OpenAEV v3 : la validation de l'exposition aux menaces passe à l'autonomie avec l'attack chaining

Les équipes de sécurité ont passé la dernière décennie à apprendre à identifier ce qui pourrait leur nuire. Les programmes de threat intelligence ont gagné en maturité, MITRE ATT&CK est devenu un vocabulaire commun, et la plupart des organisations peuvent dresser une liste crédible des techniques qu'un attaquant visant leur secteur est susceptible d'employer. Mais toute cette intelligence n'a toujours pas répondu à la question que chaque RSSI entend en comité de direction aujourd'hui : pouvez-vous prouver que nous sommes en sécurité ? C'est précisément la question à laquelle la validation de l'exposition aux menaces est conçue pour répondre.

En bref

• L'Attack Chaining introduit un nouveau type de scénario qui transforme OpenAEV en un moteur de chemins d'attaque dynamique et adaptatif, où le résultat d'une action alimente directement l'entrée de la suivante.
• Un nouveau Exposure Command Center et un Adversarial Exposure Score donnent aux responsables SOC une vue unique, quantifiée et actionnable de la posture et de la résilience, pour prioriser les actions.
• L'AI Red-Teaming étend la validation aux LLM et aux agents IA, en testant l'injection de prompt, les jailbreaks et les abus d'outils, en complément des défenses EDR, SIEM et e-mail existantes.
• OpenAEV v3 ajoute également un reporting automatisé, un score de criticité des actifs, de nouvelles intégrations, une couverture élargie de l'ingénierie sociale et des améliorations multi-tenant, dans le cadre d'un ensemble plus large de mises à jour de la plateforme.

Cet écart entre savoir et prouver ne cesse de se creuser : le rapport State of Threat Management 2026 de Filigran révèle que 93 % des responsables sécurité ont du mal à maintenir une vision précise de leur surface d'attaque, 84 % ont déjà subi des attaques exploitant des risques pourtant déjà connus, et 88 % s'accordent à dire que les évaluations ponctuelles ne suivent plus le rythme d'évolution des systèmes et des environnements.

C'est précisément cet écart que OpenAEV a été conçu pour combler. Tandis qu'OpenCTI démocratise la threat intelligence en tant que plateforme CTI open source la plus adoptée au monde, OpenAEV étend cette mission à la validation : il donne aux équipes de sécurité un moyen de tester si leurs défenses tiennent réellement en pratique.

Depuis son lancement, la plateforme est passée d'un outil de breach and attack simulation porté par la communauté à une plateforme de validation de l'exposition aux menaces agentique et à l'échelle de l'entreprise, tout en conservant l'ADN open source et guidé par la menace du reste de la plateforme eXtended Threat Management (XTM) de Filigran.

Avec la v3, OpenAEV franchit son plus grand pas en avant.

Pourquoi OpenAEV évolue

Tout ce qui arrive dans la v3 répond à un même changement de fond : la validation de sécurité doit cesser d'être un exercice manuel et périodique pour devenir continue, automatisée et de plus en plus autonome.

Concrètement, cela signifie qu'OpenAEV devient :

• Plus actionnable, en offrant aux équipes une vue claire et priorisée de ce qu'il faut corriger, plutôt qu'une longue liste de constats déconnectés,
• Plus automatisé, en remplaçant les scripts manuels et les missions ponctuelles par des simulations pouvant être lancées à la demande et répétées aussi souvent que nécessaire, et
• Plus agentique, en confiant une part croissante de la planification et de l'exécution d'un exercice de validation à des agents IA capables de s'adapter en temps réel à ce qu'ils découvrent, à l'image d'un red teamer expérimenté.

Ces trois évolutions se retrouvent partout dans cette version. C'est pour cela qu'OpenAEV dispose désormais d'un Exposure Command Center dédié plutôt que d'un ensemble disparate de tableaux de bord, qu'il existe désormais un Adversarial Exposure Score unique pour suivre la résilience dans le temps, et que la plateforme peut, pour la première fois, mener un pentest véritablement autonome, d'un objectif exprimé en langage naturel jusqu'à un résultat validé. Tout cela répond au même objectif : aider les organisations à suivre le rythme d'une menace qui évolue plus vite et qui pense de plus en plus par elle-même, sans obliger les équipes de sécurité à augmenter leurs effectifs pour tenir la cadence.

