faisons: Tests d'injection directe et indirecte via pages web, e-mails, documents ou bases documentaires, abus de mémoire, de skills, d'automatisations, d'outils et de permissions. Nous testons aussi les chaînes d'actions et les exfiltrations possibles. Chaque scénario réussi est reproduit, documenté et classé par impact métier.
Livrables: Rapport d'audit avec scénarios reproduits et preuves, cotation de gravité, recommandations concrètes classées par effort, restitution orale à vos équipes.
Durée type: 5 jours
Comment on travaille: Périmètre et autorisation écrite définis avant tout test. Travail à distance ou sur site. Confidentialité contractuelle.

Demander une revue

10 jours ou plus

Durcissement, harnesses et accompagnement

Nous transformons vos règles métier en contrôles vérifiables, puis nous les faisons tenir en production.

Pour qui: Équipes qui doivent corriger les constats d'un audit, concevoir un agent sûr dès le départ, ou maintenir un niveau de sécurité dans le temps.
Problème traité: Les recommandations existent, mais les équipes manquent de temps, de méthode ou de recul pour les transformer en contrôles réellement efficaces.
Ce que nous faisons: Conception et, selon le périmètre, développement de harnesses hors du modèle : droits par rôle métier, politiques d'action, seuils, validations humaines, cloisonnement des données et journalisation. Revue des correctifs et tests de non-régression inclus.
Livrables: Architecture cible, matrice de politiques métier, contrôles ou harnesses documentés, jeux de tests rejouables, formation et support pendant la durée convenue.
Durée type: 10 jours ou plus
Comment on travaille: Accompagnement par itérations, à distance ou sur site, en lien direct avec vos équipes techniques.

Demander une revue

Méthode

Nos tests et nos recommandations s'appuient sur des référentiels publics, utilisés comme grilles de méthode et non comme labels. Nous ne délivrons aucune certification et ne revendiquons aucune conformité à ces cadres.

OWASP Top 10 for LLM Applications
OWASP Agentic Security Initiative
MITRE ATLAS
Règlement européen sur l'IA (AI Act)
Directive NIS2

Cadre

Confidentialité Accord de confidentialité signé avant toute mission. Vos données ne quittent pas le périmètre convenu.
Périmètre et autorisation Les tests ne portent que sur les systèmes que vous désignez, avec une autorisation écrite. Rien n'est testé en dehors.
Rapport remis Chaque mission produit un rapport écrit, qui vous appartient, avec constats, preuves et recommandations.
Restitution Une séance de restitution orale avec vos équipes clôt chaque mission.

Questions fréquentes

Quel périmètre pouvez-vous tester ?

Tout agent ou assistant qui lit des contenus externes ou agit dans vos outils : assistants internes, agents de support, automatisations documentaires, mémoire, skills, intégrations MCP ou API. Le périmètre est défini ensemble, par écrit, avant la mission.

Nos données sont-elles protégées ?

Oui. Un accord de confidentialité est signé avant la mission, les tests se font sur les environnements que vous désignez, et nous ne conservons que ce qui est nécessaire au rapport.

Combien de temps dure une mission ?

Deux jours pour un diagnostic, cinq jours pour un audit, dix jours ou plus pour une sécurisation. Ces durées sont indicatives et ajustées au périmètre.

Travaillez-vous à distance ?

Oui, en France et à l'international, en français et en anglais. Une présence sur site est possible quand le contexte le demande.

Que se passe-t-il après l'audit ?

Vous recevez un rapport et une restitution. Vous pouvez corriger en interne, ou nous confier la sécurisation et l'accompagnement pour mettre les contrôles en place et les vérifier.

Demandez une revue de sécurité

Décrivez l'agent, ses accès et la décision métier qu'il peut influencer. Nous revenons vers vous sous 48 h ouvrées.

Demander une revue