Et l'élément central de cet effort, la fonctionnalité autour de laquelle cette version a véritablement été construite, c'est l'Attack Chaining.

Attack chaining : tester comme un attaquant, en continu

Les véritables attaquants, de plus en plus souvent assistés par l'IA, ne mènent pas plusieurs actions isolées et déconnectées contre une cible. Ils les enchaînent : la reconnaissance révèle une cible, un dump d'identifiants révèle un mot de passe, ce mot de passe ouvre la machine suivante, et ainsi de suite, chaque étape s'appuyant sur les preuves découvertes à la précédente.

Les simulations scriptées et les tests atomiques permettent toujours de révéler des expositions, mais ils ne peuvent pas reproduire un comportement humain ou IA adaptatif. Un pentest ou un exercice de red team peut le recréer manuellement, mais c'est coûteux et, surtout, lent et périodique. De plus, les pentests modernes se concentrent sur les tests techniques, en oubliant la première cause des violations de données : les personnes.

L'Attack Chaining est la réponse d'OpenAEV à ce problème. Il introduit un nouveau type de scénario qui transforme la plateforme en un moteur de chemins d'attaque multi-étapes, dynamique et adaptatif, où le résultat réel d'une action (un identifiant, un port ouvert, un jeton, une permission mal configurée) est capturé sous la forme d'un résultat structuré et alimente automatiquement la décision de ce qui sera attaqué ensuite.

Le résultat : une attaque qui se déploie et se ramifie en temps réel, sur un graphe interactif, en fonction de ce qu'elle découvre dans votre environnement.

Au-delà de l'intérêt évident de visualiser et d'interagir avec un chemin d'attaque réel qu'un attaquant pourrait emprunter, l'Attack Chaining offre aux équipes un moyen rapide, réaliste et économique de tester les vulnérabilités à grande échelle et d'identifier le point de blocage à prioriser, celui qui, corrigé, neutralise tout un chemin d'attaque.

Les équipes pratiquent la gestion des chemins d'attaque depuis des années. Mais OpenAEV change la donne : au lieu de scénarios prédéfinis et verrouillés par un éditeur, vous gardez le contrôle total pour modéliser l'attaque de votre choix, orchestrée manuellement ou exécutée de façon entièrement autonome par des agents. Voici comment quatre capacités fonctionnent ensemble comme un seul système, faisant d'OpenAEV une solution de pentest autonome.

1) Une logique d'attack chaining ouverte et conditionnelle

Plutôt que d'être enfermées dans un scénario défini par un éditeur, les équipes peuvent construire à partir de zéro une logique de chemin d'attaque multi-étapes réutilisable, en s'appuyant sur n'importe quelle action ou événement disponible dans OpenAEV. Des conditions déterminent la suite : une chaîne se ramifie automatiquement selon ce que chaque action découvre sur le moment, et cette logique peut être revue et mise à jour à tout moment à mesure que de nouvelles techniques émergent.

2) Une cartographie des chemins d'attaque en temps réel

Les équipes observent chaque chemin d'attaque se déployer et se ramifier dynamiquement en temps réel, en fonction des résultats découverts par la simulation en cours de route, plutôt que de les découvrir uniquement après la fin de la simulation. Chaque rebond et chaque pivot s'affiche en direct sur un graphe interactif, de la première action jusqu'à l'objectif final, offrant une vue en temps réel de la formation du chemin plutôt qu'un simple résumé de son aboutissement.

3) Des résultats transparents et actionnables qui font émerger les points de blocage

Chaque résultat produit par une chaîne, qu'il s'agisse d'un identifiant, d'une adresse IP, d'un jeton ou d'un fichier, devient un résultat structuré que l'on peut explorer directement : pourquoi l'action a été exécutée, ce qu'elle a retourné, et comment ce résultat a conditionné l'étape suivante. C'est cette traçabilité qui permet d'identifier les points de blocage (les points uniques d'un chemin où une seule correction neutralise tout ce qui suit), au lieu de laisser aux équipes une longue liste indifférenciée d'éléments à corriger.

4) Des contrôles de périmètre et de sécurité

Rien de tout cela ne s'exécute sans supervision par défaut. Chaque chaîne fonctionne dans des garde-fous définis en amont : quels actifs et quelles cibles sont dans le périmètre, quelles actions sont autorisées, et jusqu'où une chaîne peut escalader avant de s'arrêter. C'est ce qui permet de lancer ces simulations en toute confiance, même à grande échelle : une autonomie totale dans l'exécution, sans perdre le contrôle des limites.

Ces quatre capacités constituent le socle, mais l'Attack Chaining peut être mis en œuvre de deux manières différentes, selon la part du processus qu'une équipe souhaite déléguer.

Attack chaining piloté par un opérateur ou autonome

L'Attack Chaining peut être déployé et géré manuellement, entièrement orchestré de bout en bout par des agents IA, ou selon une combinaison des deux avec un humain dans la boucle.

Avec l’Attack Chaining piloté par l’opérateur, un humain construit la logique et contrôle l’exécution, en définissant la logique conditionnelle. Déterministe et transparent, c’est l’option idéale pour industrialiser le pentesting et valider les chemins d’attaque avec précision.

Avec l’Autonomous Attack Chaining, ce jugement est confié à un agent IA, propulsé par XTM One. Un opérateur définit un objectif et un périmètre, puis un agent IA orchestrateur dédié planifie le chemin d’attaque, l’exécute et s’adapte au fil de l’eau : il réagit aux résultats, réordonne les étapes, sélectionne les bonnes actions en fonction de ce qu’il découvre, et génère même des e-mails de phishing et des pages d’atterrissage réalistes lorsque l’objectif nécessite de l’ingénierie sociale. L’orchestrateur peut aussi faire appel à des agents spécialisés pour la création de payloads, la génération de code, la reconnaissance et l’exploitation, en s’appuyant sur les agents intégrés d’OpenAEV ou en mobilisant les siens depuis XTM One.

Les deux modes offrent la même valeur : une simulation d’attaque réaliste et de bout en bout, exécutée en quelques minutes au lieu de plusieurs semaines, pour une fraction du coût, et reproductible aussi souvent que l’environnement évolue. Et parce qu’Attack Chaining est nativement piloté par la threat intelligence, chaque chaîne est priorisée autour des techniques pertinentes pour votre organisation, les résultats alimentant directement le score présenté ci-dessous : un chemin validé devient ainsi un élément d’une mesure de risque unifiée, et non un rapport isolé.

Exposure Command Center : une base pour la priorisation

Le changement le plus visible d’OpenAEV v3 est une interface repensée, mais il ne s’agit pas que de cosmétique : il fait passer OpenAEV du statut d’outil de simulation à celui de véritable cockpit opérationnel pour la validation de l’exposition.

En son cœur se trouve l’Exposure Command Center, désormais le tableau de bord d’accueil de la plateforme : une vue unique et immédiate de la posture sur l’ensemble des domaines de sécurité, des derniers résultats de simulation et de la couverture de détection cartographiée selon MITRE ATT&CK et ATLAS.

Il est conçu pour s’adresser à plusieurs publics à la fois : un responsable SOC peut l’utiliser pour comprendre la posture globale de l’organisation, tandis que les équipes blue team, red team et les praticiens MDR peuvent s’appuyer sur la même vue pour mener des validations de l’exposition et se concentrer directement sur les zones qui nécessitent une attention immédiate.

Adversarial Exposure Score : un indicateur unique pour piloter la résilience

Pour garantir une réelle actionnabilité et guider un workflow de gestion de l’exposition efficace, OpenAEV v3 introduit l’Adversarial Exposure Score, visible dans votre Exposure Command Center, qui représente vos niveaux d’exposition.

« On ne gère bien que ce que l’on mesure », dit l’adage, et c’est exactement la raison d’être de l’Adversarial Exposure Score : offrir aux RSSI et aux praticiens un score unique et synthétique pour mesurer, comprendre, gérer et améliorer leur résilience dans la durée.

Le score repose sur trois principes fondamentaux :

• Il est transparent : il se compose des scores de posture de tous les principaux domaines d’exposition, pondérés par leur criticité.
• Il est actionnable : vous pouvez explorer en détail les validations échouées et compromises.
• Il est dynamique : il évolue dans le temps, en fonction des résultats des simulations menées par les équipes.

AI red-teaming : tester la posture de l’IA au même titre que celle des humains et des endpoints

La plupart des outils de validation de l’exposition partent encore du principe que ce sont les humains et les endpoints qui prennent les décisions à tester. C’est de moins en moins vrai : les organisations déploient des agents IA plus vite qu’elles ne peuvent répondre à la question de ce qui se passe si l’un d’eux est manipulé.

OpenAEV inclut désormais de nouveaux injecteurs natifs dans le Threat Arsenal, regroupés sous une catégorie AI Red Team, qui exécutent des validations de l’exposition contre les modèles LLM et les agents IA de la même manière que les injecteurs existants valident les défenses EDR, SIEM ou e-mail. Ils testent l’injection de prompts, les jailbreaks, l’excès d’autonomie (excessive agency) et l’abus d’outils, ainsi que l’empoisonnement d’outils via le Model Context Protocol (MCP), à l’aide de moteurs tels que NVIDIA Garak, Microsoft PyRIT et Promptfoo. Ces attaques sont cartographiées selon MITRE ATLAS, offrant aux techniques liées à l’IA la même couverture structurée que n’importe quel autre domaine. Cette fonctionnalité s’appuie sur un nouveau domaine Artificial Intelligence au sein de la plateforme, de sorte que la posture IA s’intègre aux mêmes résultats, au même scoring et au même Command Center que tous les autres actifs.

Reporting automatisé : des résultats de simulation à un rapport prêt pour les parties prenantes

Les résultats de simulation ne créent de la valeur qu’une fois parvenus aux personnes qui agissent en conséquence : la conformité, la direction, le conseil d’administration. Y parvenir impliquait traditionnellement d’extraire manuellement les données de plusieurs outils puis de les remettre en forme pour les rendre présentables.

OpenAEV v3 introduit un module de reporting entièrement automatisé qui consolide les données de simulation, d’exposition et de posture en un rapport structuré, prêt pour les parties prenantes, en quelques clics.

Également disponible dans la v3

Attack Chaining, l’Exposure Command Center, l’Adversarial Exposure Score, l’AI Red-Teaming et le reporting automatisé sont les ajouts phares de cette version, mais ce n’est pas tout. La v3 introduit également :

• Asset Criticality : permet aux équipes d’associer aux actifs un niveau de criticité lié à des Asset Posture Scores individuels, alimentant la priorisation des résultats, des expectations, des tableaux de bord et du Command Center lui-même.
• Nouveaux injecteurs de communication : couvrant l’e-mail (Microsoft 365 et Google Workspace), Slack et Teams, étendant la couverture des simulations d’ingénierie sociale et de phishing aux canaux utilisés par les attaquants.
• Microsoft Defender for Endpoint Executor : permet aux équipes d’orchestrer l’exécution des scénarios directement via Defender for Endpoint, aux côtés de la liste croissante d’exécuteurs pilotés par XDR/EDR de la plateforme, afin de valider la détection et la réponse sans quitter l’écosystème de sécurité Microsoft.
• Audit Logging : offre aux équipes un historique complet et traçable des actions réalisées sur la plateforme, pour répondre aux besoins de responsabilisation et de suivi des changements des équipes sécurité et conformité, à mesure que la plateforme fonctionne de façon de plus en plus autonome.
• Un nouveau moteur de notifications : offre des règles plus claires, des alertes plus pertinentes et une base solide pour des types de notifications plus riches, après une refonte complète.
• Améliorations du multi-tenant : permettent aux organisations de cloisonner proprement les environnements, équipes ou clients au sein d’une même instance OpenAEV, rendant la plateforme adaptée à une exploitation à grande échelle entre différentes business units ou, pour les prestataires de services de sécurité managés (MSSP), entre plusieurs organisations clientes.

De nombreuses améliorations plus modestes complètent cette version. Pour en savoir plus :

• Consultez les notes de version communautaires.
• Lisez l’annonce de lancement.

Essayer OpenAEV v3

Au final, cette version vise à combler l’écart entre la connaissance de vos menaces et la preuve que vos défenses y résistent, de façon continue, automatique, et avec un niveau de réalisme proche de ce qu’un véritable attaquant pourrait réellement vous opposer.

• Démarrez un essai gratuit d’OpenAEV v3.
• Participez à notre prochain webinaire pour découvrir Attack Chaining et la validation autonome de l’exposition en action.
• Pour en savoir plus sur Attack Chaining : découvrez mon analyse, Attack Chaining: How to Test the Way Attackers Get In.